PostgreSQL紧急求救！！

jin.liu

无法连接上数据库：
-bash-2.05b$ postmaster -i -D /var/lib/pgsql/data/
LOG:  database system was shut down at 2003-04-10 18:37:31 UTC
LOG:  checkpoint record is at 0/807EBC
LOG:  redo record is at 0/807EBC; undo record is at 0/0; shutdown TRUE
LOG:  next transaction id: 520; next oid: 16978
LOG:  database system is ready
LOG:  parse_hba: invalid syntax in pg_hba.conf file at line 47, token "172.16.13.95"
FATAL:  缺失或者时拿到错误的 pg_hba.conf 文件, 见 postmaster 日志获取细节
我的pg_hba.conf：
                                                                                                                                             # PostgreSQL Client Authentication Configuration File
# ===================================================
#
# Refer to the PostgreSQL Administrator's Guide, chapter "Client
# Authentication" for a complete description.  A short synopsis
# follows.
#

# This file controls: which hosts are allowed to connect, how clients
# are authenticated, which PostgreSQL user names they can use, which
# databases they can access.  Records take one of three forms:
#
# local    DATABASE  USER  METHOD  [OPTION]
# host     DATABASE  USER  IP-ADDRESS  IP-MASK  METHOD  [OPTION]
# hostssl  DATABASE  USER  IP-ADDRESS  IP-MASK  METHOD  [OPTION]
#
# (The uppercase quantities should be replaced by actual values.)
# DATABASE can be "all", "sameuser", "samegroup", a database name (or
# a comma-separated list thereof), or a file name prefixed with "@".
# USER can be "all", an actual user name or a group name prefixed with
# "+" or a list containing either.  IP-ADDRESS and IP-MASK specify the
# set of hosts the record matches.  METHOD can be "trust", "reject",
# "md5", "crypt", "password", "krb4", "krb5", "ident", or "pam".  Note
# that "password" uses clear-text passwords; "md5" is preferred for
# encrypted passwords.  OPTION is the ident map or the name of the PAM
# service.
#
# This file is read on server startup and when the postmaster receives
# a SIGHUP signal.  If you edit the file on a running system, you have
# to SIGHUP the postmaster for the changes to take effect, or use
# "pg_ctl reload".
                                                                                                                                             
# Put your actual configuration here
# ----------------------------------
#
# CAUTION: The default configuration allows any local user to connect
# using any PostgreSQL user name, including the superuser, over either
# Unix-domain sockets or TCP/IP.  If you are on a multiple-user
# machine, the default configuration is probably too liberal for you.
# Change it to use something other than "trust" authentication.
#
# If you want to allow non-local connections, you need to add more
# "host" records.  Also, remember TCP/IP connections are only enabled
# if you enable "tcpip_socket" in postgresql.conf.
                                                                                                                                             
# TYPE  DATABASE    USER        IP-ADDRESS        IP-MASK           METHOD
                                                                                                                                             
local   all         all         172.16.13.95      255.255.255.0    password
host    all         all         127.0.0.1         255.255.255.255   trust
#host    all         all         172.16.13.95       255.255.255.0     trust
# Using sockets credentials for improved security. Not available everywhere,
# but works on Linux, *BSD (and probably some others)
                                                                                                                                             
local  all     all     ident   sameuser
我的postgresql.conf：
# -----------------------------
#
# This file consists of lines of the form:
#
#   name = value
#
# (The '=' is optional.) White space may be used. Comments are introduced
# with '#' anywhere on a line. The complete list of option names and
# allowed values can be found in the PostgreSQL documentation. The
# commented-out settings shown in this file represent the default values.
#
# Any option can also be given as a command line switch to the
# postmaster, e.g. 'postmaster -c log_connections=on'. Some options
# can be changed at run-time with the 'SET' SQL command.
#
# This file is read on postmaster startup and when the postmaster
# receives a SIGHUP. If you edit the file on a running system, you have
# to SIGHUP the postmaster for the changes to take effect, or use
# "pg_ctl reload".
                                                                                                                                             
                                                                                                                                             
#========================================================================
                                                                                                                                             
                                                                                                                                             
#
#       Connection Parameters
#
tcpip_socket =true
#ssl =true
                                                                                                                                             
max_connections = 32
superuser_reserved_connections = 2
                                                                                                                                             
port = 5432
hostname_lookup =true
#show_source_port = false
                                                                                                                                             
#unix_socket_directory = ''
#unix_socket_group = ''
#unix_socket_permissions = 0777 # octal
                                                                                                                                             
#virtual_host = ''
                                                                                                                                             
#krb_server_keyfile = ''
                                                                                                                                             
                                                                                                                                             
#
#       Shared Memory Size

grampus

pg_hba.conf 文件
客户端认证是由 $PGDATA 目录里的文件pg_hba.conf 控制的，也就是说， /usr/local/pgsql/data/pg_hba.conf． （HBA 的意思是 host-based authentication：基于主机的认证．） 在initdb初始化数据区的时候，它会 安装一个缺省的文件．

文件 pg_hba.conf 的常用格式是一套记录， 每行一条。空白行或者井号（“#”）开头的行被忽略。一条记录 是由若干用空格和/或 tab 分隔的字段组成。

每条记录可以下面三种格式之一

local   database authentication-method [ authentication-option ]
host    database IP-address IP-mask authentication-method [ authentication-option ]
hostssl database IP-address IP-mask authentication-method [ authentication-option ]
   
各个字段的含义如下：

local
这条记录适用于通过 Unix 域套接字的联接．

host
这条记录适用于通过 TCP/IP 网络的联接．请注意，除非服务器是 带着 -i 选项或者等效的配置参数集启动的，否则 TCP/IP 联接将完全被禁止掉．

hostssl
这条记录适用于试图建立在 TCP/IP 上的 SSL 之上的联接． 要使用这个选项，服务器必须带着 SSL 支持编译．而且在服务器启动的时候， 必须用 -l 选项 或等效的配置设置打开 SSL．

database
声明记录所适用的数据库。值 all 表明该记录应用于所有数据库， 值 sameuser 表示于正在联接的用户同名的数据库。 否则它就是某个具体的 Postgres 数据库名字．

IP address, IP mask
这两个字段以各主机的 IP 地址为基础， 控制一条 host 记录应用于哪个主机． （当然，IP 地址可能会被欺骗（spoofed），但是这个考虑 超过了 Postgres 的考虑范围．） 准确的逻辑是，对于匹配的记录

(actual-IP-address xor IP-address-field) and IP-mask-field
必需为零．

authentication method（认证方法）
声明一个用户在与该数据库联接的时候必须使用的认证方法． 可能的选择如下，详细情况在 Section 4.2．


trust
无条件地允许联接．这个方法允许任何有登录客户机权限的用户以任意 Postgres 数据库用户身份进行联接．

reject
联接无条件拒绝．常用于从组中“过滤”某些主机．

password
要求客户端在尝试联接的时候提供一个口令， 这个口令与为该用户设置的口令必须匹配．

在 password 关键字后面可以声明一个可选的文件名． 这个文件包含一个用户列表，列表记录的是那些适用口令认证记录的用户， 以及可选的候选口令．

口令是以明文的方式在线路上传输的．如果要更好的保护，请使用 crypt 方法．

crypt
类似 password 方法，但是口令是用一种简单的 口令对应协议加密后在线路上传送的．这么做在密码学理论上是不安全的， 但可以防止偶然的线路侦听．在 crypt 关键字后面 可以有一个文件，文件里包含适用口令认证记录的用户列表．

krb4
用 Kerberos V4 认证用户．只有在进行 TCP/IP 联接的时候才能用． （译注：Kerberos，"克尔波洛斯"，故希腊神话冥王哈得斯的多头看门狗． Kerberos 是 MIT 开发出来的基与对称加密算法的认证协议和/或密钥 交换方法．其特点是需要两个不同用途的服务器，一个用于认证身份， 一个用于通道两端用户的密钥交换．同时 Kerberos 对网络时间同步 要求比较高，以防止回放攻击，因此通常伴随 NTP 服务．）

krb5
用 Kerberos V5 认证用户．只有在进行 TCP/IP 联接的时候才能用． （译注：Kerberos V5 是上面 V4 的改良，主要是不再依赖 DES 算法， 同时增加了一些新特性．）

ident
服务器将询问客户机上的 ident 服务器以核实正在联接的用户身份． 然后 Postgres 核实该操作系统用户是否被允许以其请求的数据库用户身份与数据库联接． 只有在使用 TCP/IP 联接的时候才能用这个选项． 跟在 ident 关键字后面的 authentication option 声明一个 ident map（身份映射）， 该文件声明那些操作系统用户等效于数据库用户．见下文获取详细信息．


authentication option（认证选项）
这个字段根据不同的认证方法（authentication method）有不同的 解释．

认证时使用与联接请求的客户端 IP 地址和所要求的 数据库名字匹配的第一条记录． 请注意这里没有 “fall-through（越过）” 或者 “backup（备份）”：如果选定了一条记录但认证失败， 那么将不会继续考虑下面的记录．如果没有匹配的记录，则拒绝访问．

在每次联接的请求时，文件 pg_hba.conf 都会被重新读取．因此很容易就能在服务器运行的时候修改访问权限．

在 Example 4-1 里是 pg_hba.conf 的一个例子． 阅读下文理解不同认证方法的细节．

Example 4-1. 一个 pg_hba.conf 文件的例子

# TYPE       DATABASE    IP_ADDRESS    MASK               AUTHTYPE  MAP

# 允许在本机上的任何用户以任何身份联接任何数据库
# 但必须是通过 IP 进行联接

host         all         127.0.0.1     255.255.255.255    trust     

# 同样，但用的是 Unix-套接字联接

local        all                                          trust

# 允许 IP 地址为 192.168.93.x 的任何主机与数据库
# "template1" 相连，用与他们在自己的主机上相同 ident 的用户名标识他自己
# （通常是他的 Unix 用户名）

host         template1   192.168.93.0  255.255.255.0      ident     sameuser

# 允许来自主机 192.168.12.10 的用户与 "template1" 数据库联接，
# 只要该用户提供了在 pg_shadow 里正确的口令．

host         template1   192.168.12.10 255.255.255.255    crypt

# 如果前面没有其它 "host" 行，那么下面两行将拒绝所有来自
# 192.168.54.1 的联接请求 (因为前面的记录先匹配
# 但是允许来自互联网上其它任何地方有效的 Kerberos V5 认证的联接
# 零掩码表示不考虑主机 IP 的任何位．因此它匹配任何主机：

host         all        192.168.54.1   255.255.255.255    reject
host         all        0.0.0.0        0.0.0.0            krb5

# 允许来自 192.168.x.x 的任何用户与任意数据库联接，只要他们通过 ident 检查
# 但如果 ident 说该用户是 "bryanh" 而他要求以 PostgreSQL 用户 "guest1" 联接，
# 那么只有在 `pg_ident.conf' 里有 "omicron" 的映射，说 "bryanh" 允许以
#  "guest1" 进行联接时才真正可以进行联接．

host         all        192.168.0.0    255.255.0.0        ident     omicron