在 Postgresql 中使用 Let's Encrypt 证书

Question

我正在尝试设置与运行 postgresql 的服务器的远程数据库连接。我已经在使用 LE 证书的远程服务器上运行 nginx。我的问题是 postgresql 证书是否需要像让我们加密这样的 CA 签名，或者自签名证书是否就足够了。我试图了解对我的数据库连接使用自签名证书时的安全风险是什么。

Answer 1

如果您控制连接的两端，则自签名证书非常好。您可以向客户端提供 CA 证书以进行验证。

存在公共 CA 证书，因此尚未与您的服务器进行可信通信的客户端仍然会“好吧，这看起来像是由我信任的人签署的合法证书”。

重要的是至少使用sslmode=verify-ca并提供有关root.crt客户端的 CA 证书，以便它可以根据它检查服务器并确保它正在使用它期望的服务器。verify-full如果您使用的是只有一台主机拥有的自签名证书，则不需要此模式，它可以使用由受信任的 CA 签名的合法但被盗的证书来防止 MiTM 攻击。

请参阅手册。