Pgbouncer认证失败：原因与解决方法

2024-12-26 08:00:21

pgbouncer 认证失败排查

使用 Pgbouncer 作为 PostgreSQL 的连接池时，可能会遇到“trust authentication failed”错误，这通常是因为 Pgbouncer 与 PostgreSQL 之间的认证配置存在差异。此错误表明， Pgbouncer 尝试使用“trust”认证方式连接后端 PostgreSQL 服务器失败。了解问题的根源可以快速找到解决办法。

问题原因分析

通常“trust”认证失败的原因有几个。首先，PgBouncer的认证方式配置错误，与PostgreSQL的认证配置不匹配，导致连接被拒绝。另一个原因是客户端连接PgBouncer使用的用户名，在 PostgreSQL 服务器上找不到对应的用户，或者对应的密码验证机制不是"trust"。此外，即使PgBouncer本身的配置正确，PostgreSQL 端的配置也必须允许来自本地的 trust 认证。这些都可能引起身份验证错误。

解决办法

下面介绍几个常用的解决方法，以及每个方法具体的操作步骤和注意事项：

1. 修改 pgbouncer 配置文件

原理： 确保 pgbouncer 使用的认证方式与 postgresql 配置的认证方式一致。

步骤：

找到 pgbouncer.ini 配置文件（具体位置可能因系统而异，常见位置例如/etc/pgbouncer/pgbouncer.ini）
在 [users] 部分，配置正确的 PostgreSQL 用户及其密码，如果PostgreSQL使用了基于密码的认证方式。如果依然使用 trust 模式认证，则无需添加密码。示例如下，将用户'postgres'指向了数据库‘testdb’（此处的testdb需要在postgre数据库中建立）。

 ```ini
 [users]
 postgres = testdb;
 ```
 3.   在 `[databases]` 部分添加或修改数据库和用户的映射。 这步很关键，指定 Pgbouncer 使用哪个 PostgreSQL 数据库。 如果 Pgbouncer 将尝试代理到 "testdb"数据库，你需要在这里指定其连接配置:

      ```ini
         [databases]
         testdb = host=127.0.0.1 port=5432 dbname=testdb
      ```

 4.  在 `[pgbouncer]` 部分修改认证配置为 md5 或者其他非 trust 模式 ( 如果不是默认设置 )，或者修改默认的用户验证方式。

  ```ini
  auth_type = md5
  auth_file = /etc/pgbouncer/userlist.txt
 ```

重启 pgbouncer 使配置生效。比如: sudo systemctl restart pgbouncer 或者 sudo service pgbouncer restart.

注意事项： 此配置需要 PostgreSQL 端用户和密码与之匹配。使用md5模式时，userlist.txt 需要设置好相应的用户及密码信息。

  ```
  "postgres" "md53fddf1a38609629861e85ebc22a85233"
   ```

2. 调整 PostgreSQL 的 pg_hba.conf 配置

原理： 即使 pgbouncer 配置正确，PostgreSQL 的客户端认证配置(pg_hba.conf)也必须允许从 pgbouncer 连接。

步骤：

找到 pg_hba.conf 文件（常见位置：/etc/postgresql/<版本>/main/pg_hba.conf）。
添加一行配置，允许从本地通过 pgbouncer 连接，例如，允许 "trust" 连接本地用户 "postgres":

host    all             postgres          127.0.0.1/32            trust

* 如果Pgbouncer和PostgreSQL部署在不同的主机上， 需要使用实际的pgbouncer服务器的IP地址（或者使用 network CIDR)。 建议只允许来自可信任网络的连接， 减少潜在的安全风险。

配置完后，重启 PostgreSQL 服务： sudo systemctl restart postgresql 或 sudo service postgresql restart。

注意事项： 如果有更严格的安全要求，不推荐直接使用 "trust"。可以将 "trust" 替换为 "md5" 或者其他认证方式。同时注意配置行顺序。PostgreSQL 会从上到下依次匹配认证配置，优先匹配到项生效。

3. 检查用户名和数据库名称

原理: Pgbouncer 连接 PostgreSQL 时使用的用户名和数据库名称必须和 PostgreSQL 中的实际名称匹配。
步骤：
1. 检查应用程序、Pgbouncer配置以及 PostgreSQL 端数据库是否存在给定用户和数据库。
2. 核实 pgbouncer.ini 中 [users] 配置中用户的名称和要连接数据库配置中的 dbname 参数正确无误。
3. 同时核实客户端(比如 Spring Boot 应用)尝试连接时的数据库，用户名以及密码的设置。确保客户端配置的数据库用户可以在PostgreSQL数据库中找到。
注意事项： 数据库名称和用户名大小写敏感，请注意配置中保持一致。如果使用了用户变量，请核实用户变量值的有效性。