Эта запись соответствует попыткам подключения с использованием сокетов домена Unix. Без такой записи подключения через сокеты домена Unix запрещены.

Эта запись соответствует попыткам подключения, сделанным с использованием TCP/IP. Записи host соответствуют попыткам подключения с использованием SSL или без SSL, а также попыткам подключения с использованием зашифровки GSSAPI или без GSSAPI.

Эта запись соответствует попыткам подключения, сделанным с использованием TCP/IP, но только когда подключение осуществляется с использованием шифрования SSL.

Для использования этой опции сервер должен быть построен с поддержкой SSL. Кроме того, SSL должен быть включен путем установки параметра конфигурации ssl (см. Раздел 17.9 для получения дополнительной информации). В противном случае запись hostssl игнорируется, за исключением записи предупреждения о том, что она не может соответствовать никаким соединениям.

Этот тип записи имеет противоположное поведение по сравнению с hostssl; он соответствует только попыткам подключения, сделанным через TCP/IP, которые не используют SSL.

Эта запись соответствует попыткам подключения, сделанным с использованием TCP/IP, но только когда подключение осуществляется с использованием шифрования GSSAPI.

Для использования этой опции сервер должен быть собран с поддержкой GSSAPI. В противном случае запись hostgssenc игнорируется, за исключением записи предупреждения о том, что она не может соответствовать никаким соединениям.

Этот тип записи имеет противоположное поведение по сравнению с hostgssenc; он соответствует только попыткам подключения, сделанным через TCP/IP, не использующим шифрование GSSAPI.

Указывает, каким именам баз данных соответствует эта запись. Значение all указывает, что она соответствует всем базам данных. Значение sameuser указывает, что запись соответствует, если запрашиваемая база данных имеет то же имя, что и запрашиваемый пользователь. Значение samerole указывает, что запрашиваемый пользователь должен быть членом роли с тем же именем, что и запрашиваемая база данных. (samegroup является устаревшим, но все еще допустимым написанием samerole.) Суперпользователи не считаются членами роли для целей samerole, если они не являются явными членами роли, прямо или косвенно, а не просто в силу того, что они суперпользователи. Значение replication указывает, что запись соответствует, если запрашивается физическое репликационное соединение, однако, оно не соответствует логическим репликационным соединениям. Обратите внимание, что физические репликационные соединения не указывают конкретную базу данных, тогда как логические репликационные соединения указывают её. В противном случае, это имя конкретной базы данных Tantor BE или регулярное выражение. Несколько имен баз данных и/или регулярных выражений могут быть указаны, разделяя их запятыми.

Если имя базы данных начинается с косой черты (/), то оставшаяся часть имени рассматривается как регулярное выражение. (См. Раздел 9.7.3.1 для подробностей синтаксиса регулярных выражений в Tantor BE.)

Отдельный файл, содержащий имена баз данных и/или регулярные выражения, можно указать, добавив перед именем файла @.

Указывает, каким именам пользователей базы данных соответствует эта запись. Значение all указывает, что оно соответствует всем пользователям. В противном случае, это либо имя конкретного пользователя базы данных, регулярное выражение (начинающееся с косой черты (/), либо имя группы, предшествующее +. (Напомним, что в Tantor BE нет реального различия между пользователями и группами; метка + действительно означает “соответствие любой из ролей, которые прямо или косвенно являются членами этой роли”, в то время как имя без метки + соответствует только этой конкретной роли.) Для этой цели суперпользователь считается членом роли только в том случае, если он явно является членом роли, прямо или косвенно, а не просто в силу того, что он суперпользователь. Несколько имен пользователей и/или регулярных выражений могут быть указаны, разделяя их запятыми.

Если имя пользователя начинается с косой черты (/), то оставшаяся часть имени рассматривается как регулярное выражение. (См. Раздел 9.7.3.1 для подробностей синтаксиса регулярных выражений Tantor BE.)

Отдельный файл, содержащий имена пользователей и/или регулярные выражения, можно указать, добавив перед именем файла @.

Указывает адрес(а) клиентской машины, с которыми соответствует данная запись. Это поле может содержать имя хоста, диапазон IP-адресов или одно из специальных ключевых слов, упомянутых ниже.

Диапазон IP-адресов указывается с использованием стандартной числовой нотации для начального адреса диапазона, затем символа слэш (/) и длины маски CIDR. Длина маски указывает количество старших битов IP-адреса клиента, которые должны совпадать. Биты справа от этого должны быть нулевыми в заданном IP-адресе. Между IP-адресом, символом слэш (/) и длиной маски CIDR не должно быть пробелов.

Примеры типичного задания диапазона IPv4-адресов в этом формате: 172.20.143.89/32 для одного хоста, или 172.20.143.0/24 для небольшой сети, или 10.6.0.0/16 для более крупной сети. Диапазон IPv6-адресов может выглядеть так: ::1/128 для одного хоста (в данном случае это адрес петли IPv6), или fe80::7a31:c1ff:0000:0000/96 для небольшой сети. 0.0.0.0/0 представляет все IPv4-адреса, а ::0/0 представляет все IPv6-адреса. Для указания одного хоста используйте длину маски 32 для IPv4 или 128 для IPv6. В сетевом адресе не пропускать конечные нули.

Запись, заданная в формате IPv4, будет соответствовать только соединениям IPv4, а запись, заданная в формате IPv6, будет соответствовать только соединениям IPv6, даже если представленное адресное пространство находится в диапазоне IPv4-в-IPv6.

Также можно написать all, чтобы сопоставить любой IP-адрес, samehost, чтобы сопоставить любой из собственных IP-адресов сервера, или samenet, чтобы сопоставить любой адрес в любой подсети, с которой сервер напрямую связан.

Если указано имя хоста (любое, что не является диапазоном IP-адресов или специальным ключевым словом, рассматривается как имя хоста), это имя сравнивается с результатом обратного разрешения имени IP-адреса клиента (например, обратного DNS-поиска, если используется DNS). Сравнение имен хостов не чувствительно к регистру. Если есть совпадение, то выполняется прямое разрешение имени (например, прямой DNS-поиск) для проверки, совпадает ли какой-либо из адресов, к которым разрешается имя хоста, с IP-адресом клиента. Если оба направления совпадают, то запись считается совпадающей. (Имя хоста, которое используется в pg_hba.conf, должно быть тем, которое возвращает разрешение имени адреса IP клиента, в противном случае строка не будет сопоставлена. Некоторые базы данных имен хостов позволяют связывать IP-адрес с несколькими именами хостов, но операционная система вернет только одно имя хоста при запросе разрешения IP-адреса).

Спецификация имени хоста, начинающаяся с точки (.), соответствует суффиксу фактического имени хоста. Таким образом, .example.com будет соответствовать foo.example.com (но не просто example.com).

Когда имена хостов указываются в файле pg_hba.conf, убедитесь, что разрешение имен происходит достаточно быстро. Может быть полезно настроить локальный кеш разрешения имен, такой как nscd. Также вы можете захотеть включить параметр конфигурации log_hostname, чтобы видеть имя хоста клиента вместо IP-адреса в журнале.

Эти поля не применимы к local записям.

Эти два поля могут быть использованы в качестве альтернативы для IP-адреса/mask-length обозначения. Вместо указания длины маски, фактическая маска указывается в отдельном столбце. Например, 255.0.0.0 представляет собой IPv4 длину маски CIDR 8, а 255.255.255.255 представляет собой длину маски CIDR 32.

Эти поля не применимы к local записям.

Определяет метод аутентификации, который будет использоваться при соединении, соответствующем данной записи. Возможные варианты кратко описаны здесь; подробности приведены в разделе Раздел 19.3. Все варианты указываются в нижнем регистре и учитывают регистр, поэтому даже аббревиатуры, такие как ldap, должны быть указаны в нижнем регистре.

После поля auth-method может следовать поле(я) в формате name=value, которые указывают параметры для метода аутентификации. Подробности о доступных параметрах для каждого метода аутентификации приведены ниже.

В дополнение к указанным ниже специфическим для метода параметрам, существует метод-независимый параметр аутентификации clientcert, который может быть указан в любой записи hostssl. Этот параметр может быть установлен в значение verify-ca или verify-full. Оба варианта требуют от клиента предоставления действительного (доверенного) SSL-сертификата, в то время как verify-full также требует, чтобы cn (общее имя) в сертификате совпадало с именем пользователя или применимым отображением. Это поведение аналогично методу аутентификации cert (см. Раздел 19.12), но позволяет совместно использовать проверку клиентских сертификатов с любым методом аутентификации, поддерживающим записи hostssl.

На любой записи, использующей аутентификацию клиентского сертификата (т.е. одну, использующую метод аутентификации cert или опцию clientcert), вы можете указать, какую часть учетных данных клиентского сертификата сопоставлять, используя опцию clientname. Эта опция может иметь одно из двух значений. Если вы укажете clientname=CN, что является значением по умолчанию, имя пользователя будет сопоставлено с Common Name (CN) сертификата. Если вместо этого вы укажете clientname=DN, имя пользователя будет сопоставлено с полным Distinguished Name (DN) сертификата. Эта опция, вероятно, лучше всего используется в сочетании с картой имен пользователей. Сравнение выполняется с DN в формате RFC 2253. Чтобы увидеть DN клиентского сертификата в этом формате, выполните

openssl x509 -in myclient.crt -noout -subject -nameopt RFC2253 | sed "s/^subject=//"

Необходимо быть осторожным при использовании этой опции, особенно при использовании регулярных выражений для сопоставления с DN.

Эта строка будет заменена содержимым данного файла.

Эта строка будет заменена содержимым данного файла, если файл существует. В противном случае, в журнал будет записано сообщение, указывающее, что файл был пропущен.

Эта строка будет заменена содержимым всех файлов, найденных в каталоге, если они не начинаются с . и не заканчиваются на .conf, обработанных в порядке имен файлов (согласно правилам локали C, т.е. цифры перед буквами, а заглавные буквы перед строчными).