On 02-12-2016 14:29, André Ormenese wrote: > Pessoal, estou testando o pgbouncer e me deparei com algumas dúvidas. > Versão? Vamos informar a versão!
> Nas minhas aplicações começarei a passar como string de conexão o banco, > porta, host, usuário e senha definidos no pgbouncer. > > O usuário de conexão ao pgbouncer não existe no meu banco (ok), mas se > alguém estiver "ouvindo " minha rede, vai conseguir pegar estes dados de > conexão da aplicação com o pgbouncer, e de forma simples poderá fazer > uma conexão manual ao pgbouncer e ter acesso ao meu banco. > Você *não* apresentou os parâmetros usados... Tudo isso vai depender do auth_type utilizado. Se for 'plain' você vai conseguir ver a senha. Se for 'md5' você vai conseguir pegar o hash. É assim que funciona no postgres também. Afinal de contas, o pgbouncer usa o mesmo mecanismo (protocolo [1]) do postgres. > O que vocês costumam fazer para que esse problema não ocorra ? > Eu não vejo problema. A segurança do protocolo é razoável. Se quer mais segurança use criptografia (o pgbouncer 1.7 já suporta conexões TLS). > Outra dúvida é com relação ao valor em max_client_conn. O que é o mais > correto ? Colocar um valor abaixo de max_connections do postgresql.conf, > ou maior ? > Isso vai depender do parâmetro pool_mode. Se for 'session' significa que você tem conexões 1:1, então deve ser max_client_conn <= max_connections. Se for 'transaction' ou 'statement' significa que você tem conexões n:m (onde m <<< n), então deve ser max_client_conn >= max_connections. [1] https://www.postgresql.org/docs/9.6/static/protocol.html -- Euler Taveira Timbira - http://www.timbira.com.br/ PostgreSQL: Consultoria, Desenvolvimento, Suporte 24x7 e Treinamento _______________________________________________ pgbr-geral mailing list [email protected] https://listas.postgresql.org.br/cgi-bin/mailman/listinfo/pgbr-geral
