ONLYOFFICE DocumentServer 连接外部PostgreSQL数据库的SSL配置指南

问题背景

在使用ONLYOFFICE DocumentServer 8.1.0版本时，许多用户遇到了无法通过SSL连接外部PostgreSQL数据库的问题。系统日志中会显示"kein pg_hba.conf-Eintrag für Host"的错误信息，表明PostgreSQL服务器拒绝了未加密的连接请求。

解决方案

经过技术验证，以下是两种可行的SSL连接配置方案：

方案一：基本SSL连接（不验证客户端证书）

在DocumentServer的配置文件中添加以下参数：

"sql": {
  "type": "postgres",
  "dbHost": "数据库服务器IP",
  "dbPort": "5432",
  "dbName": "数据库名",
  "dbUser": "用户名",
  "dbPass": "密码",
  "pgPoolExtraOptions": {
    "ssl": {
      "rejectUnauthorized": false
    }
  }
}

此配置中，rejectUnauthorized: false是关键参数，它允许连接使用SSL但不强制验证客户端证书。这种配置适用于使用本地CA签名的证书或自签名证书的环境。

方案二：完整SSL验证（包含客户端证书）

如果需要更高级别的安全性，可以使用包含客户端证书的完整配置：

"sql": {
  "type": "postgres",
  "dbHost": "数据库服务器IP",
  "dbPort": "5432",
  "dbName": "数据库名",
  "dbUser": "用户名",
  "dbPass": "密码",
  "pgPoolExtraOptions": {
    "ssl": {
      "rejectUnauthorized": false,
      "ca": "-----BEGIN CERTIFICATE-----\n根证书内容\n",
      "key": "-----BEGIN PRIVATE KEY-----\n客户端私钥内容\n",
      "cert": "-----BEGIN CERTIFICATE-----\n客户端证书内容\n"
    }
  }
}

注意：证书内容需要转换为字符串格式，每行末尾添加\n换行符。

PostgreSQL服务器配置

在PostgreSQL服务器的pg_hba.conf文件中，需要添加相应的访问规则：

基本SSL连接配置

hostssl 数据库名 用户名 客户端IP/32 scram-sha-256

客户端证书验证配置

hostssl 数据库名 用户名 客户端IP/32 cert

常见问题排查

1. 连接被拒绝：检查pg_hba.conf中的IP地址是否正确，确保使用了hostssl而不是host。

2. 证书验证失败：确认证书内容已正确转换为字符串格式，并包含所有必要的换行符。

3. 数据库表不存在：确保数据库迁移任务已成功执行，创建了所需的表结构。

最佳实践建议

1. 对于生产环境，建议使用完整的SSL验证方案，包括CA根证书、客户端证书和私钥。

2. 定期检查证书的有效期，避免因证书过期导致服务中断。

3. 在配置变更后，重启DocumentServer服务以确保新配置生效。

4. 监控PostgreSQL和DocumentServer的日志，及时发现并解决连接问题。

通过以上配置，用户可以安全地建立ONLYOFFICE DocumentServer与外部PostgreSQL数据库的SSL连接，确保数据传输的安全性。