用 TLS 传输替代 SSH 跑 pgBackRest 灾备 RSS

Shridhar Khanal 讲了怎么让灾备端通过 TLS 而不是 SSH 连 pgBackRest 仓库。好处是证书体系比逐台预置 SSH 密钥好管，且灾备机只持有一张认证到 TLS 守护进程的证书，被攻陷也拿不到备份节点的 shell。备份节点用 tls-server-auth 把证书 CN 映射到 stanza。注意 pgBackRest 不支持证书吊销列表，撤权得改配置重启；恢复出的实例还留着生产归档命令，启动前必须关掉。

发布于 2026-09-10T10:59:44.206054Z · Shridhar Khanal · Stormatics

TLS pgBackRest 灾备

Shridhar Khanal 讲了怎么让灾备端通过 TLS 而不是 SSH 连 pgBackRest 仓库。好处是证书体系比逐台预置 SSH 密钥好管，且灾备机只持有一张认证到 TLS 守护进程的证书，被攻陷也拿不到备份节点的 shell。备份节点用 tls-server-auth 把证书 CN 映射到 stanza。注意 pgBackRest 不支持证书吊销列表，撤权得改配置重启；恢复出的实例还留着生产归档命令，启动前必须关掉。

Shridhar Khanal 讲了怎么让灾备端通过 TLS 而不是 SSH 连 pgBackRest 仓库。好处是证书体系比逐台预置 SSH 密钥好管，且灾备机只持有一张认证到 TLS 守护进程的证书，被攻陷也拿不到备份节点的 shell。备份节点用 tls-server-auth 把证书 CN 映射到 stanza。注意 pgBackRest 不支持证书吊销列表，撤权得改配置重启；恢复出的实例还留着生产归档命令，启动前必须关掉。

原始来源 ↗

来源记录

• center.info_item · c8c48f6a8c489302 · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · c8c48f6a8c489302 · 2026-10-03T04:08:55.967155Z