# 17.10\. 用SSH隧道進行安全 TCP/IP 連接 使用SSH對PostgreSQL 服務器和客戶端之間的網絡連接進行加密是可能的。經過適當處理后， 這樣做可以獲得一個足夠安全的網絡連接。即使是沒有 SSL 的客戶端上也如此。 首先確認SSH正在和PostgreSQL 服務器的同一臺機器上正確地運行，而且你可以通過某個用戶用`ssh`登錄。 然后你可以用下面這樣的命令從客戶端的機器上建立一個安全通道： ``` ssh -L 63333:localhost:5432 joe@foo.com ``` `-L`參數的第一個數字(63333)是你這端通道的端口號，可以是任何未使用的端口。 （IANA提供端口49152到65535位私人使用。）第二個數字(5432)是通道的遠端， 也就是服務器使用的端口號。在兩個端口號之間的名稱或者 IP 地址是你準備連接的數據庫服務器， 在例子中是`foo.com`。為了使用這個通道與數據庫服務器連接， 你在本機于端口63333連接： ``` psql -h localhost -p 63333 postgres ``` 對于數據庫服務器而言，在這種情況下，它會把你當做主機`foo.com` 連接到`localhost`的真正的用戶`joe`， 并且使用為這個用戶和主機設置的認證手段進行認證。請注意，服務器不會認為連接是 SSL 加密的， 因為實際上在SSH服務器和PostgreSQL 服務器之間是沒有加密的。只要它們在同一臺機器上，這么做并不會導致任何安全漏洞。 為了保證能夠成功地建立通道，你必須被允許作為`joe@foo.com` 通過`ssh`建立連接，就像你使用`ssh`創建終端會話一樣。 你也可以設置端口轉發 ``` ssh -L 63333:foo.com:5432 joe@foo.com ``` 但是隨后數據庫服務器將看到連接從`foo.com`界面進來， 這是不被缺省設置`listen_addresses = 'localhost'`開放的。 這通常不是你想要的。 如果你必須通過某些登陸主機"跳躍"到數據庫服務器， 一個可能的設置看起來像這樣： ``` ssh -L 63333:db.foo.com:5432 joe@shell.foo.com ``` 請注意，這個方式從`shell.foo.com`到`db.foo.com` 的連接將不會通過SSH通道加密。當網絡以各種方式被限制時，SSH提供了相當多的配置可能性。 請參閱SSH文檔獲取詳情。 > **Tip:** 還有幾種不同的產品可以提供安全的通道，所使用的過程類似我們剛剛描述的過程。