Este registro coincide con los intentos de conexión que utilizan sockets de dominio Unix. Sin un registro de este tipo, las conexiones por socket de dominio Unix no están permitidas.

Este registro coincide con los intentos de conexión realizados mediante TCP/IP. Los registros host coinciden con los intentos de conexión SSL o no-SSL, así como con los intentos de conexión cifrados con GSSAPI o no cifrados con GSSAPI.

Este registro coincide con los intentos de conexión realizados mediante TCP/IP, pero solo cuando la conexión se realiza con cifrado SSL.

Para hacer uso de esta opción, el servidor debe haber sido construido con soporte de SSL. Además, SSL debe estar habilitado configurando el parámetro de configuración ssl (consulta Section 18.9 para más información). De lo contrario, el registro hostssl se ignora, excepto por el registro de una advertencia de que no puede coincidir con ninguna conexión.

Este tipo de registro tiene el comportamiento opuesto a hostssl; solo coincide con los intentos de conexión realizados a través de TCP/IP que no utilizan SSL.

Este registro coincide con los intentos de conexión realizados mediante TCP/IP, pero solo cuando la conexión se realiza con cifrado GSSAPI.

Para hacer uso de esta opción, el servidor debe haber sido construido con soporte de GSSAPI. De lo contrario, el registro hostgssenc se ignora, excepto para registrar una advertencia de que no puede coincidir con ninguna conexión.

Este tipo de registro tiene el comportamiento opuesto a hostgssenc; solo coincide con los intentos de conexión realizados a través de TCP/IP que no utilizan cifrado GSSAPI.

Especifica con qué nombre(s) de base de datos coincide este registro. El valor all especifica que coincide con todas las bases de datos. El valor sameuser especifica que el registro coincide si la base de datos solicitada tiene el mismo nombre que el usuario solicitado. El valor samerole especifica que el usuario solicitado debe ser miembro del rol con el mismo nombre que la base de datos solicitada. (samegroup es una ortografía obsoleta pero aún aceptada de samerole). Los superusuarios no se consideran miembros de un rol a efectos de samerole a menos que sean miembros explícitos del rol, directa o indirectamente, y no solo por el hecho de ser superusuarios. El valor replication especifica que el registro coincide si se solicita una conexión de replicación física, sin embargo, no coincide con conexiones de replicación lógica. Ten en cuenta que las conexiones de replicación física no especifican ninguna base de datos en particular, mientras que las conexiones de replicación lógica sí la especifican. De lo contrario, este es el nombre de una base de datos específica de PostgreSQL o una expresión regular. Se pueden proporcionar múltiples nombres de base de datos y/o expresiones regulares separándolos con comas.

Si el nombre de la base de datos comienza con una barra diagonal (/), el resto del nombre se trata como una expresión regular. (Consulta Section 9.7.3.1 para más detalles sobre la sintaxis de expresiones regulares de PostgreSQL).

Se puede especificar un archivo independiente que contenga nombres de bases de datos y/o expresiones regulares anteponiendo @ al nombre del archivo.

Especifica con qué nombre(s) de usuario de la base de datos coincide este registro. El valor all especifica que coincide con todos los usuarios. De lo contrario, este es el nombre de un usuario de base de datos específico, una expresión regular (cuando comienza con una barra diagonal (/)), o un nombre de grupo precedido por +. (Recuerda que no hay una distinción real entre usuarios y grupos en PostgreSQL; una marca + realmente significa “coincidir con cualquiera de los roles que son miembros directos o indirectos de este rol”, mientras que un nombre sin la marca + coincide solo con ese rol específico). Para este propósito, un superusuario solo se considera miembro de un rol si es explícitamente miembro del rol, directa o indirectamente, y no solo por el hecho de ser superusuario. Se pueden proporcionar múltiples nombres de usuario y/o expresiones regulares separándolos con comas.

Si el nombre de usuario comienza con una barra diagonal (/), el resto del nombre se trata como una expresión regular. (Consulta Section 9.7.3.1 para más detalles sobre la sintaxis de expresiones regulares de PostgreSQL).

Se puede especificar un archivo independiente que contenga nombres de usuario y/o expresiones regulares anteponiendo @ al nombre del archivo.

Especifica la(s) dirección(es) de la máquina cliente con la(s) que coincide este registro. Este campo puede contener un nombre de host, un rango de direcciones IP o una de las palabras clave especiales mencionadas a continuación.

Un rango de direcciones IP se especifica utilizando la notación numérica estándar para la dirección inicial del rango, luego una barra diagonal (/) y una longitud de máscara CIDR. La longitud de la máscara indica el número de bits de orden superior de la dirección IP del cliente que deben coincidir. Los bits a la derecha de estos deben ser cero en la dirección IP proporcionada. No debe haber ningún espacio en blanco entre la dirección IP, la / y la longitud de la máscara CIDR.

Ejemplos típicos de un rango de direcciones IPv4 especificado de esta manera son 172.20.143.89/32 para un único host, o 172.20.143.0/24 para una red pequeña, o 10.6.0.0/16 para una más grande. Un rango de direcciones IPv6 podría ser ::1/128 para un único host (en este caso la dirección de bucle de retorno IPv6) o fe80::7a31:c1ff:0000:0000/96 para una red pequeña. 0.0.0.0/0 representa todas las direcciones IPv4, y ::0/0 representa todas las direcciones IPv6. Para especificar un único host, utiliza una longitud de máscara de 32 para IPv4 o 128 para IPv6. En una dirección de red, no omitas los ceros finales.

Una entrada proporcionada en formato IPv4 coincidirá únicamente con conexiones IPv4, y una entrada proporcionada en formato IPv6 coincidirá únicamente con conexiones IPv6, incluso si la dirección representada está en el rango IPv4-en-IPv6.

También puedes escribir all para que coincida con cualquier dirección IP, samehost para que coincida con cualquiera de las direcciones IP del propio servidor, o samenet para que coincida con cualquier dirección en cualquier subred a la que el servidor esté directamente conectado.

Si se especifica un nombre de host (cualquier cosa que no sea un rango de direcciones IP o una palabra clave especial se trata como un nombre de host), ese nombre se compara con el resultado de una resolución inversa de nombres de la dirección IP del cliente (por ejemplo, búsqueda DNS inversa, si se utiliza DNS). Las comparaciones de nombres de host no distinguen entre mayúsculas y minúsculas. Si hay coincidencia, se realiza una resolución directa de nombres (por ejemplo, búsqueda DNS directa) en el nombre de host para comprobar si alguna de las direcciones a las que se resuelve es igual a la dirección IP del cliente. Si ambas direcciones coinciden, entonces se considera que la entrada coincide. (El nombre de host que se utiliza en pg_hba.conf debe ser el que devuelva la resolución de dirección a nombre de la dirección IP del cliente; de lo contrario, la línea no coincidirá. Algunas bases de datos de nombres de host permiten asociar una dirección IP con múltiples nombres de host, pero el sistema operativo solo devolverá un nombre de host cuando se le pida resolver una dirección IP).

Una especificación de nombre de host que comienza con un punto (.) coincide con un sufijo del nombre de host real. De este modo, .example.com coincidiría con foo.example.com (pero no solo con example.com).

Cuando se especifican nombres de host en pg_hba.conf, debes asegurarte de que la resolución de nombres sea razonablemente rápida. Puede ser ventajoso configurar un caché local de resolución de nombres como nscd. Además, es posible que desees habilitar el parámetro de configuración log_hostname para ver el nombre de host del cliente en lugar de la dirección IP en el registro.

Estos campos no se aplican a los registros local.

Estos dos campos pueden utilizarse como alternativa a la notación IP-address/mask-length. En lugar de especificar la longitud de la máscara, la máscara real se especifica en una columna independiente. Por ejemplo, 255.0.0.0 representa una longitud de máscara CIDR IPv4 de 8, y 255.255.255.255 representa una longitud de máscara CIDR de 32.

Estos campos no se aplican a los registros local.

Especifica el método de autenticación que se utilizará cuando una conexión coincida con este registro. Las posibles opciones se resumen aquí; los detalles se encuentran en la sección Section 20.3. Todas las opciones se escriben en minúsculas y se distinguen entre mayúsculas y minúsculas, por lo que incluso acrónimos como ldap deben especificarse en minúsculas.

Después del campo auth-method, puede haber campo(s) de la forma name=value que especifican opciones para el método de autenticación. Los detalles sobre qué opciones están disponibles para qué métodos de autenticación aparecen a continuación.

Además de las opciones específicas del método indicadas a continuación, existe una opción de autenticación independiente del método llamada clientcert, que puede especificarse en cualquier registro hostssl. Esta opción se puede configurar como verify-ca o verify-full. Ambas opciones requieren que el cliente presente un certificado SSL válido (de confianza), mientras que verify-full exige además que el cn (Common Name) del certificado coincida con el nombre de usuario o con una asignación aplicable. Este comportamiento es similar al del método de autenticación cert (consulta Section 20.12) pero permite emparejar la verificación de los certificados de cliente con cualquier método de autenticación que admita entradas hostssl.

En cualquier registro que utilice la autenticación por certificado de cliente (es decir, uno que utilice el método de autenticación cert o uno que utilice la opción clientcert), puedes especificar qué parte de las credenciales del certificado de cliente se debe comparar utilizando la opción clientname. Esta opción puede tener uno de dos valores. Si especificas clientname=CN, que es el valor por defecto, el nombre de usuario se compara con el Common Name (CN) del certificado. Si por el contrario especificas clientname=DN, el nombre de usuario se compara con todo el Distinguished Name (DN) del certificado. Probablemente sea mejor utilizar esta opción junto con un mapa de nombres de usuario. La comparación se realiza con el DN en formato RFC 2253. Para ver el DN de un certificado de cliente en este formato, ejecuta:

openssl x509 -in myclient.crt -noout -subject -nameopt RFC2253 | sed "s/^subject=//"

Se debe tener cuidado al utilizar esta opción, especialmente cuando se utilizan expresiones regulares para comparar con el DN.

Esta línea será reemplazada por el contenido del archivo indicado.

Esta línea será reemplazada por el contenido del archivo indicado si este existe. De lo contrario, se registra un mensaje para indicar que el archivo se ha omitido.

Esta línea será reemplazada por el contenido de todos los archivos que se encuentren en el directorio, siempre que no empiecen por un punto . y terminen por .conf, procesados por orden de nombre de archivo (según las reglas de configuración regional de C, es decir, los números antes que las letras, y las letras mayúsculas antes que las minúsculas).