Аудит слушающих служб

Если клиенты службы живут на той же машине, надёжнее всего закрыть её привязкой: служба сама слушает только 127.0.0.1.

Приложение магазина работает на этом же сервере и ходит в базу по localhost. Значит, базе хватит петлевого адреса. Адрес привязки PostgreSQL задаёт параметр listen_addresses (в Вики). По умолчанию он равен 'localhost' — в postgresql.conf эта строка закомментирована. Найти, где его переопределили, поможет поиск по каталогу настроек:

sudo grep -rn listen_addresses /etc/postgresql/16/main/

Файлы из conf.d/ читаются после postgresql.conf, и последнее значение побеждает. Рядом с параметром в postgresql.conf стоит пометка (change requires restart): адрес меняется только перезапуском. После reload база перечитает файл, но сокеты останутся на 0.0.0.0.

Чужую машину база уже не пускала: pg_hba.conf отказал ей во входе. Но подключение она приняла — значит, к коду, который проверяет пароль, достучаться можно. Привязка убирает и это.

Бывает, что порт открывает не сама программа. У юнита .socket порт держит systemd, и в ss у такого порта стоит процесс systemd; адрес задаёт строка ListenStream= сокета (в Вики).