Blockierungsrichtlinie

Gibt einen Richtlinientyp an, der Folgendes verhindert:

• Verbindung zur NPSaaS-Datenbank über eine beliebige Einheit oder einen beliebigen Service herstellen.

• Verbindung von der NPSaaS-Datenbank zu einer beliebigen Einheit oder einem beliebigen Service mit dem angegebenen Hostnamen oder einer IP-Adresse in dem durch CIDR angegebenen Bereich.

Richtlinie zulassen

Gibt eine Richtlinie an, die Ihnen Folgendes ermöglicht:

• Verbindung zur NPSaaS-Datenbank über eine beliebige Einheit oder einen beliebigen Service herstellen.

• Verbindung von der NPSaaS-Datenbank zu einer beliebigen Einheit oder einem beliebigen Service mit dem angegebenen Hostnamen oder einer IP-Adresse in dem durch CIDR angegebenen Bereich.

Sie können die Kombination von Zulassungs- und Blockierungsrichtlinien (deny) verwenden, um Verbindungen zur und von der NPSaaS-Datenbank auf die bereitgestellte Gruppe von IP-Adressen und Hostnamen zu beschränken.

Netzrichtlinien mit Classless Inter-Domain Routing (CIDR) definieren

Mit NPSaaS können Sie einen Bereich von IP-Adressen mithilfe von Classless Inter-Domain Routing (CIDR) in Netzrichtlinien angeben.

Eine CIDR-Notation ist eine kompakte Darstellung einer IP-Adresse und der zugehörigen Netzmaske.

<ip_address>/<prefix_length>

Beispiel: 76.168.0.0/24 stellt IP-Adressen im Bereich von 76.168.0.0 und 76.168.0.62 dar.

0.0.0.0/0 ist ein Sonderfall einer CIDR-Notation, der zulässig ist. Verwenden Sie sie aus folgenden Gründen mit Vorsicht:

• Wenn Sie 0.0.0.0/0 als Blockierungsrichtlinie verwenden, ist der gesamte Datenverkehr zu und von Ihrer NPSaaS-Datenbank eingeschränkt.

• Wenn Sie 0.0.0.0/0 als Zulassungsrichtlinie verwenden, ist der gesamte Datenverkehr zu und von Ihrer NPSaaS-Datenbank zulässig.

Sie können CIDR-Bereiche verwenden, um öffentliche und private IP-Adressen darzustellen. Geräte oder Services, die sich in einem privaten oder Unternehmensnetz befinden, das private IP-Adressen verwendet, verfügen über Gateways. Diese Gateways verfügen normalerweise über Netzschnittstellen mit öffentlichen IP-Adressen, die eine Netzadressumsetzung (Network Address Translation, NAT) durchführen. Dadurch können Entitäten im privaten Netz eine Verbindung zu externen Services herstellen.

Sie müssen einen CIDR-Bereich verwenden, der nur die öffentlichen IP-Adressen von Gateways darstellt, wenn Sie allow- und block-Richtlinien festlegen.

Geben Sie keinen CIDR-Bereich an, der den Bereich für private IP-Adressen als Blockrichtlinien darstellt. Sie können die Funktionsweise der Datenbank beeinträchtigen.

Netzrichtlinien mit DNS-Hostnamen definieren

Mit NPSaaS können Sie DNS-Hostnamen in Netzrichtlinien angeben.

DNS-Hostnamen sind Namen, die Einheiten oder Services zugeordnet sind, die als ihre Netzidentität dienen, und die für die Verbindung mit ihnen verwendet werden. Ein Beispiel für einen DNS-Hostnamen ist cloud.ibm.com.

Wenn Sie einen DNS-Hostnamen in Richtlinien verwenden, löst der lokale DNS-Name den Hostnamen in eine einzelne statische IP-Adresse in der NPSaaS-Instanz auf, damit die Richtlinie effektiv funktioniert.

Wenn der Hostname in mehrere IP-Adressen aufgelöst wird oder wenn sich die zugewiesenen IP-Adressen ändern können (z. B. die Lastausgleichsfunktion), stellen Sie sicher, dass Sie den CIDR-Bereich dieser IP-Adressen in der Richtlinie und nicht den DNS-Hostnamen angeben.

Verbindungen nur von einer definierten Gruppe von Quellen mit den angegebenen IP-Adressen und Hostnamen zulassen

Führen Sie die folgenden Schritte aus, wenn Sie Verbindungen zur NPSaaS-Datenbank nur von Einheiten mit IP-Adressen in dem Bereich zulassen wollen, der durch CIDR-1, CIDR-2 und die Hostnamen H1 und H2 dargestellt wird, und wenn Sie Verbindungen aus anderen Quellen zurückweisen möchten.

1. Erstellen Sie die Richtlinien in der Reihenfolge von Rule 1 bis Rule 5.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: 0.0.0.0/0 (deny)
   

   Diese Regeln stellen sicher, dass Verbindungen mit Rule 1-4 abgeglichen werden, um festzustellen, ob sie zugelassen werden können. Wenn sie nicht zulässig sind, weist Rule 5 sie zurück.

   Wenn ein Benutzer versucht, eine Verbindung zur NPSaaS-Datenbank mit den Hostnamen H1 und H2 herzustellen, versucht die Datenbank zunächst, den Hostnamen in seine IP-Adresse aufzulösen, um die Verbindung herzustellen. Da der DNS-Eintrag in der Datenbank möglicherweise nicht lokal zwischengespeichert wird, versucht die Datenbank, den Hostnamen mithilfe eines öffentlichen DNS-Servers aufzulösen. Die DNS-Suche schlägt fehl, da Regel 5 vorhanden ist. Daher schlägt der Verbindungsversuch fehl.

2. Fügen Sie den Hostnamen des öffentlichen autoritativen DNS-Servers oder CIDR (DNS-1) zu den Regeln für die erfolgreiche DNS-Suche hinzu.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: DNS-1     (allow)
   Rule 6: 0.0.0.0/0 (deny)
   

   Die neue Regel wird als Regel allow (Regel 5) hinzugefügt.

Verbindungen nur von lokalen Systemen zulassen und Backups erstellen, Daten mithilfe von Cloud Object Store laden oder entladen

Wenn Sie möchten, dass Anwendungen oder Benutzer nur aus ihrem lokalen Netz eine Verbindung zu ihrer NPSaaS-Datenbank herstellen, führen Sie die folgenden Schritte aus:

1. Verwenden Sie ein öffentliches NAT-Gateway.

   Das lokale Netz ist ein privates Unternehmensnetz, das einen privaten IP-Adressraum verwendet. Wenn die Anwendungen und Benutzer eine Verbindung zu Services außerhalb des lokalen Netzes herstellen möchten, müssen sie ein öffentliches NAT-Gateway verwenden.

   Das öffentliche NAT-Gateway hat Schnittstellen mit öffentlichen IP-Adressen in einem Bereich, der durch CIDR-1 dargestellt wird, und ersetzt die Quellen-IP-Adresse der Instanzen im Unternehmensnetz durch eine der öffentlichen IP-Adressen des NAT-Gateway.

   Daher sehen externe Anwendungen den gesamten Datenverkehr, der von einer der öffentlichen Schnittstellen des NAT-Gateways stammt, das durch CIDR-1 dargestellt wird.

2. Fügen Sie CIDR-1 als allow-Regel hinzu (Regel 1).

   Rule 1: CIDR-1    (allow)
   

3. Fügen Sie eine Regel deny all (Regel 2) hinzu, um Verbindungen zu beschränken, die nur aus dem lokalen Netz stammen.

   Rule 1: CIDR-1    (allow)
   Rule 2: 0.0.0.0/0 (deny)
   

4. Stellen Sie Verbindungen von der Datenbank zu den entsprechenden Cloud Object Store-Endpunkten her (z. B. AWS S3 und Azure Blob Storage).

   Sie müssen Endpunkte zur Liste "Erlaubt" hinzufügen, wenn Ihre Datenbankadministratoren Daten im Cloud Object Store sichern sollen und Entwickler externe Tabellen in Anwendungen zum Laden und Entladen von Daten verwenden sollen.