Política de bloque

Especifica un tipo de política que le impide lo siguiente:

• Conexión a la base de datos NPSaaS utilizando cualquier dispositivo o servicio.

• Conexión de la base de datos NPSaaS a cualquier dispositivo o servicio que tenga el nombre de host especificado o una dirección IP en el rango especificado por CIDR.

Permitir política

Especifica una política que le permite realizar lo siguiente:

• Conexión a la base de datos NPSaaS utilizando cualquier dispositivo o servicio.

• Conexión de la base de datos NPSaaS a cualquier dispositivo o servicio que tenga el nombre de host especificado o una dirección IP en el rango especificado por CIDR.

Puede utilizar la combinación de políticas de permitir y bloquear (denegar) para restringir las conexiones a y desde la base de datos NPSaaS al conjunto proporcionado de direcciones IP y nombres de host.

Definición de políticas de red con CIDR (Classless Inter-Domain Routing)

Con NPSaaS, puede especificar un rango de direcciones IP utilizando CIDR (Classless Inter-Domain Routing) en políticas de red.

Una notación CIDR es una representación compacta de una dirección IP y su máscara de red asociada.

<ip_address>/<prefix_length>

Por ejemplo, 76.168.0.0/24 representa direcciones IP en el rango de 76.168.0.0 y 76.168.0.62

0.0.0.0/0 es un caso especial de una notación CIDR, que está permitido. Utilícelo con precaución debido a las siguientes razones:

• Cuando utiliza 0.0.0.0/0 como una política de bloques, todo el tráfico hacia y desde la base de datos NPSaaS está restringido.

• Cuando utiliza 0.0.0.0/0como una política de permitir, se permite todo el tráfico hacia y desde la base de datos NPSaaS.

Puedes utilizar rangos CIDR para representar direcciones IP públicas y privadas. Los dispositivos o servicios que están en una red privada o de empresa que utiliza direcciones IP privadas tienen pasarelas. Estas pasarelas suelen tener interfaces de red con direcciones IP públicas, que hacen la conversión de direcciones de red (NAT). Esto permite a las entidades de la red privada conectarse a servicios externos.

Debe utilizar un rango de CIDR que represente solo las direcciones IP públicas de las pasarelas cuando establezca las políticas de allow y block.

No especifique un rango de CIDR que represente el espacio de direcciones IP privadas como políticas de bloque. Puede afectar al funcionamiento de la base de datos.

Definición de políticas de red con nombres de host DNS

Con NPSaaS, puede especificar nombres de host DNS en las políticas de red.

Los nombres de host DNS son nombres que se asignan a dispositivos o servicios que sirven como identidad de red y se utilizan para conectarse con ellos. Un ejemplo de nombre de host DNS es cloud.ibm.com.

Si utiliza un nombre de host DNS en políticas, el nombre DNS local resuelve el nombre de host en una única dirección IP estática en la instancia de NPSaaS para que la política pueda funcionar de forma eficaz.

Si el nombre de host se resuelve en varias direcciones IP o si las direcciones IP asignadas pueden cambiar (por ejemplo, equilibrador de carga), asegúrese de proporcionar el rango de CIDR de esas direcciones IP en la política en lugar del nombre de host DNS.

Permitir conexiones solo desde un conjunto definido de orígenes con las direcciones IP y nombres de host especificados

Si desea permitir conexiones a la base de datos NPSaaS solo desde dispositivos con direcciones IP en el rango representado por CIDR-1, CIDR-2 y nombres de host H1 y H2, y rechazar conexiones de todos los demás orígenes, siga estos pasos.

1. Cree las políticas en orden de Rule 1 a Rule 5.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: 0.0.0.0/0 (deny)
   

   Estas reglas garantizan que las conexiones se comparen con Rule 1-4 para determinar si se pueden permitir. Si no están permitidas, Rule 5 las rechaza.

   Si alguien intenta conectarse a la base de datos NPSaaS con nombres de host H1 y H2, la base de datos primero intenta resolver el nombre de host a su dirección IP para completar la conexión. Dado que es posible que la base de datos no tenga la entrada de DNS almacenada en memoria caché localmente, la base de datos intenta resolver el nombre de host utilizando un servidor DNS público. La búsqueda de DNS falla porque la regla 5 está en su lugar. Como resultado, el intento de conexión falla.

2. Añada el nombre de host del servidor DNS autorizado público o CIDR (DNS-1) a las reglas de permiso para que la búsqueda de DNS sea satisfactoria.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: DNS-1     (allow)
   Rule 6: 0.0.0.0/0 (deny)
   

   La nueva regla se añade como regla allow (Regla 5).

Permitir conexiones solo desde instalaciones locales y realizar copias de seguridad, cargar o escargar datos utilizando el almacén de objetos en la nube

Si desea que las aplicaciones o los usuarios solo de su red local se conecten a su base de datos NPSaaS, siga estos pasos.

1. Utilice una pasarela NAT pública.

   La red local es una red de empresa privada, que utiliza un espacio de direcciones IP privado. Si las aplicaciones y los usuarios desean conectarse a servicios fuera de la red local, deben utilizar una pasarela NAT pública.

   La pasarela NAT pública tiene interfaces con direcciones IP públicas en un rango representado por CIDR-1 y sustituye la dirección IP de origen de las instancias de la red de empresa por una de la dirección IP pública de la pasarela NAT.

   Como resultado, las aplicaciones externas ven todo el tráfico que proviene de una de las interfaces públicas de la pasarela NAT que está representada por CIDR-1.

2. Añada CIDR-1 como regla allow (Regla 1).

   Rule 1: CIDR-1    (allow)
   

3. Añada una regla deny all (Regla 2) para restringir las conexiones que se originan sólo desde la red local.

   Rule 1: CIDR-1    (allow)
   Rule 2: 0.0.0.0/0 (deny)
   

4. Realice conexiones desde la base de datos a los respectivos puntos finales del almacén de objetos en la nube (como AWS S3 y Azure Blob Storage).

   Debe añadir puntos finales a la lista de elementos permitidos si desea que los administradores de base de datos de copia de seguridad de datos en el almacén de objetos en la nube y los desarrolladores utilicen tablas externas en aplicaciones para cargar y descargar datos.