Règle de blocage

Indique un type de règle qui vous empêche d'effectuer les opérations suivantes :

• Connexion à la base de données NPSaaS à l'aide de n'importe quel appareil ou service.

• Connexion de la base de données NPSaaS à tout appareil ou service dont le nom d'hôte ou l'adresse IP est indiqué dans la plage spécifiée par le routage CIDR.

Autoriser la règle

Indique une règle qui vous permet d'effectuer les opérations suivantes :

• Connexion à la base de données NPSaaS à l'aide de n'importe quel appareil ou service.

• Connexion de la base de données NPSaaS à tout appareil ou service dont le nom d'hôte ou l'adresse IP est indiqué dans la plage spécifiée par le routage CIDR.

Vous pouvez utiliser la combinaison de règles d'autorisation et de blocage (refus) pour restreindre les connexions vers et depuis la base de données NPSaaS vers l'ensemble d'adresses IP et de noms d'hôte fournis.

Définition de règles réseau à l'aide du routage CIDR (Classless Inter-Domain Routing)

Avec NPSaaS, vous pouvez spécifier une plage d'adresses IP à l'aide du routage CIDR (Classless Inter-Domain Routing) dans les règles réseau.

Une notation CIDR est une représentation compacte d'une adresse IP et de son masque de réseau associé.

<ip_address>/<prefix_length>

Par exemple, 76.168.0.0/24 représente les adresses IP dans la plage de 76.168.0.0 et 76.168.0.62

0.0.0.0/0 est un cas particulier d'une notation CIDR, ce qui est autorisé. Utilisez-le avec précaution, pour les raisons suivantes :

• Lorsque vous utilisez 0.0.0.0/0 comme règle de blocage, tout le trafic vers et depuis votre base de données NPSaaS est restreint.

• Lorsque vous utilisez 0.0.0.0/0comme règle d'autorisation, tout le trafic vers et depuis votre base de données NPSaaS est autorisé.

Vous pouvez utiliser les plages CIDR pour représenter les adresses IP publiques et privées. Les appareils ou les services qui se trouvent dans un réseau privé ou d'entreprise utilisant des adresses IP privées ont des passerelles. Ces passerelles disposent généralement d'interfaces réseau avec des adresses IP publiques, qui effectuent une conversion d'adresses réseau (NAT). Cela permet aux entités du réseau privé de se connecter à des services externes.

Vous devez utiliser une plage CIDR qui représente uniquement les adresses IP publiques des passerelles lorsque vous définissez des règles allow et block.

Ne spécifiez pas une plage CIDR qui représente l'espace des adresses IP privées comme des règles de blocage. Vous risquez d'affecter le fonctionnement de la base de données.

Définition de règles réseau avec des noms d'hôte DNS

Avec NPSaaS, vous pouvez spécifier des noms d'hôte DNS dans les règles réseau.

Les noms d'hôte DNS sont des noms qui sont affectés à des appareils ou des services qui leur servent d'identité réseau et qui sont utilisés pour se connecter à eux. Un exemple de nom d'hôte DNS est cloud.ibm.com.

Si vous utilisez un nom d'hôte DNS dans les règles, le nom DNS local résout le nom d'hôte en une adresse IP statique unique dans l'instance NPSaaS afin que la règle puisse fonctionner efficacement.

Si le nom d'hôte est résolu en plusieurs adresses IP ou si les adresses IP affectées peuvent changer (par exemple, l'équilibreur de charge), veillez à fournir la plage CIDR de ces adresses IP dans la règle plutôt que dans le nom d'hôte DNS.

Autorisation de connexions uniquement à partir d'un ensemble défini de sources avec les adresses IP et les noms d'hôte spécifiés

Si vous souhaitez autoriser les connexions à la base de données NPSaaS uniquement à partir d'appareils ayant des adresses IP dans la plage représentée par CIDR-1, CIDR-2et les noms d'hôte H1 et H2, et rejeter les connexions de toutes les autres sources, procédez comme suit.

1. Créez les règles dans l'ordre de Rule 1 à Rule 5.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: 0.0.0.0/0 (deny)
   

   Ces règles garantissent que les connexions sont mises en correspondance avec Rule 1-4 pour déterminer si elles peuvent être autorisées. Si elles ne sont pas autorisées, Rule 5 les rejette.

   Si quelqu'un tente de se connecter à la base de données NPSaaS avec des noms d'hôte H1 et H2, la base de données tente d'abord de résoudre le nom d'hôte par son adresse IP pour finaliser la connexion. Étant donné que la base de données peut ne pas mettre l'entrée DNS en cache localement, elle tente de résoudre le nom d'hôte à l'aide d'un serveur DNS public. La recherche DNS échoue car la règle 5 est en place. En conséquence, la tentative de connexion échoue.

2. Ajoutez le nom d'hôte du serveur DNS public faisant autorité ou CIDR (DNS-1) aux règles d'autorisation pour que la recherche DNS réussisse.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: DNS-1     (allow)
   Rule 6: 0.0.0.0/0 (deny)
   

   La nouvelle règle est ajoutée en tant que règle allow (Règle 5).

Autoriser les connexions uniquement depuis l'environnement sur site et effectuer des sauvegardes, charger ou de décharger des données à l'aide de Cloud Object Store

Si vous souhaitez que les applications ou les utilisateurs se connectent à leur base de données NPSaaS uniquement à partir de leur réseau sur site, procédez comme suit.

1. Utilisez une passerelle NAT publique.

   Le réseau sur site est un réseau privé d'entreprise qui utilise un espace d'adresse IP privé. Si les applications et les utilisateurs souhaitent se connecter à des services extérieurs au réseau sur site, ils doivent utiliser une passerelle NAT publique.

   La passerelle NAT publique comporte des interfaces avec des adresses IP publiques dans une plage représentée par CIDR-1 et remplace l'adresse IP source des instances du réseau d'entreprise par l'une des adresses IP publiques de la passerelle NAT.

   Par conséquent, les applications externes voient tout le trafic provenant de l'une des interfaces publiques de la passerelle NAT qui est représentée par CIDR-1.

2. Ajoutez CIDR-1 en tant que règle allow (Règle 1).

   Rule 1: CIDR-1    (allow)
   

3. Ajoutez une règle deny all (Règle 2) pour restreindre les connexions qui proviennent uniquement du réseau sur site.

   Rule 1: CIDR-1    (allow)
   Rule 2: 0.0.0.0/0 (deny)
   

4. Établissez des connexions à partir de la base de données vers les nœuds finaux respectifs de Cloud Object Store (tels qu'AWS S3 et Azure Blob Storage).

   Vous devez ajouter des noeuds finaux à la liste d'autorisation si vous souhaitez que vos administrateurs de base de données sauvegardent les données dans Cloud Object Store et que les développeurs utilisent des tables externes dans des applications pour charger et décharger des données.