Blocca politica

Specifica un tipo di politica che impedisce di:

• Connessione al database NPSaaS utilizzando qualsiasi dispositivo o servizio.

• Connessione dal database NPSaaS a qualsiasi dispositivo o servizio che abbia il nome host specificato o un indirizzo IP nell'intervallo specificato da CIDR.

Consenti politica

Specifica una politica che consente di effettuare le seguenti operazioni:

• Connessione al database NPSaaS utilizzando qualsiasi dispositivo o servizio.

• Connessione dal database NPSaaS a qualsiasi dispositivo o servizio che abbia il nome host specificato o un indirizzo IP nell'intervallo specificato da CIDR.

Puoi utilizzare la combinazione di politiche allow e block (deny) per limitare le connessioni da e verso il database NPSaaS alla serie di indirizzi IP e nomi host fornita.

Definizione delle politiche di rete con CIDR (Classless Inter - Domain Routing)

Con NPSaaS, puoi specificare un intervallo di indirizzi IP utilizzando CIDR (Classless Inter - Domain Routing) nelle politiche di rete.

Una notazione CIDRè una rappresentazione compatta di un indirizzo IP e della maschera di rete associata.

<ip_address>/<prefix_length>

Ad esempio, 76.168.0.0/24 rappresenta gli indirizzi IP nell'intervallo di 76.168.0.0 e 76.168.0.62

0.0.0.0/0 è un caso speciale di notazione CIDR, che è consentito. Utilizzarlo con cautela per i seguenti motivi:

• Quando utilizzi 0.0.0.0/0 come una politica di blocchi, tutto il traffico verso e dal tuo database NPSaaS è limitato.

• Quando utilizzi 0.0.0.0/0 come politica di autorizzazione, è consentito tutto il traffico da e per il tuo database NPSaaS.

Puoi usare gli intervalli CIDR per rappresentare gli indirizzi IP pubblici e privati. I dispositivi o i servizi che si trovano in una rete privata o aziendale che utilizza gli indirizzi IP privati hanno dei gateway. Questi gateway in genere hanno interfacce di rete con indirizzi IP pubblici, che fanno NAT (network address translation). Ciò consente alle entità nella rete privata di connettersi a servizi esterni.

Devi utilizzare un intervallo CIDR che rappresenta solo gli indirizzi IP pubblici dei gateway quando stai impostando le normative allow e block.

Non specificare un intervallo CIDR che rappresenti lo spazio degli indirizzi IP privati come politiche di blocco. Il funzionamento del database potrebbe essere impattato.

Definizione delle politiche di rete con i nomi host DNS

Con NPSaaSpuoi specificare i nomi host DNS nelle politiche di rete.

I nomi host DNS sono nomi assegnati ai dispositivi o ai servizi che fungono da loro identità di rete e vengono utilizzati per connettersi ad essi. Un esempio di nome host DNS è cloud.ibm.com.

Se utilizzi un nome host DNS nelle politiche, il nome DNS locale risolve il nome host in un singolo indirizzo IP statico nell'istanza NPSaaS in modo che la politica possa funzionare in modo efficace.

Se il nome host si risolve in più indirizzi IP o se gli indirizzi IP assegnati possono cambiare (ad esempio, il programma di bilanciamento del carico), assicurati di fornire l'intervallo CIDR di tali indirizzi IP nella politica piuttosto che il nome host DNS.

Consentire connessioni solo da una serie definita di origini con gli indirizzi IP e i nomi host specificati

Se vuoi consentire le connessioni al database NPSaaS solo dai dispositivi con indirizzi IP nell'intervallo rappresentato da CIDR-1, CIDR-2e nomi host H1 e H2e rifiutare le connessioni da tutte le altre origini, attieniti alla seguente procedura.

1. Creare le politiche in ordine da Rule 1 a Rule 5.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: 0.0.0.0/0 (deny)
   

   Queste regole garantiscono che le connessioni vengano messe in corrispondenza con Rule 1-4 per determinare se possono essere consentite. Se non sono consentiti, Rule 5 li rifiuta.

   Se qualcuno sta tentando di connettersi al database NPSaaS con i nomi host H1 e H2, il database tenta prima di risolvere il nome host con il suo indirizzo IP per completare la connessione. Poiché il database potrebbe non avere la voce DNS memorizzata nella cache in locale, il database tenta di risolvere il nome host utilizzando un server DNS pubblico. La ricerca DNS non riesce perché la regola 5 è in vigore. Come risultato, il tentativo di connessione non riesce.

2. Aggiungere il nome host del server DNS autorevole pubblico o il CIDR (DNS-1) per consentire le regole affinché la ricerca DNS abbia esito positivo.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: DNS-1     (allow)
   Rule 6: 0.0.0.0/0 (deny)
   

   La nuova regola viene aggiunta come regola allow (Regola 5).

Consentire le connessioni solo in locale e eseguire backup, caricare o scaricare i dati utilizzando l'archivio oggetti cloud

Se vuoi che le applicazioni o gli utenti solo dalla loro rete in loco si connettano al loro database NPSaaS, attieniti alla seguente procedura.

1. Utilizzare un gateway NAT pubblico.

   La rete in loco è una rete aziendale privata, che utilizza uno spazio di indirizzo IP privato. Se le applicazioni e gli utenti desiderano connettersi ai servizi all'esterno della rete in loco, devono utilizzare un gateway NAT pubblico.

   Il gateway NAT pubblico ha interfacce con gli indirizzi IP pubblici in un intervallo rappresentato da CIDR-1 e sostituisce l'indirizzo IP di origine delle istanze nella rete aziendale con un indirizzo IP pubblico del gateway NAT.

   Di conseguenza, le applicazioni esterne visualizzano tutto il traffico che proviene da una delle interfacce pubbliche del gateway NAT rappresentato da CIDR-1.

2. Aggiungi CIDR-1 come regola allow (Regola 1).

   Rule 1: CIDR-1    (allow)
   

3. Aggiungi una regola deny all (regola 2) per limitare le connessioni che hanno origine solo dalla rete in loco.

   Rule 1: CIDR-1    (allow)
   Rule 2: 0.0.0.0/0 (deny)
   

4. Stabilire connessioni dal database ai rispettivi endpoint dell'archivio oggetti cloud (come AWS S3 e Azure Blob Storage).

   È necessario aggiungere endpoint all'elenco di possibilità se si desidera che gli amministratori del database eseguano il backup dei dati in Cloud Object Store e gli sviluppatori utilizzino le tabelle esterne nelle applicazioni per caricare e scaricare i dati.