차단 정책

다음과 같은 경우를 방지하는 정책 유형을 지정합니다.

• 디바이스 또는 서비스를 사용하여 NPSaaS 데이터베이스에 연결합니다.

• NPSaaS 데이터베이스에서 CIDR에 지정된 범위에 지정된 호스트 이름 또는 IP 주소가 있는 디바이스 또는 서비스에 연결합니다.

허용 정책

다음을 수행할 수 있는 정책을 지정합니다.

• 디바이스 또는 서비스를 사용하여 NPSaaS 데이터베이스에 연결합니다.

• NPSaaS 데이터베이스에서 CIDR에 지정된 범위에 지정된 호스트 이름 또는 IP 주소가 있는 디바이스 또는 서비스에 연결합니다.

허용 및 차단(거부) 정책 조합을 사용하여 NPSaaS 데이터베이스에서 제공된 IP 주소 및 호스트 이름 세트로 연결을 제한할 수 있습니다.

CIDR(Classless Inter-Domain Routing)로 네트워크 정책 정의

NPSaaS을(를) 사용하면 네트워크 정책에서 CIDR (Classless Inter-Domain Routing)을 사용하여 IP 주소 범위를 지정할 수 있습니다.

CIDR 표기법은 IP 주소 및 그와 연관된 네트워크 마스크의 컴팩트한 표현입니다.

<ip_address>/<prefix_length>

예를 들어, 76.168.0.0/24은(는) 76.168.0.0 및 76.168.0.62 범위의 IP 주소를 나타냅니다.

0.0.0.0/0은(는) 허용되는 CIDR 표기법의 특수한 경우입니다. 다음과 같은 이유로 주의하여 사용하십시오.

• 0.0.0.0/0을(를) 차단 정책으로 사용하면 NPSaaS 데이터베이스에 대한 모든 트래픽이 제한됩니다.

• 허용 정책으로 0.0.0.0/0을(를) 사용하면 NPSaaS 데이터베이스의 모든 트래픽이 허용됩니다.

CIDR 범위를 사용하여 공용 및 비공개 IP 주소를 나타낼 수 있습니다. 개인용 IP 주소를 사용하는 개인용 또는 엔터프라이즈 네트워크에 있는 디바이스 또는 서비스에 게이트웨이가 있습니다. 이 게이트웨이는 일반적으로 네트워크 주소 변환(NAT)을 수행하는 공용 IP 주소와 네트워크 인터페이스를 갖습니다. 이를 통해 사설 네트워크의 엔티티가 외부 서비스에 연결할 수 있습니다.

allow 및 block 정책을 설정할 때 게이트웨이의 공용 IP 주소만 나타내는 CIDR 범위를 사용해야 합니다.

개인용 IP 주소 공간을 차단 정책으로 표시하는 CIDR 범위를 지정하지 마십시오. 데이터베이스의 기능에 영향을 줄 수 있습니다.

DNS 호스트 이름으로 네트워크 정책 정의

NPSaaS을(를) 사용하면 네트워크 정책에서 DNS 호스트 이름을 지정할 수 있습니다.

DNS 호스트 이름은 네트워크 ID로 사용되고 이들과 연결하는 데 사용되는 디바이스 또는 서비스에 지정된 이름입니다. DNS 호스트 이름의 예는 cloud.ibm.com입니다.

정책에서 DNS 호스트 이름을 사용하는 경우 로컬 DNS 이름은 정책이 효과적으로 작동할 수 있도록 NPSaaS 인스턴스에서 호스트 이름을 단일 정적 IP 주소로 분석합니다.

호스트 이름이 다중 IP 주소로 해석되거나 지정된 IP 주소가 변경될 수 있는 경우 (예: 로드 밸런서) DNS 호스트 이름이 아닌 정책에 해당 IP 주소의 CIDR 범위를 제공해야 합니다.

지정된 IP 주소 및 호스트 이름을 사용하여 소스의 정의된 세트에서만 연결 허용

CIDR-1, CIDR-2 및 호스트 이름 H1 및 H2로 표시되는 범위의 IP 주소가 있는 디바이스에서만 NPSaaS 데이터베이스에 대한 연결을 허용하고 다른 모든 소스의 연결을 거부하려면 다음 단계를 수행하십시오.

1. Rule 1에서 Rule 5(으)로 순서대로 정책을 작성하십시오.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: 0.0.0.0/0 (deny)
   

   이러한 규칙은 연결이 허용 가능한지 여부를 판별하기 위해 Rule 1-4에 대해 일치하는지 확인합니다. 허용되지 않는 경우, Rule 5은(는) 이를 거부합니다.

   사용자가 호스트 이름 H1 및 H2을(를) 사용하여 NPSaaS 데이터베이스에 연결하려는 경우, 데이터베이스는 먼저 호스트 이름을 IP 주소로 분석하여 연결을 완료하려고 합니다. 데이터베이스에는 로컬로 캐시된 DNS 항목이 없기 때문에 데이터베이스는 공용 DNS 서버를 사용하여 호스트 이름을 분석하려고 시도합니다. 규칙 5가 적용되어 DNS 조회가 실패합니다. 결과적으로 연결 시도가 실패합니다.

2. 신뢰할 수 있는 DNS 서버 호스트 이름 또는 CIDR(DNS-1)을 DNS 검색이 성공하도록 허용하는 규칙에 추가하십시오.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: DNS-1     (allow)
   Rule 6: 0.0.0.0/0 (deny)
   

   새 규칙은 허용 규칙으로 추가됩니다(규칙 5).

사내 구축 환경에서만 연결을 허용하고 클라우드 오브젝트 저장소를 사용하여 데이터를 백업, 로드 또는 로드 해제합니다.

애플리케이션 또는 사용자가 사내 구축형 네트워크에서만 NPSaaS 데이터베이스에 연결하도록 하려면 다음 단계를 수행하십시오.

1. 공용 NAT 게이트웨이를 사용합니다.

   사내 구축형 네트워크는 사설 IP 주소 공간을 사용하는 사설 엔터프라이즈 네트워크입니다. 애플리케이션 및 사용자가 사내 구축형 네트워크 외부의 서비스에 연결하려는 경우 공용 NAT 게이트웨이를 사용해야 합니다.

   공용 NAT 게이트웨이에는 CIDR-1로 표시되는 범위의 공용 IP 주소와 인터페이스가 있으며 엔터프라이즈 네트워크에 있는 인스턴스의 소스 IP 주소를 NAT 게이트웨이의 공용 IP 주소 중 하나로 바꿉니다.

   결과적으로, 외부 애플리케이션은 CIDR-1으로 표시되는 NAT 게이트웨이의 공용 인터페이스 중 하나에서 발생하는 모든 트래픽을 확인합니다.

2. CIDR-1을 allow 규칙(규칙 1)으로 추가하십시오.

   Rule 1: CIDR-1    (allow)
   

3. 온프레미스 네트워크에서만 시작된 연결을 제한하는 모두 거부 규칙(규칙 2)을 추가합니다.

   Rule 1: CIDR-1    (allow)
   Rule 2: 0.0.0.0/0 (deny)
   

4. 데이터베이스에서 각각의 클라우드 오브젝트 저장소 엔드포인트(예: AWS S3 및 Azure Blob Storage)로 연결하십시오.

   데이터베이스 관리자가 데이터를 클라우드 오브젝트 저장소에 백업하고 개발자가 애플리케이션의 외부 테이블을 사용하여 데이터를 로드 및 로드 해제하도록 하려면 허용 목록에 엔드포인트를 추가해야 합니다.