Política de bloco

Especifica um tipo de política que impede que você faça o seguinte:

• Conectar-se ao banco de dados NPSaaS usando qualquer dispositivo ou serviço.

• Conectar-se do banco de dados NPSaaS a qualquer dispositivo ou serviço que tenha o nome do host especificado ou um endereço IP no intervalo especificado pelo CIDR.

Permitir política

Especifica uma política que permite que você faça o seguinte:

• Conectar-se ao banco de dados NPSaaS usando qualquer dispositivo ou serviço.

• Conectar-se do banco de dados NPSaaS a qualquer dispositivo ou serviço que tenha o nome do host especificado ou um endereço IP no intervalo especificado pelo CIDR.

É possível usar a combinação de políticas de permissão e de bloqueio (negação) para restringir conexões para e a partir do banco de dados NPSaaS com o conjunto fornecido de endereços IP e de nomes de host.

Definindo políticas de rede com o Classless Inter-Domain Routing (CIDR)

Com o NPSaaS, é possível especificar um intervalo de endereços IP usando o Classless Inter-Domain Routing (CIDR) em políticas de rede.

Uma notação CIDR é uma representação compacta de um endereço IP e sua máscara de rede associada.

<ip_address>/<prefix_length>

Por exemplo, 76.168.0.0/24 representa endereços IP no intervalo de 76.168.0.0 e 76.168.0.62

0.0.0.0/0 é um caso especial de uma notação CIDR, que é permitido. Use-o com cuidado por causa das seguintes razões:

• Quando você usa 0.0.0.0/0 como uma política de bloqueio, todo o tráfego para e a partir do seu banco de dados NPSaaS é restrito.

• Quando você usa 0.0.0.0/0 como uma política de permissão, todo o tráfego para e a partir do seu banco de dados NPSaaS é permitido.

Você pode usar intervalos CIDR para representar endereços IP públicos e privados. Dispositivos ou serviços que estão em uma rede privada ou corporativa que usa endereços IP privados possuem gateways. Esses gateways geralmente possuem interfaces de rede com endereços IP públicos, que executam a conversão de endereço de rede (NAT). Isso permite que entidades da rede privada se conectem a serviços externos.

Deve-se usar um intervalo de CIDR que represente apenas os endereços IP públicos de gateways quando estiver configurando políticas de allow e de block.

Não especifique um intervalo de CIDR que represente um espaço de endereços IP privados como políticas de bloqueio. Você pode impactar o funcionamento do banco de dados.

Definindo políticas de rede com nomes de host DNS

Com o NPSaaS, é possível especificar nomes de host DNS em políticas de rede.

Os nomes de host DNS são nomes designados a dispositivos ou serviços que servem como sua identidade de rede e são usados para se conectar com eles. Um exemplo de nome do host DNS é cloud.ibm.com.

Se você usar um nome do host DNS em políticas, o nome DNS local resolverá o nome do host para um único endereço IP estático na instância do NPSaaS para que a política possa funcionar de modo eficiente.

Se o nome do host for resolvido para vários endereços IP ou caso os endereços IP designados possam mudar (por exemplo, balanceador de carga), certifique-se de fornecer o intervalo de CIDR desses endereços IP em vez do nome do host DNS na política.

Permitindo conexões somente a partir de um conjunto definido de fontes com os endereços IP e nomes de host especificados

Se você deseja permitir conexões com o banco de dados NPSaaS somente a partir de dispositivos com endereços IP no intervalo que é representado pelo CIDR-1, CIDR-2 e nomes de host H1 e H2 e rejeitar conexões de todas as outras fontes, siga estas etapas.

1. Crie as políticas na ordem de Rule 1 a Rule 5.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: 0.0.0.0/0 (deny)
   

   Essas regras asseguram que as conexões sejam correspondidas com o Rule 1-4 para determinar se elas são permitidas. Se elas não forem permitidas, o Rule 5 as rejeitará.

   Se alguém estiver tentando se conectar ao banco de dados NPSaaS com os nomes de host H1 e H2, o banco de dados tentará primeiro resolver o nome do host para seu endereço IP para concluir a conexão. Como o banco de dados pode não ter a entrada DNS armazenada em cache localmente, o banco de dados tentará resolver o nome do host usando um servidor DNS público. A consulta DNS falha porque a Regra 5 está em vigor. Como resultado, a tentativa de conexão falha.

2. Inclua o nome do host do servidor DNS autoritativo público ou o CIDR (DNS-1) nas regras de permissão para que a consulta DNS seja bem-sucedida.

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: DNS-1     (allow)
   Rule 6: 0.0.0.0/0 (deny)
   

   A nova regra é incluída como uma regra allow (Regra 5).

Permitindo conexões somente locais e carregar, descarregar ou fazer backups de dados usando o Cloud Object Store

Se você deseja que aplicativos ou usuários apenas de sua rede local se conectem ao seu banco de dados NPSaaS, siga estas etapas.

1. Use um gateway NAT público.

   A rede local é uma rede privada corporativa que usa um espaço de endereço IP privado. Se os aplicativos e usuários quiserem se conectar a serviços fora da rede local, eles deverão usar um gateway NAT público.

   O gateway NAT público possui interfaces com endereços IP públicos em um intervalo que é representado pelo CIDR-1 e substitui o endereço IP de origem das instâncias na rede corporativa por um dos endereços IP públicos do gateway NAT.

   Como resultado, aplicativos externos visualizam todo o tráfego proveniente de uma das interfaces públicas do gateway NAT que é representado pelo CIDR-1.

2. Inclua o CIDR-1 como uma regra de allow (Regra 1).

   Rule 1: CIDR-1    (allow)
   

3. Inclua uma regra negar todos (Regra 2) para restringir conexões que se originam apenas da rede local.

   Rule 1: CIDR-1    (allow)
   Rule 2: 0.0.0.0/0 (deny)
   

4. Crie conexões entre o banco de dados e os respectivos terminais do Cloud Object Store (como AWS S3 e Azure Blob Storage).

   Deve-se incluir terminais na lista de permissões caso você deseja que administradores do seu banco de dados façam backup de dados para o Cloud Object Store e que desenvolvedores usem tabelas externas em aplicativos para carregar e descarregar dados.