块策略

指定阻止您执行以下操作的策略类型:

• 使用任何设备或服务连接到 NPSaaS 数据库。

• 从 NPSaaS 数据库连接到具有 CIDR 指定的范围内的指定主机名或 IP 地址的任何设备或服务。

允许策略

指定允许您执行以下操作的策略:

• 使用任何设备或服务连接到 NPSaaS 数据库。

• 从 NPSaaS 数据库连接到具有 CIDR 指定的范围内的指定主机名或 IP 地址的任何设备或服务。

您可以使用 allow 和 block (deny) 策略的组合，将与 NPSaaS 数据库的连接限制为提供的一组 IP 地址和主机名。

使用无类域间路由 (CIDR) 定义网络策略

通过 NPSaaS，可以在网络策略中使用无类域间路由 (CIDR) 来指定 IP 地址范围。

CIDR 表示法是 IP 地址及其关联网络掩码的紧凑表示法。

<ip_address>/<prefix_length>

例如，76.168.0.0/24 表示 76.168.0.0 和 76.168.0.62 范围内的 IP 地址

0.0.0.0/0 是允许的 CIDR 表示法的特殊情况。 由于以下原因，请谨慎使用此命令:

• 将 0.0.0.0/0 用作块策略时，将限制进出 NPSaaS 数据库的所有流量。

• 将 0.0.0.0/0 用作允许策略时，允许进出 NPSaaS 数据库的所有流量。

您可以使用 CIDR 范围来表示公共和专用 IP 地址。 使用专用 IP 地址的专用网络或企业网络中的设备或服务具有网关。 这些网关通常具有具有公共 IP 地址的网络接口，这些公共 IP 地址执行网络地址转换 (NAT)。 这允许专用网络中的实体连接到外部服务。

在设置 allow 和 block 策略时，必须使用仅表示网关公共 IP 地址的 CIDR 范围。

请勿指定将专用 IP 地址空间表示为块策略的 CIDR 范围。 您可能会影响数据库的功能。

使用 DNS 主机名定义网络策略

通过 NPSaaS，可以在网络策略中指定 DNS 主机名。

DNS 主机名是分配给充当其网络身份的设备或服务的名称，用于与这些设备或服务进行连接。 DNS 主机名的示例为 cloud.ibm.com。

如果在策略中使用 DNS 主机名，那么本地 DNS 名称会将主机名解析为 NPSaaS 实例中的单个静态 IP 地址，以便策略可以有效工作。

如果主机名解析为多个 IP 地址，或者如果分配的 IP 地址可以更改 (例如，负载均衡器)，请确保在策略中提供这些 IP 地址的 CIDR 范围，而不是 DNS 主机名。

仅允许来自具有指定 IP 地址和主机名的一组已定义源的连接

如果要仅允许从 IP 地址在 CIDR-1，CIDR-2和主机名 H1 和 H2表示的范围内的设备连接到 NPSaaS 数据库，并拒绝来自所有其他源的连接，请执行以下步骤。

1. 按从 Rule 1 到 Rule 5 的顺序创建策略。

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: 0.0.0.0/0 (deny)
   

   这些规则确保将连接与 Rule 1-4 进行匹配，以确定是否允许这些连接。 如果不允许它们，那么 Rule 5 将拒绝它们。

   如果有人尝试使用主机名 H1 和 H2 连接到 NPSaaS 数据库，那么数据库首先尝试将主机名解析为其 IP 地址以完成连接。 由于数据库可能未在本地高速缓存 DNS 条目，因此数据库尝试使用公共 DNS 服务器来解析主机名。 DNS 查找失败，因为规则 5 已就位。 因此，连接尝试失败。

2. 将公共授权 DNS 服务器主机名或 CIDR (DNS-1) 添加到允许成功执行 DNS 查找的规则。

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: DNS-1     (allow)
   Rule 6: 0.0.0.0/0 (deny)
   

   新规则将添加为 allow 规则 (Rule 5)。

仅允许来自本地的连接，并使用 Cloud Object Store 进行备份，装入或卸载数据

如果希望应用程序或用户仅从其本地网络连接到其 NPSaaS 数据库，请执行以下步骤。

1. 使用公共 NAT 网关。

   本地网络是专用企业网络，它使用专用 IP 地址空间。 如果应用程序和用户想要连接到本地网络外部的服务，那么他们必须使用公共 NAT 网关。

   公共 NAT 网关具有由 CIDR-1 表示的范围内的公共 IP 地址接口，并将企业网络中实例的源 IP 地址替换为 NAT 网关的其中一个公共 IP 地址。

   因此，外部应用程序将看到来自由 CIDR-1表示的 NAT 网关的其中一个公共接口的所有流量。

2. 将 CIDR-1 添加为 allow 规则 (规则 1)。

   Rule 1: CIDR-1    (allow)
   

3. 添加 deny all 规则 (Rule 2) 以限制仅源自本地网络的连接。

   Rule 1: CIDR-1    (allow)
   Rule 2: 0.0.0.0/0 (deny)
   

4. 从数据库连接到相应的 Cloud Object Store 端点 (例如 AWS S3 和 Azure Blob Storage)。

   如果您希望数据库管理员将数据备份到 Cloud Object Store，并且开发人员在应用程序中使用外部表来装入和卸载数据，那么必须将端点添加到允许列表。