封鎖原則

指定防止您執行下列動作的原則類型:

• 使用任何裝置或服務連接至 NPSaaS 資料庫。

• 從 NPSaaS 資料庫連接至在 CIDR 所指定範圍內具有指定主機名稱或 IP 位址的任何裝置或服務。

容許原則

指定可讓您執行下列動作的原則:

• 使用任何裝置或服務連接至 NPSaaS 資料庫。

• 從 NPSaaS 資料庫連接至在 CIDR 所指定範圍內具有指定主機名稱或 IP 位址的任何裝置或服務。

您可以使用 allow 及 block (deny) 原則的組合，將 NPSaaS 資料庫的連線限制為提供的 IP 位址及主機名稱集。

使用無類別內部網域遞送 (CIDR) 來定義網路原則

使用 NPSaaS，您可以在網路原則中使用無類別內部網域遞送 (CIDR) 來指定 IP 位址範圍。

CIDR 表示法是 IP 位址及其關聯網路遮罩的精簡表示法。

<ip_address>/<prefix_length>

例如，76.168.0.0/24 代表 76.168.0.0 和 76.168.0.62 範圍內的 IP 位址

0.0.0.0/0 是容許的 CIDR 表示法的特殊觀察值。 請小心使用它，原因如下:

• 當您使用 0.0.0.0/0 作為封鎖原則時，會限制進出 NPSaaS 資料庫的所有資料流量。

• 當您使用 0.0.0.0/0 作為容許原則時，容許進出 NPSaaS 資料庫的所有資料流量。

您可以使用 CIDR 範圍來代表公用及專用 IP 位址。 位於使用專用 IP 位址的專用或企業網路中的裝置或服務具有閘道。 這些閘道通常具有具有公用 IP 位址的網路介面，這些 IP 位址會執行網址轉換 (NAT)。 這容許專用網路中的實體連接至外部服務。

當您設定 allow 及 block 原則時，必須使用 CIDR 範圍 (僅代表閘道的公用 IP 位址)。

請勿將代表專用 IP 位址空間的 CIDR 範圍指定為區塊原則。 您可能會影響資料庫的運作。

使用 DNS 主機名稱定義網路原則

使用 NPSaaS，您可以在網路原則中指定 DNS 主機名稱。

DNS 主機名稱是指派給裝置或服務的名稱，這些裝置或服務作為其網路身分並用來與它們連接。 DNS 主機名稱的範例為 cloud.ibm.com。

如果您在原則中使用 DNS 主機名稱，則本端 DNS 名稱會將主機名稱解析為 NPSaaS 實例中的單一靜態 IP 位址，以便原則可以有效運作。

如果主機名稱解析為多個 IP 位址，或如果指派的 IP 位址可以變更 (例如，負載平衡器)，請確定您在原則中提供這些 IP 位址的 CIDR 範圍，而不是 DNS 主機名稱。

僅容許來自具有指定 IP 位址及主機名稱之已定義來源集的連線

如果您只想容許從 IP 位址在 CIDR-1、CIDR-2及主機名稱 H1 和 H2所代表範圍內的裝置連接至 NPSaaS 資料庫，並拒絕來自所有其他來源的連線，請遵循下列步驟。

1. 從 Rule 1 到 Rule 5 依序建立原則。

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: 0.0.0.0/0 (deny)
   

   這些規則可確保連線符合 Rule 1-4，以決定是否容許它們。 如果不容許，Rule 5 會拒絕它們。

   如果有人嘗試連接至具有主機名稱 H1 及 H2 的 NPSaaS 資料庫，資料庫會先嘗試將主機名稱解析為其 IP 位址以完成連線。 因為資料庫可能未在本端快取 DNS 項目，所以資料庫會嘗試使用公用 DNS 伺服器來解析主機名稱。 DNS 查閱失敗，因為「規則 5」已備妥。 因此，連線嘗試失敗。

2. 將公用授權性 DNS 伺服器主機名稱或 CIDR (DNS-1) 新增至容許規則，以讓 DNS 查閱成功。

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: DNS-1     (allow)
   Rule 6: 0.0.0.0/0 (deny)
   

   新規則會新增為 allow 規則 (Rule 5)。

僅容許來自內部部署的連線，並使用 Cloud Object Store 進行備份、載入或卸載資料

如果您想要應用程式或使用者僅從其內部部署網路連接至其 NPSaaS 資料庫，請遵循下列步驟。

1. 使用公用 NAT 閘道。

   內部部署網路是專用企業網路，使用專用 IP 位址空間。 如果應用程式及使用者想要連接至內部部署網路外部的服務，則他們必須使用公用 NAT 閘道。

   公用 NAT 閘道具有與 CIDR-1 所代表範圍內的公用 IP 位址的介面，並將企業網路中實例的來源 IP 位址取代為 NAT 閘道的其中一個公用 IP 位址。

   因此，外部應用程式會看到來自 CIDR-1所代表 NAT 閘道的其中一個公用介面的所有資料流量。

2. 新增 CIDR-1 作為 allow 規則 (規則 1)。

   Rule 1: CIDR-1    (allow)
   

3. 新增 全部拒絕 規則 (規則 2)，以限制僅源自內部部署網路的連線。

   Rule 1: CIDR-1    (allow)
   Rule 2: 0.0.0.0/0 (deny)
   

4. 建立從資料庫到個別「雲端物件儲存庫」端點的連線 (例如 AWS S3 和 Azure Blob Storage)。

   如果您想要資料庫管理者將資料備份至 Cloud Object Store，且開發人員使用應用程式中的外部表格來載入及卸載資料，則必須將端點新增至容許清單。