封鎖原則

指定一項政策，以防止發生以下情況：

• 當存在由客戶自行設定的網路政策時，所有傳入 NPSaaS 資料庫的流量預設都會被封鎖。
• 任何未經已設定的網路政策明確允許的流量，均將被拒絕。

容許原則

指定一項允許以下內容的政策：

• 由已設定的網路政策明確允許存取 NPSaaS 資料庫的流量。
• 當存在網路政策時，僅允許符合已設定政策規則的流量通過。

預設案例

• 若未設定任何客戶網路政策，預設情況下，所有流入 NPSaaS 資料庫的流量均被允許。
• 配置客戶端網路政策後，預設行為將變更為「拒絕」，僅允許該政策明確允許的流量通過。

使用無類別內部網域遞送 (CIDR) 來定義網路原則

使用 NPSaaS，您可以在網路原則中使用無類別內部網域遞送 (CIDR) 來指定 IP 位址範圍。

CIDR 表示法是 IP 位址及其關聯網路遮罩的精簡表示法。

<ip_address>/<prefix_length>

例如，76.168.0.0/24 代表 76.168.0.0 和 76.168.0.62 範圍內的 IP 位址

0.0.0.0/0 是容許的 CIDR 表示法的特殊觀察值。 請小心使用它，原因如下:

• 當您將「0.0.0.0/0」用作入站允許政策時，所有傳往您的 NPSaaS 資料庫的流量均會被允許。

您可以使用 CIDR 範圍來代表公用及專用 IP 位址。 位於使用專用 IP 位址的專用或企業網路中的裝置或服務具有閘道。 這些閘道通常具有具有公用 IP 位址的網路介面，這些 IP 位址會執行網址轉換 (NAT)。 這容許專用網路中的實體連接至外部服務。

在設定「allow」政策時，您必須使用僅代表閘道公開 IP 位址的 CIDR 範圍。

僅允許來自具有指定 IP 位址的特定來源所建立的連線

若您希望僅允許 IP 位址位於 CIDR-1、CIDR-2、CIDR-3 及 CIDR-4 所代表範圍內的裝置，連線至 NPSaaS 資料庫，請依照以下步驟操作。

1. 建立一項網路政策，允許來自指定來源的入站流量。

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: CIDR-3    (allow)
   Rule 4: CIDR-4    (allow)
   

   套用網路政策後，流入 NPSaaS 資料庫的流量將僅限於該政策明確允許的流量。 任何不符合已設定允許規則的入站流量均會被拒絕。

Kubernetes NetworkPolicy 並未提供明確的「全數拒絕」規則。 當一個入口 ( NetworkPolicy ) 選取一個 Pod 時，除非有適用的入口規則 ( NetworkPolicy ) 允許，否則入口流量預設會被拒絕。

僅容許來自內部部署的連線，並使用 Cloud Object Store 進行備份、載入或卸載資料

若要讓您本地網路中的應用程式或使用者連線至 NPSaaS 資料庫，同時允許該資料庫存取 Cloud Object Store 端點，請依照以下步驟操作。

1. 識別出本地網路所使用的公共 NAT 閘道。

   公共 NAT 閘道會將內部部署應用程式和使用者的來源 IP 位址，替換為其其中一個公共 IP 位址，該位址以 CIDR-1 表示。

2. 建立一項網路政策，允許來自 CIDR-1 的入站流量。

   Rule 1: CIDR-1    (allow)
   

   套用網路政策後，來自 CIDR-1 的入站流量將被允許，而其他入站流量則預設被拒絕。

3. 請從資料庫建立連線至相應的 Cloud Object Store 端點（例如 AWS S3 和 Azure Blob Storage ）。

   若要讓資料庫管理員將資料備份至 Cloud Object Store，以及讓開發人員在應用程式中使用外部資料表來載入和卸載資料，您必須將端點加入允許清單中。

透過使用多個網路政策，允許來自多個來源的連線

若要允許來自多個獨立來源的連線，您可以建立多個網路政策。

例如：

NetworkPolicy 1:
  CIDR-1    (allow)
NetworkPolicy 2:
  CIDR-2    (allow)
NetworkPolicy 3:
  CIDR-3    (allow)
NetworkPolicy 4:
  CIDR-4    (allow)

這四項網路政策將一併進行評估。 這些政策之間沒有執行順序或優先順序。

實際允許的流量是所有適用網路政策所允許流量的並集：

• 流量匹配 CIDR-1 → 允許
• 流量匹配 CIDR-2 → 允許
• 流量匹配 CIDR-3 → 允許
• 流量匹配 CIDR-4 → 允許
• 流量不符合任何政策 → 遭拒絕

未設定網路原則時的預設行為

若未配置任何入站網路政策，則預設允許入站流量。

No NetworkPolicy
       |
       v
Ingress traffic
       |
       v
     ALLOW

配置完入站網路政策後，NPSaaS 資料庫即會進入入站隔離狀態。

NetworkPolicy configured
       |
       v
Ingress traffic
       |
       +----------------------+
       |                      |
Matches an allow rule    No matching rule
       |                      |
       v                      v
     ALLOW                  DENY

此功能讓您能夠先採用預設的開放存取模式，再透過定義應允許的特定來源，逐步限制存取權限。