Palomuurien käyttö Pukissa
Kaikilla tietokantaesiintymillä on omat palomuurinsa. Käyttäjät ovat vastuussa siitä, että palomuurisäännöt ovat tiukat. Palomuurisäännöt tulisi avata vain niille IP-osoitteille, joita tarvitaan. Löyhät palomuurisäännöt ovat todennäköisesti yksi suurimmista tietoturvariskeistä, ja niihin on suhtauduttava vakavasti. Vaikka tietokannassasi ei olisi mitään "salaista" dataa, et saa pitää sitä avoinna koko maailmalle. Jos haluat jakaa dataasi, tee se välityspalvelimen tai muiden palveluiden kautta, jotka voivat käyttää tietokantaa taustajärjestelmänä. Tietokantaportin jättäminen avoimeksi internetiin on varma tapa houkutella haitallisia toimijoita kohdistamaan hyökkäyksiä tietokantaasi.
Palomuurien hallinta
Voit muuttaa olemassa olevien esiintymien palomuureja selainkäyttöliittymässä painamalla "Update Instance" -painiketta.
openstack CLI -työkalulla voit käyttää komentoa openstack database instance update --help.
Huomaa, että komento korvaa olemassa olevat palomuurisäännöt, mikä tarkoittaa, että sinun on määritettävä kaikki
palomuuriavaukset joka kerta, kun päivität esiintymän palomuureja --allowed-cidr-lipulla.
Julkisen IP-osoitteesi selvittäminen
Jos et tiedä julkista IPV4-osoitettasi, voit tarkistaa sen näin:
- Komentorivi:
- Selain:
Käy katsomassa IP-osoitteesi.
Käytä palautettua IP-osoitetta CIDR-muodossa lisäämällä /32, jotta vain kyseinen yksittäinen IP sallitaan.
Esimerkiksi:
Yksittäisen IP-osoitteen, aliverkon tai useiden tiettyjen IP-osoitteiden salliminen
Lisäämällä IP-osoitteen, kuten 192.168.0.1/32, loppuun "CIDR-merkinnän" /32 tarkoitat, että sallit vain
kyseisen tietyn IP-osoitteen.
On myös mahdollista sallia aliverkko, esimerkiksi /24, jos haluat sallia kokonaisen verkon, kuten
toimistosi verkon. Pienin sallittu peite on /22, mikä tarkoittaa 1024 IP-osoitetta.
Pukki ei salli arvoa 0.0.0.0/0, koska tämä arvo olisi liian helppo asettaa ja unohtaa, että
tietokantaesiintymäsi on saavutettavissa koko internetistä.
Useita tiettyjä IP-osoitteita voidaan sallia syöttämällä kukin omana /32-merkintänään pilkuilla erotettuna listana, kuten
192.168.0.1/32,192.168.0.2/32,192.168.0.3/32.
Palomuuriavaukset muista CSC:n palveluista
Jotta voit käyttää tietokantaasi muista CSC:n palveluista, sinun täytyy sallia saapuvaa liikennettä. Tämä tehdään sallimalla aliverkkoja.
cPouta
- Jos palvelimellasi, josta haluat muodostaa yhteyden tietokantaesiintymiisi, on "floating IP" (julkinen IP), sinun tulee sallia kyseinen IP Pukissa.
- Jos palvelimellasi ei ole floating IP:tä, sinun täytyy sallia reitittimien "External Fixed IPs". Löydät IP-osoitteen Poudan selainkäyttöliittymästä kohdasta Network -> Routers -> kyseinen reititin -> "External Fixed IPs"
ePouta
On tärkeää muistaa, että kaikki liikenne ePoudasta Pukkiin kulkee "internetin" kautta, mikä voi olla ristiriidassa sen kanssa, miksi olet alun perin valinnut ePoudan.
- Jos haluat silti sallia pääsyn Pukkiin, sinun on varmistettava, että kotiorganisaatiosi palomuurit sallivat liikenteen Pukissa olevaan tietokantaesiintymääsi.
- Jos käytät ePoudassa "julkista IP-aluetta", voit vain päivittää tietokantaesiintymäsi
uudella IP-osoitteella käyttäen "CIDR-merkintää" (päätettä)
/32.
Rahti
Rahti käyttää jaettua ulosmenevää IP-osoitetta 86.50.229.150/32. Huomaa, että jos käytät
Rahtia tällä jaetulla ulosmenevällä IP-osoitteella, kaikki muutkin Rahdin asiakkaat voivat käyttää tietokantaasi,
mikä tekee entistä tärkeämmäksi käyttää vahvaa käyttäjätunnusta ja salasanaa tietokannallesi.
Lisätietoja löytyy Rahdin tietoturvaoppaasta
Noppe
Jos sinun täytyy käyttää Pukki-tietokantaesiintymääsi Nopesta, sinun täytyy sallia tämä IP
193.167.189.137/32 . Huomaa, että myös kaikki muut Notebook-käyttäjät voivat käyttää
tietokantaesiintymiäsi, joten on tärkeää käyttää vahvoja salasanoja tietokannan käyttäjälle.
Puhti
Kun käytät Pukki-tietokantaasi Puhdin kirjautumis- ja laskentasolmuilta, voit sallia tämän:
Mahti
Kun käytät Pukki-tietokantaasi Mahdista sekä kirjautumissolmuilta että laskentasolmulta, voit sallia tämän:
LUMI
Kun käytät Pukki-tietokantaasi LUMIsta, sinun täytyy sallia seuraava CIDR: