Palomuurien käyttö Pukissa
Kaikilla tietokantaesiintymillä on omat palomuurinsa. Käyttäjät ovat vastuussa siitä, että palomuurisäännöt ovat tiukat. Palomuurisäännöt tulee avata vain niille IP-osoitteille, joita tarvitaan. Löyhät palomuurisäännöt ovat todennäköisesti yksi suurimmista tietoturvariskeistä, ja niihin on suhtauduttava vakavasti. Vaikka tietokannassasi ei olisi mitään "salaista" dataa, sitä ei saa avata koko maailmalle. Jos haluat jakaa dataasi, se tulee tehdä proxyn tai muiden palveluiden kautta, jotka voivat käyttää tietokantaa taustajärjestelmänä. Tietokantaportin jättäminen avoimeksi internetiin on varma tapa houkutella haitallisia toimijoita kohdistamaan hyökkäyksiä tietokantaasi.
Palomuurien hallinta
Voit muuttaa olemassa olevien esiintymien palomuureja selainkäyttöliittymässä painamalla "Update Instance".
openstack CLI -työkalulla voit käyttää komentoa openstack database instance update --help.
Huomaa, että komento korvaa olemassa olevat palomuurisäännöt, mikä tarkoittaa, että sinun on asetettava kaikki
palomuurin avaukset joka kerta, kun päivität esiintymän palomuureja --allowed-cidr-lipulla.
Julkisen IP-osoitteesi selvittäminen
Jos et tiedä julkista IPV4-osoitettasi, voit tarkistaa sen seuraavasti:
- Komentorivi:
- Selain:
Käy sivulla IP address.
Käytä palautettua IP-osoitetta CIDR-muodossa lisäämällä /32, jotta vain kyseinen yksittäinen IP sallitaan.
Esimerkiksi:
Yksittäisen IP-osoitteen, aliverkon tai useiden tiettyjen IP-osoitteiden salliminen
Lisäämällä IP-osoitteen loppuun "CIDR-notaation" /32, kuten 192.168.0.1/32, tarkoittaa se, että sallit vain
kyseisen tietyn IP-osoitteen.
On myös mahdollista sallia aliverkko, esimerkiksi /24, jos haluat sallia kokonaisen verkon, esim.
toimistosi verkon. Pienin sallittu peite on /22, mikä tarkoittaa 1024 IP-osoitetta.
Pukki ei salli arvoa 0.0.0.0/0, koska tämä arvo olisi liian helppo asettaa ja unohtaa, että
tietokantaesiintymäsi on saavutettavissa koko internetistä.
Useita tiettyjä IP-osoitteita voidaan sallia syöttämällä kukin omana /32-merkintänään pilkuilla erotettuna listana, kuten
192.168.0.1/32,192.168.0.2/32,192.168.0.3/32.
Palomuurin avaukset muista CSC:n palveluista
Jotta voit käyttää tietokantaasi muista CSC:n palveluista, sinun täytyy sallia saapuvaa liikennettä. Tämä tehdään sallimalla aliverkkoja.
cPouta
- Jos palvelimellasi, josta haluat muodostaa yhteyden tietokantaesiintymiisi, on "floating IP" (julkinen IP), sinun tulee sallia kyseinen IP Pukissa.
- Jos palvelimellasi ei ole floating IP:tä, sinun täytyy sallia reitittimen "External Fixed IPs". Löydät IP-osoitteen Poudan selainkäyttöliittymästä kohdasta Network -> Routers -> kyseinen reititin -> "External Fixed IPs"
ePouta
On tärkeää muistaa, että kaikki liikenne ePoudasta Pukkiin kulkee "internetin" kautta, mikä voi olla ristiriidassa sen kanssa, miksi olet alun perin valinnut ePoudan.
- Jos haluat silti sallia pääsyn Pukkiin, sinun on varmistettava, että kotiorganisaatiosi palomuurit sallivat liikenteen Pukissa olevaan tietokantaesiintymääsi.
- Jos käytät ePoudassa "julkista IP-aluetta", voit vain päivittää tietokantaesiintymäsi
uudella IP-osoitteella käyttäen "CIDR-notaatiota" (päätettä)
/32.
Rahti
Rahti käyttää jaettua ulosmenevää IP-osoitetta 86.50.229.150/32. Huomaa, että jos käytät
Rahtia tällä jaetulla ulosmenevällä IP-osoitteella, kaikki muutkin Rahdin asiakkaat voivat käyttää tietokantaasi,
mikä tekee entistä tärkeämmäksi käyttää vahvaa käyttäjätunnusta ja salasanaa tietokannallesi.
Lisätietoja löytyy Rahdin tietoturvaoppaasta
Noppe
Jos sinun täytyy käyttää Pukki-tietokantaesiintymääsi Nopesta, sinun täytyy sallia tämä IP
193.167.189.137/32 . Huomaa, että myös kaikki muut Notebook-käyttäjät voivat käyttää tietokantaesiintymiäsi,
joten on tärkeää käyttää vahvoja salasanoja tietokannan käyttäjälle.
Roihu
Kun käytät Pukki-tietokantaasi kirjautumis- ja laskentasolmuilta, voit sallia tämän:
LUMI
Kun käytät Pukki-tietokantaasi LUMIsta, sinun täytyy sallia seuraava CIDR: