Palomuurien käyttö Pukissa
Kaikilla tietokantaesiintymillä on omat palomuurinsa. Käyttäjät ovat vastuussa siitä, että palomuurisäännöt ovat tiukat. Palomuurisäännöt tulee avata vain niille IP-osoitteille, joita tarvitaan. Löyhät palomuurisäännöt ovat todennäköisesti yksi suurimmista tietoturvariskeistä, ja niihin on suhtauduttava vakavasti. Vaikka tietokannassasi ei olisi mitään "salaista" dataa, sitä ei saa avata koko maailmalle. Jos haluat jakaa dataasi, tee se välityspalvelimen tai muiden palveluiden kautta, jotka voivat käyttää tietokantaa taustajärjestelmänä. Tietokantaportin jättäminen avoimeksi internetiin on varma tapa houkutella haitallisia toimijoita kohdistamaan hyökkäyksiä tietokantaasi.
Palomuurien hallinta
Voit muuttaa olemassa olevien esiintymien palomuureja selainkäyttöliittymässä painamalla "Update Instance".
openstack CLI -työkalulla voit käyttää komentoa openstack database instance update --help.
Huomaa, että komento korvaa olemassa olevat palomuurisäännöt, mikä tarkoittaa, että sinun on asetettava kaikki
palomuuriavaukset joka kerta, kun päivität esiintymän palomuureja --allowed-cidr-lipulla.
Julkisen IP-osoitteesi selvittäminen
Jos et tiedä julkista IPV4-osoitettasi, voit tarkistaa sen seuraavasti:
- Komentorivi:
- Selain:
Käy katsomassa IP-osoitteesi.
Käytä palautettua IP-osoitetta CIDR-muodossa lisäämällä /32, jotta vain kyseinen yksittäinen IP sallitaan.
Esimerkiksi:
Yksittäisen IP-osoitteen, aliverkon tai useiden tiettyjen IP-osoitteiden salliminen
Lisäämällä IP-osoitteen loppuun "CIDR-merkinnän" /32, kuten 192.168.0.1/32, tarkoittaa se, että
sallit vain kyseisen tietyn IP-osoitteen.
On myös mahdollista sallia aliverkko, esimerkiksi /24, jos haluat sallia kokonaisen verkon, esim.
toimistosi verkon. Pienin sallittu peite on /22, mikä tarkoittaa 1024 IP-osoitetta.
Pukki ei salli arvoa 0.0.0.0/0, koska tämä arvo olisi liian helppo asettaa ja unohtaa, että
tietokantaesiintymäsi on saavutettavissa koko internetistä.
Useita tiettyjä IP-osoitteita voidaan sallia syöttämällä kukin omana /32-merkintänään pilkuilla erotettuna listana, kuten
192.168.0.1/32,192.168.0.2/32,192.168.0.3/32.
Palomuuriavaukset muista CSC:n palveluista
Jotta voit käyttää tietokantaasi muista CSC:n palveluista, sinun täytyy sallia saapuvaa liikennettä. Tämä tehdään sallimalla aliverkkoja.
cPouta
- Jos palvelimellasi, josta haluat muodostaa yhteyden tietokantaesiintymiisi, on "floating IP" (julkinen IP), sinun tulee sallia kyseinen IP Pukissa.
- Jos palvelimellasi ei ole floating IP:tä, sinun täytyy sallia reitittimen "External Fixed IPs". Löydät IP-osoitteen Poudan selainkäyttöliittymästä kohdasta Network -> Routers -> kyseinen reititin -> "External Fixed IPs"
ePouta
On tärkeää muistaa, että kaikki liikenne ePoudasta Pukkiin kulkee "internetin" kautta, mikä voi olla ristiriidassa sen kanssa, miksi olet alun perin valinnut ePoudan.
- Jos haluat silti sallia pääsyn Pukkiin, sinun on varmistettava, että kotiorganisaatiosi palomuurit sallivat liikenteen Pukissa olevaan tietokantaesiintymääsi.
- Jos käytät ePoudassa "julkista IP-aluetta", voit vain päivittää tietokantaesiintymäsi
uudella IP-osoitteella käyttäen "CIDR-merkintää" (päätettä)
/32.
Rahti
Rahti käyttää jaettua lähtevää IP-osoitetta 86.50.229.150/32. Huomaa, että jos käytät
Rahtia tällä jaetulla lähtevällä IP-osoitteella, kaikki muutkin Rahdin asiakkaat voivat käyttää tietokantaasi,
mikä tekee entistä tärkeämmäksi käyttää vahvaa käyttäjätunnusta ja salasanaa tietokannallesi.
Lisätietoja löytyy Rahdin tietoturvaoppaasta
Noppe
Jos sinun täytyy käyttää Pukki-tietokantaesiintymääsi Nopesta, sinun täytyy sallia tämä IP
193.167.189.137/32 . Huomaa, että myös kaikki muut Notebook-käyttäjät voivat käyttää
tietokantaesiintymiäsi, joten on tärkeää käyttää vahvoja salasanoja tietokannan käyttäjälle.
Roihu
Kun käytät Pukki-tietokantaasi kirjautumis- ja laskentasolmuilta, voit sallia tämän:
Puhti
Puhdin vaiheittainen käytöstäpoisto kevään ja kesän 2026 aikana
Puhti poistetaan käytöstä asteittain kevään ja kesän 2026 aikana ja korvataan Roihulla.
Kun käytät Pukki-tietokantaasi kirjautumis- ja laskentasolmuilta, voit sallia tämän:
Mahti
Mahdin käytöstäpoisto elokuussa 2026
Mahti poistetaan käytöstä elokuussa 2026 ja korvataan Roihulla.
Kun käytät Pukki-tietokantaasi Roihusta sekä kirjautumissolmuilta että laskentasolmulta, voit sallia tämän:
LUMI
Kun käytät Pukki-tietokantaasi LUMIsta, sinun täytyy sallia seuraava CIDR: