Palomuurien käyttö Pukissa
Kaikilla tietokantaesiintymillä on omat palomuurinsa. Käyttäjät ovat vastuussa siitä, että palomuurisäännöt ovat tiukat. Palomuurisäännöt tulee avata vain niille IP-osoitteille, joita tarvitaan. Löyhät palomuurisäännöt ovat todennäköisesti yksi suurimmista tietoturvariskeistä, ja tähän on suhtauduttava vakavasti. Vaikka tietokannassasi ei olisi mitään "salaista" dataa, sitä ei saa pitää avoinna koko maailmalle. Jos haluat jakaa dataasi, se tulee tehdä proxyn tai muiden palveluiden kautta, jotka voivat käyttää tietokantaa taustajärjestelmänä. Tietokantaportin jättäminen avoimeksi internetiin on varma tapa houkutella haitallisia toimijoita kohdistamaan hyökkäyksiä tietokantaasi.
Palomuurien hallinta
Voit muuttaa olemassa olevien esiintymien palomuureja selainkäyttöliittymässä painamalla "Update Instance".
openstack CLI -työkalulla voit käyttää komentoa openstack database instance update --help.
Huomaa, että komento korvaa olemassa olevat palomuurisäännöt, mikä tarkoittaa, että sinun on asetettava kaikki
palomuurin avaukset joka kerta, kun päivität esiintymän palomuureja --allowed-cidr-lipulla.
Julkisen IP-osoitteesi selvittäminen
Jos et tiedä julkista IPV4-osoitettasi, voit tarkistaa sen seuraavasti:
- Komentorivi:
- Selain:
Käy sivulla IP address.
Käytä palautettua IP-osoitetta CIDR-muodossa lisäämällä /32, jotta vain kyseinen yksittäinen IP sallitaan.
Esimerkiksi:
Yksittäisen IP-osoitteen, aliverkon tai useiden tiettyjen IP-osoitteiden salliminen
Lisäämällä IP-osoitteen loppuun "CIDR-merkinnän" /32, kuten 192.168.0.1/32, tarkoittaa se, että
sallit vain kyseisen tietyn IP-osoitteen.
On myös mahdollista sallia aliverkko, esimerkiksi /24, jos haluat sallia kokonaisen verkon, kuten
toimistosi verkon. Pienin sallittu peite on /22, mikä tarkoittaa 1024 IP-osoitetta.
Pukki ei salli arvoa 0.0.0.0/0, koska tämä arvo olisi liian helppo asettaa ja unohtaa, että
tietokantaesiintymäsi on saavutettavissa koko internetistä.
Useita tiettyjä IP-osoitteita voidaan sallia syöttämällä kukin omana /32-merkintänään pilkuilla erotettuun listaan, kuten
192.168.0.1/32,192.168.0.2/32,192.168.0.3/32.
Palomuurin avaukset muista CSC:n palveluista
Jotta voit käyttää tietokantaasi muista CSC:n palveluista, sinun täytyy sallia jonkin verran sisääntulevaa liikennettä. Tämä tehdään sallimalla aliverkkoja.
cPouta
- Jos palvelimellasi, josta haluat muodostaa yhteyden tietokantaesiintymiisi, on "floating IP" (julkinen IP), sinun tulee sallia kyseinen IP Pukissa.
- Jos palvelimellasi ei ole floating IP:tä, sinun täytyy sallia reitittimen "External Fixed IPs". Löydät IP-osoitteen Poudan selainkäyttöliittymästä kohdasta Network -> Routers -> kyseinen reititin -> "External Fixed IPs"
ePouta
On tärkeää muistaa, että kaikki liikenne ePoudasta Pukkiin kulkee "internetin" kautta, mikä voi olla ristiriidassa sen kanssa, miksi olet alun perin valinnut ePoudan.
- Jos haluat silti sallia pääsyn Pukkiin, sinun on varmistettava, että kotiorganisaatiosi palomuurit sallivat liikenteen Pukin tietokantaesiintymääsi.
- Jos käytät ePoudassa "public IP range" -aluetta, voit vain päivittää tietokantaesiintymäsi
uudella IP-osoitteella käyttäen "CIDR notation" -päätettä
/32.
Rahti
Rahti käyttää jaettua ulosmenevää IP-osoitetta 86.50.229.150/32. Huomaa, että jos käytät
Rahtia tällä jaetulla ulosmenevällä IP-osoitteella, kaikki muutkin Rahdin asiakkaat voivat käyttää tietokantaasi,
mikä tekee vahvan käyttäjätunnuksen ja salasanan käytöstä tietokannassasi entistä tärkeämpää.
Lisätietoja löytyy Rahdin tietoturvaoppaasta
Noppe
Jos sinun täytyy käyttää Pukin tietokantaesiintymää Nopesta, sinun täytyy sallia tämä IP
193.167.189.137/32 . Huomaa, että myös kaikki muut Notebook-käyttäjät voivat käyttää tietokantaesiintymiäsi,
joten on tärkeää käyttää vahvoja salasanoja tietokannan käyttäjälle.
Roihu
Kun käytät Pukin tietokantaa kirjautumis- ja laskentasolmuilta, voit sallia tämän:
Puhti
Puhdin käytöstäpoisto
Puhdin laskentapalvelut on suljettu (31. heinäkuuta 2026), ja se korvataan Roihulla. Puhdin tallennuspalveluiden ja kirjautumissolmujen on suunniteltu pysyvän käytettävissä 15. lokakuuta 2026 asti.
Kun käytät Pukin tietokantaa kirjautumis- ja laskentasolmuilta, voit sallia tämän:
Mahti
Mahdin käytöstäpoisto
Mahdin laskentapalvelut on suljettu (31. elokuuta 2026), ja se korvataan Roihulla. Mahdin tallennuspalveluiden ja kirjautumissolmujen on suunniteltu pysyvän käytettävissä 15. lokakuuta 2026 asti.
Kun käytät Pukin tietokantaa Roihusta sekä kirjautumissolmuilta että laskentasolmulta, voit sallia tämän:
LUMI
Kun käytät Pukin tietokantaa LUMIsta, sinun täytyy sallia seuraava CIDR: