Reglas de seguridad para el sistema de base de datos

En este artículo se enumeran las reglas de seguridad que se deben utilizar con el sistema de base de datos. Las reglas de seguridad controlan los tipos de tráfico de entrada y salida permitidos en los nodos informáticos del sistema de base de datos.

Para obtener más información sobre las reglas de seguridad, consulte Reglas de seguridad. Para obtener más información sobre los diferentes métodos para implantar estas reglas, consulte Formas de implantar las reglas de seguridad.

Nota: Las instancias en las que se ejecutan imágenes de sistemas de bases de datos proporcionadas por Oracle también tienen reglas que controlan los accesos a la instancia. Asegúrese de que tanto las reglas de seguridad como las reglas de firewall de la instancia estén definidas correctamente. Consulte también Apertura de puertos en el sistema de base de datos.

Reglas generales necesarias para la conectividad básica

Las siguientes secciones contienen varias reglas generales que permiten la conectividad esencial de los hosts de la VCN.

Si utiliza listas de seguridad para implantar sus reglas de seguridad, tenga en cuenta que las reglas siguientes se incluyen por defecto en la lista de seguridad por defecto. Actualice o reemplace la lista para satisfacer sus necesidades de seguridad específicas. Las dos reglas de ICMP (reglas generales de entrada 2 y 3) son necesarias para el funcionamiento correcto del tráfico de red en el entorno de Oracle Cloud Infrastructure. Ajuste la regla general de entrada 1 (la regla SSH) y la regla general de salida 1 para permitir el tráfico solo hacia y desde los hosts que requieren comunicarse con los recursos de su VCN.

Para obtener más información sobre la lista de seguridad por defecto, consulte Listas de seguridad.

Regla general de entrada 1: permite el tráfico SSH desde cualquier lugar

Nota: El CIDR IPv6 solo es necesario si desea utilizar una dirección IPv6 para conectarse a SSH.

Regla general de entrada 2: permite mensajes de fragmentación de detección de MTU de ruta de acceso

Esta regla permite a los hosts de la VCN recibir mensajes de fragmentación de detección de MTU de ruta de acceso. Sin acceso a estos mensajes, los hosts de la VCN pueden tener problemas para comunicarse con los hosts fuera de la VCN.

Regla general de entrada 3: permite mensajes de error de conectividad dentro de la VCN

Esta regla permite a los hosts de la VCN recibir mensajes de error de conectividad entre sí.

Regla general de salida 1: permite todo el tráfico saliente

Nota:

Reglas de seguridad personalizadas

Las siguientes reglas son necesarias para la funcionalidad del sistema de base de datos.

Nota: Las reglas de entrada personalizadas 1 y 2 solo abarcan la conexión iniciada desde la VCN. Si tiene un cliente que reside fuera de la VCN, Oracle recomienda configurar dos reglas similares adicionales que, por el sentido contrario, tengan el CIDR de Origen definido en la dirección IP pública del cliente.

Regla de entrada personalizada 1: permite el tráfico de ONS y FAN desde la VCN

Se recomienda esta regla, que permite a los servicios de notificación de Oracle (ONS) comunicar información sobre eventos de notificación rápida de aplicación (FAN).

Regla de entrada personalizada 2: permite el tráfico de SQL *NET desde la VCN

Esta regla es para el tráfico de SQL*NET y solo se requiere si se necesita activar las conexiones del cliente a la base de datos.

Regla de salida personalizada 1: permite acceso SSH saliente

Esta regla permite el acceso SSH entre nodos de un sistema de base de datos de 2 nodos. Es redundante con la regla de salida general en General Rules Required for Basic Connectivity (y en la lista del seguro por defecto). Es opcional, pero se recomienda en caso de que la regla general (o la lista de seguridad por defecto) se cambie de forma accidental.

Regla de salida personalizada 2: permite el acceso a Oracle Services Network

Esta regla permite al sistema de base de datos comunicarse con los servicios de Oracle (para la subred pública con el gateway de Internet) o con Oracle Services Network, que incluye todos los servicios de Oracle (para la subred privada con el gateway de servicios). Es redundante con la regla de salida general en General Rules Required for Basic Connectivity (y en la lista del seguro por defecto). Es opcional, pero se recomienda en caso de que la regla general (o la lista de seguridad por defecto) se cambie de forma accidental. Los servicios de OCI solo se comunican con IPv4.

Para obtener más información sobre redes, consulte Visión general de Networking.

Formas de implantar las reglas de seguridad

El servicio Networking ofrece dos formas de implantar reglas de seguridad en la VCN:

Para obtener una comparación de listas de seguridad y grupos de seguridad de red, consulte Reglas de seguridad.

Uso de grupos de seguridad de red

Si elige utilizar grupos de seguridad de red (NSG), este es el proceso recomendado:

  1. Cree un grupo de seguridad de red para sistemas de base de datos. Agregue las siguientes reglas de seguridad a ese NSG:
    • Las reglas que se muestran en Reglas generales necesarias para la conectividad básica.
    • Las reglas que se muestran en Reglas de seguridad personalizadas.
  2. Cuando el administrador de la base de datos crea el sistema de base de datos, debe seleccionar varios componentes de red (por ejemplo, qué VCN y subred se van a utilizar). También puede elegir el NSG o los NSG que se van a utilizan. Asegúrese de que seleccione el valor NSG que usted ha creado.

En su lugar, podría crear un NSG para las reglas generales y un NSG independiente para las reglas personalizadas. Después, cuando el administrador de base de datos seleccione los NSG que se van a utilizar para el sistema de base de datos, asegúrese de que seleccione ambos NSG.

Uso de listas de seguridad

Si decide utilizar listas de seguridad, este es el proceso recomendado:

  1. Configure la subred para utilizar las reglas de seguridad necesarias:

    1. Cree una lista para la subred y agregue las reglas que se enumeran en Reglas de seguridad personalizadas.
    2. Asocie las siguientes dos listas de seguridad a la subred:
      • La lista de seguridad por defecto de la VCN con todas sus reglas por defecto. Se incluye automáticamente con la VCN.
      • La nueva lista de seguridad personalizada que ha creado para la subred

  2. Posteriormente, cuando el administrador de base de datos cree el sistema de base de datos, deberá seleccionar varios componentes de red. Cuando seleccione la subred que usted ha creado y configurado, las reglas de seguridad se aplicarán automáticamente a los nodos informáticos creados en la subred.

Atención:

No elimine la regla para la salida por defecto de la lista por defecto. Si lo hace, asegúrese de incluir la siguiente regla de salida de sustitución en la lista de seguridad personalizada de la subred: