Regole di sicurezza per il sistema DB

In questo articolo vengono elencate le regole di sicurezza da utilizzare con il sistema DB. Le regole di sicurezza controllano i tipi di traffico consentiti all'interno e all'esterno dei nodi di calcolo del sistema DB.

Per ulteriori informazioni sulle regole di sicurezza, vedere Regole di sicurezza. Per ulteriori informazioni sui diversi modi per implementare queste regole, vedere Modalità di implementazione delle regole di sicurezza.

Nota: anche le istanze che eseguono immagini del sistema DB fornite da Oracle dispongono di regole firewall che controllano l'accesso all'istanza. Assicurarsi che le regole di sicurezza e le regole firewall dell'istanza siano impostate correttamente. Vedere anche Open Ports on the DB System.

Regole generali obbligatorie per la connettività di base

Nelle sezioni seguenti sono disponibili diverse regole generali che abilitano la connettività essenziale per gli host nella VCN.

Se si utilizzano le liste di sicurezza per implementare le regole di sicurezza, tenere presente che le regole riportate di seguito sono incluse per impostazione predefinita nella lista di sicurezza predefinita. Aggiornare o sostituire l'elenco per soddisfare esigenze di sicurezza specifiche. Le due regole ICMP (regole di entrata generali 2 e 3) sono necessarie per il corretto funzionamento del traffico di rete all'interno dell'ambiente Oracle Cloud Infrastructure. Regolare la regola di entrata generale 1 (regola SSH) e la regola di uscita generale 1 per consentire il traffico solo da e verso gli host che richiedono la comunicazione con le risorse nella VCN.

Per ulteriori informazioni sulla lista di sicurezza predefinita, vedere Elenchi sicurezza.

Regola di entrata generale 1: consente il traffico SSH da qualsiasi posizione

Nota: il CIDR IPv6 è necessario solo se si desidera utilizzare l'indirizzo IPv6 per connettersi a SSH.

Regola di entrata generale 2: consente i messaggi di frammentazione della ricerca automatica MTU del percorso

Questa regola consente agli host nella VCN di ricevere messaggi di frammentazione della ricerca automatica MTU percorso. Senza l'accesso a questi messaggi, gli host nella VCN possono presentare problemi di comunicazione con gli host esterni alla VCN.

Regola di entrata generale 3: consente i messaggi di errore di connettività nella VCN

Questa regola consente agli host nella VCN di ricevere i messaggi di errore di connettività l'uno dall'altro.

Regola di uscita generale 1: consente tutto il traffico in uscita

Nota:

Regole di sicurezza personalizzate

Per la funzionalità del sistema DB sono necessarie le regole riportate di seguito.

Nota: le regole di entrata personalizzate 1 e 2 coprono solo le connessioni avviate dall'interno della VCN. Se si dispone di un client che risiede al di fuori della VCN, Oracle consiglia di impostare due regole simili aggiuntive con il CIDR di origine impostato sull'indirizzo IP pubblico del client.

Regola di entrata personalizzata 1: consente il traffico ONS e FAN dall'interno della VCN

Questa regola è consigliata e consente a Oracle Notification Services (ONS) di comunicare gli eventi FAN (Fast Application Notification).

Regola di entrata personalizzata 2: consente il traffico SQL*NET dall'interno della VCN

Questa regola è per il traffico SQL*NET ed è necessaria solo se è necessario abilitare le connessioni client al database.

Regola di uscita personalizzata 1: consente l'accesso SSH in uscita

Questa regola abilita l'accesso SSH tra i nodi in un sistema DB a 2 nodi. È ridondante con la regola di uscita generale in Regole generali obbligatorie per la connettività di base (e nell'elenco di sicurezza predefinito). È facoltativa ma consigliata nel caso in cui la regola generale (o l'elenco di sicurezza predefinito) venga modificata inavvertitamente.

Regola di uscita personalizzata 2: consente l'accesso a Oracle Services Network

Questa regola consente al sistema DB di comunicare con i servizi Oracle (per la subnet pubblica con gateway Internet) o con Oracle Services Network, che include tutti i servizi Oracle (per la subnet privata con gateway del servizio). È ridondante con la regola di uscita generale in Regole generali obbligatorie per la connettività di base (e nell'elenco di sicurezza predefinito). È facoltativa ma consigliata nel caso in cui la regola generale (o l'elenco di sicurezza predefinito) venga modificata inavvertitamente. I servizi OCI comunicano solo con IPv4.

Per ulteriori informazioni sulla rete, vedere Panoramica della rete.

Modalità di implementazione delle regole di sicurezza

Il servizio di networking offre due modi per implementare le regole di sicurezza all'interno della tua VCN:

Per un confronto delle liste di sicurezza e dei gruppi di sicurezza di rete, vedere Regole di sicurezza.

Usa gruppi di Sicurezza di Rete

Se si sceglie di utilizzare i gruppi di sicurezza di rete (NSG), ecco il processo consigliato:

  1. Creare un gruppo di sicurezza di rete per i sistemi DB. Aggiungere le seguenti regole di sicurezza al gruppo NSG:
    • Le regole elencate in Regole generali richieste per la connettività di base.
    • Le regole elencate in Regole di sicurezza personalizzate.
  2. Quando l'amministratore del database crea il sistema DB, deve scegliere diversi componenti di rete (ad esempio, quale VCN e subnet utilizzare). Possono anche scegliere quali NSG o NSG utilizzare. Assicurati che scelgano il gruppo NSG che hai creato.

È invece possibile creare un gruppo NSG per le regole generali e un gruppo NSG separato per le regole personalizzate. Quindi, quando l'amministratore del database sceglie quali NSG utilizzare per il sistema DB, assicurarsi che scelgano entrambi i gruppi NSG.

Usa liste di sicurezza

Se si sceglie di utilizzare le liste di sicurezza, ecco il processo consigliato:

  1. Configurare la subnet per utilizzare le regole di sicurezza necessarie:

    1. Creare una lista di sicurezza personalizzata per la subnet e aggiungere le regole elencate in Regole di sicurezza personalizzate.
    2. Associare alla subnet i due elenchi di sicurezza riportati di seguito.
      • Lista di sicurezza predefinita della VCN con tutte le regole predefinite. Questo viene fornito automaticamente con la VCN.
      • La nuova lista di sicurezza personalizzata creata per la subnet

  2. Successivamente, quando l'amministratore del database crea il sistema DB, deve scegliere diversi componenti di rete. Quando selezionano la subnet che hai già creato e configurato, le regole di sicurezza vengono applicate automaticamente per i nodi di calcolo creati nella subnet.

Attenzione:

Non rimuovere la regola di uscita predefinita dalla lista di sicurezza predefinita. In tal caso, assicurarsi di includere la regola di uscita sostitutiva seguente nella lista di sicurezza personalizzata della subnet: