数据库系统的安全规则

本文列出了与数据库系统一起使用的安全规则。安全规则控制允许进出数据库系统的计算节点的流量类型。

有关安全规则的更多信息，请参阅安全规则。有关实施这些规则的不同方法的详细信息，请参阅实施安全规则的方法。

注：运行 Oracle 提供的数据库系统映像的实例还具有防火墙规则，用于控制对实例的访问。确保实例的安全规则和防火墙规则都设置正确。另请参见 Open Ports on the DB System 。

基本连接所需的一般规则

以下各节包含一些常规规则，用于为 VCN 中的主机启用基本连接。

如果使用安全列表实施安全规则，请注意，默认安全列表中默认包含以下规则。更新或替换列表以满足您的特定安全需求。Oracle Cloud Infrastructure 环境中的网络通信正常运行需要两个 ICMP 规则（一般入站规则 2 和 3）。调整常规入站规则 1（SSH 规则）和常规出站规则 1，只允许流量传入和传出需要与 VCN 中的资源通信的主机。

有关默认安全列表的更多信息，请参阅安全列表。

一般入站规则 1：允许 SSH 通信从任何位置进行

无状态：否（所有规则都必须有状态）
源类型： CIDR
源 CIDR：0.0.0.0/0 (IPv4)、：：/0 (IPv6)
IP Protocol（IP 协议）： TCP
源端口范围：全部
目的地端口范围： 22

注：仅当要使用 IPv6 地址连接到 SSH 时，才需要 IPv6 CIDR。

常规入站规则 2：允许路径 MTU 搜索分段消息

此规则允许 VCN 中的主机接收路径 MTU 发现碎片消息。如果无法访问这些消息，则 VCN 中的主机在与 VCN 之外的主机通信时可能会出现问题。

无状态：否（所有规则都必须有状态）
源类型： CIDR
源 CIDR：0.0.0.0/0 (IPv4)、：：/0 (IPv6)
IP 协议： ICMP
类型： 3
代码： 4

常规入站规则 3：允许 VCN 中的连接错误消息

通过此规则，VCN 中的主机可以接收彼此的连接错误消息。

无状态：否（所有规则都必须有状态）
源类型： CIDR
源 CIDR：您的 VCN 的 CIDR
IP 协议： ICMP
类型：全部
代码：全部

一般出站规则 1：允许所有出站流量

无状态：否（所有规则都必须有状态）
目标类型： CIDR
Destination CIDR：0.0.0.0/0 (IPv4)、：：/0 (IPv6)
IP 协议：全部

注意：

IPv6 目标 CIDR 仅用于与 IPv6 网络的传出通信。
可以限制目标 CIDR。

自定义安全规则

以下规则是数据库系统功能所必需的。

注：定制入站规则 1 和 2 仅涵盖从 VCN 内启动的连接。如果您有位于 VCN 外部的客户端，Oracle 建议设置两个其他类似规则，而将源 CIDR 设置为客户端的公共 IP 地址。

定制入站规则 1：允许来自 VCN 的 ONS 和 FAN 流量

建议使用此规则，并允许 Oracle Notification Services (ONS) 通信有关快速应用程序通知 (FAN) 事件。

无状态：否（所有规则都必须有状态）
源类型： CIDR
源 CIDR：IPv4 和 IPv6 VCN 的 CIDR
IP Protocol（IP 协议）： TCP
源端口范围：全部
目的地端口范围： 6200
说明：规则的可选说明。

定制入站规则 2：允许从 VCN 内进行 SQL*NET 流量

此规则适用于 SQL*NET 流量，仅当需要启用到数据库的客户机连接时才需要此规则。

无状态：否（所有规则都必须有状态）
源类型： CIDR
源 CIDR：IPv4 和 IPv6 VCN 的 CIDR
IP Protocol（IP 协议）： TCP
源端口范围：全部
目的地端口范围： 1521
说明：规则的可选说明。

自定义出站规则 1：允许出站 SSH 访问

此规则允许在双节点数据库系统中的节点之间通过 SSH 访问。基本连接所需的一般规则（以及默认安全列表中）中的常规出站规则是多余的。这是可选的，但建议在无意中更改常规规则（或默认安全列表）时使用。

无状态：否（所有规则都必须有状态）
目标类型： CIDR
Destination CIDR：0.0.0.0/0 (IPv4)、：：/0 (IPv6)
IP Protocol（IP 协议）： TCP
源端口范围：全部
目的地端口范围： 22
说明：规则的可选说明。

定制出站规则 2：允许访问 Oracle 服务网络

通过此规则，数据库系统可以与 Oracle 服务（对于具有互联网网关的公共子网）或 Oracle 服务网络进行通信，该网络包括所有 Oracle 服务（对于具有服务网关的专用子网）。基本连接所需的一般规则（以及默认安全列表中）中的常规出站规则是多余的。这是可选的，但建议在无意中更改常规规则（或默认安全列表）时使用。OCI 服务仅与 IPv4 通信。

无状态：否（所有规则都必须有状态）
目标类型：服务
目标服务：
- 使用 IPv4 公共子网（带有 Internet 网关）时，请使用 CIDR 0.0.0.0/0
- 使用 IPv4 专用子网（带有服务网关）时，请使用名为 All *<region>* Services in Oracle Services Network 的 CIDR 标签
IP Protocol（IP 协议）： TCP
源端口范围：全部
目的地端口范围： 443 (HTTPS)
说明：规则的可选说明。

有关联网的更多信息，请参见 Networking Overview 。

实施安全规则的方法

网络服务提供了两种在 VCN 中实施安全规则的方法：

有关安全列表和网络安全组的比较，请参见 Security Rules 。

使用网络安全性组

如果选择使用网络安全组 (NSG)，建议执行以下过程：

为数据库系统创建网络安全组。将以下安全规则添加到该 NSG：
- General Rules Required for Basic Connectivity 中列出的规则。
- 自定义安全规则中列出的规则。
数据库管理员创建数据库系统时，必须选择多个网络组件（例如，要使用的 VCN 和子网）。他们还可以选择使用哪些 NSG 或 NSG。确保他们选择您创建的 NSG。

您可以改为为一般规则创建一个 NSG，为定制规则创建单独的 NSG。然后，当数据库管理员选择要用于数据库系统的 NSG 时，请确保同时选择两个 NSG。

使用安全列表

如果您选择使用安全列表，下面是建议的处理：

将子网配置为使用必需的安全规则：
1. 为子网创建定制安全列表并添加定制安全规则中列出的规则。
2. 将以下两个安全列表与子网关联：
  - VCN 的默认安全列表及其所有默认规则。这会自动随 VCN 提供。
  - 您为子网创建的新定制安全列表
以后，当数据库管理员创建数据库系统时，他们必须选择多个网络组件。当它们选择您已创建和配置的子网时，系统会自动为在子网中创建的计算节点强制实施安全规则。

警告：

请勿从默认安全列表中删除默认出站规则。如果您这样做，请务必在子网的自定义安全列表中包括以下替换出站规则：

无状态：否（所有规则都必须有状态）
目标类型： CIDR
目标 CIDR：0.0.0.0/0
IP 协议：全部