資料庫系統的安全規則

本文列出與資料庫系統搭配使用的安全規則。安全規則控制了資料庫系統運算節點內外允許的流量類型。

如需有關安全規則的詳細資訊，請參閱安全規則。如需有關實行這些規則之不同方式的詳細資訊，請參閱實行安全規則的方法。

注意：執行 Oracle 提供之資料庫系統映像檔的執行處理，也有控制執行處理存取的防火牆規則。請確定已正確設定執行處理的安全規則和防火牆規則。另請參閱開啟資料庫系統上的連接埠。

基本連線必要的一般規則

下列各節有數個一般規則，可對 VCN 中的主機啟用必要的連線。

如果您使用安全清單來實行安全規則，請注意預設安全清單中會包括下列規則。更新或取代清單，以符合您的特定安全需求。若要在 Oracle Cloud Infrastructure 環境中正確運作網路流量，則需要兩個 ICMP 規則 (一般輸入規則 2 和 3)。調整一般傳入規則 1 (SSH 規則) 和一般傳出規則 1，只允許來自需要與 VCN 中資源通訊之主機的流量。

如需有關預設安全清單的詳細資訊，請參閱安全清單。

一般傳入規則 1：允許來自任何位置的 SSH 流量

注意：只有當您要使用 IPv6 位址連線 SSH 時，才需要使用 IPv6 CIDR。

一般傳入規則 2：允許路徑 MTU 尋找片段訊息

此規則可讓 VCN 中的主機接收「路徑 MTU 尋找」片段訊息。若未存取這些訊息，VCN 中的主機可能會與 VCN 以外的主機進行通訊時發生問題。

一般傳入規則 3：允許 VCN 中的連線錯誤訊息

此規則可讓 VCN 中的主機相互接收連線錯誤訊息。

一般傳出規則 1：允許所有傳出流量

備註：

自訂安全性規則

資料庫系統的功能必須符合下列規則。

注意：自訂輸入規則 1 和 2 僅涵蓋從 VCN 起始的連線。如果您有位於 VCN 外部的從屬端，Oracle 建議您設定兩個其他相似規則，而不要將來源 CIDR 設為從屬端的公用 IP 位址。

自訂傳入規則 1：允許來自 VCN 中的 ONS 和 FAN 流量

建議使用此規則，讓 Oracle Notification Services (ONS) 能夠與「快速應用程式通知 (FAN)」事件進行通訊。

自訂傳入規則 2：允許來自 VCN 中的 SQL*NET 流量

此規則適用於 SQL*NET 流量，只有在需要啟用資料庫的從屬端連線時才需要此規則。

自訂傳出規則 1：允許外送 SSH 存取

此規則可啟用雙節點資料庫系統中節點之間的 SSH 存取。此規則備援基本連線所需的一般規則 (和預設安全清單中) 中的一般傳出規則。這是選擇性的，但建議您在不小心變更一般規則 (或預設安全清單) 時使用。

自訂傳出規則 2：允許存取 Oracle Services Network

此規則可讓資料庫系統與 Oracle 服務 (針對具有網際網路閘道的公用子網路) 通訊，或與包含所有 Oracle 服務 (針對具有服務閘道的專用子網路) 的 Oracle Services Network 通訊。此規則備援基本連線所需的一般規則 (和預設安全清單中) 中的一般傳出規則。這是選擇性的，但建議您在不小心變更一般規則 (或預設安全清單) 時使用。OCI 服務僅與 IPv4 通訊。

如需網路的更多資訊，請參閱 Networking Overview 。

實行安全規則的方式

網路服務提供兩種在 VCN 內實作安全規則的方式：

如需安全清單和網路安全群組的比較，請參閱安全規則。

使用網路安全性群組

如果您選擇使用網路安全群組 (NSG)，建議在此處理：

  1. 建立資料庫系統的網路安全群組。將下列安全規則新增至該 NSG：
    • 基本連線所需的一般規則中所列的規則。
    • 自訂安全規則中所列的規則。
  2. 資料庫管理員建立資料庫系統時，必須選擇數個網路元件 (例如，要使用哪個 VCN 和子網路)。他們也可以選擇要使用的 NSG 或 NSG。請確定他們選擇您建立的 NSG。

您可以改為為為一般規則建立一個 NSG，並為自訂規則建立個別 NSG。當資料庫管理員選擇資料庫系統要使用的 NSG 時，請確定他們選擇這兩個 NSG。

使用安全清單

若您選擇使用安全性清單，建議您進行下列處理程序：

  1. 設定讓子網路使用所需的安全規則：

    1. 建立子網路的自訂安全清單，並新增自訂安全規則中所列的規則。
    2. 將下列兩個安全清單與子網路建立關聯：
      • VCN 的預設安全清單及其所有預設規則。VCN 會自動提供此功能。
      • 您為子網路建立的新自訂安全清單

  2. 之後，當資料庫管理員建立資料庫系統時，他們必須選擇數個網路元件。當他們選取您已建立並設定的子網路時，系統會自動對在子網路中建立的運算節點強制實行安全規則。

注意：

請勿從預設安全清單移除預設輸出規則。如果這麼做，請務必將下列取代輸出規則包含在子網路的自訂安全清單中：