ApsaraDB RDS admite varios métodos de aislamiento de red para controlar qué clientes pueden alcanzar su instancia de base de datos. El enfoque adecuado depende de dónde se ejecute su aplicación respecto a la instancia de RDS.
Opciones de acceso en resumen
|
Escenario de acceso |
Método recomendado |
Nivel de seguridad |
|
La aplicación y la instancia de RDS están en la misma VPC |
Acceso privado por VPC (predeterminado) |
Máximo |
|
La aplicación está en un centro de datos local |
VPC con línea dedicada o VPN |
Alto |
|
La aplicación accede a RDS desde Internet |
Endpoint público |
No recomendado |
VPC
Una nube privada virtual (VPC) es una red privada aislada de forma lógica. El tráfico dentro de una VPC se aísla en la capa de red mediante protocolos de red subyacentes, por lo que, de manera predeterminada, solo los recursos dentro de la VPC pueden alcanzar su instancia de RDS.
Para conectar un centro de datos local a la misma VPC, utilice una de a continuación opciones:
Línea dedicada: conexión física exclusiva que ofrece alto throughput y baja latencia.
VPN: opción rentable para conectarse a través de Internet con cifrado.
Ambas opciones permiten que los servidores del centro de datos y las instancias de ECS accedan a la instancia de RDS de forma simultánea. Si el centro de datos utiliza rangos de direcciones IP superpuestos, use el bloque CIDR personalizado de la instancia de RDS en la VPC para resolver los conflictos de direcciones IP.
Para reforzar el control de acceso, combine el aislamiento de la VPC con listas de permitidos de direcciones IP. Esta lista se aplica a todas las conexiones, tanto privadas como públicas, y le permite restringir el acceso a direcciones IP o bloques CIDR específicos.
Para obtener más información, consulte What is a VPC?.
Endpoint público
De forma predeterminada, una instancia de RDS alojada en una VPC no tiene dirección IP pública ni puede recibir conexiones desde Internet. Solicite un endpoint público únicamente cuando el cliente deba conectarse desde fuera de la VPC, por ejemplo, desde:
Direcciones IP elásticas (EIP) de ECS.
La salida a Internet de su centro de datos.
Un endpoint público expone su instancia de RDS a Internet. Configure una lista de permitidos de direcciones IP antes de habilite el endpoint público para garantizar que solo las direcciones IP conocidas puedan conectarse.
Exponer una base de datos en Internet aumenta significativamente su superficie de ataque. Si su caso de uso lo permite, conéctese a través de una VPC con una línea dedicada o una VPN.
Para conocer los pasos necesarios para habilite un endpoint público, consulte Apply for or versión a public endpoint for an ApsaraDB RDS for MySQL instance.