ApsaraDB RDS：Konfigurasikan daftar putih alamat IP

Prosedur

1. Buka daftar instans RDS, pilih wilayah di bagian atas, lalu klik ID instans yang dituju.

2. Di panel navigasi kiri, klik Whitelist And SecGroup.

3. Konfirmasi mode daftar putih alamat IP.

   Catatan

   Instans yang menjalankan MySQL 5.5, 5.6, atau 5.7 dan menggunakan SSD lokal dapat dialihkan ke mode enhanced security. Instans lain menggunakan mode standar.

4. Klik Modify di sebelah kanan grup default, lalu tambahkan alamat IP ke daftar putih dalam kotak dialog yang muncul.

   Catatan

   • Jika diperlukan, Anda juga dapat mengklik Create Whitelist dan tentukan nama grup kustom.

   • Grup hanya digunakan untuk manajemen alamat IP dan tidak memengaruhi izin akses aktual. Alamat IP di semua grup memiliki izin akses yang sama terhadap instans RDS.

   • Metode 1: Tambahkan alamat IP server aplikasi Anda ke bidang IP Addresses. Untuk melihat alamat IP server aplikasi Anda, lihat Lampiran: Cara mendapatkan alamat IP. Anda juga dapat mengklik Load Local Public IP Address (If there is a network proxy on your PC, please turn it off first) untuk langsung menambahkan alamat IP publik komputer Anda.

     Catatan

     • Jika Anda menambahkan beberapa alamat IP dan blok CIDR ke daftar putih alamat IP, pisahkan alamat IP atau blok CIDR tersebut dengan koma (,). Jangan tambahkan spasi sebelum atau sesudah koma.

     • Anda dapat menambahkan maksimal 1.000 alamat IP dan blok CIDR secara total untuk setiap instans RDS. Jika ingin menambahkan banyak alamat IP, kami menyarankan Anda menggabungkan alamat IP tersebut menjadi blok CIDR, seperti 10.10.10.0/24.

     • Jika mode daftar putih adalah enhanced security mode, perhatikan hal berikut:

       • Tambahkan alamat IP publik ke grup Classic Network.

       • Tambahkan alamat IP pribadi instans ECS di VPC ke grup VPC.

   • Metode 2: Klik Add Internal IP Address of ECS Instance untuk menampilkan alamat IP semua instans ECS yang termasuk dalam Akun Alibaba Cloud Anda di wilayah saat ini. Anda dapat dengan cepat menambahkan alamat IP tersebut ke daftar putih.

   Server tempat aplikasi Anda dideploy hanya dapat mengakses instans RDS setelah Anda menambahkan alamat IP server tersebut ke daftar putih alamat IP instans RDS.

5. Klik OK.

Langkah selanjutnya

Hubungkan ke instans ApsaraDB RDS for MySQL menggunakan command line atau client

Referensi

• API: ModifySecurityIps

• API: DescribeDBInstanceIPArrayList

• Untuk engine lain, lihat berikut ini:

  • Konfigurasikan daftar putih alamat IP untuk instans ApsaraDB RDS for SQL Server

  • Konfigurasikan daftar putih alamat IP untuk instans ApsaraDB RDS for PostgreSQL

  • Konfigurasikan daftar putih alamat IP untuk instans ApsaraDB RDS for MariaDB

FAQ

• Q: Mengapa alamat IP yang tidak ditambahkan ke daftar putih dapat mengakses instans RDS saya?

  A: Anda dapat melakukan troubleshooting dengan metode berikut:

  • Periksa semua grup daftar putih untuk melihat apakah mencakup 0.0.0.0/0. Alamat IP 0.0.0.0/0 menunjukkan bahwa semua alamat IP diizinkan mengakses instans RDS. Hal ini menimbulkan risiko keamanan. Kami menyarankan Anda menghapus alamat IP ini dan hanya menambahkan alamat IP tepercaya.

  • Periksa semua security group untuk melihat apakah mencakup alamat IP tersebut. Jika security group mencakup alamat IP tersebut, maka alamat IP tersebut dapat digunakan untuk mengakses instans RDS.

• Q: Bagaimana cara mengakses instans RDS dari komputer saya tanpa mengaktifkan akses Internet?

  A: Anda perlu membuat koneksi jaringan internal. Untuk informasi selengkapnya, lihat Hubungkan VPC ke data center on-premises, terminal kantor, atau cloud lainnya.

• Q: Alamat IP aplikasi saya sering berubah dan tidak tetap. Bagaimana cara mengonfigurasi daftar putih untuk database RDS saya dalam kasus ini?

  A: Jika Anda tidak memiliki alamat IP tetap, Anda tidak boleh menetapkan 0.0.0.0/0 (yang mengizinkan semua alamat IP mengakses instans RDS, tidak disarankan karena alasan keamanan). Kami menyarankan Anda menggunakan kontrol akses berbasis identitas daripada kontrol akses berbasis IP. Misalnya, Anda dapat menggunakan metode berikut:

  • Gunakan layanan DNS dinamis: Dapatkan nama domain untuk alamat IP dinamis melalui layanan DNS dinamis, lalu tambahkan nama domain tersebut atau alamat IP hasil resolusinya ke daftar putih database.

  • Siapkan reverse proxy atau Server Load Balancer: Teruskan semua permintaan aplikasi pengguna ke database melalui server reverse proxy atau Server Load Balancer, lalu tambahkan hanya alamat IP tetap server proxy ke daftar putih database.

  • Perbarui daftar putih secara berkala: Untuk alamat IP yang berubah dalam rentang tertentu (seperti alamat IP broadband rumahan yang diberikan oleh ISP), dapatkan alamat IP tersebut secara berkala dan perbarui di daftar putih.

• Q: Mengapa saya menerima error InvalidSecurityIPListLength.Malformed saat menambahkan daftar putih melalui konsol RDS?

  Deskripsi masalah

  Saat menambahkan daftar putih melalui konsol RDS, Anda mungkin mengalami error berikut:

  Error code: InvalidSecurityIPListLength.Malformed
  Error message: The security IP address is not in the available range or is occupied.

  Solusi

  • Penyebab 1: Satu grup daftar putih mendukung maksimal 1.000 alamat IP/blok CIDR, dan alamat IP baru melebihi batas ini.

    Solusi: Pastikan jumlah alamat IP atau blok CIDR dalam satu grup daftar putih tidak melebihi 1.000. Kami menyarankan Anda menggabungkan alamat IP yang tersebar ke dalam format CIDR (seperti 192.168.1.0/24) untuk mengurangi jumlah entri.

  • Penyebab 2: Daftar putih alamat IP berisi alamat yang tidak valid.

    Solusi: Pastikan alamat IP yang Anda masukkan valid. Kami menyarankan Anda menggunakan format CIDR standar (seperti 10.23.12.0/24) dengan rentang mask 1 hingga 32. Untuk menambahkan beberapa alamat IP, pisahkan dengan koma (,).

  • Penyebab 3: Terjadi konflik dengan entri daftar putih yang sudah ada. Misalnya, di ApsaraDB RDS for MySQL, 192.168.1.8 bertentangan dengan 192.168.1.1/8.

    Solusi: Rencanakan dan tambahkan entri daftar putih secara tepat sesuai kebutuhan aktual Anda untuk menghindari tumpang tindih atau konflik dengan aturan yang sudah ada.

  Catatan

  Jangan hapus grup default default, yang berisi 127.0.0.1, dan jangan ubah grup sistem seperti ali_dms_group atau hdm_security_ips, agar tidak memengaruhi fungsionalitas sistem atau keamanan koneksi.

Lampiran: Periksa apakah aplikasi Anda dapat terhubung ke instans RDS melalui jaringan internal

1. Lihat wilayah dan jenis jaringan instans ECS tempat aplikasi Anda dideploy. Untuk informasi selengkapnya, lihat Persiapan untuk menggunakan ApsaraDB RDS.

2. Lihat wilayah dan jenis jaringan instans RDS.

   Login ke konsol ApsaraDB RDS dan buka halaman Instances. Di bilah navigasi atas, pilih wilayah tempat instans RDS berada. Lalu, temukan instans RDS tersebut dan klik ID instansnya. Di halaman yang muncul, Anda dapat melihat wilayah, jenis jaringan, dan ID VPC instans RDS.

3. Periksa apakah instans ECS dan instans RDS memenuhi kondisi berikut untuk komunikasi melalui jaringan internal:

   1. Instans ECS dan instans RDS berada di wilayah yang sama.

   2. Instans ECS dan instans RDS berada di jenis jaringan yang sama. Jika instans ECS dan instans RDS keduanya berada di VPC, kedua instans tersebut berada di VPC yang sama.

   Catatan

   Jika salah satu kondisi di atas tidak terpenuhi, instans ECS tidak dapat berkomunikasi dengan instans RDS melalui jaringan internal.

Lampiran: Cara mendapatkan alamat IP

Lampiran: Daftar putih sistem

Saat layanan DMS, DTS, dan DAS berinteraksi dengan ApsaraDB RDS for MySQL, sistem secara otomatis menambahkan grup daftar putih berikut untuk memastikan akses normal.