ApsaraDB RDS:Configure an IP address whitelist

Pré-requisitos

Você criou um {{XREF_0}}.

Procedimento

1. Abra a lista de instâncias RDS, selecione uma região na parte superior e clique no ID da instância desejada.

2. No painel de navegação à esquerda, clique em Whitelist and SecGroup.

3. Confirme o modo da lista de permissões de endereços IP.

   Nota

   Instâncias que executam MySQL 5.5, 5.6 ou 5.7 e utilizam SSDs locais premium podem ser alternadas para o modo de alta segurança. Instâncias com outras versões ou tipos de armazenamento usam o modo geral.

4. À direita do grupo default, clique em Modify. Na caixa de diálogo exibida, adicione endereços IP à lista de permissões.

   Nota

   • Se necessário, você também pode clicar em Create Whitelist e especificar um nome de grupo personalizado.

   • Os grupos servem apenas para gerenciar endereços IP e não afetam as permissões reais de acesso. Os endereços IP de todos os grupos possuem as mesmas permissões de acesso à instância RDS.

   • Método 1: Adicione o endereço IP do servidor de aplicação no campo IP Addresses. Para visualizar o endereço IP do servidor de aplicação, consulte {{XREF_3}}. Você também pode clicar em Load Local Public IP Address (If there is a network proxy on your PC, please turn it off first) para adicionar diretamente o endereço IP público do seu dispositivo local.

     Nota

     • Separe vários endereços IP com vírgulas (,), sem adicionar espaços antes ou depois das vírgulas.

     • É possível adicionar até 1.000 endereços IP ou blocos CIDR a uma única instância. Se você tiver muitos endereços IP, agrupe-os em blocos CIDR, por exemplo, 10.10.10.0/24.

     • Caso o modo da lista de permissões seja o modo de alta segurança, observe o seguinte:

       • Adicione os endereços IP públicos ao grupo Classic Network.

       • Adicione os endereços IP privados das instâncias ECS nas VPCs ao grupo VPC.

   • Método 2: Clique em Load ECS private IP para exibir os endereços IP de todas as instâncias ECS na conta Alibaba Cloud e região atuais. Assim, você pode adicionar rapidamente os endereços IP privados das instâncias ECS à lista de permissões. Na caixa de transferência Whitelist Within Group, mova os endereços IP desejados para a lista Configured à direita e clique em OK para adicionar as entradas à lista de permissões.

   Nota

   Os endereços IP que devem ser adicionados à lista de permissões variam conforme o recurso de computação que acessa o RDS. Selecione o método correspondente à sua situação:

   • Simple Application Server: Obtenha o endereço IP privado do Simple Application Server e adicione-o à lista de permissões do RDS.

   • Cluster ACK Serverless: Por padrão, os pods acessam a Internet por meio de um gateway NAT. Adicione o endereço IP público de saída do gateway NAT (visível nas entradas SNAT do console do gateway NAT) à lista de permissões do RDS, em vez do bloco CIDR privado do cluster.

   • EMR e outros clusters com endereços IP dinâmicos: Como os endereços IP de origem mudam dinamicamente, configure a lista de permissões por bloco CIDR (no formato CIDR, como 10.0.0.0/16) para cobrir o intervalo possível de endereços IP e evitar falhas de acesso causadas por alterações de IP.

   • Conectividade ECS/VPC entre contas: Independentemente de o acesso ser entre contas, se a conectividade ocorrer por uma rede privada, como Cloud Enterprise Network (CEN) ou VPC peering, adicione o endereço IP privado da instância ECS do lado da aplicação à lista de permissões do RDS.

   Após adicionar o endereço IP, o servidor de aplicação poderá acessar a instância RDS.

5. Clique em OK.

Melhores práticas e recomendações de segurança

• Segurança no acesso à rede pública: Habilitar um endpoint público gera riscos de segurança. Restrinja rigorosamente a lista de permissões aos endereços IP públicos necessários para o seu negócio e evite usar 0.0.0.0/0 para permitir todos os IPs. Ao detectar uma conexão de um endereço IP inesperado, verifique se ela provém de um host legítimo ou se há alguma transação de longa duração não liberada. Se o host não for legítimo, modifique imediatamente a política da lista de permissões.

• Proteção contra ataques de força bruta: Utilize primeiramente uma lista de permissões de endereços IP para restringir o acesso a IPs confiáveis. Isso reduz tentativas de conexão não autorizadas na origem. Além disso, use criptografia SSL e políticas de complexidade de senha para aumentar a segurança.

• Configuração de blocos CIDR de VPC: Ao adicionar um bloco CIDR de VPC amplo (como 172.16.0.0/12) à lista de permissões, todos os endereços IP desse bloco poderão acessar o RDS. Não é necessário adicionar blocos CIDR de vSwitch separadamente. Para seguir o princípio do menor privilégio, remova o bloco CIDR amplo e especifique os endereços IP privados de instâncias ECS específicas.

• Configuração separada de redes interna e externa: Para manter o acesso pela rede privada irrestrito e permitir apenas endereços IP públicos específicos, adicione o bloco CIDR privado da VPC ao grupo da lista de permissões de rede privada e os endereços IP públicos especificados ao grupo da lista de permissões de rede pública.

Próximos passos

{{XREF_4}}

Referências

• API: {{XREF_5}}

• API: {{XREF_6}}

• Para outros mecanismos de banco de dados, consulte:

  • {{XREF_7}}

  • {{XREF_8}}

  • {{XREF_9}}

FAQ

• P: Por que endereços IP que não estão na lista de permissões ainda conseguem acessar o RDS?

  R: Verifique os seguintes itens:

  • Revise todos os grupos da lista de permissões para confirmar se incluem 0.0.0.0/0. O valor 0.0.0.0/0 permite que todos os endereços IP acessem o RDS, o que representa um risco de segurança. Exclua essa entrada e permita apenas endereços IP confiáveis.

  • Verifique todos os grupos de segurança para confirmar se incluem o endereço IP em questão. Se um grupo de segurança contiver o endereço IP, ele poderá acessar o RDS.

• P: Como posso acessar o RDS pelo meu computador sem habilitar o acesso à Internet?

  R: Estabeleça uma conexão de rede privada. Para mais detalhes, consulte {{XREF_10}}.

Error code: InvalidSecurityIPListLength.Malformed
Error message (Chinese): The security IP address is not in the available range or is already occupied.
Error message (English): The security ip address is not in the available range or occupied.

• P: O endereço IP da minha aplicação muda constantemente e não possuo um IP fixo. Como devo configurar a lista de permissões para o banco de dados RDS?

  R: Se você não tem um endereço IP fixo, não defina 0.0.0.0/0 (que permite o acesso de todos os IPs ao RDS e não é recomendado por motivos de segurança). Opte por controle de acesso baseado em identidade em vez de controle baseado em IP. Utilize, por exemplo, os seguintes métodos:

  • Utilizar um serviço de DNS dinâmico: Use DNS dinâmico para obter o nome de domínio correspondente ao endereço IP dinâmico e adicione esse nome de domínio ou seu endereço IP resolvido à lista de permissões do banco de dados.

  • Configurar um proxy reverso ou balanceador de carga: Encaminhe todas as requisições da aplicação do lado do usuário para o banco de dados através de um servidor proxy reverso ou balanceador de carga, e adicione apenas o endereço IP fixo do servidor proxy à lista de permissões do banco de dados.

  • Atualizar a lista de permissões regularmente: Caso os endereços IP mudem dentro de um determinado intervalo (como IPs de banda larga residencial atribuídos por um provedor), obtenha esses endereços periodicamente e atualize a lista de permissões.

• P: Por que a adição de uma lista de permissões no console RDS retorna o erro InvalidSecurityIPListLength.Malformed?

  Error code: InvalidSecurityIPListLength.Malformed
  Error message (Chinese): The security IP address is not in the available range or is already occupied.
  Error message (English): The security ip address is not in the available range or occupied.

  Solution

  Issue description

  Ao adicionar uma lista de permissões no console RDS, o seguinte erro pode ocorrer:

  Error code: InvalidSecurityIPListLength.Malformed
  Error message (Chinese): The security IP address is not in the available range or is already occupied.
  Error message (English): The security ip address is not in the available range or occupied.

  Solution

  • Causa 1: Um único grupo da lista de permissões suporta no máximo 1.000 endereços IP ou blocos CIDR, e os novos endereços IP adicionados excedem esse limite.

    Solução: Garanta que um único grupo da lista de permissões não contenha mais de 1.000 endereços IP ou blocos CIDR. Agrupe endereços IP individuais em blocos CIDR (como 192.168.1.0/24) para reduzir o número de entradas.

  • Causa 2: A lista de permissões de endereços IP adicionada contém endereços inválidos.

    Solução: Certifique-se de que os endereços IP inseridos sejam válidos. Utilize o formato CIDR padrão (como 10.23.12.0/24), com máscara no intervalo de 1 a 32. Para adicionar múltiplos endereços IP, separe-os por vírgulas (,).

  • Causa 3: A lista de permissões adicionada entra em conflito com uma lista existente. Por exemplo, no RDS MySQL, 192.168.1.8 entra em conflito com 192.168.1.1/8.

    Solução: Planeje e adicione entradas na lista de permissões com base nas suas necessidades reais para evitar sobreposições ou conflitos com regras existentes.

  Nota

  Não exclua o grupo padrão default (que contém 127.0.0.1) e não modifique grupos do sistema (como ali_dms_group ou hdm_security_ips) para evitar impactos nas funções do sistema ou na segurança da conexão.

Apêndice: Verificar se a aplicação consegue conectar-se à instância RDS via rede interna

1. Visualize a região e o tipo de rede da instância ECS onde sua aplicação está implantada. Para mais informações, consulte {{XREF_11}}.

2. Visualize a região e o tipo de rede da instância RDS.

   Faça login no console ApsaraDB RDS e acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS está localizada. Em seguida, localize a instância RDS e clique no seu ID. Na página exibida, visualize a região, o tipo de rede e o ID da VPC da instância RDS.

3. Verifique se a instância ECS e a instância RDS atendem às seguintes condições para comunicação via rede interna:

   1. A instância ECS e a instância RDS residem na mesma região.

   2. A instância ECS e a instância RDS residem no mesmo tipo de rede. Se ambas estiverem em VPCs, elas devem residir na mesma VPC.

   Nota

   Se qualquer uma das condições acima não for atendida, a instância ECS não conseguirá se comunicar com a instância RDS via rede interna.

Apêndice: Como obter endereços IP do servidor de aplicação

Apêndice: Listas de permissões padrão do sistema

Quando os serviços DMS, DTS e DAS interagem com o RDS MySQL, o sistema adiciona automaticamente os seguintes grupos à lista de permissões para garantir o acesso normal.