O ApsaraDB RDS oferece suporte a diversos métodos de isolamento de rede para controlar quais clientes podem acessar sua instância de banco de dados. A abordagem mais adequada depende de onde sua aplicação está em relação à instância RDS.
Visão geral das opções de acesso
|
Cenário de acesso |
Método recomendado |
Nível de segurança |
|
Aplicação e instância RDS na mesma VPC |
Acesso privado via VPC (padrão) |
Mais alto |
|
Aplicação em um data center local |
VPC + linha dedicada ou VPN |
Alto |
|
Aplicação acessando RDS pela Internet |
Endpoint público |
Não recomendado |
VPC
Uma VPC (virtual private cloud) é uma rede privada logicamente isolada. O tráfego dentro de uma VPC é isolado na camada de rede por meio de protocolos de rede subjacentes, portanto apenas recursos dentro da VPC conseguem alcançar sua instância RDS por padrão.
Para conectar um data center local à mesma VPC, use uma das seguintes opções:
Linha dedicada: conexão física exclusiva para alto throughput e baixa latência
VPN: opção econômica para conectar-se via Internet com criptografia
Ambas as opções permitem que os servidores do data center e as instâncias ECS acessem a instância RDS simultaneamente. Caso o data center use intervalos de endereços IP sobrepostos, utilize o bloco CIDR personalizado da instância RDS na VPC para resolver conflitos de endereços IP.
Para um controle de acesso mais rigoroso, combine o isolamento de VPC com listas de permissões de endereços IP. A lista de permissões de endereços IP se aplica a todas as conexões — tanto privadas quanto públicas — e permite restringir o acesso a endereços IP ou blocos CIDR específicos.
Para mais informações, consulte What is a VPC?
Endpoint público
Por padrão, uma instância RDS hospedada em uma VPC não possui endereço IP público e não pode ser acessada pela Internet. Solicite um endpoint público somente quando seu cliente precisar se conectar de fora da VPC, como a partir de:
Endereços IP elásticos (EIPs) de instâncias ECS
O egresso de Internet do seu data center
Um endpoint público expõe sua instância RDS à Internet. Configure uma lista de permissões de endereços IP antes de ativar um endpoint público para garantir que apenas endereços IP conhecidos possam se conectar.
Expor um banco de dados na Internet aumenta significativamente sua superfície de ataque. Se o seu caso de uso permitir, conecte-se por meio de uma VPC com linha dedicada ou VPN.
Para ver as etapas necessárias para ativar um endpoint público, consulte Apply for or release a public endpoint for an ApsaraDB RDS for MySQL instance.