Поддержание узлов кластера в сети, физически изолированной от любых общедоступных сетей. Этот вариант наиболее надежный, но и самый дорогостоящий в реализации.

Здесь показан пример настройки кластера NDB с использованием физически изолированной сети:

Рисунок 21.9 Кластер NDB с аппаратным брандмауэром

Эта настройка имеет две сети: одну частную (сплошная рамка) для серверов управления кластером и узлов данных и одну общедоступную (пунктирная рамка), где находятся узлы SQL. (Мы показываем соединение узлов управления и данных с помощью гигабитного коммутатора, поскольку это обеспечивает наилучшую производительность.) Обе сети защищены от внешнего доступа аппаратным брандмауэром, иногда также известным как сетевой брандмауэр.

Эта сетевая настройка является самой безопасной, так как пакеты не могут достичь узлов управления или данных кластера извне сети — и ни одна внутренняя коммуникация кластера не может выйти наружу — без прохождения через узлы SQL, если только узлы SQL не разрешают пересылку пакетов. Это означает, конечно, что все узлы SQL должны быть защищены от попыток взлома.

Использование одного или нескольких программных брандмауэров (также известных как брандмауэры на основе хоста) для управления пакетами, проходящими в кластер из частей сети, которым нет необходимости в доступе к нему. В этом типе настройки программный брандмауэр должен быть установлен на каждом хосте в кластере, который в противном случае может быть доступен извне локальной сети.

Вариант на основе хоста является наименее дорогостоящим в реализации, но полностью полагается на программное обеспечение для защиты, поэтому его труднее поддерживать в безопасности.

Эта сетевая настройка для кластера NDB показана здесь:

Рисунок 21.10 Кластер NDB с программными брандмауэрами

Использование этого типа сетевой настройки означает, что существуют две зоны узлов кластера NDB. Каждый узел кластера должен иметь возможность обмениваться данными со всеми другими машинами в кластере, но только узлы, на которых размещаются узлы SQL (пунктирная рамка), могут иметь какое-либо взаимодействие с внешним миром, в то время как узлы в зоне, содержащей узлы данных и управления (сплошная рамка), должны быть изолированы от любых машин, которые не являются частью кластера. Приложения, использующие кластер, и пользователи этих приложений не должны иметь прямого доступа к узлам управления и данных.

Для достижения этого необходимо настроить программные брандмауэры, ограничивающие трафик до типов, показанных в следующей таблице, в зависимости от типа узла, который работает на каждом компьютере кластера:

Любой трафик, не соответствующий указанному в таблице для данного типа узла, должен быть заблокирован.

Конкретные настройки брандмауэра зависят от используемого приложения брандмауэра и выходят за рамки данного руководства. iptables — очень распространенное и надежное приложение брандмауэра, которое часто используется с APF в качестве переднего плана для упрощения конфигурации. Вы можете (и должны) обратиться к документации используемого программного брандмауэра, если вы решите реализовать настройку сети кластера NDB этого типа или «смешанного» типа, как обсуждалось в следующей статье.

Также можно использовать сочетание первых двух методов, применяя как аппаратные, так и программные средства для защиты кластера — то есть, используя как сетевые, так и брандмауэры на основе хоста. Это находится посередине между первыми двумя схемами по уровню безопасности и стоимости.

Возможная сетевая реализация кластера NDB с комбинированными аппаратным и программным брандмауэрами показана здесь:

Рисунок 21.11 Кластер NDB с комбинированным аппаратным и программным брандмауэрами

В этом случае вы можете настроить правила в аппаратном брандмауэре, чтобы запретить любой внешний трафик, кроме трафика к узлам SQL и API, и затем разрешить трафик только на необходимых портах.