Размещение узлов кластера в сети, физически изолированной от любых публичных сетей. Этот вариант наиболее надежен, но и наиболее дорогостоящий в реализации.

Вот пример настройки NDB кластера, использующего такую физически изолированную сеть:

Рисунок 25.7 NDB кластер с аппаратным файрволом

В этой настройке две сети: одна частная (сплошная рамка) для серверов управления кластером и узлов данных, и одна публичная (пунктирная рамка), где находятся узлы SQL. (Мы показываем подключение узлов управления и данных с помощью коммутатора Gigabit Ethernet, так как это обеспечивает наилучшую производительность.) Обе сети защищены от внешнего доступа аппаратным файрволом, иногда также известным как сетевой файрвол.

Эта сетевая конфигурация является наиболее безопасной, поскольку пакеты не могут достичь узлов управления или данных кластера извне сети — и никакая внутренняя коммуникация кластера не может выйти наружу — без прохождения через узлы SQL, при условии, что узлы SQL не разрешают передачу пакетов. Это, конечно, означает, что все узлы SQL должны быть защищены от попыток взлома.

Использование одного или нескольких программных файрволов (также известных как файрволы на основе хоста) для управления тем, какие пакеты проходят в кластер из частей сети, которым нет необходимости в доступе к нему. В этом типе настройки программный файрвол должен быть установлен на каждом хосте в кластере, который может быть доступен извне локальной сети.

Вариант на основе хоста является наименее дорогим в реализации, но полностью полагается на программное обеспечение для обеспечения защиты, поэтому его сложнее поддерживать в безопасном состоянии.

Настройка сети такого типа для NDB кластера показана здесь:

Рисунок 25.8 NDB кластер с программными файрволами

Использование этой конфигурации сети означает, что есть две зоны узлов NDB кластера. Каждый узел кластера должен иметь возможность обмениваться данными со всеми другими машинами в кластере, но только хосты, на которых работают узлы SQL (пунктирная рамка), могут иметь контакт с внешним миром, в то время как хосты, содержащие узлы данных и управления (сплошная рамка), должны быть изолированы от машин, которые не являются частью кластера. Приложения, использующие кластер, и пользователи этих приложений не должны иметь прямого доступа к хостам управления и узлам данных.

Для достижения этого необходимо настроить программные файрволы, ограничивающие трафик до типов, показанных в следующей таблице, в зависимости от типа узла, работающего на каждом компьютере кластера:

Любой трафик, не показанный в таблице для данного типа узла, должен быть заблокирован.

Конкретные методы настройки файрвола зависят от конкретного приложения и выходят за рамки этого руководства. iptables — очень распространенное и надежное приложение файрвола, которое часто используется с APF для упрощения настройки. В случае реализации настройки сети NDB кластера такого типа или типа «смешанной» (как обсуждается в следующем пункте), необходимо (и нужно) обратиться к документации используемого вами программного обеспечения файрвола.

Также можно использовать комбинацию первых двух методов, применяя и аппаратные, и программные средства защиты кластера — то есть, использовать и сетевые, и файрволы на основе хостов. Это находится между первыми двумя схемами по уровню безопасности и стоимости.

Возможная сетевая реализация NDB кластера с комбинированными аппаратными и программными файрволами показана здесь:

Рисунок 25.9 NDB кластер с комбинированными аппаратными и программными файрволами

В этом случае вы можете установить правила в аппаратном файрволе, чтобы запрещать весь внешний трафик, кроме трафика к узлам SQL и API, а затем разрешать трафик к ним только по необходимым портам вашего приложения.