将集群节点保持在物理上与任何公共网络分开的网络上。这个选项是最可靠的；但是，它的实施成本最高。

我们在这里展示了一个使用这种物理隔离网络的 NDB Cluster 设置示例：

图 21.9 带有硬件防火墙的 NDB Cluster

此设置有两个网络，一个用于集群管理服务器和数据节点的专用网络（实线框），以及一个用于 SQL 节点所在的公共网络（虚线框）。（我们展示了使用千兆交换机连接的管理和数据节点，因为这提供了最佳性能。）两个网络都受到硬件防火墙的保护，有时也称为基于网络的防火墙。

这种网络设置是最安全的，因为没有数据包可以从网络外部到达集群的管理节点或数据节点——并且集群的任何内部通信都无法到达外部——如果不通过 SQL 节点，只要 SQL 节点不允许任何要转发的数据包。当然，这意味着必须保护所有 SQL 节点免受黑客攻击。

使用一个或多个软件防火墙（也称为 基于主机的防火墙）来控制哪些数据包从不需要访问它的网络部分传递到集群。在这种类型的设置中，必须在集群中的每台主机上安装软件防火墙，否则可以从本地网络外部访问这些主机。

基于主机的选项实施成本最低，但完全依赖软件提供保护，因此最难保证安全。

NDB Cluster 的这种类型的网络设置如下所示：

图 21.10 带有软件防火墙的 NDB Cluster

使用这种类型的网络设置意味着 NDB Cluster 主机有两个区域。每个集群主机都必须能够与集群中的所有其他机器通信，但只有那些托管 SQL 节点（虚线框）的机器才可以与外界进行任何联系，而那些在包含数据节点和管理的区域中节点（实心框）必须与不属于集群的任何机器隔离。不得允许使用集群的应用程序和这些应用程序的用户 直接访问管理和数据节点主机。

为此，您必须设置软件防火墙，根据每个集群主机上运行的节点类型，将流量限制为下表所示的一种或多种类型：

对于给定节点类型，表中显示的流量以外的任何流量都应被拒绝。

配置防火墙的细节因防火墙应用程序而异，超出了本手册的范围。iptables是一种非常常见且可靠的防火墙应用程序，它通常与APF一起用作前端以简化配置。如果您选择实施这种类型的 NDB Cluster 网络设置，或者下一项讨论的“混合”类型，您可以（并且应该）查阅您使用的软件防火墙的文档。

也可以结合使用前两种方法，使用硬件和软件来保护集群——也就是说，同时使用基于网络和基于主机的防火墙。这在安全级别和成本方面都介于前两种方案之间。这种类型的网络设置将集群置于硬件防火墙之后，但允许传入数据包通过连接所有集群主机的路由器到达 SQL 节点。

此处显示了结合使用硬件和软件防火墙的 NDB Cluster 的一种可能网络部署：

图 21.11 具有硬件和软件防火墙组合的 NDB Cluster

在这种情况下，您可以在硬件防火墙中设置规则以拒绝除 SQL 节点和 API 节点之外的任何外部流量，然后仅在您的应用程序所需的端口上允许它们的流量。