Oracle Cloud Infrastructure - Dokumentation

FortiGate

Dieses Thema enthält Informationen zur Konfiguration von FortiGate mit der Softwareversion 6.0.4.

FortiGate-Grundkenntnisse werden empfohlen. Weitere Informationen zur Verwendung von FortiGate-Produkten finden Sie auf der offiziellen Website von FortiGate. FortiGate-Dokumentation für High Availability (HA) oder manuelle Bereitstellung finden Sie in der Fortinet Document Library.

Wichtig

Oracle stellt Konfigurationsanweisungen für eine getestete Gruppe von Herstellern und Geräten bereit. Verwenden Sie die richtige Konfiguration für Ihren Hersteller und Ihre Softwareversion.

Wenn das Gerät oder die Softwareversion, die Oracle zur Überprüfung der Konfiguration verwendet hat, nicht genau mit Ihrem Gerät oder Ihrer Software übereinstimmt, können Sie die erforderliche Konfiguration auf Ihrem Gerät möglicherweise noch erstellen. Ziehen Sie die Dokumentation Ihres Herstellers zu Rate, und nehmen Sie die erforderlichen Anpassungen vor.

Wenn Ihr Gerät für einen Hersteller ausgelegt ist, der nicht in der Liste der verifizierten Hersteller und Geräte enthalten ist, oder wenn Sie bereits mit der Konfiguration Ihres Geräts für IPSec vertraut sind, finden Sie weitere Informationen in der Liste der unterstützten IPSec-Parameter und in der Dokumentation Ihres Herstellers.

Oracle Cloud Infrastructure bietet Site-to-Site-VPN, eine sichere IPsec-Verbindung zwischen Ihrem On-Premise-Netzwerk und einem virtuellen Cloud-Netzwerk (VCN).

Das folgende Diagramm zeigt eine IPSec-Basisverbindung mit Oracle Cloud Infrastructure mit redundanten Tunneln. Die in diesem Diagramm verwendeten IP-Adressen dienen lediglich als Beispiel.

In dieser Abbildung wird das allgemeine Layout Ihres On-Premise-Netzwerks, der IPsec-Tunnel für Site-to-Site-VPN und des VCN zusammengefasst.

Best Practices

In diesem Abschnitt werden allgemeine Best Practices und Überlegungen zur Verwendung von Site-to-Site-VPN beschrieben.

Alle Tunnel für jede IPSec-Verbindung konfigurieren

Oracle stellt zwei IPSec-Headends für jede Verbindung bereit, um High Availability für Ihre geschäftskritischen Workloads bereitzustellen. Auf der Oracle-Seite befinden sich diese beiden Headends zu Redundanzzwecken auf verschiedenen Routern. Oracle empfiehlt die Konfiguration aller verfügbaren Tunnel für maximale Redundanz. Dies ist ein wichtiger Teil der "Design for Failure"-Philosophie.

Redundante CPEs an Ihren On-Premise-Netzwerkspeicherorten

Jede Ihrer Sites, die über IPSec mit Oracle Cloud Infrastructure verbunden ist, muss redundante Edge-Geräte (auch als Customer Premises Equipment (CPE) bezeichnet) haben. Fügen Sie jedes CPE der Oracle-Konsole hinzu, und erstellen Sie eine separate IPSec-Verbindung zwischen dem dynamischen Routinggateway (DRG)  und den CPEs. Für jede IPSec-Verbindung stellt Oracle durch Provisioning zwei Tunnel auf geografisch redundanten IPSec-Headends bereit. Weitere Informationen finden Sie im Connectivity Redundancy Guide (PDF).

Hinweise zum Routingprotokoll

Wenn Sie eine IPsec-Verbindung für Site-to-Site-VPN erstellen, verfügt diese über zwei redundante IPsec-Tunnel. Oracle empfiehlt, dass Sie das CPE so konfigurieren, dass beide Tunnel verwendet werden (wenn dies vom CPE unterstützt wird). In der Vergangenheit hat Oracle IPsec-Verbindungen erstellt, die bis zu vier IPsec-Tunnel enthielten.

Die folgenden drei Routingtypen sind verfügbar. Wählen Sie den Routingtyp separat für jeden Tunnel im Site-to-Site-VPN aus:

  • Dynamisches BGP-Routing: Die verfügbaren Routen werden dynamisch über BGP erlernt. Vom DRG werden die Routen aus Ihrem On-Premise-Netzwerk dynamisch erlernt. Auf der Oracle-Seite werden vom DRG die VCN-Subnetze veröffentlicht.
  • Statisches Routing: Wenn Sie die IPSec-Verbindung zum DRG einrichten, geben Sie die spezifischen Routen zu Ihrem On-Premise-Netzwerk an, über die das VCN informiert sein soll. Außerdem müssen Sie das CPE-Gerät mit statischen Routen zu den Subnetzen des VCN konfigurieren. Diese Routen werden nicht dynamisch erlernt.
  • Policybasiertes Routing: Wenn Sie die IPsec-Verbindung zum DRG einrichten, geben Sie die spezifischen Routen zu Ihrem On-Premise-Netzwerk an, über die das VCN informiert sein soll. Außerdem müssen Sie das CPE-Gerät mit statischen Routen zu den Subnetzen des VCN konfigurieren. Diese Routen werden nicht dynamisch erlernt.

Weitere Informationen über das Routing mit Site-to-Site-VPN, einschließlich Oracle-Empfehlungen zur Änderung des BGP-Algorithmus für die beste Pfadauswahl, finden Sie unter Routing für Site-to-Site-VPN.

Weitere wichtige CPE-Konfigurationen

Stellen Sie sicher, dass die Zugriffslisten in Ihrem CPE korrekt konfiguriert sind, damit der erforderliche Traffic von oder zu Oracle Cloud Infrastructure nicht blockiert wird.

Wenn mehrere Tunnel gleichzeitig hochgefahren sind, kann es zu asymmetrischem Routing kommen. Um asymmetrisches Routing zu ermöglichen, stellen Sie sicher, dass das CPE so konfiguriert ist, dass Traffic von Ihrem VCN in einem der Tunnel verarbeitet wird. Beispiel: Sie müssen die ICMP-Prüfung deaktivieren und die TCP-Statusumgehung konfigurieren. Für weitere Einzelheiten zur entsprechenden Konfiguration wenden Sie sich an den Support des CPE-Herstellers. Informationen zum Konfigurieren des symmetrischen Routings finden Sie unter Routing für Site-to-Site-VPN.

Hinweise und Einschränkungen

In diesem Abschnitt werden die allgemeinen wichtigen Merkmale und Einschränkungen von Site-to-Site-VPN beschrieben. Unter Servicelimits finden Sie eine Liste der jeweiligen Limits sowie Anweisungen dazu, wie Sie eine Erhöhung anfordern.

Asymmetrisches Routing

Oracle verwendet asymmetrisches Routing über mehrere Tunnel, aus denen die IPSec-Verbindung besteht. Konfigurieren Sie Ihre Firewalls entsprechend. Andernfalls können Ping-Tests oder der Anwendungstraffic über die Verbindung hinweg nicht zuverlässig ausgeführt werden.

Wenn Sie mehrere Tunnel für Oracle Cloud Infrastructure verwenden, empfiehlt Oracle, dass Sie das Routing so konfigurieren, dass es den Traffic deterministisch über den bevorzugten Tunnel weiterleitet. Wenn Sie einen IPSec-Tunnel als primär und einen anderen als Backup verwenden möchten, konfigurieren Sie spezifischere Routen für den primären Tunnel (BGP) und weniger spezifische Routen (zusammenfassende oder Standardrouten) für den Backuptunnel (BGP/statisch). Wenn Sie dieselbe Route (z.B. eine Standardroute) über alle Tunnel anbieten, wird der Traffic vom VCN zum On-Premise-Netzwerk andernfalls an einen der verfügbaren Tunnel weitergeleitet. Das liegt daran, dass Oracle asymmetrisches Routing verwendet.

Spezifische Oracle-Routingempfehlungen zum Erzwingen des symmetrischen Routings finden Sie unter Routing für Site-to-Site-VPN.

Routenbasiertes oder policybasiertes Site-to-Site-VPN

Das IPSec-Protokoll verwendet Sicherheitszuordnungen (Security Associations, SAs), um zu bestimmen, wie Pakete verschlüsselt werden. Innerhalb jeder SA definieren Sie Verschlüsselungsdomains, um die Quell- und Ziel-IP-Adresse eines Pakets einem Eintrag in der SA-Datenbank zuzuordnen. Dadurch wird festgelegt, wie ein Paket verschlüsselt oder entschlüsselt werden soll.

Hinweis

Von anderen Anbietern oder in der Branchendokumentation werden in Bezug auf SAs oder Verschlüsselungsdomains möglicherweise die Begriffe Proxy-ID, Sicherheitsparameterindex (SPI) oder Trafficselektor verwendet.

Es gibt zwei allgemeine Methoden zur Implementierung von IPSec-Tunneln:

  • Routenbasierte Tunnel: Auch als Next-Hop-Tunnel bezeichnet. Eine Routentabellensuche wird anhand der Ziel-IP-Adresse eines Pakets durchgeführt. Wenn es sich bei der Egress-Schnittstelle dieser Route um einen IPSec-Tunnel handelt, wird das Paket verschlüsselt und an das andere Ende des Tunnels gesendet.
  • Policy-basierte Tunnel: Die Quell- und-Ziel-IP-Adressen sowie das Protokoll des Pakets werden mit einer Liste von Policy-Anweisungen abgeglichen. Wenn eine Übereinstimmung gefunden wird, wird das Paket basierend auf den Regeln in dieser Policy-Anweisung verschlüsselt.

Die Site-to-Site-VPN-Headends von Oracle verwenden routenbasierte Tunnel, können jedoch mit policybasierten Tunneln arbeiten, zu denen einige Hinweise in den folgenden Abschnitten aufgeführt sind.

Verschlüsselungsdomain für routenbasierte Tunnel

Wenn Ihr CPE routenbasierte Tunnel unterstützt, konfigurieren Sie den Tunnel mit dieser Methode. Es handelt sich dabei um die einfachste Konfiguration mit der umfassendsten Interoperabilität mit dem Oracle-VPN-Headend.

Routingbasierte IPSec verwendet eine Verschlüsselungsdomain mit den folgenden Werten:

  • Quell-IP-Adresse: Beliebig (0.0.0.0/0)
  • Ziel-IP-Adresse: Beliebig (0.0.0.0/0)
  • Protokoll: IPv4

Wenn Sie spezifischer sein müssen, können Sie eine einzelne Zusammenfassungsroute für Ihre Verschlüsselungsdomainwerte anstelle einer Standardroute verwenden.

Verschlüsselungsdomain für policy-basierte Tunnel

Wenn Sie policybasierte Tunnel verwenden, generiert jeder Policy-Eintrag (ein CIDR-Block auf einer Seite der IPsec-Verbindung), den Sie definieren, eine IPsec-Sicherheitsverknüpfung (SA) mit jedem berechtigten Eintrag am anderen Ende des Tunnels. Dieses Paar wird als Verschlüsselungsdomain bezeichnet.

In diesem Diagramm enthält die Oracle-DRG-Seite des IPsec-Tunnels Policy-Einträge für drei IPv4-CIDR-Blöcke und einen IPv6-CIDR-Block. Die On-Premise-CPE-Seite des Tunnels enthält Policy-Einträge für zwei IPv4-CIDR-Blöcke und zwei IPv6-CIDR-Blöcke. Jeder Eintrag generiert eine Verschlüsselungsdomain mit allen möglichen Einträgen am anderen Ende des Tunnels. Beide Seiten eines SA-Paars müssen dieselbe IP-Version verwenden. Das Ergebnis sind insgesamt acht Verschlüsselungsdomains.

Diagramm mit mehreren Verschlüsselungsdomains, das veranschaulicht, wie ihre Anzahl bestimmt wird
Wichtig

Wenn das CPE nur policybasierte Tunnel unterstützt, beachten Sie die folgenden Einschränkungen.

  • Site-to-Site-VPN unterstützt mehrere Verschlüsselungsdomains, weist aber einen oberen Grenzwert von 50 Verschlüsselungsdomains auf.
  • Wenn Sie in einer Situation wie im obigen Beispiel nur drei der sechs möglichen IPv4-Verschlüsselungsdomains auf CPE-Seite konfiguriert haben, würde der Link mit dem Status "Teilweise hochgefahren" aufgelistet werden, weil auf DRG-Seite immer alle möglichen Verschlüsselungsdomains erstellt werden.
  • Policybasiertes Routing stützt sich auf Site-to-Site-VPN v2. Weitere Informationen zu Site-to-Site-VPN v2 finden Sie unter Aktualisierter Site-to-Site-VPN-Service.
  • Je nachdem, wann der Tunnel erstellt wurde, können Sie einen vorhandenen Tunnel möglicherweise nicht bearbeiten, um policybasiertes Routing zu verwenden. Sie müssen den Tunnel möglicherweise durch einen neuen IPsec-Tunnel ersetzen.
  • Die CIDR-Blöcke, die auf der Oracle-DRG-Seite des Tunnels verwendet werden, dürfen sich nicht mit den CIDR-Blöcken überschneiden, die auf der On-Premise-CPE-Seite des Tunnels verwendet werden.
  • Eine Verschlüsselungsdomain muss sich immer zwischen zwei CIDR-Blöcken derselben IP-Version befinden.

Wenn sich das CPE hinter einem NAT-Gerät befindet

Im Allgemeinen muss die CPE-IKE-ID, die an Ihrem Ende der Verbindung konfiguriert wurde, mit der CPE-IKE-ID übereinstimmen, die von Oracle verwendet wird. Standardmäßig verwendet Oracle die öffentliche IP-Adresse des CPE, die Sie beim Erstellen des CPE-Objekts in der Oracle-Konsole angeben. Wenn Ihr CPE sich jedoch hinter einem NAT-Gerät befindet, kann es sich bei der an Ihrem Ende konfigurierten CPE-IKE-ID um die private IP-Adresse des CPE handeln, wie im folgenden Diagramm dargestellt.

Diese Abbildung zeigt das CPE hinter einem NAT-Gerät, die öffentlichen und privaten IP-Adressen sowie die CPE-IKE-ID.
Hinweis

Einige CPE-Plattformen lassen die Änderung der lokalen IKE-ID nicht zu. In diesem Fall müssen Sie die Remote-IKE-ID in der Oracle-Konsole so ändern, dass sie mit der lokalen IKE-ID Ihres CPE übereinstimmt. Sie können den Wert angeben, wenn Sie die IPSec-Verbindung einrichten oder später, indem Sie die IPSec-Verbindung bearbeiten. Oracle erwartet, dass der Wert eine IP-Adresse oder ein vollständig angegebener Domainname (FQDN) ist, wie cpe.example.com. Weitere Informationen finden Sie unter Von Oracle verwendete CPE-IKE-ID ändern.

Unterstützte IPSec-Parameter

Eine Liste der vom Hersteller unterstützten IPSec-Parameter für alle Regionen finden Sie unter Unterstützte IPSec-Parameter.

Die Oracle BGP-ASN für die kommerzielle Cloud-Realm ist 31898. Wenn Sie Site-to-Site-VPN für die US Government Cloud konfigurieren, finden Sie weitere Informationen unter Erforderliche Site-to-Site-VPN-Parameter für die Government Cloud und BGP-ASN von Oracle. Informationen zur United Kingdom Government Cloud finden Sie unter BGP-ASN von Oracle.

CPE-Konfiguration

Wichtig

Die Konfigurationsanweisungen in diesem Abschnitt werden von Oracle Cloud Infrastructure für Ihr CPE bereitgestellt. Wenn Sie Support oder weitere Unterstützung benötigen, wenden Sie sich direkt an den Support des CPE-Herstellers.

In der folgenden Abbildung wird das Basislayout der IPSec-Verbindung dargestellt.

Diese Abbildung fasst das allgemeine Layout der IPSec-Verbindung und -Tunnel zusammen.

Standardmäßig stellt FortiGate den IPSec-Tunnel im routenbasierten Modus bereit. In diesem Thema wird FortiGate mit einer routenbasierten VPN-Konfiguration behandelt.

Falls erforderlich kann FortiGate den IPSec-Tunnel im policy-basierten Modus bereitstellen. Um das Feature zu aktivieren, gehen Sie zu System und dann zu Feature Visiblity. Aktivieren Sie unter Additional Features das Feature Policy-based IPsec.

Diese Abbildung zeigt, wo ein policy-basiertes VPN ausgewählt wird.

IKEv2 verwenden

Oracle unterstützt Internet Key Exchange Version 1 (IKEv1) und Version 2 (IKEv2). Wenn Sie die IPSec-Verbindung in der Konsole für die Verwendung von IKEv2 konfigurieren, müssen Sie das CPE so konfigurieren, dass nur IKEv2 und zugehörige IKEv2-Verschlüsselungsparameter verwendet werden, die Ihr CPE unterstützt. Eine Liste der Parameter, die Oracle für IKEv1 oder IKEv2 unterstützt, finden Sie unter Unterstützte IPSec-Parameter.

Wenn Sie IKEv2 verwenden möchten, gibt es eine Variation einer der im nächsten Abschnitt angezeigten Aufgaben. Wählen Sie in der Aufgabe 2 beim Konfigurieren der Authentifizierung die IKE-Version 2 aus.

Konfigurationsprozess

Wichtig

Stellen Sie vor dem Start sicher, dass Sie über eine gültige Lizenz oder eine Testlizenz verfügen, um FortiGate zu konfigurieren.
Aufgabe 1: VPN mithilfe des Assistenten erstellen
  1. Gehen Sie zu VPN und IPsec Wizard, um einen neuen VPN-Tunnel zu erstellen.
  2. Geben Sie auf der Seite VPN Creation Wizard die folgenden Elemente an:  
    • Name: Beschreibung zur Identifizierung des IPSec-Tunnels. Geben Sie keine vertraulichen Informationen ein.
    • Template Type: Site-to-Site
    • Remote Device Type: Cisco
    • NAT Configuration: Keine NAT zwischen Sites
    Diese Abbildung zeigt den Start des Assistenten zum Erstellen des VPN.
  3. Klicken Sie auf Weiter.
  4. Geben Sie auf der Seite Authentication die folgenden Elemente an:
    • Remote Device: IP-Adresse
    • IP Address: IP-Adresse für das Oracle-VPN-Headend. Oracle hat diesen Wert beim Erstellen des IPSec-Tunnels generiert.
    • Outgoing Interface: Die für den externen Traffic konfigurierte WAN-Schnittstelle.
    • Authentication Method: Pre-Shared Key. Oracle unterstützt nur Shared Secret Keys.
    • Pre-shared Key: Das Shared Secret. Oracle hat diesen Wert beim Erstellen des IPSec-Tunnels generiert.
    Diese Abbildung zeigt die Seite "Authentication" des Assistenten.
  5. Klicken Sie auf Weiter.
  6. Geben Sie auf der Seite Policy & Routing die folgenden Elemente an:
    • Local Interface: Die für den internen Traffic konfigurierte LAN-Schnittstelle.
    • Local Subnets: Das für den internen Traffic verwendete Subnetz.
    • Remote Subnets: Die Oracle-VCN-Subnetze, die für den IPSec-Tunnel verwendet werden.
    • Internet Access: Kein Wert
    Diese Abbildung zeigt die Seite "Policy & Routing" des Assistenten.

  7. Klicken Sie auf Erstellen.

    Eine zusammenfassende Meldung mit Details über die Konfiguration wird angezeigt. Beachten Sie, dass der Assistent automatisch Sicherheits-Policys mit den angegebenen Subnetzen erstellt und die erforderlichen statischen Routen hinzufügt.

    Die Abbildung zeigt die zusammenfassende Seite am Ende des Assistenten.
Aufgabe 2: Parameter der Phase 1 und Phase 2 zu jedem IPSec-Tunnel hinzufügen

Sie müssen jeden neu erstellten IPSec-Tunnel in einen benutzerdefinierten Tunnel konvertieren, um die empfohlenen Parameter für Phase 1 und Phase 2 hinzuzufügen.

Führen Sie die folgenden Schritte für jeden Tunnel aus.

  1. Gehen Sie zu VPN, und klicken Sie auf IPsec Tunnels.
  2. Wählen Sie den Tunnel aus, und klicken Sie auf Edit, um die Seite Edit VPN Tunnel anzuzeigen.

  3. Klicken Sie auf Convert to Custom Tunnel.

    Diese Abbildung zeigt die Seite zum Bearbeiten des VPN-Tunnels.

  4. Bearbeiten Sie die relevanten Abschnitte, sodass sie mit den erforderlichen Einstellungen in den folgenden Screenshots übereinstimmen. Klicken Sie auf das Häkchen oben rechts in jedem Abschnitt, nachdem Sie die Änderungen vorgenommen haben.

    Die im ersten Screenshot angezeigte IP-Adresse ist eine Beispieladresse.

    Wenn Sie IKEv2 verwenden möchten, wählen Sie stattdessen im Bildschirm Authentication die Option IKE Version 2 aus.

    Diese Abbildung zeigt den Abschnitt "Network" beim Bearbeiten des Tunnels.
    Diese Abbildung zeigt den Abschnitt "Authentification" beim Bearbeiten des Tunnels.
    Diese Abbildung zeigt den Abschnitt "Phase 1 Proposal" beim Bearbeiten des Tunnels.
    Diese Abbildung zeigt den Abschnitt "Phase 2 Selectors" beim Bearbeiten des Tunnels.
  5. Klicken Sie nach dem Konfigurieren aller Abschnitte auf OK, um zu speichern und die Dialogfelder zu schließen.
Aufgabe 3: IPSec-Verbindung prüfen

An dieser Stelle wird der IPSec-Tunnel nicht standardmäßig eingerichtet, da FortiGate die der WAN-Schnittstelle zugewiesene IP-Adresse verwendet. In diesem Fall ist diese IP-Adresse eine private IP-Adresse, weil Oracle 1:1-NAT ausführt. Diese private IP-Adresse wird als lokale IKE-ID verwendet und stimmt nicht mit der im Oracle-DRG erwarteten Adresse überein. Um dies zu lösen, können Sie die lokale IKE-ID in Ihrem FortiGate manuell mit der CLI des CPE ändern. Sie können auch den von Oracle verwendeten Wert in der Oracle-Konsole ändern (siehe folgende Anweisungen). In beiden Fällen wird die Inkompatibilität korrigiert und der IPSec-Tunnel aufgerufen.

So ändern Sie den CPE-IKE-Bezeichner, den Oracle verwendet (Oracle-Konsole)

  1. Öffnen Sie das Navigationsmenü, und klicken Sie auf Networking. Klicken Sie unter Kundenkonnektivität auf Site-to-Site-VPN.

    Eine Liste der IPSec-Verbindungen in dem Compartment, das Sie geöffnet haben, wird angezeigt. Wenn Sie den gewünschten Mitarbeiter nicht sehen, prüfen Sie, ob Sie das korrekte Compartment anzeigen (in der Liste links auf der Seite auswählen).

  2. Klicken Sie für die gewünschte Verbindung IPSec auf das Menü Aktionen (Menü "Aktionen"), und klicken Sie dann auf Bearbeiten.

    Die von Oracle verwendete, aktuelle CPE-IKE-ID wird unten im Dialogfeld angezeigt.

  3. Geben Sie die neuen Werte für den CPE-IKE-ID-Typ und die CPE-IKE-ID ein, und klicken Sie auf Änderungen speichern.

Redundanz mit BGP über IPSec

Zur Redundanz empfiehlt Oracle die Verwendung von BGP über IPSec. Wenn Sie zwei Verbindungen desselben Typs haben (Beispiel: zwei IPSec-VPNs, die beide BGP verwenden) und dieselben Routen über beide Verbindungen veröffentlichen, bevorzugt Oracle standardmäßig beim Antworten auf Anforderungen oder das Initiieren von Verbindungen die älteste aufgebaute Route. Wenn Sie ein symmetrisches Routing erzwingen möchten, empfiehlt Oracle die Verwendung des BGP und AS Path Prepending bei Ihren Routen, um Einfluss darauf zu nehmen, welchen Pfad Oracle beim Antworten und Initiieren von Verbindungen verwendet. Weitere Informationen finden Sie unter Routingdetails für Verbindungen zu Ihrem On-Premise-Netzwerk.

Das Oracle-DRG verwendet /30 oder /31 als Subnetze für die Konfiguration von IP-Adressen für Schnittstellentunnel. Beachten Sie, dass die IP-Adresse Teil der Verschlüsselungsdomain des Site-to-Site-VPN und in der Firewall-Policy zugelassen sein muss, damit das Peer-VPN über den Schnittstellentunnel erreichbar ist. Möglicherweise müssen Sie eine statische Route über die Tunnelschnittstelle für die Peer-IP-Adresse implementieren.

Die BGP-ASN von Oracle für die kommerzielle Cloud ist 31898, mit Ausnahme der Region Serbia Central (Jovanovac), die 14544 lautet. Wenn Sie Site-to-Site-VPN für die Government Cloud konfigurieren, finden Sie weitere Informationen unter Erforderliche Site-to-Site-VPN-Parameter für die Government Cloud und BGP-ASN von Oracle.

Auf Ihrer Seite können Sie eine private ASN verwenden. Private ASNs liegen im Bereich von 64512-65534.

Aufgabe 1: Tunnelschnittstelle bearbeiten

In der ersten Aufgabe fügen Sie die BGP-IP-Adresse der neu erstellten FortiGate-Tunnelschnittstelle hinzu.

Führen Sie die folgenden Schritte für jeden Tunnel aus.

  1. Gehen Sie zu Network und dann zu Interface.

  2. Wählen Sie die gewünschte Schnittstelle aus, und klicken Sie auf Edit.

    Diese Abbildung zeigt die zu bearbeitende Tunnelschnittstelle.
  3. Konfigurieren Sie die folgenden Elemente:
    • IP: Geben Sie die BGP-IP-Adresse ein, die Sie dem FortiGate-Ende der Tunnelschnittstelle zugewiesen haben. Der folgende Screenshot zeigt einen Beispielwert von 192.168.66.2.
    • Remote IP/Network Mask: Fügen Sie die BGP-IP-Adresse hinzu, die Sie dem Oracle-Ende der Tunnelschnittstelle zugewiesen haben. Nehmen Sie entweder eine /30- oder eine /31-Maske auf, je nachdem, wie die Adressen in der Oracle-Konsole angegeben wurden. Im folgenden Screenshot wurde 192.168.66.0/30 verwendet, wobei 192.168.66.2 dem FortiGate-Ende und 192.168.66.1 dem Oracle-Ende zugewiesen ist.

    • Ping access (empfohlen): Aktivieren Sie im Abschnitt Administrative Access den Ping-Zugriff.

      Diese Abbildung zeigt die Konfiguration von BGP-Adressen und den ICMP-Zugriff.
  4. Klicken Sie auf OK.
Aufgabe 2: Statische Route für die Oracle-IP-Adresse hinzufügen

Fügen Sie jedem Tunnel eine statische /32-Route zur Oracle-IP-Adresse über den Tunnel hinzu (siehe Screenshot).

Diese Abbildung zeigt die statische Route zur Oracle BGP-IP-Adresse über den Tunnel.
Aufgabe 3: BGP konfigurieren

Führen Sie die folgenden Schritte für jeden Tunnel aus.

  1. Gehen Sie zu Network und dann zu BGP.
  2. Geben Sie die folgenden Elemente ein:
    • Local AS: Ihre BGP-ASN. Sie können eine private ASN verwenden. Private ASNs liegen im Bereich von 64512-65534.
    • Router ID: Ein Wert, der eine eindeutige Identität für diesen BGP-Router zwischen seinen Peers bereitstellt.
    • Neighbors: Klicken Sie auf Create New, und geben Sie die BGP-IP-Adresse für das Oracle-End des Tunnels und die Oracle BGP-ASN ein. Die BGP-ASN von Oracle für die kommerzielle Cloud ist 31898, mit Ausnahme der Region Serbia Central (Jovanovac), die 14544 lautet. Weitere Informationen zum Konfigurieren von Site-to-Site-VPN für die Verbindung mit der Government Cloud finden Sie unter BGP-ASN von Oracle.

    • Networks: Verwenden Sie optional dieses Feld, um ein bestimmtes Subnetz über BGP anzubieten. Sie können Subnetze auch über den Abschnitt Redistribute im Abschnitt Advanced Options anbieten.

      Diese Abbildung zeigt die lokalen BGP-Optionen für die Konfiguration.
  3. Klicken Sie auf OK.

Verifizierung

Der folgende CLI-Befehl ist nützlich, um statistische Daten zu erfassen, wie die Anzahl von verschlüsselten und entschlüsselten Paketen, die Anzahl von gesendeten und empfangenen Byte, die Verschlüsselungsdomain-(SPI-)ID usw. Diese Informationen können zur Bestimmung eines Problems mit dem VPN wichtig sein.

diagnose vpn tunnel list

Der folgende Befehl weist auf eine fehlende Firewall-Policy, fehlende Weiterleitungsroute und Probleme bei der Policy-Sortierung hin. Wenn keine Kommunikationsprobleme vorhanden sind, gibt dieser Befehl eine leere Ausgabe zurück.

diagnose debug flow

Der folgende Befehl prüft die BGP-Nachbarstatusinformationen. Beachten Sie, dass der Status "Aktiv" nicht bedeutet, dass die BGP-Session hochgefahren ist. "Aktiv" bezieht sich auf eine BGP-Statusmeldung. Weitere Informationen finden Sie unter BGP Background and Concepts in der FortiGate-Dokumentation.

get router info bgp summary

Der folgende Befehl stellt detailliertere Informationen zu einem BGP-Nachbarn bereit.

get router info bgp neighbors

Ein Monitoring-Service ist auch in Oracle Cloud Infrastructure verfügbar, um Ihre Cloud-Ressourcen aktiv und passiv zu überwachen. Informationen zum Monitoring Ihres Site-to-Site-VPN finden Sie unter Site-to-Site-VPN-Metriken.

Bei Problemen finden Sie weitere Informationen unter Site-to-Site-VPN - Fehlerbehebung.