VCN-Routentabellen

Mit Routentabellen und Routingregeln arbeiten

Jedes VCN ist automatisch mit einer standardmäßigen Routentabelle mit impliziten Regeln ausgestattet, die die Routen für VCN-CIDRs enthalten. Wenn Sie nichts anderes angeben, verwendet jedes Subnetz die Standardroutentabelle des VCN. Wenn Sie Routingregeln zu Ihrem VCN hinzufügen, können Sie sie einfach der Standardtabelle hinzufügen. Bei Bedarf können Sie jedoch benutzerdefinierte Routentabellen für jedes Subnetz erstellen. Beispiel: Wenn Sie ein öffentliches Subnetz und ein privates Subnetz in Ihrem VCN nutzen (ein Beispiel dafür finden Sie in Szenario C: Öffentliche und private Subnetze mit einem VPN), müssen Sie verschiedene Routentabellen für die Subnetze verwenden, da die Routingregeln für die Subnetze unterschiedlich sein müssen.

Jedes Subnetz in einem VCN verwendet eine einzige Routentabelle. Beim Erstellen des Subnetzes geben Sie an, welche Tabelle verwendet werden soll. Sie können jederzeit ändern, welche Routentabelle das Subnetz verwenden soll. Sie können auch die Regeln einer Routentabelle bearbeiten oder alle Regeln aus der Tabelle entfernen.

Bei der Erstellung einer benutzerdefinierten Routentabelle können Sie ihr optional einen aussagekräftigen Namen zuweisen. Er muss nicht eindeutig sein und kann später geändert werden. Oracle weist der Routentabelle automatisch eine eindeutige ID zu, die als Oracle Cloud-ID (OCID) bezeichnet wird. Weitere Informationen finden Sie unter Ressourcen-IDs.

Eine Routingregel gibt einen Ziel-CIDR-Block und das Ziel (den nächsten Hop) für allen Traffic an, der mit diesem CIDR übereinstimmt. Im Folgenden werden die zulässigen Zieltypen für eine Routingregel aufgeführt:

• Dynamisches Routinggateway (DRG): Für Subnetze, die privaten Zugriff auf Netzwerke benötigen, die mit Ihrem VCN verbunden sind (Beispiel: Ihr On-Premise-Netzwerk, das mit einem Site-to-Site-VPN oder FastConnect verbunden ist, ein Peer-VCN in derselben Region oder ein Peer-VCN in einer anderen Region).
• Internetgateway: Für öffentliche Subnetze, die direkten Zugriff auf das Internet benötigen.
• NAT-Gateway: Für Subnetze mit Instanzen, die keine öffentlichen IP-Adressen haben, aber Daten an das Internet senden müssen.
• Servicegateway: Für Subnetze, die privaten Zugriff auf Oracle-Services wie Object Storage benötigen.
• Lokales Peering-Gateway (LPG): Für Subnetze, die privaten Zugriff auf ein Peer-VCN in derselben Region benötigen.
• Private IP: Für Subnetze, die Traffic an eine Instanz im VCN weiterleiten müssen. Weitere Informationen finden Sie unter Private IP als Routingziel verwenden. Siehe auch Routing im VCN - Überblick.

Wenn Sie eine Routingregel zu einer Routentabelle hinzufügen, geben Sie den Ziel-CIDR-Block und das Ziel (sowie das Compartment , in dem das Ziel gespeichert ist) an. Ausnahme: Wenn das Ziel ein Servicegateway  ist, geben Sie anstelle eines Ziel-CIDR-Blocks eine von Oracle bereitgestellte Zeichenfolge an, die die öffentlichen Endpunkte für den betreffenden Service darstellt. Auf diese Weise müssen Sie nicht alle CIDR-Blöcke des Service kennen, die sich im Laufe der Zeit ändern können.

Wenn Sie eine Regel falsch konfigurieren (z.B. den falschen Ziel-CIDR-Block eingeben), kann der zu routende Netzwerktraffic unterbrochen (verworfen) oder an ein unbeabsichtigtes Ziel gesendet werden.

Sie können eine Routentabellen von einem Compartment in ein anderes verschieben. Das Verschieben einer Routentabelle wirkt sich nicht auf ihre Verbindung zu VCNs oder Subnetzen aus. Wenn Sie eine Routentabelle in ein neues Compartment verschieben, werden inhärente Policys sofort wirksam, wodurch der Zugriff auf die Routentabelle beeinflusst wird. Weitere Informationen finden Sie unter Zugriffskontrolle.

Sie können die Standardroutentabelle eines VCN nicht löschen. Um eine benutzerdefinierte Routentabelle zu löschen, darf diese nicht mit einem Subnetz oder einem Gateway verknüpft sein, wie DRG, LPG, IGW, NGW oder SGW.

Unter Servicelimits finden Sie eine Liste der jeweiligen Limits sowie Anweisungen dazu, wie Sie eine Erhöhung anfordern.

Intra-VCN-Routing

Mit dem Intra-VCN-Routing können Sie die standardmäßigen Routingentscheidungen außer Kraft setzen, die auf Traffic angewendet werden, der für IP-Adressen im VCN-CIDR-Block bestimmt ist. Intra-VCN-Routing bietet die folgenden Funktionen:

• Lokale Routen: Jedes VCN leitet Traffic automatisch innerhalb des VCN und zwischen den VCN-Subnetzen weiter, es sei denn, Sie fügen Routingregeln hinzu, die etwas anderes angeben. Der lokale Traffic verwendet die Routentabelle, die mit dem Subnetz verknüpft ist, einschließlich lokalem Routing im VCN-CIDR.
• Benutzerdefinierte Intra-VCN-Routen: Dies sind Routingregeln, die Sie in der VCN- oder Subnetzroutentabelle für Intra-VCN-Traffic erstellen. Dadurch können normale lokale Routen außer Kraft gesetzt werden. Alle benutzerdefinierten Intra-VCN-Routen haben ein Ziel (DRG, LPG oder private IP im VCN) und den Routentyp Statisch.
• Beste Routenauswahl: Die längste Präfixzuordnung (oder die spezifischste Route) wird ausgewählt. Wenn mehrere Routen für dasselbe Präfix vorhanden sind, wird die beste Route basierend auf der folgenden Routentyppriorität ausgewählt:
  1. Statische Routen (benutzerdefiniert)
  2. In der Routentabelle sind keine impliziten lokalen Routen (werden automatisch von OCI erstellt) sichtbar
• IPv6: OCI unterstützt das Intra-VCN-Routing für IPv6-VCN-Präfixe.

Gateway-Ingress-Routing

Verwendung des Intra-VCN-Routings

Die folgende Abbildung zeigt ein Beispiel für internes Routing:

Erforderliche IAM Policy

Allgemeine Anwendungsfälle

OCI verwendet die Routentabelle eines Subnetzes, um Traffic an eine Ziel-IP-Adresse außerhalb des Subnetzes weiterzuleiten. Wenn sich das Ziel außerhalb des VCN befindet, richten Sie in der Regel eine Routingregel ein, um den Traffic an ein Gateway im VCN weiterzuleiten (z.B. ein DRG, das mit Ihrem On-Premise-Netzwerk oder einem anderen VCN verbunden ist, oder ein Internetgateway, das mit dem Internet verbunden ist). Wenn sich das Ziel in einem anderen Subnetz desselben VCN befindet, wird der Traffic standardmäßig mit der lokalen Route für das VCN-CIDR weitergeleitet. Möglicherweise möchten Sie diesen Traffic jedoch zuerst über eine Instanz im VCN weiterleiten. In diesem Fall können Sie eine private IP im VCN anstelle eines Gateways im VCN als Ziel verwenden. Dies kann beispielsweise folgende Gründe haben:

• Zur Implementierung einer virtuellen Netzwerk-Appliance (NVA) wie einer Firewall oder zur Angriffserkennung, um ausgehenden Traffic aus Instanzen zu filtern.
• Zur Verwaltung eines Overlay-Netzwerks im VCN, mit dem Sie Containerorchestrierungs-Workloads ausführen können.
• Zur Implementierung von NAT (Network Address Translation) im VCN. Beachten Sie, dass Oracle stattdessen die Verwendung eines NAT-Gateways für Ihr VCN empfiehlt. Im Allgemeinen ermöglicht NAT ausgehende Datenverbindungen ins Internet für Instanzen, die keine direkte Internetkonnektivität besitzen.

Um diese Anwendungsfälle zu implementieren, reicht es nicht aus, lediglich den Traffic an die Instanz weiterzuleiten. Es sind noch weitere Konfigurationsmaßnahmen in der Instanz selbst erforderlich.

Anforderungen zur Verwendung einer privaten IP als Ziel

• Die private IP muss sich in demselben VCN wie die Routentabelle befinden.
• Die VNIC der privaten IP muss so konfiguriert werden, dass die Quell-/Zielprüfung übersprungen wird, damit die VNIC Traffic weiterleiten kann. Standardmäßig ist diese Prüfung auf den VNICs konfiguriert. Weitere Informationen finden Sie unter VNICs und physische NICs - Überblick.
• Sie müssen die Instanz selbst so konfigurieren, dass Pakete weitergeleitet werden.

• Die Routingregel muss die OCID der privaten IP und nicht die IP-Adresse selbst als Ziel angeben. Ausnahme: Wenn Sie die Konsole verwenden, können Sie stattdessen die private IP-Adresse selbst als Ziel angeben. Die Konsole bestimmt dann die entsprechende OCID und verwendet sie in der Regel.

  Wichtig
  
  

  Eine Routingregel mit einem privaten IP-Ziel kann in folgenden Fällen zum Verwerfen des Traffics führen:

  • Die Instanz, der die private IP zugewiesen ist, wird gestoppt oder beendet
  • Die VNIC, der die private IP zugewiesen ist, wird aktualisiert, um die Quell-/Zielprüfung zu aktivieren, oder wird gelöscht
  • Die Zuweisung der privaten IP zur VNIC wird aufgehoben

  Wenn ein privates IP-Ziel beendet wird, wird in der Konsole in der Routingregel ein Hinweis angezeigt, dass die Ziel-OCID nicht mehr vorhanden ist.

  Bei Failover: Wenn die Zielinstanz beendet wird, bevor Sie die sekundäre private IP in eine Standbydatenbank verschieben können, müssen Sie die Routingregel so aktualisieren, dass die OCID des neuen privaten IP-Ziels in der Standbydatenbank verwendet wird. Die Regel verwendet die OCID des Ziels und nicht die private IP-Adresse selbst.

Allgemeiner Setupprozess

1. Bestimmen Sie, welche Instanz den Traffic erhält und weiterleitet.
2. Wählen Sie eine private IP für die Instanz (kann sich auf der primären VNIC der Instanz oder auf einer sekundären VNIC befinden). Wenn Sie Failover implementieren möchten, richten Sie eine sekundäre private IP auf einer der VNICs in der Instanz ein.
3. Deaktivieren Sie die Quell-/Zielprüfung für die VNIC der privaten IP. Siehe VNICs und physische NICs - Überblick.
4. Rufen Sie die OCID für die private IP ab. Wenn Sie die Konsole verwenden, können Sie entweder die OCID oder die private IP-Adresse selbst zusammen mit dem Namen des Compartments der privaten IP abrufen.
5. Zeigen Sie für das Subnetz, das Traffic an die private IP weiterleiten muss, die Routentabelle des Subnetzes an. Wenn die Tabelle bereits eine Regel mit demselben Ziel-CIDR, aber einem anderen Ziel enthält, löschen Sie diese Regel.

6. Fügen Sie eine Routingregel mit folgenden Angaben hinzu:

   • Zieltyp: Siehe Liste der Zieltypen unter Routing im VCN - Überblick. Wenn der Zieltyp ein DRG ist, wird das an das VCN angehängte DRG automatisch als Ziel ausgewählt, und Sie müssen das Ziel nicht selbst angeben. Wenn das Ziel ein privates IP-Objekt ist, bevor Sie das Ziel angeben, müssen Sie zuerst die Quell-/Zielprüfung für die VNIC deaktivieren, die dieses private IP-Objekt verwendet. Weitere Informationen finden Sie unter Private IP als Routingziel verwenden.
   • Ziel-CIDR-Block: Nur verfügbar, wenn das Ziel kein Servicegateway ist. Dieser Wert entspricht dem Ziel-CIDR-Block für den Traffic. Sie können einen bestimmten Ziel-CIDR-Block angeben. Verwenden Sie 0.0.0.0/0, wenn der gesamte Traffic, der das Subnetz verlässt, an das in dieser Regel angegebene Ziel weitergeleitet werden muss.
   • Zielservice: Nur verfügbar, wenn das Ziel ein Servicegateway ist. Dieser Wert entspricht dem gewünschten Service-CIDR-Label.
   • Compartment: Das Compartment, in dem sich das Ziel befindet.
   • Ziel: Das Ziel. Wenn das Ziel ein privates IP-Objekt ist, geben Sie die zugehörige OCID ein. Sie können auch die private IP-Adresse selbst eingeben. In diesem Fall bestimmt die Konsole die entsprechende OCID und verwendet sie als Ziel für die Routingregel.
   • Beschreibung: Eine optionale Beschreibung der Regel.

Wie bereits erwähnt, müssen Sie die Instanz selbst so konfigurieren, dass Pakete weitergeleitet werden.