Privater Zugriff auf Oracle-Services

• Sie können ein VCN so einrichten, dass Ihr On-Premise-Netzwerk über das VCN privaten Zugriff auf Oracle-Services im Oracle Services Network erhält. Die Hosts in Ihrem On-Premise-Netzwerk kommunizieren mit ihren privaten IP-Adressen.
• Das VCN kommuniziert über ein dynamisches Routinggateway (DRG) mit dem On-Premise-Netzwerk. Der Zugriff auf Oracle-Services erfolgt über ein Servicegateway im VCN. Der Traffic vom VCN zum Oracle-Service durchläuft das Oracle-Fabric, ohne jemals über das öffentliche Internet geleitet zu werden.
• Das Servicegateway ist regional und ermöglicht nur den Zugriff auf unterstützte Oracle-Services in derselben Region wie das VCN.
• Die unterstützten Oracle-Services umfassen Oracle Cloud Infrastructure Object Storage und andere im Oracle Services Network. Eine Liste finden Sie unter Servicegateway: Unterstützte Cloud-Services im Oracle Services Network.
• Das Servicegateway verwendet das Konzept eines Service-CIDR-Labels. Diese Zeichenfolge repräsentiert alle regionalen öffentlichen IP-Adressbereiche für den gewünschten Service oder eine Gruppe von Services (Beispiel: OCI PHX Object Storage ist die Zeichenfolge für Object Storage in US West (Phoenix)). Sie verwenden dieses Service-CIDR-Label beim Konfigurieren des Servicegateways und der zugehörigen Routingregeln, um den Traffic zum Service zu steuern. Sie können es optional beim Konfigurieren von Sicherheitsregeln verwenden. Wenn sich die öffentlichen IP-Adressen des Service in Zukunft ändern, müssen Sie diese Regeln nicht mehr anpassen.
• Um den beabsichtigten Traffic vom On-Premise-Netzwerk über das VCN zu Oracle-Services zu ermöglichen, implementieren Sie Routingregeln für den DRG-Anhang und das Servicegateway des VCN.
• Gegebenenfalls können Sie Transitrouting über eine private IP im VCN einrichten. Beispiel: Sie möchten den Traffic zwischen dem On-Premise-Netzwerk und dem Oracle-Service filtern oder prüfen. In diesem Fall leiten Sie den Traffic zu einer privaten IP auf einer Instanz im VCN zur Prüfung weiter, und der daraus resultierende Traffic wird zum Ziel weitergeleitet. In diesem Thema werden beide Situationen behandelt: Transitrouting direkt zwischen Gateways im VCN und Transitrouting über eine private IP.

Das Oracle Services Network ist ein konzeptionelles Netzwerk in Oracle Cloud Infrastructure, das für Oracle-Services reserviert ist. Diese Services verfügen über öffentliche IP-Adressen, die Sie normalerweise über das öffentliche Internet erreichen. Sie können jedoch auf das Oracle Services Network zugreifen, ohne dass der Traffic über das öffentliche Internet geleitet wird. Je nachdem, welche der Hosts Zugriff benötigen, gibt es unterschiedliche Möglichkeiten:

• Hosts in Ihrem On-Premise-Netzwerk:

  • Privater Zugriff über ein VCN mit FastConnect-Private Peering oder über ein Site-to-Site-VPN: Dieses Szenario wird in diesem Thema behandelt. Die On-Premise-Hosts verwenden private IP-Adressen und erreichen das Oracle Services Network über das VCN und dessen Servicegateway.
  • Öffentlicher Zugriff mit FastConnect-Public Peering: Die On-Premise-Hosts verwenden öffentliche IP-Adressen.
• Hosts in Ihrem VCN:
  • Privater Zugriff über ein Servicegateway: Die VCN-Hosts verwenden private IP-Adressen.

Das folgende Diagramm zeigt das grundlegende Layout für den privaten Zugriff des On-Premise-Netzwerks auf Oracle-Services.

Ihr On-Premise-Netzwerk stellt über einen privaten FastConnect-Virtual Circuit oder ein Site-to-Site-VPN eine Verbindung zum VCN her. Jeder dieser Verbindungstypen endet in einem dynamischen Routinggateway (DRG), das an das VCN angehängt ist. Das VCN verfügt auch über ein Servicegateway, das dem VCN Zugriff auf das Oracle Services Network ermöglicht. Der Traffic vom On-Premise-Netzwerk wird über das VCN und das Servicegateway zum gewünschten Oracle-Service geleitet. Die Antworten werden über das Servicegateway und das VCN an das On-Premise-Netzwerk zurückgesendet.

Wenn Sie ein Servicegateway einrichten, aktivieren Sie ein Service-CIDR-Label. Dabei handelt es sich um eine Zeichenfolge, die alle regionalen öffentlichen IP-Adressbereiche für den Service oder die Gruppe von Services darstellt, auf die Sie über das Servicegateway zugreifen möchten. Beispiel: All PHX Services in Oracle Services Network ist das Service-CIDR-Label für die Oracle-Services, die in US West (Phoenix) über ein Servicegateway verfügbar sind. Oracle verwendet BGP (Border Gateway Protocol) im DRG, um dem Edge-Gerät (auch als Customer Premises Equipment oder CPE bezeichnet) in Ihrem On-Premise-Netzwerk diese regionalen öffentlichen IP-Adressbereiche anzubieten. Eine Liste dieser Bereiche, die über das Servicegateway verfügbar sind, finden Sie unter Öffentliche IP-Adressen für VCNs und das Oracle Services Network.

Mehrere VCNs mit privatem Zugriff auf Oracle Services

Ihr Unternehmen kann mehrere VCNs verwenden, die jeweils mit einem Servicegateway ausgestattet sind, um den VCN-Ressourcen Zugriff auf Oracle-Services zu gewähren. So haben Sie beispielsweise für jede Abteilung in Ihrer Organisation ein anderes VCN.

Wenn Sie für Ihr On-Premise-Netzwerk ebenfalls privaten Zugriff auf Oracle-Services über ein VCN mit einem Servicegateway einrichten möchten, werden in diesem Abschnitt zwei verschiedene Netzwerklayouts beschrieben, die Sie verwenden können.

Im ersten Layout richten Sie ein einzelnes DRG mit den VCNs in einem Hub-and-Spoke-Layout ein, wie im nächsten Diagramm dargestellt. Das VCN, das als Hub fungiert, ist für die Bereitstellung des On-Premise-Netzwerks mit privatem Zugriff auf Oracle-Services dediziert. Die anderen VCNs sind per lokalem Peering mit dem Hub-VCN verbunden. Sie konfigurieren lediglich das Hub-VCN entsprechend den Anweisungen unter Privaten Zugriff auf Oracle-Services einrichten. Dieses Hub-and-Spoke-Layout wird empfohlen und unter Transitrouting in einem Hub-VCN beschrieben.

Im zweiten Layout gibt es ein separates DRG für jedes VCN, mit einem separaten privaten FastConnect-Virtual Circuit oder einem Site-to-Site-VPN von Ihrem On-Premise-Netzwerk zu jedem DRG. Sie dedizieren ein DRG und VCN zur Bereitstellung des privaten Zugriffs auf Oracle-Services für Ihr On-Premise-Netzwerk. Im nächsten Diagramm ist dies das VCN in der Mitte. Um dieses VCN zu konfigurieren, befolgen Sie die Anweisungen unter Privaten Zugriff auf Oracle-Services einrichten.

Beachten Sie, dass das On-Premise-Netzwerk in beiden Layouts die Oracle-Services nur über das Servicegateway eines einzelnen VCN (das speziell für diesen Zweck dediziert wurde) und nicht über die Servicegateways der anderen VCNs erreichen kann. Für diese anderen VCNs können nur die Ressourcen innerhalb dieser VCNs die Oracle-Services über das Servicegateway ihres jeweiligen VCN erreichen.

Unabhängig davon, welches Layout Sie auswählen, können Sie eine IAM-Policy schreiben, um den Zugriff auf einen Object Storage-Bucket einzuschränken, sodass nur Anforderungen, die über ein bestimmtes VCN-Servicegateway eingehen, für diesen Bucket zulässig sind. Bei beiden Layouts empfiehlt es sich, die Policy zu schreiben, um Anforderungen von mehreren VCNs zuzulassen. Um den Zugriff auf bestimmte VCNs einzuschränken, erstellen Sie eine Netzwerkquelle, um das zulässige VCN anzugeben, und schreiben Sie dann die Policy, die den Zugriff nur auf die Netzwerkquelle einschränkt. Eine Netzwerkquelle kann mehrere VCNs angeben. Sie können auch eine Netzwerkquelle für jedes VCN erstellen. Informationen zum Erstellen von Netzwerkquellen finden Sie unter Netzwerkquellen verwalten.

Bei der folgenden Beispiel-Policy wird davon ausgegangen, dass Sie eine Netzwerkquelle für jedes Ihrer VCNs einrichten. Mit der Policy können Ressourcen in der ObjectBackup-Beispielgruppe Objekte in einen vorhandenen Bucket mit dem Namen db-backup schreiben, der in einem Compartment mit dem Namen ABC enthalten ist. Beim Schreiben einer solchen Policy können Sie eine oder mehrere Netzwerkquellen angeben. Das dargestellte Beispiel enthält drei.

Allow group ObjectBackup to read buckets in compartment ABC

Allow group ObjectBackup to manage objects in compartment ABC where
   all {target.bucket.name='db-backup', 
        any {request.networkSource.name='<hub_VCN_network_source>', request.networkSource.name='<spoke_1_VCN_network_source>', request.networkSource.name='<spoke_2_VCN_network_source>'},
        any {request.permission='OBJECT_CREATE', request.permission='OBJECT_INSPECT'}}

Weitere Informationen finden Sie in der Prozedur zum Einrichten eines Servicegateways unter Servicegateway in der Konsole einrichten.

Es gibt zwei Optionen für das Routing über das VCN für privaten Zugriff auf Oracle-Services:

• Transitrouting direkt über Gateways: Sie leiten den Traffic direkt durch das VCN von einem Gateway zum anderen weiter.
• Transitrouting über eine private IP: Sie richten eine Instanz im VCN ein, um den Traffic zwischen dem On-Premise-Netzwerk und dem Oracle Services Network zu filtern oder zu prüfen, und leiten den Traffic über eine private IP in der Instanz weiter.

In den Beispielen in den folgenden Abschnitten wird vorausgesetzt, dass das VCN keine Workloads enthält, die Zugriff auf das On-Premise-Netzwerk oder Oracle Services Network benötigen. Das VCN wird nur für das Transitrouting des Traffics durch das VCN verwendet.

Wenn Sie Mitglied der Administratorengruppe sind, besitzen Sie bereits die erforderliche Zugriffsberechtigung zur Einrichtung des Transitroutings. Andernfalls müssen Sie auf den Networking-Service zugreifen und Instanzen starten können. Siehe IAM-Policys für Networking.

In diesem Abschnitt wird gezeigt, wie Sie über die Konsole Transitrouting mit einem VCN einrichten, um Ihrem On-Premise-Netzwerk privaten Zugriff auf Oracle-Services zu gewähren.

Um das Transitrouting zu deaktivieren, entfernen Sie die Regeln aus:

• Der Routentabelle, die mit dem DRG-Anhang verknüpft ist.
• Die mit dem Servicegateway verknüpfte Routentabelle.

Eine Routentabelle kann mit einer Ressource verknüpft sein, ohne jedoch Regeln aufzuweisen. Ohne mindestens eine Regel führt eine Routentabelle keine Aktion durch.

Ein DRG-Anhang oder ein Servicegateway kann ohne zugehörige Routentabelle vorhanden sein. Sobald Sie einen DRG-Anhang oder ein Servicegateway jedoch mit einer Routentabelle verknüpft haben, muss immer eine Routentabelle damit verknüpft sein. Sie können jedoch eine andere Routentabelle mit dem LPG verknüpfen. Sie können auch die Regeln der Tabelle bearbeiten sowie einige oder alle Regeln löschen.