Netzwerksetup
In diesem Thema werden die Netzwerkanforderungen für das Deployment von Oracle Data Infrastructure Cloud@Customer beschrieben.
Um eine sichere und zuverlässige Konnektivität für verschiedene Anwendungs- und Verwaltungsfunktionen bereitzustellen, verwendet Oracle Data Infrastructure Cloud@Customer separate Netzwerke.
Dateninfrastrukturnetzwerk
Dieses Netzwerk ist gemäß den Oracle-Spezifikationen konfiguriert und darf ohne Genehmigung durch Oracle nicht geändert werden.
Control-Plane-Netz
Das Control-Plane-Netzwerk verbindet die beiden Control-Plane-Proxyservices-VMs in der Data Infrastructure mit Oracle Cloud Infrastructure (OCI). Es dient zwei Hauptzwecken:
- Ermöglicht sichere vom Kunden initiierte Vorgänge über die Oracle Cloud-Konsole und OCI-APIs, wie Bereitstellung, Skalierung und Verwaltung von Ressourcen.
- Ermöglicht Oracle die sichere Überwachung und Verwaltung der von Oracle verwalteten Infrastruktur von OCI.
Das Control-Plane-Netzwerk ist für die Control-Plane-Kommunikation vorgesehen und ist vom Kundendatenverkehr getrennt. So wird ein sicheres und zuverlässiges Infrastrukturmanagement sichergestellt.
Damit die Control Plane ordnungsgemäß funktioniert, müssen die Control-Plane-Proxyservices-VMs in der Lage sein, eine Verbindung zu bestimmten OCI-Endpunkten herzustellen. Aktivieren Sie den Zugriff auf den ausgehenden TCP-Port 443 auf die erforderlichen Endpunkte in Ihrer OCI-Region, wie in der folgenden Tabelle beschrieben.
| Beschreibung/Zweck | Zu öffnender Port | Verzeichnis |
|---|---|---|
| Ausgehender Tunnelservice für Bereitstellung der Cloud-Automatisierung | 443 ausgehend | Verwenden Sie dieses URL-Format, und ersetzen Sie die Datei <oci_region> durch Ihre Region:https://wss.dbinfracc.<oci_region>.ocp.oraclecloud.com |
| Sicherer Tunnelservice für Remotezugriff durch Oracle-Bediener | 443 ausgehend | Verwenden Sie dieses URL-Format, und ersetzen Sie die Datei <oci_region> durch Ihre Region:https://mgmt.dbinfracc.<oci_region>.ocp.oraclecloud.com |
| Object Storage Service zum Abrufen von Systemupdates, Infrastrukturüberwachung und Logerfassung | 443 ausgehend | Verwenden Sie dieses URL-Format, und ersetzen Sie die Datei <oci_region> durch Ihre Region:https://objectstorage.<oci_region>.oraclecloud.com |
| Monitoringservice zur Aufzeichnung und Verarbeitung von Infrastructure Monitoring-Metriken (IMM) | 443 ausgehend | Verwenden Sie dieses URL-Format, und ersetzen Sie die Datei <oci_region> durch Ihre Region:https://telemetry-ingestion.<oci_region>.oraclecloud.com |
| Identity Service für Autorisierung und Authentifizierung | 443 ausgehend | Verwenden Sie dieses URL-Format, und ersetzen Sie <oci_region> durch Ihre Region:https://identity.<oci_region>.oraclecloud.comhttps://auth.<oci_region>.oraclecloud.com |
| Resource Principal-basierte Authentifizierung und Bereitstellung des Datenbankservice | 443 ausgehend | Verwenden Sie dieses URL-Format, und ersetzen Sie <oci_region> durch Ihre Region:https://datacc.<oci_region>.ocp.oraclecloud.comhttps://database.<oci_region>.oraclecloud.com |
| Betriebssystemverwaltungsservice für BS-Updates | 443 ausgehend | Verwenden Sie dieses URL-Format, und ersetzen Sie <oci_region> durch Ihre Region:https://osmh.<oci_region>.oci.oraclecloud.comhttps://osmh.yum.<oci_region>.oci.oraclecloud.comhttps://management-agent.<oci_region>.oci.oraclecloud.com |
Der Zugriff von der Dateninfrastruktur auf die in der obigen Tabelle aufgeführten Serviceendpunkte ist für die vollständige Funktionalität erforderlich. Wenn Sie den Zugriff auf alle erforderlichen Endpunkte nicht zulassen, kann dies zu einer verringerten Funktionalität oder zu Funktionseinschränkungen führen, die nicht wie erwartet funktionieren.
Für die Control-Plane-Proxyservices-VMs ist nur der Zugriff auf ausgehenden TCP-Port 443 erforderlich. Eingehender TCP-Port 443-Zugriff ist nicht erforderlich und kann aus Sicherheitsgründen blockiert werden. Nachdem die sichere ausgehende Verbindung hergestellt ist, kann eine bidirektionale Kommunikation über die Verbindung erfolgen.
Für die Control-Plane-Proxyservices-VMs müssen auch Kunden-DNS- und NTP-Services ordnungsgemäß funktionieren. Die Mindestbandbreitenanforderung für die Verbindung zu OCI beträgt 50 Mbps-Download und 10 Mbps-Upload.
Einige Umgebungen erfordern Proxys für ausgehende Internetkonnektivität. Verwenden Sie einen offenen HTTP-Proxyserver für Control-Plane-Proxyservices-VM-Verbindungen zu OCI. Reverse-Proxy-Server, Challenge-Proxys und Trafficprüfung werden nicht unterstützt.
Wenn Sie Firewallregeln basierend auf der IP-Adressfilterung verwenden, lassen Sie Traffic für alle relevanten OCI-Region-CIDR-Bereiche zu, die in der folgenden Datei aufgeführt sind:
https://docs.oracle.com/en-us/iaas/tools/public_ip_ranges.json
Systemnetzwerk
Dieses interne Systemnetzwerk verbindet die Data Infrastructure-Server und Control-Plane-Proxyservices-VMs. Es wird für Speicher-(ASM-)Traffic, Hochleistungs-Interconnect-Traffic und die Verwaltung von Infrastrukturkomponenten verwendet.
Dieses Netzwerk ist vollständig in der Dateninfrastruktur enthalten und stellt keine direkte Verbindung zu Ihrem Unternehmensnetzwerk her. Die Dateninfrastruktur ist jedoch indirekt über die Control-Plane-Proxyservices-VMs mit dem Unternehmensnetzwerk verbunden. Daher dürfen die IP-Adressen, die dem Systemnetzwerk zugeordnet werden, an keiner anderen Stelle im Unternehmensnetzwerk vorhanden sind.
Jeder Data Infrastructure-Server und -Speicherserver verfügt über drei Netzwerkschnittstellen, die über die folgenden Ports mit dem Systemnetzwerk verbunden sind:
- NET0: Hostnetzwerkport
- NET MGMT - Integrated Lights Out Manager-(ILOM-)Port
- Anschlüsse am PCIe-Kartensteckplatz #1
Die NET0- und NET MGMT-(ILOM-)Ports sind zwischen den beiden Data Infrastructure-Servern miteinander verbunden. Ports auf PCIe Slot #1 auf den beiden Servern sind für das private Cluster-Interconnect zwischen den beiden Servern verbunden. Eine Änderung der Verkabelung oder Konfiguration dieser Schnittstellen ist nicht zulässig.
Kundennetzwerk
Vom Kunden verwaltete Netzwerke, die für den Zugriff auf zugehörige Systeme durch die Data Infrastructure Data Plane erforderlich sind.
Clientnetzwerk
Das Clientnetzwerk verbindet die VM-Cluster und Anwendungs-VMs in Ihrer Dateninfrastruktur mit Ihrem vorhandenen Clientnetzwerk und wird für den Clientzugriff auf diese VMs verwendet. Anwendungen greifen über dieses Netzwerk auf Oracle AI-Datenbanken zu, indem sie Single Client Access Name-(SCAN-) und Oracle Real Application Clusters(Oracle RAC-)Virtual IP-(VIP-)Schnittstellen nutzen.
Wenn Data Guard aktiviert ist, verwendet die Datenreplikation standardmäßig das Clientnetzwerk.
Backupnetzwerk
Das Backupnetzwerk ähnelt dem Clientnetzwerk, da es die VM-Cluster und Anwendungs-VMs in Ihrer Dateninfrastruktur mit Ihrem vorhandenen Netzwerk verbindet. Es kann für verschiedene Zwecke für den Zugriff auf VMs verwendet werden, einschließlich Backups und Bulkdatenübertragungen.
Wie das Clientnetzwerk muss auch das Backupnetzwerk physisch mit dem Kundennetzwerk verbunden sein.
Wenn Sie vom Kunden verwalteten On-Premise-Speicher wie NFS oder Oracle Zero Data Loss Recovery Appliance (Recovery Appliance) ausschließlich als Backupziel verwenden, erfordert das Backupnetzwerk keine externe Konnektivität zu OCI.
Data-Center-Netzwerkservices
Stellen Sie vor dem Deployment von Data Infrastructure sicher, dass Ihr Data-Center-Netzwerk die erforderlichen Voraussetzungen erfüllt.
Domain Name System (DNS)
Im Rahmen des Deployment-Prozesses müssen Sie die Hostnamen und IP-Adressen bestimmen, die für die Client- und Backupnetzwerkschnittstellen verwendet werden. Registrieren Sie diese Hostnamen und IP-Adressen in Ihrem Unternehmens-DNS.
Mindestens ein zuverlässiger DNS-Server ist erforderlich, die für die Proxy-Services-VMs der Control-Plane und alle Server im Clientnetzwerk zugänglich sein muss. Sie können bis zu drei DNS-Server für Redundanz konfigurieren, wenn ein Server nicht verfügbar ist.
Network Time Protocol (NTP)
Data Infrastructure verwendet Network Time Protocol (NTP), um die Zeit über alle Systemkomponenten hinweg zu synchronisieren.
Mindestens ein zuverlässiger NTP-Server ist erforderlich, die für die Proxy-Services-VMs der Control-Plane und alle Server im Clientnetzwerk zugänglich sein muss. Sie können bis zu drei NTP-Server für Redundanz konfigurieren, wenn ein Server nicht verfügbar ist.
IP-Adressen und Subnetze
Sie müssen IP-Adressbereiche für die erforderlichen Data Infrastructure-Netzwerke zuweisen.
Systemnetzwerk
Zwischen den Adressbereichen, die für das Systemnetzwerk verwendet werden, und anderen Netzwerken in Ihrem Unternehmensnetzwerk ist keine Überschneidung zulässig. Alle IP-Adressen müssen innerhalb Ihres Unternehmensnetzwerks eindeutig sein. Außerdem müssen Sie IP-Adressen aus Ihrem Unternehmensnetzwerk für die Control-Plane-Proxyservices-VMs zuweisen. Geben Sie diese Netzwerkkonfigurationsdetails beim Erstellen der Data Infrastructure an.
Beim Erstellen der Dateninfrastruktur füllt die Konsole Standardwerte für den CIDR-Block des Systemnetzwerks vorab aus. Sie können den vorgeschlagenen CIDR-Block verwenden, wenn er sich nicht mit vorhandenen IP-Adressen in einem Unternehmensnetzwerk überschneidet.
Prüfen Sie die IP-Adressanforderungen für das Systemnetzwerk. Die Tabelle gibt die für das Netzwerk zulässige maximale und minimale CIDR-Blockpräfixlänge. Die maximale CIDR-Blockpräfixlänge definiert den kleinsten IP-Adressbereich, der für das Netzwerk erforderlich ist. Um eine zukünftige Expansion zu ermöglichen, arbeiten Sie mit Ihrem Netzwerkteam zusammen, um ausreichend IP-Adressen für das erwartete Wachstum zu reservieren.
| Netzwerktyp | IP-Adressanforderungen |
|---|---|
| Systemnetzwerk | Privater RFC 1918-CIDR-Block mit einem Präfix /24 |
| Control-Plane-Netzwerk | Zwei IP-Adressen, eine für jede Control-Plane-Proxyservice-VM |
Weitere Informationen zu den Anforderungen an das Systemnetzwerk-CIDR finden Sie unter Dateninfrastruktur erstellen.
Hostname und IP-Adresse
Um eine Verbindung zu einem Unternehmensnetzwerk herzustellen, benötigt Data Infrastructure Hostnamen und IP-Adressen für Netzwerkschnittstellen in den Client- und Backupnetzwerken. Die Anzahl der erforderlichen IP-Adressen hängt von der Systemausprägung ab. Geben Sie diese Netzwerkkonfigurationsdetails an, einschließlich Hostnamen und IP-Adressen, wenn Sie ein VM-Netzwerk erstellen. Alle IP-Adressen müssen statisch zugewiesen sein und können das Dynamic Host Configuration Protocol (DHCP) nicht verwenden. Client- und Backupnetzwerke müssen separate Subnetze verwenden.
Clientnetzwerk
- Ein High Availability-VM-Cluster mit zwei Knoten erfordert 6 Clientnetzwerk-IPs (2 Host-IPs, 2 VIPs und 2 SCAN-IPs).
- Ein VM-Cluster mit einem Knoten und SCAN erfordert 3 Clientnetzwerk-IPs (1 Host-IP, 1 VIP und 1 SCAN-IP).
- Ein VM-Cluster mit einem Knoten ohne SCAN erfordert 1 Clientnetzwerk-IP (nur Host-IP).
- Eine Anwendungs-VM erfordert 1 Clientnetzwerk-IP.
Backupnetzwerk
- Ein VM-Cluster mit zwei Knoten: 2 Backupnetzwerk-IPs (eine pro Host).
- Ein VM-Cluster mit einem Knoten: 1 Backupnetzwerk-IP (für den einzelnen Host).
- Eine Anwendungs-VM: 1 Backupnetzwerk-IP.
Uplinks
Stellen Sie sicher, dass die Data Infrastructure die Uplink-Anforderungen für das Control-Plane-Netzwerk, das Clientnetzwerk und das Backupnetzwerk erfüllt.
Control-Plane-Proxyservices-VM-Netzwerk
- 4 × 10G RJ45-Ports für das Control Plane Proxy Services VM-Netzwerk
- Oracle stellt CAT 6-Kabel bereit, um die Control-Plane-Netzwerkports auf den Data Infrastructure-Servern mit Ihren Data Center Switches zu verbinden.
Dual-Port-Konfiguration für Client- und Backupnetzwerke
- 4 × 10/25G SFP28-Ports für das Clientnetzwerk
- 4 × 10/25G SFP28 Ports für das Backup-Netzwerk
- Oracle stellt Transceiver für den Client und Backupports auf den Data Infrastructure-Servern bereit. Sie müssen Ihre eigenen Kabel und Transceiver für die Switch-Ports des Data Centers verwenden.
Quad-Port-Konfiguration für Client- und Backup-Netzwerke
- 4 × 10G RJ45 Ports für das Client-Netzwerk
- 4 × 10G RJ45 Ports für das Backup-Netzwerk
- Sie müssen Ihre eigenen CAT 6-Kabel verwenden, um die Client- und Backupports auf den Data Infrastructure-Servern mit Ihren Data Center Switch-Ports zu verbinden.
Sichere Verbindung zwischen den Control-Plane-Proxyservices-VMs und OCI mit FastConnect herstellen
Ziehen Sie die Verwendung von OCI FastConnect in Betracht, wenn Sie zusätzliche Isolation für die Konnektivität zwischen den Control-Plane-Proxyservices-VMs und OCI über den Standard-TLS-Tunnelansatz hinaus benötigen.
Weitere Informationen finden Sie unter OCI FastConnect.
Data Infrastructure unterstützt die FastConnect-Konnektivitätsmodelle für Public Peering und Private Peering.
Das Control-Plane-Netzwerk stellt über den FastConnect-Provider eine Verbindung zum Oracle-Edge-Netzwerk her. Vorhandene FastConnect-Konnektivität kann auch verwendet werden, um Dateninfrastruktur mit Public Peering mit der OCI-Region zu verbinden.
FastConnect für die Dateninfrastruktur konfigurieren
Sie können OCI FastConnect vor oder nach dem Deployment von Data Infrastructure konfigurieren.
Egress-Netzwerkkonfiguration der Dateninfrastruktur für FastConnect
Konfigurieren Sie die Egress-Regeln für das VM-Netzwerk der Control-Plane-Proxyservices, um Traffic über FastConnect weiterzuleiten. Stellen Sie außerdem sicher, dass das Netzwerk einen internetfähigen DNS-Kundendienst erreichen kann. Data Infrastructure verwendet den Kunden-DNS-Service, um öffentliche OCI-Endpunkte aufzulösen.
Die Verwendung eines HTTP-Proxys des Unternehmens zwischen den Control-Plane-Proxyservices-VMs und der OCI-Region wird bei der Verwendung von FastConnect nicht empfohlen, da FastConnect bereits dedizierte Netzwerkkonnektivität bereitstellt. Wenn ein Unternehmensproxy erforderlich ist, konfigurieren Sie zusätzliches Routing, um sicherzustellen, dass der Dateninfrastrukturtraffic über FastConnect geleitet wird.
Wenn Sie Private Peering verwenden, stellen Sie sicher, dass das Transitrouting auf der VCN-Seite konfiguriert ist.