Sichere Anwendungs-Workloads mit Palo Alto Networks VM-Serie Firewall
Verschieben oder erweitern Sie Anwendungs-Workloads mit virtuellen Firewalls der nächsten Generation (NGFWs) von Palo Alto Network VM-Series sicher aus Oracle E-Business Suite oder PeopleSoft in der Cloud.
Die virtuellen NGFWs der Palo Alto Networks VM-Serie sichern Multicloud-Umgebungen, indem sie vollständige Transparenz und Kontrolle des Anwendungsverkehrs über benutzerdefinierte Anwendungen, konsistentes Cross-Cloud-Firewall-Management und Policy-Durchsetzung, maschinensprachbetriebenen Bedrohungsschutz und Exfiltrationsprävention sowie automatisierte Bereitstellungs- und Provisioning-Funktionen bereitstellen, um selbst mit den dynamischsten Umgebungen Schritt zu halten.
Sicherheit in der Cloud basiert auf einem gemeinsamen Verantwortungsmodell. Oracle ist für die Sicherheit der zugrunde liegenden Infrastruktur wie Rechenzentrumseinrichtungen und Hardware und Software zur Verwaltung von Cloud-Vorgängen und -Services verantwortlich. Kunden sind dafür verantwortlich, ihre Workloads zu sichern und ihre Services und Anwendungen sicher zu konfigurieren, um ihren Compliance-Verpflichtungen nachzukommen.
Palo Alto Networks VM-Serie Firewalls bieten konsistente Bedrohungsprävention und Inline-Netzwerksicherheit in Cloud-Umgebungen, wodurch Netzwerksicherheitsteams die Sichtbarkeit und Kontrolle über den Datenverkehr in ihren Cloud-Netzwerken wiederherstellen können. Zu den Schlüsselfunktionen der Palo Alto Networks VM-Serie gehören die Layer 7 Firewall, Cloud-freigegebene Sicherheitsabonnements und das konsolidierte Sicherheitsmanagement.
Architektur
Diese Referenzarchitektur veranschaulicht, wie Organisationen Oracle-Anwendungen wie Oracle E-Business Suite und PeopleSoft schützen können, die mit Palo Alto Networks VM-Series Firewalls in Oracle Cloud Infrastructure bereitgestellt werden.
Um diese Verkehrsströme zu schützen, empfiehlt Palo Alto Networks die Segmentierung des Netzwerks mit einer Hub- und Spoke-Topologie, bei der der Verkehr über einen zentralen Hub geleitet wird und an mehrere verschiedene Netzwerke (Speichen) angeschlossen ist. Der gesamte Datenverkehr zwischen Speichen, sei es vom und zum Internet, zu und von On-Premise oder zum Oracle Services Network wird über den Hub geleitet und mit den mehrschichtigen Bedrohungspräventionstechnologien der Palo Alto Networks VM-Serie geprüft.
Stellen Sie jede Ebene Ihrer Anwendung in einem eigenen virtuellen Cloud-Netzwerk (VCN) bereit, das als Spoke fungiert. Der Hub VCN enthält ein Firewall-Hochverfügbarkeitscluster der Palo Alto Networks VM-Serie, ein Oracle-Internet-Gateway, ein dynamisches Routinggateway (DRG), ein Oracle-Servicegateway und lokale Peering-Gateways (LPGs).
Der Hub VCN stellt eine Verbindung zu den gesprochenen VCNs über LPGs her oder hängt sekundäre virtuelle Netzwerkschnittstellenkarten (VNIC) an die Palo Alto Networks VM-Series-Firewall an. Der gesamte gesprochene Traffic verwendet Routentabellenregeln, um Traffic durch die LPGs zur Inspektion durch das Firewall-Hochverfügbarkeitscluster Palo Alto Networks VM-Series an den Hub zu leiten.
Sie können die Firewall der Palo Alto Networks VM-Serie lokal oder zentral über das zentrale Sicherheitsmanagementsystem Palo Alto Networks konfigurieren und verwalten. Panorama hilft Kunden, die Komplexität und den Verwaltungsaufwand bei der Verwaltung von Konfigurations-, Policy-, Software- und dynamischen Content-Updates zu reduzieren. Mit Gerätegruppen und Vorlagen im Panorama können Sie Firewall-spezifische Konfiguration lokal an einer Firewall verwalten und gemeinsam genutzte Policys über alle Firewalls oder Gerätegruppen hinweg durchsetzen.
Das folgende Diagramm veranschaulicht diese Referenzarchitektur.
Beschreibung der Abbildung palo_alto_nw_vm_oci.png
Eingehender Verkehr Nord-Süd
Das folgende Diagramm zeigt, wie der eingehende Nord-Süd-Traffic aus dem Internet und aus Remote-Rechenzentren auf die Webanwendungsebene zugreift. Diese Konfiguration stellt sicher, dass Netzwerkadressübersetzung (NAT) und Sicherheitsrichtlinien auf der Palo Alto Networks VM-Series-Firewall geöffnet sind.
Beschreibung der Abbildung palo_alto_north_south_inbound.png
Nord-Süd-ausgehender Verkehr
Das folgende Diagramm veranschaulicht, wie ausgehende Verbindungen von der Webanwendung und Datenbankebenen zum Internet Softwareupdates und Zugriffsmöglichkeiten auf externe Webservices enthalten. Diese Konfiguration stellt sicher, dass die Quell-NAT in der Firewall-Policy der Palo Alto Networks VM-Serie für die relevanten Netzwerke konfiguriert ist.
Beschreibung der Abbildung palo_alto_north_south_outbound.png
Ost-West-Verkehr (Web zu Datenbank)
Das folgende Diagramm veranschaulicht, wie sich der Datenverkehr von der Webanwendung zur Datenbankebene bewegt.
Beschreibung der Abbildung palo_alto_east_west_web_db.png
Ost-West-Verkehr (Datenbank zu Web)
Das folgende Diagramm veranschaulicht, wie sich der Datenverkehr von der Datenbankebene in die Webanwendung verschiebt.
Beschreibung der Abbildung palo_alto_east_west_db_web.png
Ost-West-Traffic (Webanwendung für Oracle-Services-Netzwerk)
Im folgenden Diagramm wird dargestellt, wie sich der Traffic von der Webanwendung in das Oracle-Servicenetzwerk verschiebt. Diese Konfiguration stellt sicher, dass Sie Jumbo Frames auf den Firewallschnittstellen der Palo Alto Networks VM-Serie aktiviert haben.
Beschreibung der Abbildung palo_alto_east_west_webapp_osn.png
Ost-West-Verkehr (Oracle-Services-Netzwerk zu Webanwendung)
Das folgende Diagramm veranschaulicht, wie sich der Traffic vom Oracle-Services-Netzwerk in die Webanwendung verschiebt.
Beschreibung der Abbildung palo_alto_east_west_osn_webapp.png
Die Architektur enthält die folgenden Komponenten:
- Palo Alto Networks VM-Serie Firewall
Bietet alle Funktionen physischer Firewalls der nächsten Generation in einer VM-Form (Virtual Machine), bietet Inline-Netzwerksicherheit und Bedrohungsprävention, um öffentliche und private Clouds konsequent zu schützen.
- Oracle E-Business Suite - oder PeopleSoft-Anwendungsebene
Bestehend aus Oracle E-Business Suite - oder PeopleSoft-Anwendungsservern und Dateisystem.
- Oracle E-Business Suite - oder PeopleSoft-Datenbankebene
Bestehend aus Oracle Database, jedoch nicht beschränkt auf Oracle Database Exadata Cloud Service-Service oder Oracle Database-Services.
- Region
Eine Oracle Cloud Infrastructure-Region ist ein lokalisierter geografischer Bereich, der mindestens ein Rechenzentrum (Availability-Domains) enthält. Regionen sind unabhängig von anderen Regionen, und große Entfernungen können sie trennen (über Länder oder sogar Kontinente).
- Availability-Domains
Verfügbarkeitsdomains sind eigenständige, unabhängige Rechenzentren innerhalb einer Region. Die physischen Ressourcen in jeder Availability-Domain sind von den Ressourcen in den anderen Availability-Domains isoliert, was eine Fehlertoleranz bietet. Availability-Domains teilen keine Infrastruktur wie Strom oder Kühlung oder das interne Availability-Domain-Netzwerk. Ein Fehler bei einer Availability-Domain wirkt sich daher unwahrscheinlich auf die anderen Availability-Domains in der Region aus.
- Faultdomains
Eine Faultdomain ist eine Gruppierung von Hardware und Infrastruktur innerhalb einer Availability-Domain. Jede Availability-Domain verfügt über drei Fault-Domains mit unabhängiger Power und Hardware. Wenn Sie Ressourcen auf mehrere Faultdomains verteilen, können Ihre Anwendungen physischen Serverfehler, Systemwartung und Stromausfälle innerhalb einer Faultdomain tolerieren.
- Virtuelles Cloud-Netzwerk (VCN) und Subnetze
Ein VCN ist ein anpassbares, softwaredefiniertes Netzwerk, das Sie in einer Oracle Cloud Infrastructure-Region eingerichtet haben. Wie herkömmliche Rechenzentrumsnetze geben VCNs Ihnen die vollständige Kontrolle über Ihre Netzwerkumgebung. Ein VCN kann mehrere nicht überlappende CIDR-Blöcke enthalten, die Sie nach dem Erstellen des VCN ändern können. Sie können ein VCN in Subnetze segmentieren, die für eine Region oder eine Availability-Domain Geltungsbereich haben können. Jedes Subnetz besteht aus einem zusammenhängenden Adressbereich, der sich nicht mit den anderen Subnetzen im VCN überschneidet. Nach der Erstellung können Sie die Größe eines Subnetzes ändern. Ein Subnetz kann öffentlich oder privat sein.
- Hub VCN
Das Hub VCN ist ein zentrales Netzwerk, in dem Palo Alto Networks VM-Serie Firewalls bereitgestellt werden. Sie bietet eine sichere Konnektivität zu allen gesprochenen VCNs, Oracle Cloud Infrastructure-Services, öffentlichen Endpunkten und Clients sowie On-Premise-Rechenzentrumsnetzwerken.
- Anwendungsebene sprach VCN
Die Anwendungsebene Spoke VCN enthält ein privates Subnetz zum Hosten von Oracle E-Business Suite - oder PeopleSoft-Komponenten.
- Datenbank-Tier Spoke VCN
Die Datenbankebene Spoke VCN enthält ein privates Subnetz für das Hosten von Oracle-Datenbanken.
- Load Balancer
Der Oracle Cloud Infrastructure Load Balancing-Service stellt eine automatisierte Trafficverteilung von einem einzelnen Einstiegspunkt an mehrere Server im Backend bereit.
- Sicherheitsliste
Für jedes Subnetz können Sie Sicherheitsregeln erstellen, die die Quelle, das Ziel und den Traffictyp angeben, die im Subnetz und außerhalb des Subnetzes zulässig sein müssen.
- Route-Tabelle
Virtuelle Routentabellen enthalten Regeln zur Weiterleitung des Traffics von Subnetzen an Ziele außerhalb eines VCN, typischerweise über Gateways.
Im Hub VCN haben Sie die folgenden Routentabellen:
- Management-Routentabelle, die an das Management-Subnetz angehängt ist und eine Standardroute mit dem Internetgateway verbunden ist.
- Nicht vertrauenswürdige Routentabelle, die an das nicht vertrauenswürdige Subnetz oder Standard-VCN angehängt ist, um Traffic vom Hub VCN an das Internet oder On-Premise-Ziele weiterzuleiten.
- Trust-Routentabelle, die mit dem Trust-Subnetz verknüpft ist und auf den CIDR-Block der gesprochenen VCNs über die zugehörigen LPGs verweist.
- Routentabelle mit hoher Verfügbarkeit, die an das Subnetz mit hoher Verfügbarkeit angehängt ist und die hohe Verfügbarkeit zwischen Palo Alto Networks VM-Series Firewall-Instanzen verwaltet.
- Für jeden Spoke, der an den Hub angehängt ist, wird eine eindeutige Routentabelle definiert und an eine zugehörige LPG angehängt. Diese Routentabelle leitet den gesamten Traffic (0.0.0.0/0) von der zugehörigen Spoke LPG über die Firewallvertrauensschnittstelle der Palo Alto Networks VM-Serie mit variabler IP weiter.
- Routentabelle für Oracle-Servicegateway, die dem Oracle-Servicegateway für die Kommunikation mit Oracle Services Network zugeordnet ist. Diese Route leitet den gesamten Traffic (0.0.0.0/0) an die Firewallvertrauensschnittstelle der Palo Alto Networks VM-Serie mit variabler IP weiter.
- Um die Verkehrssymmetrie aufrechtzuerhalten, werden auch Routen zu jeder Palo Alto Networks VM-Serie Firewall hinzugefügt, um den CIDR-Block des gesprochenen Traffics auf die Standard-Gateway-IP des Trust-Subnetzes (die im Trust-Subnetz im Hub VCN verfügbare Standard-Gateway-IP) zu verweisen.
- Internetgateway
Das Internetgateway ermöglicht den Datenverkehr zwischen den öffentlichen Subnetzen in einem VCN und dem öffentlichen Internet.
- Network Address Translation-(NAT-)Gateway
Mit einem NAT-Gateway können private Ressourcen in einem VCN auf Hosts im Internet zugreifen, ohne diese Ressourcen für eingehende Internetverbindungen bereitzustellen.
- Lokales Peering-Gateway (LPG)
Mit einem LPG können Sie ein VCN mit einem anderen VCN in derselben Region peeren. Peering bedeutet, dass die VCNs mit privaten IP-Adressen kommunizieren, ohne dass der Datenverkehr das Internet oder Routing über Ihr On-Premise-Netzwerk durchläuft.
- Dynamisches Routinggateway (DRG)
DRG ist ein virtueller Router, der einen Pfad für den privaten Netzwerkverkehr zwischen einem VCN und einem Netzwerk außerhalb der Region bereitstellt, wie z. B. ein VCN in einer anderen Oracle Cloud Infrastructure-Region, ein On-Premise-Netzwerk oder ein Netzwerk in einem anderen Cloud-Provider.
- Servicegateway
Das Servicegateway bietet Zugriff von einem VCN auf andere Services, wie Oracle Cloud Infrastructure Object Storage. Der Traffic vom VCN zum Oracle-Service fährt über den Oracle-Netzwerkstoff und durchquert niemals das Internet.
- FastConnect
Oracle Cloud Infrastructure FastConnect bietet eine einfache Möglichkeit, eine dedizierte, private Verbindung zwischen Ihrem Rechenzentrum und Oracle Cloud Infrastructure zu erstellen. FastConnect bietet Optionen mit höherer Bandbreite und ein zuverlässigeres Netzwerkerlebnis im Vergleich zu internetbasierten Verbindungen.
- Virtuelle Netzwerkschnittstellenkarte (VNIC)
Die Services in Oracle Cloud Infrastructure-Datenzentren verfügen über physische Netzwerkschnittstellenkarten (NICs). Virtuelle Rechnerinstanzen kommunizieren mit virtuellen NICs (VNICs), die mit physischen NICs verknüpft sind. Jede Instanz verfügt über eine primäre VNIC, die beim Start automatisch erstellt und angehängt wird und während der Lebensdauer der Instanz verfügbar ist. DHCP wird nur der primären VNIC angeboten. Sie können sekundäre VNICs nach dem Instanzstart hinzufügen. Sie sollten statische IPs für jede Schnittstelle festlegen.
- Private IPs
Eine private IPv4-Adresse und zugehörige Informationen zum Adressieren einer Instanz. Jede VNIC verfügt über eine primäre private IP und Sie können sekundäre private IPs hinzufügen und entfernen. Die primäre private IP-Adresse einer Instanz wird während des Instanzstarts angehängt und ändert sich während der Lebensdauer der Instanz nicht. Sekundäre IPs sollten ebenfalls zu demselben CIDR des VNIC-Subnetzes gehören. Die sekundäre IP wird als schwebende IP verwendet, da sie sich auf verschiedenen Instanzen innerhalb desselben Subnetzes zwischen verschiedenen VNICs bewegen kann. Sie können es auch als einen anderen Endpunkt verwenden, um verschiedene Services zu hosten.
- Öffentliche IPs
Die Networking-Services definieren eine öffentliche IPv4-Adresse, die von Oracle ausgewählt wurde, die einer privaten IP zugeordnet ist.
- Ephemeral: Diese Adresse ist temporär und für die Gültigkeitsdauer der Instanz vorhanden.
- Reserviert: Diese Adresse bleibt über die Gültigkeitsdauer der Instanz hinaus bestehen. Die Zuweisung kann aufgehoben und einer anderen Instanz neu zugewiesen werden.
- Quell- und Zielprüfung
Jede VNIC führt die Quell- und Zielprüfung im Netzwerkverkehr durch. Durch Deaktivieren dieses Kennzeichens kann CGNS Netzwerkverkehr verarbeiten, der nicht für die Firewall bestimmt ist.
- Rechenleistungseinheit
Die Form einer Compute-Instanz gibt die Anzahl der CPUs und den der Instanz zugewiesenen Speicher an. Die Rechenleistungseinheit bestimmt auch die Anzahl der VNICs und die maximale Bandbreite, die für die Rechenleistungsinstanz verfügbar ist.
Empfehlungen
- VCN
Legen Sie beim Erstellen eines VCN die Anzahl der erforderlichen CIDR-Blöcke und die Größe jedes Blocks basierend auf der Anzahl der Ressourcen fest, die Sie Subnetzen in VCN zuordnen möchten. Verwenden Sie CIDR-Blöcke, die sich im standardmäßigen privaten IP-Adressraum befinden.
Wählen Sie CIDR-Blöcke, die sich nicht mit einem anderen Netzwerk überschneiden (in Oracle Cloud Infrastructure, Ihrem On-Premise-Rechenzentrum oder einem anderen Cloud-Provider), zu dem Sie private Verbindungen einrichten möchten.
Nachdem Sie ein VCN erstellt haben, können Sie die CIDR-Blöcke ändern, hinzufügen und entfernen.
Wenn Sie die Subnetze entwerfen, sollten Sie den Trafficfluss und die Sicherheitsanforderungen berücksichtigen. Ordnen Sie alle Ressourcen innerhalb einer bestimmten Ebene oder Rolle an dasselbe Subnetz zu, das als Sicherheitsgrenze dienen kann.
Verwenden Sie regionale Subnetze.
Prüfen Sie die maximale Anzahl LPGs pro VCN in Ihren Servicelimits, falls Sie diese Architektur für mehrere Umgebungen und Anwendungen erweitern möchten.
- Palo Alto Networks VM-Serie Firewall
- Stellen Sie ein High Availability-Cluster bereit.
- Wenn möglich, stellen Sie in verschiedenen Faultdomains mindestens oder in verschiedenen Availability-Domains bereit.
- Stellen Sie sicher, dass MTU auf 9000 auf allen VNICs festgelegt ist.
- Verwenden Sie VFIO-Schnittstellen.
- Palo Alto Networks VM-Serie Firewall Sicherheitsmanagement
- Wenn Sie ein Deployment erstellen, das in Oracle Cloud Infrastructure gehostet wird, erstellen Sie ein dediziertes Subnetz für die Verwaltung.
- Verwenden Sie Sicherheitslisten oder NSGs, um den eingehenden Zugriff auf Ports 443 und 22 einzuschränken, die aus dem Internet stammen, um die Sicherheits-Policy zu verwalten und Logs und Ereignisse anzuzeigen.
- Palo Alto Networks VM-Serie Firewall-Policys
Weitere Informationen zu erforderlichen Sicherheits-Policys, Ports und Protokollen finden Sie in der Firewall-Dokumentation im Abschnitt Explore More.
Wichtige Aspekte
Wenn Sie Oracle E-Business Suite - oder PeopleSoft-Workloads mit Palo Alto Networks VM-Series Firewall auf Oracle Cloud Infrastructure sichern, gehen Sie wie folgt vor:
- Performance
- Wenn Sie die richtige Instanzgröße auswählen, die von der Compute-Form bestimmt wird, wird der maximale verfügbare Durchsatz, die CPU, der RAM und die Anzahl der Schnittstellen bestimmt.
- Organisationen müssen wissen, welche Verkehrsarten die Umwelt durchqueren, die entsprechenden Risikoniveaus bestimmen und bei Bedarf geeignete Sicherheitskontrollen durchführen. Verschiedene Kombinationen aktivierter Sicherheitskontrollen wirken sich auf die Performance aus.
- Erwägen Sie, dedizierte Schnittstellen für FastConnect - oder VPN-Services hinzuzufügen.
- Betrachten Sie die Verwendung großer Rechenformen für höheren Durchsatz und Zugriff auf mehr Netzwerkschnittstellen.
- Führen Sie Performancetests zur Validierung des Designs aus, um die erforderliche Performance und den erforderlichen Durchsatz aufrechtzuerhalten.
- Sicherheit
- Die Bereitstellung der Palo Alto Networks VM-Series-Firewall in Oracle Cloud Infrastructure ermöglicht die zentrale Konfiguration und Überwachung aller physischen und virtuellen Palo Alto Networks VM-Series-Instanzen.
- Definieren Sie eine eindeutige dynamische Gruppe oder Policy für Identity and Access Management (IAM) pro Cluster-Deployment.
- Verfügbarkeit
- Stellen Sie Ihre Architektur für die größte Redundanz in unterschiedlichen geografischen Regionen bereit.
- Konfigurieren Sie Site-to-Site-VPNs mit relevanten organisatorischen Netzwerken für redundante Konnektivität mit On-Premise-Netzwerken.
- Kostenfaktor
- Palo Alto Networks VM-Series-Firewall ist in Bring-your-own-license (BYOL) und Pay-as-you-go-Lizenzmodellen für Bundle 1 und Bundle 2 im Oracle Cloud Marketplace verfügbar.
- Bundle 1 umfasst die VM-Series-Kapazitätslizenz, die Bedrohungspräventionslizenz und einen Premium-Supportanspruch.
- Bundle 2 enthält die VM-Series-Kapazitätslizenz mit der vollständigen Suite von Lizenzen, die Bedrohungsprävention, WildFire, URL-Filterung, DNS-Sicherheit, GlobalProtect und einen Premium-Supportanspruch umfassen.
- Palo Alto Networks VM-Series-Firewall ist in Bring-your-own-license (BYOL) und Pay-as-you-go-Lizenzmodellen für Bundle 1 und Bundle 2 im Oracle Cloud Marketplace verfügbar.
Bereitstellen
- Deployment mit dem Stack in Oracle Cloud Marketplace:
- Richten Sie die erforderliche Netzwerkinfrastruktur ein, wie im Architekturdiagramm dargestellt. Siehe Hub-and-Spoke-Netzwerktopologie mit lokalen Peering-Gateways einrichten.
- Stellen Sie die Anwendung (Oracle E-Business Suite oder PeopleSoft) in Ihrer Umgebung bereit.
- Oracle Cloud Marketplace verfügt über mehrere Stacks für verschiedene Konfigurationen und Lizenzanforderungen. Beispiel: Die folgende Stack-Funktion bringt Ihre eigene Lizenzierung (BYOL) mit. Klicken Sie für jeden gewählten Stack auf App abrufen, und befolgen Sie die Prompts auf dem Bildschirm:
- Deployment mit dem Terraform-Code in GitHub:
- Gehen Sie zum GitHub-Repository.
- Klonen oder laden Sie das Repository auf Ihren lokalen Computer herunter.
- Befolgen Sie die Anweisungen im Dokument
README.