1. Sichern Sie Ihre Workloads auf Oracle Cloud Infrastructure mit FortiGate
  2. Sichern Sie Ihre Workloads auf Oracle Cloud Infrastructure mit FortiGate

Sichern Sie Ihre Workloads auf Oracle Cloud Infrastructure mit FortiGate

Oracle Cloud Infrastructure (OCI) bietet erstklassige Sicherheitstechnologie und betriebliche Prozesse, um die Enterprise Cloud Services zu sichern. Die Sicherheit in der Cloud basiert jedoch auf einem Modell für gemeinsame Verantwortung. Oracle ist für die Sicherheit der zugrunde liegenden Infrastruktur verantwortlich, wie Rechenzentrumsfunktionen, Hardware und Software zur Verwaltung von Cloud-Vorgängen und -Services. Kunden sind dafür verantwortlich, ihre Workloads zu sichern und ihre Services und Anwendungen sicher zu konfigurieren, um ihre Complianceanforderungen zu erfüllen.

Unternehmen nutzen die Cloud-Infrastruktur der 2. Generation von Oracle, um neue Anwendungen zu entwickeln, interne Rechenzentren zu erweitern und letztendlich die Elastizität der Public Cloud zu nutzen. Dieselben Unternehmen setzen sich für den Schutz ihrer Anwendungen und Daten in OCI auf Fortinet.

Adaptive Cloud Security-Lösungen von Fortinet schützen Workloads und Anwendungen über On-Premise-Data Center und Cloud-Umgebungen hinweg mit mehrschichtiger Sicherheit für cloud-basierte Anwendungen. Die Fortinet Security Fabric umfasst Data Center und Clouds und bietet eine konsolidierte Ansicht der Sicherheitslage, eine einzige Konsole für Richtlinienmanagement- und Governance-Berichte und Ereignisüberwachung, unabhängig von physischer, virtueller oder Cloud-Infrastruktur über private, öffentliche und Hybrid-Clouds hinweg.

Fortinet-Lösungen sind in Oracle Cloud Marketplace verfügbar, sowohl bei Bedarf als auch bei BYOL-Angeboten (Bring-your-own-license).

Architektur

Diese Referenzarchitektur veranschaulicht, wie Unternehmen Oracle-Anwendungen schützen können, wie Oracle E-Business Suite und PeopleSoft, die in OCI mit einer FortiGate-Firewall bereitgestellt werden, und vereinfachtes Design mit einem dynamischen Routinggateway (DRG).

Um diese Verkehrswerte zu schützen, empfiehlt Fortinet, das Netzwerk mithilfe einer Hub- und Spoke-Topologie zu segmentieren, wobei der Datenverkehr über einen Transit-Hub geleitet wird und mit mehreren eindeutigen Netzwerken (Spreisen) verbunden ist. Stellen Sie sicher, dass Sie ein High Availability-Cluster FortiGate bereitgestellt haben. Der gesamte Datenverkehr zwischen Spokes, ob aus dem Internet, aus dem On-Premise-Server oder aus dem Oracle Services Network, wird über den Hub geleitet und mit der Fortinet-Firewall FortiGate geprüft, die Firewall der nächsten Generation für Organisationen jeder Größe bereitstellt. Dabei kann die Flexibilität als Firewall der nächsten Generation, als interne Segmentierungsfirewall oder als Virtual Private Network-(VPN-)Gateway bereitgestellt werden. Sie schützt vor Cyber-Bedrohungen mit hoher Performance, Sicherheitseffizienz und umfassender Transparenz.

Stellen Sie jede Ebene Ihrer Anwendung in einem eigenen virtuellen Cloud-Netzwerk (VCN) bereit, das als Spoke fungiert. Das Hub-VCN enthält ein FortiGate Active/Passive-Cluster mit hoher Verfügbarkeit, ein Oracle-Internetgateway, ein DRG und ein Oracle Service Gateway.

Diese Architektur kann ein hoch skalierbares und modulares Design für die Verbindung mehrerer Spokes bereitstellen, wobei jedes Spoke-Netzwerk eine Anwendungsebene darstellt, wie Web, Anwendung und Datenbank. Sie funktioniert in einer Umgebung wie Produktion, Test und Entwicklung sowie in verschiedenen Infrastrukturen wie Regionen, On-Premise-Data Center und Multicloud.

Das Hub-VCN stellt über DRG eine Verbindung zu den Spoke-VCNs her. Der gesamte Spoke-Traffic verwendet Routentabellenregeln, um Traffic über das DRG zum Hub zu leiten. Verwenden Sie dazu die VCN-Ingress-Routentabelle zur Prüfung an FortiGate-Firewall.

Sie können die FortiGate-Firewall auch mit FortiManager verwalten. Das Single Pane Management von FortiManager bietet eine zentralisierte Verwaltungs- und Provisioning-Strategie, die auf der Sicherheitsstruktur von Fortinet basiert und die Netzwerkinfrastruktur und Sicherheitsarchitektur einer Organisation eng integriert, um die Zugriffskontrolle, Segmentierung und den konsistenten Schutz von Geräten, Anwendungen und Benutzern anzuwenden.

Das folgende Diagramm veranschaulicht diese Referenzarchitektur.

Beschreibung von Fortigate-oci-arch.png folgt
Beschreibung der Abbildung Fortigate-oci-arch.png

Stellen Sie für jeden Verkehrswert sicher, dass Sicherheitsrichtlinien, Netzwerkadressübersetzungen (NAT) und Routen auf FortiGate Firewalls vorhanden sind.
Die Architektur umfasst folgende Komponenten:
  • Fortinet FortiGate Firewall der nächsten Generation

    Bietet Netzwerk- und Sicherheitsdienste wie Bedrohungsschutz, SSL-Prüfung und extrem niedrige Latenz zum Schutz interner Segmente und geschäftskritischer Umgebungen. Sie unterstützt die direkte Single Root-I/O-Virtualisierung (SR-IOV) für verbesserte Performance. FortiGate kann direkt über Oracle Cloud Marketplace bereitgestellt werden.

  • Fortinet FortiManager

    Bietet eine zentrale Verwaltung über das gesamte Netzwerk hinweg und bietet Echtzeit- und Verlaufsansichten über die Netzwerkaktivität.

  • Oracle E-Business Suite oder PeopleSoft Application Tier

    Zusammengesetzt aus Oracle E-Business Suite- oder PeopleSoft-Anwendungsservern und dem Dateisystem.

  • Oracle E-Business Suite oder PeopleSoft Datenbankebene

    Zusammengesetzt aus Oracle Database-Service, jedoch nicht beschränkt auf Oracle Exadata Database Cloud-Service oder Oracle Database.

  • Region

    Eine OCI-Region ist ein lokalisierter geografischer Bereich, der mindestens ein Data Center, sogenannte Availability-Domains, enthält. Regionen sind unabhängig von anderen Regionen, und große Entfernungen können sie (über Länder oder sogar Kontinente) trennen.

  • Availability-Domain

    Availability-Domains sind eigenständige, unabhängige Data Center in einer Region. Die physischen Ressourcen in jeder Availability-Domain sind von den Ressourcen in den anderen Availability-Domains isoliert, was eine Fehlertoleranz bietet. Availability-Domains haben keine gemeinsame Infrastruktur wie Stromversorgung oder Kühlung oder das interne Availability-Domainnetzwerk. Daher ist es wahrscheinlich, dass sich ein Fehler in einer Availability-Domain auf die anderen Availability-Domains in der Region auswirkt.

  • Faultdomain

    Eine Fehlerdomain ist eine Gruppierung aus Hardware und Infrastruktur innerhalb einer Availability-Domain. Jede Availability-Domain hat drei Faultdomains mit unabhängiger Stromversorgung und Hardware. Wenn Sie Ressourcen auf mehrere Faultdomains verteilen, können Ihre Anwendungen physische Serverfehler, Systemwartung und Stromausfälle innerhalb einer Faultdomain tolerieren.

  • Virtuelles Cloud-Netzwerk (VCN) und Subnetz

    Ein VCN ist ein anpassbares, softwaredefiniertes Netzwerk, das Sie in einer OCI-Region einrichten. Wie bei herkömmlichen Data Center-Netzwerken erhalten VCNs vollständige Kontrolle über Ihre Netzwerkumgebung. Ein VCN kann mehrere nicht überlappende CIDR-Blöcke haben, die Sie nach dem Erstellen des VCN ändern können. Sie können ein VCN in Subnetze segmentieren, die für eine Region oder eine Availability-Domain gelten können. Jedes Subnetz besteht aus einem fortlaufenden Adressbereich, der sich nicht mit den anderen Subnetzen im VCN überschneidet. Sie können die Größe eines Subnetzes nach der Erstellung ändern. Ein Subnetz kann öffentlich oder privat sein.

  • Hub-VCN

    Das Hub-VCN ist ein zentralisiertes Netzwerk, in dem Fortinet-Firewallinstanzen FortiGate bereitgestellt werden. Er bietet sichere Konnektivität mit allen Spoke-VCNs, OCI-Services, öffentlichen Endpunkten und Clients sowie On-Premise-Data Center-Netzwerken.

  • Application Tier Spoke-VCN

    Das Application Tier Spoke-VCN enthält ein privates Subnetz zum Hosten von Oracle E-Business Suite- oder PeopleSoft-Komponenten.

  • Datenbank-Tier hat VCN gesprochen

    Das Datenbank-Tier Spoke-VCN enthält ein privates Subnetz für das Hosting von Oracle-Datenbanken.

  • Load Balancer

    OCI Load Balancing Service ermöglicht die automatische Trafficverteilung von einem einzelnen Einstiegspunkt zu mehreren Servern im Backend.

  • Sicherheitsliste

    Für jedes Subnetz können Sie Sicherheitsregeln erstellen, die Quelle, Ziel und Typ des Traffics angeben, der im Subnetz und aus dem Subnetz zugelassen werden muss.

  • Routentabelle
    Virtuelle Routentabellen enthalten Regeln, mit denen Traffic von Subnetzen an Ziele außerhalb eines VCN weitergeleitet wird, im Allgemeinen über Gateways. Im Hub-VCN sind folgende Routentabellen vorhanden:
    • Managementroutentabelle, die an das Management-Subnetz angehängt ist und über eine Standardroute verfügt, die mit dem Internetgateway verbunden ist
    • Untruste Routentabelle, die mit dem nicht vertrauenswürdigen Subnetz oder dem Standard-VCN verknüpft ist, um Traffic vom Hub-VCN an das Internet oder On-Premise-Ziel weiterzuleiten. Diese Routentabelle enthält auch Einträge für jede CIDR-Blockroute der Spoke-VCNs über dynamische Routinggateways.
    • Trustroutentabelle, die mit dem Trust-Subnetz verknüpft ist, das über dynamische Routinggateways auf den CIDR-Block der Spoke-VCNs verweist
    • High Availability-Routentabelle, die an das Hochverfügbarkeitssubnetz an den CIDR-Block angehängt ist und an den Sie den Traffic senden möchten
    • Die Hub-VCN-Ingress-Routentabelle ist an den Hub-VCN-Anhang angehängt, um jeden eingehenden Traffic von Spoke-VCNs über das dynamische Routinggateway an die Floating-IP der FortiGate-Firewall-Trustschnittstelle zu senden.
    • Für jeden Spoke, der über dynamische Routinggateways mit dem Hub verknüpft ist, wird eine eindeutige Routentabelle definiert und an ein verknüpftes Subnetz angehängt. Diese Routentabelle leitet den gesamten Traffic (0.0.0.0/0) vom verknüpften Spoke-VCN an dynamische Routinggateways über die Floating-IP der FortiGate-Firewall-Trust-Schnittstelle weiter.
    • Routentabelle für Oracle-Servicegateway, die an das Oracle-Servicegateway für die Oracle Service Network-Kommunikation angehängt ist. Diese Route leitet den gesamten Traffic (0.0.0.0/0) an die Floating-IP der FortiGate-Firewall-Trust-Schnittstelle weiter.
    Um die Verkehrssymmetrie aufrechtzuerhalten, werden auch Routen zu jeder FortiGate-Firewall hinzugefügt, um den CIDR-Block des Traffic des Spoke-VCN an die Standardgateway-IP des Trust-Subnetzes (erste IP des Trust-Subnetzes im Hub-VCN) und den Standard-CIDR-Block (0.0.0.0/0) zu verweisen, um auf die Standardgateway-IP des nicht vertrauenswürdigen Subnetzes (erste IP des nicht vertrauenswürdigen Subnetzes im Hub-VCN) zu verweisen.
  • Internetgateway

    Das Internetgateway ermöglicht Traffic zwischen den öffentlichen Subnetzen in einem VCN und dem öffentlichen Internet.

  • NAT-Gateway

    Mit dem NAT-Gateway können private Ressourcen in einem VCN auf Hosts im Internet zugreifen, ohne dass diese Ressourcen für eingehende Internetverbindungen freigegeben werden.

  • Dynamisches Routinggateway (DRG)

    Das DRG ist ein virtueller Router, der einen Pfad für privaten Netzwerktraffic zwischen einem VCN und einem Netzwerk außerhalb der Region bereitstellt, wie z.B. ein VCN in einer anderen OCI-Region, ein On-Premise-Netzwerk oder ein Netzwerk in einem anderen Cloudprovider.

  • Servicegateway

    Das Servicegateway bietet Zugriff von einem VCN auf andere Services, wie OCI Object Storage. Der Traffic vom VCN zu dem Oracle-Service durchläuft das Oracle-Fabric und durchläuft nie das Internet.

  • FastConnect

    Mit OCI FastConnect können Sie ganz einfach eine dedizierte, private Verbindung zwischen Ihrem Data Center und OCI erstellen. FastConnect bietet im Vergleich zu internetbasierten Verbindungen eine höhere Bandbreite an Optionen und eine zuverlässigere Netzwerkerfahrung.

  • Virtual Network Interface Card (VNIC)

    Die Services in OCI-Data Centern weisen physische Netzwerkkarten (NICs) auf. Virtual-Machine-(VM-)Instanzen kommunizieren über virtuelle NICs (VNICs), die mit den physischen NICs verknüpft sind. Jede Instanz verfügt über eine primäre VNIC, die beim Start automatisch erstellt und zugeordnet wird und während der Gültigkeitsdauer der Instanz verfügbar ist. DHCP wird nur der primären VNIC angeboten. Sie können nach dem Instanzstart sekundäre VNICs hinzufügen. Legen Sie statische IPs für jede Schnittstelle fest.

  • Private IPs

    Eine private IPv4-Adresse und zugehörige Informationen zur Adressierung einer Instanz. Jede VNIC hat eine primäre private IP, und Sie können sekundäre private IPs hinzufügen und entfernen. Die primäre private IP-Adresse einer Instanz wird beim Starten der Instanz angehängt und ändert sich während der Gültigkeitsdauer der Instanz nicht. Sekundäre IPs gehören ebenfalls zum gleichen CIDR des Subnetzes der VNIC. Die sekundäre IP wird als Floating-IP verwendet, da sie zwischen verschiedenen VNICs auf verschiedenen Instanzen im selben Subnetz verschoben werden kann. Sie können ihn auch als anderen Endpunkt verwenden, um verschiedene Services zu hosten.

  • Öffentliche IPs

    Die Netzwerkservices definieren eine von Oracle gewählte öffentliche IPv4-Adresse, die einer privaten IP zugeordnet ist. Öffentliche IPs weisen die folgenden Typen auf: Ephemeral: Diese Adresse ist temporär und für die Lebensdauer der Instanz vorhanden. Reserviert: Diese Adresse bleibt über die Lebensdauer der Instanz hinaus bestehen. Sie kann ihre Zuweisung aufheben und eine neue Instanz zuweisen.

  • Quell- und Zielprüfung

    Jede VNIC führt die Quell- und Zielprüfung für den Netzwerktraffic durch. Durch Deaktivieren dieses Flag kann Fortinet FortiGate Firewalls Netzwerkverkehr verarbeiten, der nicht für die Firewall vorgesehen ist.

  • Rechenleistungseinheit

    Die Form einer Compute-Instanz gibt die Anzahl der CPUs und den Speicherplatz, die der Instanz zugewiesen werden. Die Compute-Ausprägung bestimmt auch die Anzahl der VNICs und die maximale Bandbreite, die für die Compute-Instanz verfügbar ist.

Empfehlungen

Verwenden Sie die folgenden Empfehlungen als Ausgangspunkt für die Sicherung von Oracle E-Business Suite- oder PeopleSoft-Workloads auf OCI mit Fortinet FortiGate Firewall. Ihre Anforderungen können sich von der hier beschriebenen Architektur unterscheiden.
  • VCN

    Bestimmen Sie beim Erstellen eines VCN die Anzahl der erforderlichen CIDR-Blöcke und die Größe jedes Blocks basierend auf der Anzahl der Ressourcen, die Sie an Subnetze im VCN anhängen möchten. Verwenden Sie CIDR-Blöcke, die sich im standardmäßigen privaten IP-Adressbereich befinden.

    Wählen Sie CIDR-Blöcke, die sich nicht mit einem anderen Netzwerk überschneiden (in Oracle Cloud Infrastructure, Ihrem On-Premise-Data Center oder einem anderen Cloud-Provider), in dem Sie private Verbindungen einrichten möchten.

    Nachdem Sie ein VCN erstellt haben, können Sie die zugehörigen CIDR-Blöcke ändern, hinzufügen und entfernen.

    Berücksichtigen Sie beim Entwerfen der Subnetze den Verkehrsfluss und die Sicherheitsanforderungen. Hängen Sie alle Ressourcen innerhalb einer bestimmten Ebene oder Rolle an dasselbe Subnetz an, das als Sicherheitsgrenze dienen kann.

    Regionale Subnetze verwenden Hängen Sie Ihre Spoke-VCNs nach Bedarf an, damit Sie Traffic an Ihre Hub-VCN-Firewalls FortiGate senden können. Definieren Sie die an und von Firewallroutentabellen in die einzelnen VCN-Anhänge dynamischer Routinggateways.

  • Fortinet FortiGate Firewall
    • Stellen Sie ein Active/Passive-Cluster bereit, und fügen Sie bei Bedarf weitere Instanzen hinzu.
    • Wenn möglich stellen Sie das Deployment in unterschiedlichen Faultdomains in mindestens einer anderen Availability-Domain bereit.
    • Stellen Sie sicher, dass die MTU auf allen VNICs auf 9000 gesetzt ist.
    • Virtuelle Funktions-I/O-(VFIO-)Schnittstellen verwenden
  • Fortinet FortiGate Firewallverwaltung
    • Wenn Sie ein in OCI gehostetes Deployment erstellen, erstellen Sie ein dediziertes Subnetz für die Verwaltung.
    • Verwenden Sie Sicherheitslisten oder NSGs, um den eingehenden Zugriff auf die aus dem Internet bezogenen Ports 443 und 22 zur Administration der Sicherheits-Policy einzuschränken und Logs und Ereignisse anzuzeigen.
  • Firewallrichtlinien

    Die aktuellsten Informationen zu erforderlichen Sicherheitsrichtlinien, Ports und Protokollen finden Sie in der Firewalldokumentation im Abschnitt "Weitere Informationen". Wenn Sie auf dem neuesten Stand sind, stellen Sie sicher, dass Sie die erforderlichen Übersetzungs-Policys/Sicherheits-Policys für Netzwerkadressen konfiguriert haben, die auf Fortinet FortiGate-Firewallinstanzen aktiviert sind.

Überlegungen

Berücksichtigen Sie bei der Sicherung von Oracle E-Business Suite- oder PeopleSoft-Workloads auf OCI mit Fortinet FortiGate Firewall die folgenden Faktoren:

  • Performance
    • Durch Auswahl der richtigen Instanzgröße, die durch die Compute-Ausprägung bestimmt wird, wird der maximal verfügbare Durchsatz, die CPU, der RAM und die Anzahl der Schnittstellen bestimmt.
    • Unternehmen müssen wissen, welche Verkehrsarten die Umgebung durchlaufen, die entsprechenden Risikostufen bestimmen und bei Bedarf die richtigen Sicherheitskontrollen anwenden. Verschiedene Kombinationen aktivierter Sicherheitskontrollen wirken sich auf die Performance aus.
    • Sie sollten dedizierte Schnittstellen für FastConnect- oder VPN-Services hinzufügen. Sie sollten große Compute-Ausprägungen verwenden, um einen höheren Durchsatz und Zugriff auf mehr Netzwerkschnittstellen zu erhalten.
    • Führen Sie Performancetests zur Validierung des Designs aus, um die erforderliche Performance und den erforderlichen Durchsatz zu gewährleisten.
  • Sicherheit

    Das Deployment von Fortinet FortiManager in OCI ermöglicht eine zentralisierte Konfiguration und Überwachung aller physischen und virtuellen Fortinet FortiGate-Firewalls.

  • Verfügbarkeit

    Stellen Sie Ihre Architektur für eine optimale Redundanz in unterschiedlichen geografischen Regionen bereit. Konfigurieren Sie Site-to-Site-VPNs mit relevanten Organisationsnetzwerken für redundante Konnektivität mit On-Premise-Netzwerken.

  • Kostenfaktor

    Fortinet FortiGate bietet Angebote für Pay-as-you-go oder Bring-your-own-license (BYOL) in Oracle Cloud Marketplace, und FortiManager ist in BYOL-Angeboten in Oracle Cloud Marketplace verfügbar.

Bereitstellen

Mit Oracle Cloud Marketplace können Sie die FortiGate-Firewall auf OCI bereitstellen. Sie können den Code auch aus GitHub herunterladen und an Ihre spezifischen Geschäftsanforderungen anpassen, um diese Architektur bereitzustellen. Oracle empfiehlt, die Architektur aus Oracle Cloud Marketplace bereitzustellen.Sie können den Code auch aus GitHub herunterladen und an Ihre spezifischen Geschäftsanforderungen anpassen.
  • Mit dem Stack in Oracle Cloud Marketplace bereitstellen:
    1. Richten Sie die erforderliche Netzwerkinfrastruktur ein, wie im Architekturdiagramm dargestellt.
    2. Stellen Sie die Anwendung (Oracle E-Business Suite oder PeopleSoft) in Ihrer Umgebung bereit.
    3. Oracle Cloud Marketplace bietet mehrere Listen für verschiedene Konfigurationen und Lizenzierungsanforderungen. Die folgenden Angebote enthalten beispielsweise Ihre eigene Lizenzierung (BYOL). Klicken Sie für jede gewählte Liste auf Anwendung abrufen, und befolgen Sie die Prompts auf dem Bildschirm:
  • Mit dem Terraform-Code in GitHub bereitstellen:
    1. Gehen Sie zu GitHub.
    2. Klonen Sie das Repository, oder laden Sie es auf Ihren lokalen Computer herunter.
    3. Befolgen Sie die Anweisungen im Dokument README.

Mehr anzeigen

Weitere Informationen zur Verwendung von FortiGate mit Oracle Cloud Infrastructure.

Oracle Cloud Infrastructure-Referenzmaterial: :

Referenzmaterialien für Fortinet FortiGate: