Nota:

Proteja sus cargas de trabajo de Oracle Cloud VMware Solution con Oracle Cloud Infrastructure Network Firewall

Introducción

En este documento se describe cómo utilizar el firewall de red de Oracle Cloud Infrastructure (OCI) para proteger las cargas de trabajo que se ejecutan en Oracle Cloud VMware Solution. Oracle Cloud VMware Solution permite crear y gestionar VMware Software-Defined Data Center (SDDC) en OCI.

El firewall de red de OCI se puede desplegar como un modelo distribuido o un modelo de tránsito. En este tutorial, desplegaremos el modelo de tránsito, donde el firewall de red está en la VCN del hub, el SDDC de Oracle Cloud VMware Solution en una VCN radial. Con las capacidades de enrutamiento de entrada e intra VCN de OCI Networking, puede inspeccionar el tráfico mediante el firewall de red que se ejecuta en la VCN del hub.

Nota: Aunque este tutorial muestra OCI Network Firewall, la mayoría de los conceptos se deben aplicar a cualquier otro dispositivo de 3a parte como Fortinet, Palo Alto Networks, Cisco, Check Point y mucho más. El cliente debe trabajar con el proveedor/socio específico para asegurarse de que sea compatible con el proveedor.

Casos de uso

Las capacidades de enrutamiento entre VCN de OCI nos proporcionan la simplicidad de configurar el enrutamiento para soportar el tráfico de carga de trabajo de OCI en las VCN y también puede utilizar un firewall para inspeccionar/proteger el tráfico. Utilizaremos capacidades de enrutamiento de entrada e intraVCN que incluyen:

En este tutorial, validaremos diferentes escenarios de tráfico y funciones clave compatibles con OCI Network Firewall:

Nota: No puede inspeccionar el tráfico este-oeste en las máquinas virtuales de carga de trabajo de NSX mediante el modelo de tránsito. Si desea inspeccionar ese tráfico, se recomienda desplegar la solución de partner de 3a parte en el entorno de Oracle Cloud VMware Solution, que no se trata en este tutorial.

Objetivo

En este tutorial se describe la capacidad de enrutamiento entre VCN de OCI con la solución Firewall de red de OCI en un entorno de solución VMware de Oracle Cloud. Hemos tratado el caso de uso de enrutamiento de redes virtuales en la nube, que simplifica el despliegue del firewall en OCI.

Requisitos

Nota: En un entorno de producción, debe desplegar firewalls con alta disponibilidad.

Arquitectura

Puede consultar la siguiente topología para admitir este caso de uso.

Figura 1

Tarea 1: Configuración del firewall de red de OCI

En las siguientes secciones, se muestra la configuración mínima necesaria del firewall de red de OCI. Para conocer las configuraciones más avanzadas, consulte la documentación oficial.

  1. Subredes y VLAN de VCN: el primer paso consiste en asegurarse de que ha creado las VCN y las subredes necesarias, como se describe en la sección Requisitos previos, para soportar la topología de casos de uso.

    • Puede verificarlos mediante la consola de OCI navegando a Redes virtuales en la nube, Detalles de red virtual en la nube y Recursos.

      • Subred de firewall-subred-IAD para admitir el firewall de red en hub-VCN
      • Subred pública-base-subred-IAD, JumpHost-subred-IAD en hub-VCN para admitir máquinas virtuales para validaciones de tráfico
      • Subred DB-Subnet-IAD en VCN DB-Spoke-VCN-IAD para soportar cargas de trabajo de base de datos
      • Durante el despliegue del SDDC de Oracle Cloud VMware Solution, se deben haber creado la subred y las VLAN adecuadas

    • La siguiente imagen muestra el hub-VCN (Firewall-VCN-IAD) y las subredes asociadas.

      Figura 2

    • A continuación, debe desplegar el firewall de red de OCI desplegado en una subred de firewall. Para obtener más información, consulte la documentación oficial.

  2. Reglas de política de firewall de red de OCI: asegúrese de agregar las reglas de seguridad de firewall necesarias para soportar el tráfico de casos de uso. Para obtener más información sobre cómo configurar reglas, consulte la documentación oficial.

    Figura 3

  3. Firewall de red de OCI: en el hub-VCN, despliegue el firewall de red según los requisitos previos. Una vez que la máquina virtual del firewall esté activa, utilícela para proteger el tráfico.

    Figura 4

  4. Tablas de rutas para VCN, subredes, VLAN y asociaciones de DRG: deberá configurar las tablas de rutas para que reflejen las reglas de ruta correctas para la topología de casos de uso. En un nivel superior, debe modificar las tablas de rutas en las VCN de la siguiente forma:

    • Firewall-VCN

      • Tabla de rutas de subred de firewall: cree entradas con cada CIDR de subred como destino y como destino como gateway de Internet, gateway de datos, gateway de servicio o DRG.
      • Tabla de rutas de subred de Public Bastion: cree entradas con cada CIDR de subred como destino y como destino como dirección IP de firewall de red.
      • Tabla de rutas de subred JumpHost privada: cree entradas con cada CIDR de subred como destino y como destino como dirección IP del firewall de red.
      • Tabla de rutas de entrada de VCN: cree entradas con cada CIDR de destino y el destino como dirección IP de firewall para inspeccionar el tráfico de las VCN de Spoke.

    • VCN de Oracle Cloud VMware Solution

      • Tabla de rutas de SDDC de subred: cree entradas con cada CIDR de subred como destino y el destino como DRG.
      • vSphere Tabla de rutas VLAN: cree entradas con cada CIDR de subred como destino y como DRG como destino.
      • Tabla de rutas VLAN de enlace superior de NSX Edge 1: cree entradas con cada CIDR de subred como destino y como DRG como destino.
      • Tabla de rutas de entrada de VCN: cree entradas con cada destino Overlays CIDR y el destino como dirección IP NSX-EDGE-UPLINK para garantizar que el tráfico vuelva a los hosts de superposición.

    • VCN de base de datos

      • Tabla de rutas de subred de base de datos: cree entradas con cada CIDR de subred como destino y el destino como DRG para inspeccionar el tráfico mediante OCI Network Firewall.

    • Datos adjuntos de DRG VCN

      • Tabla de rutas de asociación de firewall-VCN: cree entradas con cada CIDR de carga de trabajo NSX como destino y el siguiente salto como asociación de VCN de Oracle Cloud VMware Solution. Importar distribución de rutas con criterios coincidentes con Oracle Cloud VMware Solution y VCN de base de datos.
      • Oracle Cloud VMware Solution - Tabla de rutas de asociación de VCN: cree entradas con cada CIDR de subred como destino y como destino como conexión de firewall y VCN para inspeccionar el tráfico mediante OCI Network Firewall.
      • Tabla de rutas de conexión de base de datos: cree entradas con cada CIDR de subred como destino y con el siguiente salto como conexión de firewall y VCN para inspeccionar el tráfico mediante el firewall de red de OCI.

Nota: Asegúrese de que se utilice la simetría de ruta para que el tráfico se inspeccione correctamente en ambas direcciones.

Tarea 2: Validación e inspección del tráfico desde OCI Network Firewall

En este punto, puede validar el tráfico desde la máquina virtual de Windows JumpHost, la máquina virtual de Bastion, el entorno de SDDC de Oracle Cloud VMware Solution, las máquinas virtuales de superposición NSX y la máquina virtual de Spoke de base de datos e inspeccionar el tráfico desde el firewall de red de OCI. En la siguiente imagen, se muestran las máquinas virtuales necesarias que se ejecutan según la topología de casos de uso.

Figura 5

Figura 6

Inspección del tráfico Norte-Sur de la máquina virtual de Windows JumpBox a las máquinas virtuales de superposición NSX mediante el enrutamiento dentro de la VCN (IVR)

Inspección del tráfico Norte-Sur de la máquina virtual de superposición de NSX a Internet mediante el enrutamiento de entrada del gateway de red

Inspección de tráfico de este oeste desde la máquina virtual de Windows JumpBox hasta vCenter a través del enrutamiento dentro de la VCN (IVR)

Inspección de tráfico este-oeste desde la máquina virtual de Spoke de base de datos y el host ESXi y viceversa

IPS/IDS, filtrado de URL, proxy de reenvío SSL e inspección de entrada SSL de máquinas virtuales de superposición NSX a Internet mediante enrutamiento entre VCN

ID/IP

Filtrado de URL

Control de entrada SSL y proxy de reenvío

Agradecimientos

Autorizaciones:

Más recursos de aprendizaje

Explore otros laboratorios en docs.oracle.com/learn o acceda a más contenido de aprendizaje gratuito en el canal YouTube de Oracle Learning. Además, visite education.oracle.com/learning-explorer para convertirse en un explorador de Oracle Learning.

Para obtener documentación sobre los productos, visite Oracle Help Center.