Note:

Este tutorial requiere acceso a Oracle Cloud. Para registrarse en una cuenta gratuita, consulte Introducción a la cuenta gratuita de Oracle Cloud Infrastructure.
Utiliza valores de ejemplo para credenciales, arrendamiento y compartimentos de Oracle Cloud Infrastructure. Al finalizar el laboratorio, sustituya estos valores por otros específicos de su entorno en la nube.

Configurar la conexión RPC entre dos inquilinos y sus gateways de enrutamiento dinámico

Introducción

En un entorno de Oracle Cloud Infrastructure (OCI) multiinquilino, permitir una comunicación segura y eficiente entre diferentes inquilinos es crucial para las arquitecturas de red híbridas y distribuidas. Una forma de lograrlo es configurar una conexión de intercambio de tráfico remoto (RPC) entre dos inquilinos y sus gateways de enrutamiento dinámico (DRG) correspondientes.

Objetivos

Configure una RPC entre dos DRG en inquilinos OCI independientes, lo que garantiza una conectividad perfecta entre redes. Al final, tendrás una configuración de RPC operativa que permite un flujo de tráfico seguro entre los inquilinos, lo que te ayudará a crear arquitecturas sólidas multiinquilino en OCI.

Requisitos

Acceso a dos inquilinos de OCI: necesita permisos de administrador o adecuados en ambos inquilinos de OCI para configurar los componentes de red.
DRG en ambos inquilinos: cada inquilino debe tener un DRG ya creado y asociado a una red virtual en la nube (VCN).
Compatibilidad de regiones: las DRG deben estar en las mismas regiones comerciales de OCI o en regiones diferentes que admitan RPC. Se admite la RPC entre regiones, pero ambas regiones deben ser accesibles. El solicitante debe estar suscrito a la región Aceptor.
Conectividad pública o privada: decida si permitirá la comunicación a través de IP privadas y garantizará que se planifiquen los bloques de CIDR de subred adecuados para evitar conflictos.
VCNs y configuración de enrutamiento: las VCN de ambos inquilinos deben tener correctamente configuradas las tablas de rutas y las listas de seguridad para permitir el tráfico a través de la RPC.
Políticas para el intercambio de tráfico entre inquilinos: asegúrese de que las políticas de Oracle Cloud Infrastructure Identity and Access Management (OCI IAM) estén implantadas para permitir el intercambio de tráfico de DRG entre diferentes inquilinos de OCI. Es posible que deba definir políticas para que ambos inquilinos establezcan confianza.

Tarea 1: Determinar el solicitante y el inquilino del aceptante

En Oracle Cloud Infrastructure (OCI), al configurar las comunicaciones entre nubes o el uso compartido de recursos, es fundamental definir qué inquilino es el solicitante y cuál es el aceptante en términos de políticas de OCI IAM. Estos roles se rigen por políticas de OCI IAM, que definen permisos para usuarios, grupos y compartimentos.

Al definir claramente los roles de solicitante y aceptador en las políticas de OCI IAM, se asegura de que los permisos se configuren correctamente para permitir un acceso seguro y controlado a los recursos en los inquilinos y compartimentos de OCI. Ambos inquilinos deben trabajar juntos para garantizar que se otorguen los permisos adecuados y que las políticas de OCI IAM se definan de una manera que cumpla las mejores prácticas de seguridad.

Inquilino del solicitante: el solicitante es el inquilino de OCI (o compartimento específico dentro de un inquilino) que inicia una solicitud de acceso a recursos de otro inquilino o compartimento de OCI. Las políticas de OCI IAM del solicitante deben otorgar los permisos necesarios para acceder a los recursos del aceptador. Por ejemplo, puede que el solicitante necesite crear una política que permita a sus usuarios acceder a un recurso en el inquilino de aceptador.

El solicitante también debe asegurarse de que los roles de OCI IAM correctos se asignen a los usuarios o grupos que realizan la solicitud.
Inquilino de aceptante: el aceptador es el inquilino (o compartimento) de OCI que recibe la solicitud de acceso y otorga los permisos necesarios al solicitante. Las políticas de OCI IAM del aceptador deben definir qué acciones puede realizar el solicitante y a qué recursos puede acceder. Las políticas del aceptador también deben especificar los usuarios o grupos a los que se permite aceptar dichas solicitudes, lo que garantiza que el acceso se gestione de forma segura.

Además de otorgar acceso, el aceptador debe configurar políticas de OCI IAM para especificar lo que el solicitante está autorizado a hacer, lo que garantiza el cumplimiento de los principios de ámbito y privilegio mínimo adecuados.

En la siguiente imagen se muestra un ejemplo de dos inquilinos que están conectados entre sí con RPC, donde uno de ellos se define como el solicitante (REQ) y el otro es el aceptador (ACC).

En el contexto de la configuración de RPC entre dos inquilinos de OCI, el solicitante debe estar suscrito a la región de inquilinos de aceptador, mientras que el aceptador no tiene que estar suscrito a la región de solicitante. Esta es la razón:

Por qué el solicitante debe suscribirse al inquilino del aceptante:

Iniciar comunicación: el inquilino solicitante es la entidad que inicia la RPC mediante el envío de solicitudes al inquilino aceptante. Para permitir esta comunicación, el Solicitante debe estar suscrito al Aceptor, lo que le permite reconocer y conectarse a la red y los servicios del Aceptor.
Establecimiento de confianza y conectividad: al suscribirse al inquilino del aceptante, el inquilino del solicitante establece la confianza y la conectividad necesarias para interactuar con el entorno del aceptante. La suscripción garantiza que el solicitante pueda enrutar el tráfico y las solicitudes correctamente a los servicios del aceptante a través de la conexión de intercambio de tráfico.

Por qué no es necesario que el aceptante esté suscrito al inquilino del solicitante:

Rol pasivo del aceptante: el aceptante solo recibe solicitudes del solicitante; no inicia ninguna comunicación. Puesto que el aceptador solo responde a las solicitudes realizadas por el solicitante, no necesita suscribirse al solicitante. Simplemente necesita ser accesible y configurado para manejar las solicitudes entrantes.
Comunicación unidireccional: las RPC normalmente se configuran con un flujo de comunicación unidireccional donde el solicitante es el iniciador. El aceptante no necesita una suscripción al inquilino solicitante, ya que no necesita iniciar ni gestionar conexiones salientes.

En resumen, el solicitante debe suscribirse al aceptador para iniciar las RPC y establecer la conectividad, mientras que el aceptador solo debe estar configurado para responder a las solicitudes y no necesita una suscripción al inquilino del solicitante.

En las siguientes imágenes, verá un ejemplo de la consola de OCI de solicitantes. Observe que el solicitante está suscrito a la región Acceptors.

En las siguientes imágenes, verá un ejemplo de la consola de OCI Acceptors. Observe que Acceptors no está suscrito a la región Requestors.

Tarea 3: Recopilación de los parámetros necesarios

Recopile los parámetros necesarios para crear la política de OCI IAM para el solicitante y el aceptador. A continuación, se muestra la tabla en la que se muestran los campos necesarios en la política de OCI IAM para los inquilinos de aceptador y solicitante al configurar el acceso de llamada a procedimiento remoto en OCI:

Se requiere información.	Inquilino solicitante	Inquilino de aceptante
OCID de arrendamiento	X	X
Nombre de grupo	X
OCID de grupo	X
Nombre de compartimento	X	X

Asegúrese de que esta información se recopila de ambas partes antes de crear la política de OCI IAM.

Tarea 4: Creación y configuración de la política de OCI IAM en el solicitante y en el lado del aceptante

La documentación oficial de la política de OCI IAM para que funcione la RPC se puede encontrar aquí: Intercambio de tráfico remoto con un DRG actualizado.

Al consultar las políticas, verá que en la política de OCI IAM para el solicitante, se necesita información del aceptador y, para la política de OCI IAM del aceptador, se necesita información del solicitante. Esto hace que a veces sea confuso crear las políticas, y si las políticas no son correctas, el RPC no aparecerá, y la resolución de problemas será difícil.

Para solucionar este problema, hemos creado la herramienta de políticas de RPC IAM. Hay más arquitecturas de red RPC disponibles, pero la herramienta de políticas de IAM RPC solo se puede utilizar si intenta crear una RPC entre dos inquilinos de OCI diferentes en los que cada inquilino tiene su propio DRG.

En la siguiente imagen, verá el formulario que la herramienta de políticas de IAM de RPC le proporcionará para insertar todos los detalles necesarios. El formulario solicitará más información que realmente es necesaria, pero es una buena práctica tener toda la información en un solo lugar antes de empezar a configurar las políticas de RPC e OCI IAM en el lado del aceptador y el solicitante.

La información y los parámetros del solicitante se marcan con el color rojo y la información y los parámetros del aceptador se marcan con el color azul.

En la siguiente imagen se muestra un ejemplo de toda la información rellenada. Introduzca todos los campos necesarios y haga clic en Enviar.

La herramienta generará la siguiente información:

Un diagrama con los parámetros que solía poner las cosas en perspectiva.
Una tabla con todos los parámetros que ha utilizado (para que pueda realizar una captura de pantalla o copiar y pegar esto en las notas como referencia más adelante).
Política de OCI IAM para el solicitante.
Política de OCI IAM para el aceptador.

Tarea 4.1: Creación y configuración de la política de OCI IAM en el lado del solicitante

Conéctese a la consola de OCI, vaya a Identidad y seguridad y haga clic en Políticas.
Asegúrese de seleccionar el compartimento raíz y haga clic en Crear política.
Introduzca la siguiente información y haga clic en Create (Crear).
- Introduzca un nombre y una descripción para la política.
- Seleccione Mostrar editor manual.
- Copie o pegue las sentencias de política para el lado del solicitante en la política.
Al crear la política, verá las sentencias de política configuradas.

Cuando vuelva a la página de visión general de política, verá la política configurada.

Tarea 4.2: Creación y configuración de la política de OCI IAM en el lado del aceptador

Conéctese a la consola de OCI, vaya a Identidad y seguridad y haga clic en Políticas.
Asegúrese de seleccionar el compartimento raíz y haga clic en Crear política.
Introduzca la siguiente información y haga clic en Crear.
- Introduzca un nombre y una descripción para la política.
- Seleccione Mostrar editor manual.
- Copie o pegue las sentencias de política para el lado del aceptador en la política.
Al crear la política, verá las sentencias de política configuradas.

Cuando vuelva a la visión general de la política, verá la política configurada.

Tarea 5: Configuración de las asociaciones de DRG en el DRG en el solicitante y en el aceptador

Necesitamos crear un RPC en el lado del solicitante y el aceptante.

Tarea 5.1: Crear RPC en el lado del solicitante

Vaya a la consola de OCI, vaya a Networking y haga clic en Gateways de enrutamiento dinámico.
Haga clic en Asociaciones de conexión con intercambio de tráfico remoto y Crear conexión con intercambio de tráfico remoto.
Introduzca name y haga clic en Create remote peering connection.

Tarea 5.2: Crear RPC en el lado del aceptador

Vaya a la consola de OCI, vaya a Networking y haga clic en Gateways de enrutamiento dinámico.
Haga clic en Asociaciones de conexión con intercambio de tráfico remoto y Crear conexión con intercambio de tráfico remoto.
Introduzca name y haga clic en Create remote peering connection.
Recopile el OCID de RPC del lado del aceptador, ya que necesitamos utilizar este OCID para establecer la conexión de RPC del lado del solicitante.

Tarea 6: Establecer la conexión desde el lado del solicitante

Vaya a la consola de OCI desde el lado del solicitante, vaya a Networking, Gateways de enrutamiento dinámico y haga clic en Asociaciones de conexión de intercambio de tráfico remoto.
Haga clic en la conexión de intercambio remoto (configurada para el lado de aceptador) creada en la tarea 5.
Haga clic en Definir conexión.
Introduzca la siguiente información y haga clic en Establecer conexión.
- Seleccione la región del aceptador.
- Pegue el OCID de RPC recopilado en la tarea 5.
Si el solicitante está suscrito a la región del aceptador y las políticas de OCI IAM correctas están configuradas y la OCI RPC correcta, el estado del intercambio de tráfico debe cambiar a Peered en el lado del solicitante.

Puede hacer clic en la RPC para consultar información adicional sobre el intercambio de tráfico.
- Tenga en cuenta que Peer Status es Peered.
- Tenga en cuenta que la región peer es Jeddah.
- Tenga en cuenta que este es un intercambio de tráfico entre arrendamientos.
También podemos verificar el estado del intercambio de tráfico en el lado del aceptador.
1. Vaya a la consola de OCI desde el lado del aceptador, vaya a Networking, Gateways de enrutamiento dinámico y haga clic en Asociaciones de conexión de intercambio de tráfico remoto.
2. Haga clic en la conexión de intercambio de tráfico remoto configurada para el lado del solicitante.
3. Tenga en cuenta que el estado de intercambio de tráfico también se define en intercambio de tráfico en el lado del aceptador.
Puede hacer clic en la RPC para consultar información adicional sobre el intercambio de tráfico.
- Observe que Peer Status es Peered.
- Observe que la región peer es Riad.
- Observe que se trata de un intercambio de tráfico entre arrendamientos.

Tarea 7: Diseño de arquitecturas RPC con tres o más inquilinos

También es posible crear conexiones RPC entre más de dos sitios o inquilinos.

En la siguiente imagen puede ver que hemos utilizado tres inquilinos diferentes:
- Riad de OCI (solicitante)
- Jeddah de OCI (Aceptor)
- OCI Dubai (Aceptor)
En este ejemplo, Riad será algún tipo de sitio de hub que actuará como el Solicitante para dos Aceptores.
En la siguiente imagen puede ver que hemos utilizado tres inquilinos diferentes:
- Riad de OCI (solicitante)
- Jeddah de OCI (solicitante + aceptante)
- OCI Dubai (Aceptor)
En este ejemplo, Riad será el Solicitante de Jeddah y Jeddah será el Solicitante de Dubai.
En la siguiente imagen puede ver que hemos utilizado tres inquilinos diferentes:
- Riad de OCI (solicitante + aceptante)
- Jeddah de OCI (Aceptor)
- OCI Dubai (solicitante)
En este ejemplo, Riad será el Solicitante de Jeddah y el Aceptor de Dubai.

Conclusión

La configuración de una RPC entre dos inquilinos de OCI requiere una planificación cuidadosa, una configuración precisa y las políticas correctas de OCI IAM. Al seguir este tutorial paso a paso, ha establecido con éxito una RPC segura y funcional entre dos DRG en inquilinos separados. Esta conexión permite una comunicación fluida entre redes, un componente crucial para crear arquitecturas OCI escalables y multiinquilino.

Para simplificar el proceso y eliminar posibles errores de política, la herramienta de políticas de IAM de RPC proporciona una forma sencilla de generar las políticas de IAM de OCI necesarias para los inquilinos solicitante y aceptante. Garantizar que las políticas, las asociaciones de DRG y las suscripciones regionales estén configuradas correctamente garantizará una configuración de intercambio de tráfico fluida.

Más allá de las configuraciones básicas de RPC, el diseño de arquitecturas multiinquilino con tres o más inquilinos agrega más flexibilidad y escalabilidad a su red de OCI. Comprender el papel de cada inquilino, ya sea como solicitante, aceptador o ambos, le permite crear entornos sólidos e interconectados que admiten cargas de trabajo híbridas y distribuidas de manera eficiente.

Al aprovechar las capacidades de red de OCI, puedes crear arquitecturas seguras, escalables y de alto rendimiento entre inquilinos que se alineen con las mejores prácticas de redes empresariales. Si encuentra problemas, la revisión de las políticas de OCI IAM y las configuraciones de DRG es un gran primer paso en la solución de problemas.

Con estos conocimientos, ahora está bien equipado para establecer y ampliar conexiones RPC en Oracle Cloud Infrastructure a fin de cumplir los requisitos de red de su organización.

Acuses de recibo

Autor: Iwan Hoogendoorn (especialista en redes OCI)

Más recursos de aprendizaje

Explore otros laboratorios en docs.oracle.com/learn o acceda a más contenido de aprendizaje gratuito en el canal YouTube de Oracle Learning. Además, visite education.oracle.com/learning-explorer para convertirse en un explorador de Oracle Learning.

Para obtener documentación sobre el producto, visite Oracle Help Center.

Título e Información de Copyright

Set up RPC Connection between Two Tenants and their Dynamic Routing Gateways

G30587-03

Oracle y/o sus filiales.