Note:

Este tutorial requiere acceso a Oracle Cloud. Para registrarse para obtener una cuenta gratuita, consulte Introducción a la cuenta gratuita de Oracle Cloud Infrastructure.
Utiliza valores de ejemplo para credenciales, arrendamiento y compartimentos de Oracle Cloud Infrastructure. Al finalizar la práctica, sustituya estos valores por otros específicos de su entorno en la nube.

Configurar la conexión RPC entre dos inquilinos y sus gateways de enrutamiento dinámico

Introducción

En un entorno de Oracle Cloud Infrastructure (OCI) multi-inquilino, permitir una comunicación segura y eficiente entre diferentes inquilinos es crucial para las arquitecturas de red híbridas y distribuidas. Una forma de lograrlo es mediante la configuración de una conexión de intercambio de tráfico remoto (RPC) entre dos inquilinos y sus gateways de enrutamiento dinámico (DRG) correspondientes.

Objetivos

Configure una RPC entre dos DRG en inquilinos de OCI independientes, lo que garantiza una conectividad perfecta entre redes. Al final, tendrás una configuración de RPC en funcionamiento que permite un flujo de tráfico seguro entre los inquilinos, lo que te ayudará a crear arquitecturas sólidas de varios inquilinos en OCI.

Requisitos

Acceso a dos inquilinos de OCI: necesita permisos de administrador o adecuados en ambos inquilinos de OCI para configurar los componentes de red.
DRG en ambos inquilinos: cada inquilino debe tener un DRG ya creado y asociado a una red virtual en la nube (VCN).
Compatibilidad de región: los DRG deben estar en la misma región comercial de OCI o en regiones diferentes que soporten RPC. Se admite RPC entre regiones, pero ambas regiones deben ser accesibles. El solicitante debe estar suscrito a la región Aceptador.
Conectividad pública o privada: decida si permitirá la comunicación a través de IP privadas y asegúrese de que se planifican los bloques de CIDR de subred adecuados para evitar conflictos.
VCNs and Routing Configuration: las VCN de ambos inquilinos deben tener correctamente configuradas las tablas de rutas y las listas de seguridad para permitir el tráfico a través de la RPC.
Políticas para el intercambio de tráfico entre inquilinos: asegúrese de que las políticas de Oracle Cloud Infrastructure Identity and Access Management (OCI IAM) están implantadas para permitir el intercambio de tráfico de DRG en diferentes inquilinos de OCI. Puede que necesite definir políticas para que ambos inquilinos establezcan confianza.

Tarea 1: Determinación del solicitante y el inquilino del aceptante

En Oracle Cloud Infrastructure (OCI), al configurar comunicaciones entre nubes o el uso compartido de recursos, es fundamental definir qué inquilino es el solicitante y cuál es el aceptador en términos de políticas de OCI IAM. Estos roles se rigen por las políticas de OCI IAM, que definen permisos para usuarios, grupos y compartimentos.

Al definir claramente los roles de solicitante y aceptante en las políticas de OCI IAM, se asegura de que los permisos estén configurados correctamente para permitir un acceso seguro y controlado a los recursos en todos los inquilinos y compartimentos de OCI. Ambos inquilinos deben trabajar juntos para garantizar que se otorguen los permisos adecuados y que las políticas de OCI IAM se definan de forma que se cumplan las mejores prácticas de seguridad.

Inquilino solicitante: el solicitante es el inquilino de OCI (o un compartimento específico dentro de un inquilino) que inicia una solicitud de acceso a recursos de otro inquilino o compartimento de OCI. Las políticas de OCI IAM del solicitante deben otorgar los permisos necesarios para acceder a los recursos del aceptante. Por ejemplo, es posible que el solicitante necesite crear una política que permita a sus usuarios acceder a un recurso en el inquilino del aceptante.

El solicitante también debe asegurarse de que se asignan los roles de OCI IAM adecuados a los usuarios o grupos que realizan la solicitud.
Inquilino del aceptante: el aceptante es el inquilino (o compartimento) de OCI que recibe la solicitud de acceso y otorga los permisos necesarios al solicitante. Las políticas de OCI IAM del aceptante deben definir qué acciones puede realizar el solicitante y a qué recursos puede acceder. Las políticas del aceptante también deben especificar los usuarios o grupos a los que se les permite aceptar dichas solicitudes, lo que garantiza que el acceso se gestione de forma segura.

Además de otorgar acceso, el aceptante debe configurar políticas de OCI IAM para especificar lo que el solicitante está autorizado a hacer, lo que garantiza que se sigan los principios de ámbito y privilegio mínimo adecuados.

La siguiente imagen muestra un ejemplo de dos inquilinos que están conectados entre sí con RPC, donde uno de ellos se define como el solicitante (REQ) y el otro es el aceptador (ACC).

En el contexto de la configuración de RPC entre dos inquilinos de OCI, el solicitante debe estar suscrito a la región de inquilinos del aceptante, mientras que el aceptante no necesita estar suscrito a la región del solicitante. He aquí por qué:

Por qué el solicitante debe suscribirse al inquilino del aceptante:

Iniciando comunicación: el inquilino del solicitante es la entidad que inicia la RPC enviando solicitudes al inquilino del aceptante. Para permitir esta comunicación, el Solicitante debe estar suscrito al Aceptador, lo que le permite reconocer y conectarse a la red y los servicios del Aceptador.
Establecimiento de confianza y conectividad: al suscribirse al inquilino del aceptante, el inquilino del solicitante establece la confianza y la conectividad necesarias para interactuar con el entorno del aceptante. La suscripción garantiza que el solicitante pueda enrutar el tráfico y las solicitudes correctamente a los servicios del aceptante a través de la conexión de intercambio de tráfico.

Por qué el Aceptador no necesita estar suscrito al inquilino del Solicitante:

Rol Pasivo del Aceptador: el inquilino del aceptador solo recibe solicitudes del inquilino del solicitante; no inicia ninguna comunicación. Debido a que el Aceptador solo responde a las solicitudes realizadas por el Solicitante, no necesita suscribirse al Solicitante. Simplemente necesita ser accesible y configurado para manejar las solicitudes entrantes.
Comunicación unidireccional: las RPC normalmente se configuran con un flujo de comunicación unidireccional donde el solicitante es el iniciador. El aceptante no necesita una suscripción al inquilino del solicitante, ya que no necesita iniciar ni gestionar conexiones salientes.

En resumen, el solicitante debe suscribirse al aceptante para iniciar RPC y establecer conectividad, mientras que el aceptante solo debe estar configurado para responder a las solicitudes y no requiere una suscripción al inquilino del solicitante.

En la siguiente imagen, verá un ejemplo de la consola de OCI de los solicitantes. Observe que el solicitante está suscrito a la región Acceptors.

En la siguiente imagen, verá un ejemplo de la consola de OCI de aceptadores. Observe que los aceptadores no están suscritos a la región Requestors.

Tarea 3: Recopilación de los parámetros necesarios

Recopile los parámetros necesarios para crear la política de OCI IAM para el solicitante y el responsable de aceptación. A continuación, se muestra la tabla en la que se muestran los campos necesarios en la política de OCI IAM para los inquilinos de aceptante y solicitante al configurar el acceso de llamada a procedimiento remoto en OCI:

Se requiere información.	Inquilino solicitante	Inquilino de aceptador
OCID de arrendamiento	S	S
Nombre del Grupo	S
OCID de grupo	S
Nombre de compartimento	S	S

Asegúrese de que esta información se recopila de ambos lados antes de crear la política de OCI IAM.

Tarea 4: Creación y configuración de la política de OCI IAM en el solicitante y en el lado del aceptante

La documentación oficial de la política de OCI IAM para que la RPC funcione se puede encontrar aquí: Intercambio de tráfico remoto con un DRG actualizado.

Al consultar las políticas, verá que en la política de OCI IAM para el solicitante, se necesita información del aceptante y, para la política de OCI IAM del aceptante, se necesita información del solicitante. Esto hace que a veces sea confuso crear las políticas, y si las políticas no son correctas, la RPC no aparecerá, y la resolución de problemas será difícil.

Para solucionar este problema, hemos creado la herramienta de políticas de IAM de RPC. Hay más arquitecturas de red RPC disponibles, pero la herramienta de políticas de IAM de RPC solo se puede utilizar si está intentando crear una RPC entre dos inquilinos de OCI diferentes donde cada inquilino tiene su propio DRG.

En la siguiente imagen, verá el formulario que la herramienta de políticas de IAM de RPC le proporcionará para insertar todos los detalles necesarios. En el formulario se pedirá más información que sea realmente necesaria, pero es una buena práctica tener toda la información en un solo lugar antes de empezar a configurar las políticas de RPC y OCI IAM en el lado del aceptante y el solicitante.

La información y los parámetros del solicitante están marcados con el color rojo y la información y los parámetros del receptor están marcados con el color azul.

En la siguiente imagen se muestra un ejemplo de toda la información rellenada. Introduzca todos los campos necesarios y haga clic en Enviar.

La herramienta generará la siguiente información:

Diagrama con los parámetros que utilizó para poner las cosas en perspectiva.
Una tabla con todos los parámetros que ha utilizado (para que pueda realizar una captura de pantalla o copiar y pegar esto en las notas como referencia más adelante).
Política de OCI IAM para el solicitante.
Política de OCI IAM para el Aceptador.

Tarea 4.1: Creación y configuración de la política de OCI IAM en el lado del solicitante

Conéctese a la consola de OCI, vaya a Identidad y seguridad y haga clic en Políticas.
Asegúrese de seleccionar el compartimento raíz y haga clic en Crear política.
Introduzca la siguiente información y haga clic en Crear.
- Introduzca un Nombre y una Descripción para la política.
- Seleccione Mostrar editor manual.
- Copie/pegue las sentencias de política para el lado del solicitante en la política.
Al crear la política, verá las sentencias de política configuradas.

Al volver a la página Visión General de Política, verá la política configurada.

Tarea 4.2: Creación y configuración de la política de OCI IAM en el lado del aceptante

Conéctese a la consola de OCI, vaya a Identidad y seguridad y haga clic en Políticas.
Asegúrese de seleccionar el compartimento raíz y haga clic en Crear política.
Introduzca la siguiente información y haga clic en Crear.
- Introduzca un Nombre y una Descripción para la política.
- Seleccione Mostrar editor manual.
- Copie/pegue las sentencias de política para el lado del solicitante en la política.
Al crear la política, verá las sentencias de política configuradas.

Cuando vuelva a la visión general de la política, verá la política configurada.

Tarea 5: Configuración de asociaciones de DRG en el DRG en el lado de solicitante y de aceptante

Necesitamos crear un RPC en el lado del solicitante y el aceptador.

Tarea 5.1: Crear RPC en el lado del solicitante

Vaya a la consola de OCI, vaya a Networking y haga clic en Gateways de enrutamiento dinámico.
Haga clic en Asociaciones de conexiones de intercambio de tráfico remotas y en Crear conexión de intercambio de tráfico remota.
Introduzca name y haga clic en Create remote peering connection.

Tarea 5.2: Crear RPC en el lado del aceptante

Vaya a la consola de OCI, vaya a Networking y haga clic en Gateways de enrutamiento dinámico.
Haga clic en Asociaciones de conexiones de intercambio de tráfico remotas y en Crear conexión de intercambio de tráfico remota.
Introduzca name y haga clic en Create remote peering connection.
Recopile el OCID de RPC del lado del aceptante, ya que necesitamos utilizar este OCID para establecer la conexión de RPC del lado del solicitante.

Tarea 6: Establecimiento de la conexión desde el lado del solicitante

Vaya a la consola de OCI desde el lado del solicitante, vaya a Networking, Dynamic Routing Gateways y haga clic en Asociaciones de conexión de intercambio de tráfico remoto.
Haga clic en la conexión de intercambio de tráfico remoto (configurada para el lado del aceptador) creada en la tarea 5.
Haga clic en Definir conexión.
Introduzca la siguiente información y haga clic en Establecer conexión.
- Seleccione la región del aceptador.
- Pegue el OCID de RPC recopilado en la tarea 5.
Si el solicitante está suscrito a la región Aceptador y se configuran las políticas de OCI IAM adecuadas y la OCI de RPC adecuada, el estado del intercambio de tráfico debe cambiar a Intercambio de tráfico en el lado del solicitante.

Puede hacer clic en la RPC para consultar información adicional sobre el intercambio de tráfico.
- Tenga en cuenta que el Estado de peer es Intercambio de tráfico.
- Tenga en cuenta que la región de peer es Jeddah.
- Tenga en cuenta que se trata de un intercambio de tráfico entre arrendamientos.
También podemos verificar el estado del intercambio de tráfico en el lado del aceptador.
1. Vaya a la consola de OCI desde el lado del aceptador, vaya a Networking, Dynamic Routing Gateways y haga clic en Asociaciones de conexión de intercambio de tráfico remoto.
2. Haga clic en la conexión de intercambio remoto configurada para el lado del solicitante.
3. Tenga en cuenta que el estado de intercambio de tráfico también está definido en Intercambio de tráfico en el lado del aceptador.
Puede hacer clic en la RPC para consultar información adicional sobre el intercambio de tráfico.
- Observe que Peer Status (Estado de peer) es Peered (Intercambio de tráfico).
- Observe que la región peer es Riyadh.
- Tenga en cuenta que se trata de un intercambio de tráfico entre arrendamientos.

Tarea 7: Diseño de arquitecturas RPC con tres o más inquilinos

También es posible crear conexiones RPC entre más de dos sitios o inquilinos.

En la siguiente imagen puede ver que hemos utilizado tres inquilinos diferentes:
- Riad de OCI (solicitante)
- Jeddah de OCI (aceptador)
- OCI Dubai (aceptador)
En este ejemplo, Riad será algún tipo de sitio de hub que actuará como el solicitante de dos aceptadores.
En la siguiente imagen puede ver que hemos utilizado tres inquilinos diferentes:
- Riad de OCI (solicitante)
- OCI Jeddah (solicitante + aceptante)
- OCI Dubai (aceptador)
En este ejemplo, Riad será el solicitante de Jeddah y Jeddah será el solicitante de Dubai.
En la siguiente imagen puede ver que hemos utilizado tres inquilinos diferentes:
- Riad de OCI (solicitante + aceptante)
- Jeddah de OCI (aceptador)
- OCI Dubai (solicitante)
En este ejemplo, Riad será el solicitante de Jeddah y el aceptante de Dubai.

Conclusión

La configuración de una RPC entre dos inquilinos de OCI requiere una planificación cuidadosa, una configuración precisa y las políticas de OCI IAM correctas. Siguiendo este tutorial paso a paso, ha establecido correctamente una RPC segura y funcional entre dos DRG en inquilinos separados. Esta conexión permite una comunicación fluida entre redes, un componente crucial para crear arquitecturas OCI escalables y multi-inquilino.

Para simplificar el proceso y eliminar posibles errores de política, la herramienta de políticas de IAM de RPC proporciona una forma sencilla de generar las políticas de OCI IAM necesarias para los inquilinos del solicitante y del aceptante. Garantizar que las políticas, las asociaciones de DRG y las suscripciones regionales estén configuradas correctamente garantizará una configuración de intercambio de tráfico fluida.

Además de las configuraciones básicas de RPC, el diseño de arquitecturas multi-inquilino con tres o más inquilinos agrega mayor flexibilidad y escalabilidad a tu red OCI. Comprender el papel de cada inquilino, ya sea como solicitante, aceptante o ambos, le permite crear entornos sólidos e interconectados que soporten cargas de trabajo híbridas y distribuidas de manera eficiente.

Al aprovechar las capacidades de red de OCI, puedes crear arquitecturas seguras, escalables y de alto rendimiento entre inquilinos que se alineen con las mejores prácticas de redes empresariales. Si encuentra problemas, volver a visitar las políticas de OCI IAM y las configuraciones de DRG es un gran primer paso en la solución de problemas.

Con estos conocimientos, ya está bien equipado para establecer y ampliar conexiones RPC en Oracle Cloud Infrastructure a fin de cumplir los requisitos de red de su organización.

Agradecimientos

Autor: Iwan Hoogendoorn (especialista en red de OCI)

Más recursos de aprendizaje

Explore otros laboratorios en docs.oracle.com/learn o acceda a más contenido de formación gratuita en el canal YouTube de Oracle Learning. Además, visite education.oracle.com/learning-explorer para convertirse en un explorador de Oracle Learning.

Para obtener documentación sobre el producto, visite Oracle Help Center.

Título e Información de Copyright

Set up RPC Connection between Two Tenants and their Dynamic Routing Gateways

G30587-02