Descripción de la Topología de Oracle E-Business Suite

Antes de empezar

Antes de empezar a planificar el despliegue o la migración de la aplicación Oracle E-Business Suite, identifique si Oracle Cloud Infrastructure soporta la versión de la aplicación Oracle E-Business Suite que desea desplegar. Oracle Cloud Infrastructure admite Oracle E-Business Suite versión 12.2 y 12.1.3.

Acerca de los Nombres de Host Lógicos

Oracle recomienda utilizar nombres de host lógicos, no nombres de host físicos, al configurar el nivel de base de datos Oracle E-Business Suite y el nivel de aplicación. Las ventajas del uso de nombres de host lógicos son:

Proporcione la capacidad de mover la base de datos y las capas de aplicación a otras máquinas o centros de datos sin ejecutar un clon y reconfiguración.
Reduzca la cantidad de reconfiguración necesaria en el failover para una alta disponibilidad mediante el mismo nombre de host en el sitio activo y en espera.
Evite volver a conectar o reclinar las capas de base de datos y aplicación debido a cambios de configuración de red, como un cambio de nombre de host.

Acerca del Host Bastion

Un host bastion es un componente opcional que puede utilizar con políticas de firewall para proteger las interfaces de gestión de los servidores de base de datos y aplicaciones del acceso externo. Un host bastion es una instancia de Oracle Cloud Infrastructure Compute que utiliza Linux o Windows como sistema operativo.

Coloque el host bastion en una subred pública y asigne una dirección IP pública para acceder a ella desde Internet.

Para proporcionar un nivel adicional de seguridad, puede configurar listas de seguridad para acceder al host bastion solo desde la dirección IP pública de su red local. Puede acceder a instancias de Oracle Cloud Infrastructure en la subred privada mediante el host bastion. Para ello, active el reenvío ssh-agent, que le permite conectarse al host bastion, y luego acceder al siguiente servidor reenviando las credenciales desde su computadora. También puede acceder a las instancias de la subred privada mediante túneles SSH dinámicos. El túnel SSH es una forma de acceder a una aplicación web u otro servicio de escucha. El túnel dinámico proporciona un proxy SOCKS en el puerto local, pero las conexiones se originan desde el host remoto.

Acerca del Nivel de Equilibrador de Carga

Utilice Oracle Cloud Infrastructure Load Balancing para distribuir tráfico a las instancias de la aplicación en los dominios de disponibilidad de VCN. Este servicio proporciona una instancia primaria y en espera del equilibrador de carga para asegurarse de que, si el equilibrador de carga principal baja, el equilibrador de carga en espera reenvía las solicitudes. El equilibrador de carga garantiza que las solicitudes se dirijan a las instancias de aplicación sanas. Si hay un problema con una instancia de aplicación, el equilibrador de carga elimina esa instancia y empieza a enrutar las solicitudes a las restantes instancias de aplicación sanas.

En función de sus necesidades, puede colocar equilibradores de carga en una subred pública o privada.

Para los puntos finales internos, que no son accesibles desde Internet, utilice un equilibrador de carga privado. Un equilibrador de carga privado tiene una dirección IP privada y no es accesible desde Internet. Tanto las instancias primarias como las en espera de un equilibrador de carga residen en la misma subred privada. Puede acceder a equilibradores de carga privados en VCN o en el centro de datos a través de IPSec VPN a través de DRG. El equilibrador de carga privado acepta el tráfico desde el centro de datos y distribuye el tráfico a instancias de aplicación subyacentes.
Para puntos finales orientados a Internet, utilice un equilibrador de carga público. Un equilibrador de carga público tiene una dirección IP pública y es accesible desde Internet. Puede acceder a los equilibradores de carga públicos desde Internet a través del gateway de Internet.
Para acceder a puntos finales internos y puntos finales orientados a Internet, configure equilibradores de carga privados y equilibradores de carga públicos. Configure equilibradores de carga privados para servir al tráfico interno y configure equilibradores de carga públicos para servir al tráfico desde Internet.

Registre la dirección IP pública o privada de las instancias de Oracle Cloud Infrastructure Load Balancing en el servidor de nombres de dominio público (DNS) o local para la resolución de dominio del punto final de la aplicación.

Acerca del Nivel de Aplicación

El nivel de aplicación está en una subred, que está separada de las subredes para el equilibrador de carga y las instancias de base de datos. Debe desplegar al menos dos instancias de aplicación en un dominio de disponibilidad para asegurarse de que las instancias de aplicación del dominio de disponibilidad estén muy disponibles.

Puede desplegar Oracle E-Business Suite con varios nodos de nivel de aplicación que funcionan con una base de datos Oracle E-Business Suite. Oracle recomienda desplegar la configuración de varios niveles de Oracle E-Business Suite con binarios de aplicación compartidos. Al utilizar un sistema de archivos de nivel de aplicación compartido, el sistema de archivos de nivel de aplicación Oracle E-Business Suite se comparte con cada nodo del entorno de varios nodos.Utilice Oracle Cloud Infrastructure File Storage para crear un sistema de archivos compartido para compartir y sincronizar binarios de aplicaciones Oracle E-Business Suite entre varios hosts de aplicaciones. Cuando se utiliza un sistema de archivos compartido para varios hosts de aplicación, reduce los requisitos de espacio en disco y elimina la necesidad de aplicar parches a cada host de aplicación del entorno.

El tráfico fluye desde el equilibrador de carga a las instancias de la aplicación a través de puertos específicos definidos en las reglas de seguridad. Configure reglas de seguridad para permitir el tráfico solo desde el equilibrador de carga sobre el puerto 8000 y desde el host de bastión sobre el puerto 22.

Puede utilizar la función de copia de seguridad basada en políticas de Oracle Cloud Infrastructure Block Volumes para realizar copias de seguridad de instancias de aplicación Oracle E-Business Suite.

Acerca del Nivel de Base de Datos

Oracle Cloud Infrastructure ofrece varias opciones para configurar un sistema Oracle Database (sistema de base de datos). Coloque sistemas de base de datos en una subred independiente. Oracle recomienda que el servicio de base de datos en Oracle Cloud Infrastructure se cree en una subred privada. Utilice listas de seguridad para restringir el acceso a los servidores de base de datos sólo desde el host bastion, los servidores de aplicaciones y los servidores locales.

Puede desplegar la base de datos mediante una máquina virtual Oracle Compute de nodo único, un sistema de base de datos de máquina virtual de nodo único, un sistema de base de datos de máquina virtual Oracle Real Application Clusters (RAC) de dos nodos o un sistema Oracle Exadata DB. Para proporcionar alta disponibilidad en un dominio de disponibilidad, Oracle recomienda utilizar un sistema de base de datos de máquina virtual de 2 nodos o un sistema Oracle Exadata DB. Tanto el sistema de base de datos de máquina virtual de 2 nodos como el sistema Oracle Exadata DB aprovechan Oracle RAC y despliegan un cluster de 2 nodos para una alta disponibilidad. En ambos casos, ambas instancias de la base de datos en un dominio de disponibilidad están activas. Las solicitudes recibidas del nivel de aplicación están equilibradas de carga en las instancias de base de datos. Incluso si una instancia de base de datos está caída, las otras solicitudes de servicios de instancia de base de datos.

Para el nivel de base de datos, se recomienda configurar listas de seguridad para asegurarse de que la comunicación se produzca sólo sobre el puerto 22, a través del host bastion y sobre el puerto 1521, a través del servidor de aplicaciones. Puede utilizar Oracle Cloud Infrastructure Object Storage para realizar una copia de seguridad de la base de datos Oracle E-Business Suite mediante Oracle Recovery Manager (RMAN).

Si despliega Oracle E-Business Suite en varios dominios de disponibilidad para una alta disponibilidad, debe configurar Oracle Data Guard o Oracle Active Data Guard en modo síncrono para replicar los cambios de base de datos en la base de datos en los dos dominios de disponibilidad.

Acerca de las listas de seguridad

En Oracle Cloud Infrastructure, las reglas de firewall se configuran mediante listas de seguridad. Se crea una lista de seguridad independiente para cada subred.

Oracle recomienda crear subredes independientes para los hosts de base de datos, aplicación, equilibrador de carga y bastión para asegurarse de que la lista de seguridad adecuada está asignada a las instancias de cada subred. Utilice listas de seguridad para permitir el tráfico entre diferentes niveles y entre el host bastion y los hosts externos. Las listas de seguridad contienen reglas de entrada y salida para filtrar el tráfico en el nivel de subred. También contienen información sobre los puertos de comunicación a través de los cuales se permite la transferencia de datos. Esos puertos (o en algunos casos, los protocolos que necesitarán puertos abiertos en las reglas de seguridad) se muestran en cada línea de regla de seguridad en los diagramas de arquitectura.

Cada lista de seguridad se aplica en el nivel de instancia. Sin embargo, al configurar las listas de seguridad en el nivel de subred, todas las instancias de una subred determinada están sujetas al mismo juego de reglas. Cada subred puede tener varias listas de seguridad asociadas y cada lista puede tener varias reglas. Se permite la transferencia de un paquete de datos si una regla de cualquiera de las listas permite el tráfico (o si el tráfico forma parte de una conexión existente que se está rastreando). Además de las listas de seguridad, utilice iptables para implantar otra capa de seguridad en el nivel de instancia.

Para despliegues en una subred pública, puede proporcionar un nivel adicional de seguridad impidiendo el acceso a las instancias de la aplicación y la base de datos desde Internet. Utilice una lista de seguridad personalizada para impedir el acceso a las instancias de la aplicación y la base de datos desde Internet y permitir el acceso a la base de datos y los hosts de la aplicación en el puerto 22 desde el host de bastión con fines de administración. No active el acceso SSH a las instancias de la aplicación y la base de datos desde Internet, pero puede permitir el acceso SSH a estas instancias desde la subred que contiene el host bastion.

Puede acceder a las instancias de la subred privada mediante el servidor bastion.

Lista de seguridad para el host de base

La lista de seguridad bastion permite acceder al host bastion desde Internet público a través del puerto 22.

Para permitir el tráfico SSH desde la red local hasta el bastión host a través de Internet:

Entrada con estado: permite el tráfico TCP desde el CIDR0.0.0.0/0 de origen y todos los puertos de origen hasta el puerto de destino 22 (SSH).

Tipo de origen = CIDR, CIDR de origen = 0.0.0.0/0, Protocolo IP = TCP, Rango de puertos de origen = Todos, Rango de puertos de destino = 22

También puede restringir el host bastion al que se puede acceder a través de Internet en el puerto 22 solo desde el centro de datos en lugar de Internet público (0.0.0.0/0). Para ello, utilice la IP del enrutador de borde en lugar del CIDR de origen como 0.0.0.0/0 en la regla de entrada con estado.
Para permitir el tráfico SSH desde el host bastion a instancias de Oracle Cloud Infrastructure Compute:

Salida con estado: permite el tráfico TCP al CIDR0.0.0.0/0 de destino desde todos los puertos de origen hasta el puerto de destino 22 (SSH).

Tipo de Destino = CIDR, CIDR de Destino = < Bloque CIDR de VCN>, Protocolo IP = TCP, Rango de Puerto de Origen = Todo, Rango de Puerto de Destino = 22

Lista de seguridad para el nivel de equilibrador de carga

Los diagramas de arquitectura muestran equilibradores de carga privados, que se colocan en subredes privadas. Si coloca las instancias del equilibrador de carga en una subred pública, permitirá el tráfico desde Internet (0.0.0.0/0) a las instancias del equilibrador de carga.

Para permitir el tráfico desde Internet al equilibrador de carga:

Entrada con estado: permite el tráfico TCP desde CIDR de origen (Internet) 0.0.0.0/0 y todos los puertos de origen hasta el puerto de destino 8888 (HTTP) o 443 (HTTPS).

Tipo de fuente = CIDR, CIDR de origen = 0.0.0.0/0, Protocolo IP = TCP, Rango de puertos de origen = Todos, Rango de puertos de destino = 8888 o 443
Para permitir el tráfico desde la red local al equilibrador de carga:

Entrada con estado: permite el tráfico TCP desde el bloque CIDR de red local y todos los puertos de origen hasta el puerto de destino 8888 (HTTP) o 443 (HTTPS)

Tipo de Origen = CIDR, CIDR de Origen = < bloque CIDR para red local >, Protocolo IP = TCP, Rango de Puerto de Origen = Todo, Rango de Puerto de Destino = 8888 o 443
Para permitir el tráfico desde los niveles del equilibrador de carga a los niveles de aplicación:

Salida con estado: Permitir tráfico TCP al CIDR de destino 0.0.0.0/0 desde todos los puertos de origen al puerto de destino 8000 (HTTP)

Tipo de Destino = CIDR, CIDR de Destino = < bloque CIDR para subred de aplicación >, Protocolo IP = TCP, Rango de Puerto de Origen = Todo, Rango de Puerto de Destino = 8000

Lista de seguridad para el nivel de aplicación

La lista de seguridad para el nivel de aplicación permite el tráfico desde el nivel de equilibrador de carga hasta el nivel de aplicación.

Para permitir el tráfico desde el host bastion hasta el nivel de aplicación:

Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of bastion subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 22
Para permitir el tráfico desde el nivel de equilibrador de carga hasta el nivel de aplicación:

Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of load balancer subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 8000
Para permitir el tráfico entre instancias de aplicación en el nivel de aplicación:

Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of application subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = All
Para permitir el tráfico desde el nivel de aplicación hasta el nivel de base de datos y entre instancias de aplicación en el nivel de aplicación:

Salida con estado: Destination Type = CIDR, Destination CIDR = 0.0.0.0/0, IP Protocol = TCP, Source Port Range = All, Destination port range = All

Para la comunicación entre niveles de aplicación en una configuración de varios niveles de aplicación (esto es necesario sólo para Oracle E-Business Suite EBS 12.2):

Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of application subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 7001-7002
Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of application subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 7201-7202
Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of application subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 7401-7402
Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of application subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 7601-7602

Lista de seguridad para el nivel de base de datos

Para permitir el tráfico desde el host bastion hasta el nivel de base de datos:

Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of bastion subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = 22
Para permitir el tráfico desde los niveles de aplicación hasta el nivel de base de datos:

Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of application subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range =1521
Para permitir el tráfico desde el nivel de base de datos hasta el nivel de aplicación:

Salida con estado: Destination Type = CIDR, Destination 0.0.0.0/0 on TCP, source port = All, destination port = All
Para permitir el tráfico de copia de seguridad de la base de datos en Oracle Cloud Infrastructure Object Storage:

Salida con estado: Destination Type = Service, Destination OCI <region> Object Storage, source port = All, destination port = 443

Para la arquitectura de dominio de disponibilidad múltiple, para permitir el tráfico entre los niveles de base de datos en los dominios de disponibilidad para Oracle Active Data Guard:
- Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of database subnet in availability domain 1>, IP Protocol = TCP, Source Port Range = All, Destination port range =1521
- Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of database subnet in availability domain 2>, IP Protocol = TCP, Source Port Range = All, Destination port range =1521

Para el aprovisionamiento del sistema Oracle Database Exadata Cloud Service, se necesitan las siguientes reglas adicionales:

Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of exadata client subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range =All
Entrada con estado: Source Type = CIDR, Source CIDR = <CIDR block of exadata client subnet>, IP Protocol = ICMP, Type and Code = All
Salida con estado: Destination Type = CIDR, Destination CIDR = <CIDR block of exadata client subnet>, IP Protocol = TCP, Source Port Range = All, Destination port range = All
Salida con estado: Destination Type = CIDR, Destination CIDR = <CIDR block of exadata client subnet>, IP Protocol = ICMP, Type and Code = All