Analyseur de chemin de réseau

Aperçu de l'analyseur de chemin de réseau 🔗

L'analyseur de chemin de réseau (NPA) offre une capacité unifiée et intuitive qui vous permet d'identifier les problèmes de configuration du réseau virtuel qui ont une incidence sur la connectivité. Le NPA collecte et analyse la configuration du réseau pour déterminer le fonctionnement et les défaillances des chemins entre la source et la destination. Aucun trafic réel n'est envoyé, mais la configuration est examinée et utilisée pour confirmer l'accessibilité.

Le NPA examine attentivement les configurations de routage et de sécurité, et identifie le chemin de réseau potentiel parcouru par le trafic défini, ainsi que des informations sur les entités de réseau virtuel dans le chemin. En plus des informations sur le chemin, la sortie de ces vérifications comprend la façon dont les règles de routage et les listes d'accès au réseau (listes de sécurité, groupes de sécurité de réseau, etc.) permettent ou refusent le trafic. Les sources et les destinations peuvent se trouver au sein d'OCI, ou entre OCI et le réseau sur place, ou OCI et Internet. Le NPA analyse tous les éléments de réseau OCI standard avec leur configuration associée.

À l'aide de NPA, vous pouvez :

• Résoudre les erreurs de configuration du routage et de la sécurité qui causent des problèmes de connectivité.
• Valider que les chemins de réseau logiques correspondent à l'intention
• Vérifier que la configuration de la connectivité du réseau virtuel fonctionne comme prévu avant de commencer à envoyer du trafic

Pour atteindre ces objectifs, créez un test qui, selon vous, fonctionne, puis exécutez le test. Vous pouvez également enregistrer cette définition de test pour l'exécuter à nouveau plus tard. Les tests enregistrés sont affichés dans la page Analyseur de chemin de réseau pour vous permettre de les sélectionner.

Les scénarios de source et de destination suivants sont pris en charge :

• OCI vers OCI
• OCI vers réseau sur place
• Réseau sur place vers OCI
• Internet vers OCI
• OCI vers Internet

Des tests peuvent être définis pour les paramètres suivants :

Une analyse est effectuée à l'aide d'un instantané de configuration complète, mais le chemin de réseau affiché est limité aux entités que vous êtes autorisé à consulter. Si vous n'avez pas l'autorisation nécessaire pour voir les objets du chemin, ceux-ci ou d'autres détails ne s'affichent pas sur la sortie de test.

L'analyseur de chemin de réseau utilise Batfish, une bibliothèque d'analyse de configuration de réseau à code source libre. Le NPA utilise Batfish pour effectuer une analyse d'accessibilité et identifier les erreurs de configuration. Intentionet tient à jour la bibliothèque Batfish.

Autorisations requises 🔗

Nous vous recommandons de toujours définir les politiques d'autorisation suivantes au niveau de la location (si ces autorisations sont définies au niveau du compartiment, les résultats de l'analyse de chemin peuvent être moins exacts) pour utiliser l'analyseur de chemin de réseau :

allow group <group-name> to manage vn-path-analyzer-test in tenancy 
allow any-user to inspect compartments in tenancy where all { request.principal.type = 'vnpa-service' }
allow any-user to read instances in tenancy where all { request.principal.type = 'vnpa-service' }
allow any-user to read virtual-network-family in tenancy where all { request.principal.type = 'vnpa-service' }
allow any-user to read load-balancers in tenancy where all { request.principal.type = 'vnpa-service' }
allow any-user to read network-security-group in tenancy where all { request.principal.type = 'vnpa-service' } 

Où <group-name> est le nom du groupe d'administrateurs pour les ressources de réseau.

Voir la section path-analyzer-test sous Informations détaillées sur le service de surveillance de réseau pour plus de détails sur les autorisations relatives aux NPA.

Restrictions et limites connues

Les cas d'utilisation du NPA suivants ne sont pas pris en charge :

• Si la source et les destinations se trouvent dans le même sous-réseau et avec une adresse IP privée différente, cela produira des résultats incorrects.
• Lorsque la table de routage d'un sous-réseau comporte un saut suivant défini comme adresse IP privée, il est possible qu'elle affiche incorrectement le statut Aucune route.
• Si les passerelles LPG sont appairées entre les locations, la réponse concernant l'analyse de chemin est indéterminée.
• Si des connexions RPC traversent des locations ou des régions, la réponse concernant l'analyse de chemin est indéterminée.
• NPA ne prend pas en charge IPv6. Les adresses IPv6 ne peuvent pas être utilisées comme sources ou destinations. Les paramètres de routage et de sécurité IPv6 sont ignorés et n'ont aucune incidence sur les résultats.
• Le NPA ne détecte pas les boucles de routage, et si elles sont présentes, les résultats peuvent être incertains ou indiquer un échec.
• Le routage intra-VCN et le routage de passerelle Internet ne sont pas encore pris en charge dans NPA et peuvent entraîner des résultats d'analyse de chemin inexacts.
• Le NPA ne fonctionne pas si le nombre de compartiments de la location demandant l'analyse de chemin est supérieur à 100. Pour ces locations, vous devez lire une demande de soutien pour utiliser l'analyseur de réseau.

Cas d'utilisation spéciaux

Lorsque certaines entités figurent dans le chemin pour faire l'objet d'une analyse et qu'elles ne sont ni la source ni la destination, les comportements suivants sont observés. Vous pouvez utiliser la solution indiquée pour ces cas d'utilisation, le cas échéant.

Le diagramme suivant présente un des cas d'utilisation où l'analyse de chemin doit être fractionnée en deux.

Demandes de travail d'analyse de chemins de réseau

Utilisez des demandes de travail pour surveiller les opérations de longue durée telles que les tests d'analyse de chemin de réseau. Lorsque vous exécutez ce type d'opération, le service génère une demande de travail . Une demande de travail est un journal d'activité que vous pouvez utiliser pour suivre chaque étape de la progression de l'opération. Chaque demande de travail dispose d'un OCID (identificateur Oracle Cloud) que vous pouvez utiliser pour interagir avec elle par programmation et l'utiliser pour l'automatisation. Les demandes de travail sont conservées pendant 12 heures.