Passerelles de routage dynamique

Utilisation des passerelles DRG et des attachements DRG

Lors de la création d'une passerelle DRG, vous devez indiquer le compartiment où celle-ci doit résider. Le placement de la passerelle DRG dans un compartiment permet de limiter le contrôle d'accès. Si vous ne savez pas quel compartiment utiliser, placez la passerelle DRG dans celui du réseau en nuage virtuel. Pour plus d'informations, voir Contrôle de l'accès.

Vous pouvez éventuellement affecter un nom convivial à la passerelle DRG. Il ne doit pas nécessairement être unique et vous pouvez le modifier ultérieurement. Oracle affecte automatiquement à la passerelle DRG un identificateur unique nommé ID Oracle Cloud (OCID). Pour plus d'informations, voir Identificateurs de ressource.

Pour utiliser une passerelle DRG, celle-ci doit être associée à d'autres ressources de réseau. Dans l'API, le processus d'association crée un objet DrgAttachment avec son propre OCID. DrgAttachment comporte un champ indiquant le type d'objet attaché à la passerelle DRG. Le champ Type peut être réglé à l'une des valeurs suivantes :

• VCN
• VIRTUAL_CIRCUIT
• IPSEC_TUNNEL
• REMOTE_PEERING_CONNECTION
• LOOPBACK (Voir Fichiers joints de bouclage pour plus de détails.)

Pour attacher un VCN à une passerelle DRG, utilisez l'opération CreateDrgAttachment ou la console pour créer explicitement l'objet d'attachement de passerelle DRG. Les annexes pour les circuits virtuels, les tunnels IPSec et les connexions d'appairage distant sont créées (et supprimées) automatiquement pour vous lors de la création (ou de la suppression) de l'objet réseau.

Utilisation des tables de routage DRG et des répartitions de routage

Un paquet entre une passerelle DRG au moyen d'un attachement et est routé à l'aide de règles dans la table de routage DRG affectée à cet attachement. Vous pouvez affecter la même table de routage à de nombreux attachements de passerelle DRG ou créer une table de routage dédiée pour chaque attachement, selon les politiques d'acheminement souhaitées.

Lorsque vous créez une passerelle DRG, deux tables de routage par défaut sont créées pour vous : une pour les attachements de réseau en nuage virtuel et une pour tous les autres attachements. Lorsqu'une table de routage est définie comme table de routage par défaut pour un type d'attachement, elle est affectée aux nouveaux attachements de ce type à moins qu'une autre table ne soit explicitement spécifiée. Les tables de routage spécifiées en tant que tables par défaut pour tout type ne peuvent pas être supprimées. Assurez-vous qu'une table de routage n'est pas définie par défaut pour un type d'attachement avant de la supprimer.

Un attachement de réseau en nuage virtuel comprend deux tables de routage : une table de routage DRG pour le trafic entrant dans la passerelle de routage dynamique et une table de routage de VCN pour celui du réseau en nuage virtuel. La table de routage DRG existe dans la passerelle de routage dynamique et sert à acheminer les paquets entrant dans cette dernière au moyen de l'attachement. La table de routage de VCN est utilisée pour acheminer les paquets entrant dans le réseau en nuage virtuel au moyen de l'attachement. Si aucune table de routage de VCN n'est définie, une table implicite masquée fournit toujours une connectivité à tous les sous-réseaux du VCN.

Répartitions de routes d'importation/exportation dynamiques

Les tables de routage DRG contiennent des routes statiques et des routes dynamiques. Les routes statiques sont insérées dans des tables à l'aide de l'API, tandis que les routes dynamiques sont importées à partir des attachements et insérées à l'aide d'une répartition de routes, d'une liste d'énoncés déclaratifs contenant des critères de correspondance (comme un OCID ou un type d'attachement) et d'une action. Vous pouvez utiliser des répartitions de routes pour spécifier comment les routes sont importées depuis ou exportées vers un attachement de passerelle de routage dynamique. Deux répartitions de routes d'importation générées automatiquement sont créées pour chaque passerelle DRG : une pour les routes de VCN seulement et une pour toutes les routes. Vous pouvez créer d'autres répartitions de routes d'importation, mais vous ne pouvez pas créer de nouvelles répartitions de routes d'exportation.

Lorsque les critères de correspondance d'une répartition de routes incluent un type d'attachement, les routes associées à l'attachement sont importées dynamiquement dans la table de routage DRG utilisée par l'attachement. Lorsqu'un énoncé est supprimé de la répartition de routes, les routes correspondantes sont supprimées des tables de routage DRG. Les énoncés d'une répartition de routes sont évalués par ordre de priorité : le numéro le plus bas correspond à la priorité la plus élevée. L'ordre dans lequel les énoncés sont évalués n'affecte pas les préférences définies pour les routes qu'ils importent.

Lors de la création d'énoncés de répartition de routes dans la console, vous pouvez en créer un de type "Tout mettre en correspondance". Dans l'API, encodez un énoncé "match all" en réglant les critères de correspondance à une liste vide.

Comment les routes dynamiques arrivent-elles à un attachement?

Les routes vers les réseaux sur place sont annoncées depuis l'équipement local d'abonné vers les attachements de tunnel IPSec et de circuit virtuel à l'aide de BGP. Les routes sont propagées dynamiquement d'un attachement de RPC sur une passerelle DRG à un attachement de RPC sur une autre passerelle DRG au moyen de connexions d'appairage distant. Les routes dynamiques d'un VCN incluent soit tous les blocs CIDR de sous-réseau, soit tous les blocs CIDR de VCN et tous les blocs CIDR de routage statique configurés dans la table de routage de VCN associée à l'attachement de DRG. La propriété vcnRouteType de l'attachement VCN détermine si les blocs CIDR du sous-réseau ou les blocs CIDR du VCN sont propagés dans l'attachement du VCN. Le comportement par défaut consiste à importer les blocs CIDR du sous-réseau, mais ce comportement peut être modifié lors de la création ou de la mise à jour de l'attachement du VCN. Voir Agrégation de routes pour d'autres détails.

Répartitions de routes d'exportation dynamique

Lorsqu'un attachement est affecté à une table de routage DRG, son contenu de cette dernière peut être exporté dynamiquement vers l'attachement. Si la répartition de routes d'exportation par défaut est affectée à un attachement, l'intégralité du contenu de la table de routage DRG affectée à cet attachement est exportée dynamiquement vers lui. Pour désactiver les exportations de routes dynamiques vers un attachement, utilisez l'opération d'API removeExportDrgRouteDistribution pour régler le champ exportDrgRouteDistributionId de l'attachement à NULL. L'exportation de route dynamique vers des attachements de réseau VCN n'est pas prise en charge.

Une répartition de routes d'exportation générée automatiquement est créée pour chaque passerelle DRG. Vous ne pouvez pas créer des répartitions de routes d'exportation.

Restrictions de propagation de routes

Les routes importées à partir d'un tunnel IPSec ou d'un circuit virtuel ne sont jamais exportées vers d'autres attachements de tunnel IPSec ou de circuit virtuel, quelle que soit la configuration de la répartition de routes d'exportation. Dans la même veine, les paquets qui entrent dans une passerelle DRG au moyen d'un attachement de tunnel IPSec ou de circuit virtuel ne peuvent jamais sortir par le même moyen. Les paquets sont abandonnés si le routage est configuré de sorte que les paquets provenant d'attachements de tunnel IPSec ou de circuit virtuel sont envoyés à des attachements de ces mêmes types.

ECMP

Le routage multichemin à coût égal (ECMP) permet l'équilibrage de charge basé sur le flux du trafic réseau sur les circuits virtuels FastConnect ou les tunnels IPSec (mais pas une combinaison des types de circuit) à l'aide de BGP. Le routage multichemin à coût égal permet l'équilibrage de charge et le basculement actif-actif du trafic réseau entre un maximum de huit circuits.

Oracle utilise le protocole, l'IP de destination, l'IP source, le port de destination et le port source pour distinguer les flux aux fins d'équilibrage de charge au moyen d'un algorithme cohérent et déterministe. Par conséquent, plusieurs flux sont nécessaires pour utiliser toute la bande passante disponible.

Le routage ECMP est désactivé par défaut et peut être activé pour chaque table de routage. Oracle n'admet que les routes ayant la même préférence de routage pour la transmission au routage ECMP. Pour plus d'informations, voir Conflits de routes.

Source de route

Les routes DRG commencent comme des routes statiques ou comme des routes dynamiques provenant du réseau VCN, du tunnel IPSec, du circuit virtuel FastConnect ou des attachements de connexion d'appairage distant. Cette origine définit leur source, caractéristique non mutable des routes. Dans l'API, la source est appelée routeProvenance d'une règle DrgRouteRule.

Les routes sont propagées entre les DRG à l'aide d'attachements de RPC.

Les routes ayant une source IPSEC_TUNNEL ou VIRTUAL_CIRCUIT ne sont pas exportées vers des attachements de tunnel IPSec ou de circuit virtuel, quelle que soit la répartition d'exportation de l'attachement.

Routage du trafic d'un sous-réseau vers une passerelle DRG

Le scénario de routage de base envoie le trafic d'un sous-réseau du réseau VCN à la passerelle DRG. Par exemple, si vous envoyez le trafic du sous-réseau vers un réseau sur place, vous configurez une règle dans la table de routage du sous-réseau. Le CIDR de destination de la règle est celui du réseau sur place (ou d'un sous-réseau qu'il contient), et sa cible, la passerelle DRG. Pour plus d'informations, voir Tables de routage de VCN.

Politique GIA requise

L'appairage de réseaux en nuage virtuels à l'aide d'une passerelle DRG nécessite des autorisations IAM spécifiques. Voir Politiques IAM pour le routage entre les réseaux en nuage virtuels pour plus de détails sur les autorisations requises.

Versions de passerelle DRG

Les passerelles de routage dynamique créées avant le 17 mai 2021 utilisent le logiciel existant et peuvent être mises à niveau vers la version la plus récente. Par défaut, les passerelles de routage dynamique créées après cette date disposent de fonctions mises à niveau.

Les différences entre une passerelle DRG mise à niveau et une passerelle DRG existante sont présentées ci-dessous :

Une passerelle DRG existante :

• Ne dispose d'aucune table de routage programmable. Par défaut, son comportement de routage est le suivant : tout le trafic est transféré du réseau sur place à un réseau VCN associé, et de ce dernier au réseau sur place.
• Peut être associée à un seul réseau VCN. La passerelle DRG peut être attachée à une autre passerelle DRG pour l'appairage distant de réseaux VCN à l'aide d'une RPC.
• Peut être associée à FastConnect ou RPV site à site, ou aux deux. Vous pouvez uniquement atteindre les ressources de la région locale à l'aide de ces connexions.
• Peut prendre en charge une RPC avec une paire DRG-VCN distante dans la même location. Voir Appairage distant de réseaux en nuage virtuels à l'aide d'une passerelle DRG existante pour en savoir plus sur l'appairage distant à l'aide d'une passerelle DRG existante.

Une passerelle DRG mise à niveau :

• Dispose de deux tables de routage par défaut; d'autres peuvent être ajoutées ultérieurement.
• Peut être associée à plusieurs réseaux en nuage virtuels dans la même région. Le trafic entre les réseaux VCN locaux et VCN peut passer par une passerelle DRG connectée entre eux au lieu d'une passerelle LPG. Pour plus de détails, voir Appairage local de VCN au moyen d'une passerelle DRG mise à niveau.
• Peut être associée à un RPV sur place à l'aide de FastConnect orSite, ou des deux. Ces connexions vous permettent d'accéder aux ressources des régions locales et distantes.
• Prend en charge une connexion d'appairage distant avec une paire DRG-VCN dans la même location ou dans une autre. Voir Appairage distant de VCN au moyen d'une passerelle DRG mise à niveau pour en savoir plus sur l'appairage distant à l'aide d'une passerelle DRG mise à niveau.

Le reste de cet article a récemment été mis à jour pour refléter les capacités d'une passerelle DRG mise à niveau. Les scénarios d'utilisation du service de réseau courants ont également été actualisés. L'appairage distant de réseaux en nuage virtuels à l'aide d'une passerelle DRG existante est le seul scénario d'acheminement ou d'appairage spécifique à une passerelle DRG existante.

Avant de mettre à niveau une passerelle DRG

Pour profiter des fonctions DRG améliorées, mettez à niveau la passerelle DRG. La mise à niveau de la passerelle DRG est automatisée, mais vous devez disposer des autorisations requises pour la démarrer. La mise à niveau d'une passerelle DRG est un processus un sens sans option de retour à une passerelle DRG existante une fois qu'elle est démarrée.

Attendez-vous à ce que chacun des attachements de la passerelle DRG soit mis à jour à son tour, ce qui force chaque attachement de mise à niveau à un état de provisionnement. Les attachements de tunnel RPV et de circuit virtuel ne peuvent plus transmettre le trafic lorsqu'ils sont à l'état de provisionnement. Si vous n'avez qu'un seul circuit virtuel, il peut s'arrêter pendant environ 20 minutes. Toutes les sessions BGP existantes pour les connexions sur place sont également réinitialisées alors que l'attachement et les connexions sont également mis hors ligne.

Si vous avez des connexions redondantes, attendez-vous à ce que le trafic bascule vers d'autres circuits pendant la mise à niveau d'une connexion. À l'aide d'une configuration redondante, la connexion globale entre sur place et OCI est tenue à jour lors de la mise à niveau de la passerelle DRG. Par exemple, si une passerelle DRG comporte deux attachements de circuit virtuel FastConnect à un réseau sur place dont un est configuré comme principal, alors que le circuit virtuel principal est mis à niveau, elle abandonne la connectivité mais le trafic peut toujours passer sur le circuit virtuel secondaire. Une fois la première mise à jour terminée et le trafic sur le circuit virtuel principal restauré, le processus met à niveau l'attachement du circuit virtuel secondaire et, éventuellement, les deux circuits virtuels sont de nouveau en ligne. Attendez-vous à ce que le processus de mise à niveau dure jusqu'à 30 minutes par attachement sur place. De même, si le processus de mise à niveau met à niveau d'abord l'attachement du circuit virtuel secondaire, le trafic s'arrête sur ce circuit, mais peut toujours passer sur le circuit virtuel principal jusqu'à ce que la connexion du circuit secondaire soit rétablie.

Les connexions d'appairage distant et les attachements de VCN n'ont pas besoin de réinitialiser BGP comme le font les connexions de circuit virtuel ou de tunnel IPSec, et la mise à niveau est plus rapide. Les connexions de VCN à une passerelle LPG ou à d'autres passerelles ne sont pas touchées, car il s'agit d'attachements sur le VCN et non sur la passerelle DRG.

Une fois le processus de mise à niveau de la passerelle DRG terminé, tous les tunnels IPSec RPV site à site sont remis en ligne et toutes les sessions BGP pour FastConnect et RPV site à site sont rétablies. Par défaut, la passerelle DRG mise à niveau comporte deux tables de routage DRG générées automatiquement et des répartitions de route d'importation activées pour les attachements. Ces ressources sont conçues pour une compatibilité descendante avec une passerelle DRG existante et permettent la reprise de toutes les communications précédentes de la même manière qu'avant la mise à niveau, sans autre intervention de l'utilisateur.

Pour des instructions étape par étape sur la mise à niveau d'une passerelle DRG, voir Mise à niveau d'une passerelle DRG.

Scénarios

Nous avons fourni des scénarios de réseau détaillés pour vous aider à comprendre le rôle d'une passerelle DRG dans le service de réseau et l'intégration des composants entre eux.

Conflits de routes

Si deux routes à CIDR identiques sont observées dans la même table de routage DRG, la passerelle DRG résout le conflit à l'aide des critères suivants :

1. Les routes statiques ont toujours priorité sur les routes dynamiques.

   Note
   
   Vous ne pouvez pas spécifier manuellement deux routes statiques avec le même CIDR dans la même table de routage DRG, mais il est possible d'importer dynamiquement plusieurs routes avec le même CIDR.
2. Les conflits entre les routes dynamiques sont résolus en analysant d'abord leur chemin AS :
   • Le chemin AS des routes dont la source est VCN ou STATIC est toujours vide.
   • Les routes dont la source est IPSEC_TUNNEL ou VIRTUAL_CIRCUIT ont des données de chemin AS alimentées (voir Détails de routage pour les connexions au réseau sur place pour plus de détails).
3. Sinon, le type d'attachement qui a importé la route est évalué selon l'ordre de priorité suivant :
   1. VCN : La passerelle DRG effectue une sélection arbitraire, mais stable.
   2. VIRTUAL_CIRCUIT : Si ECMP est désactivé, la passerelle DRG effectue une sélection arbitraire, mais stable. Si ECMP est activé, toutes les routes sont ajoutées à la table de routage et la passerelle DRG effectue des choix de routage à l'aide d'ECMP. La largeur de routage ECMP maximale prise en charge dans une passerelle DRG est de 8.
   3. IPSEC_TUNNEL : Si ECMP est désactivé, la passerelle DRG rend selection.If ECMP arbitraire, mais stable, activé, toutes les routes sont ajoutées à la table de routage et la passerelle DRG effectue des choix de routage à l'aide d'ECMP. La largeur de routage ECMP maximale prise en charge dans une passerelle DRG est de 8.

   4. REMOTE_PEERING_CONNECTION : La passerelle DRG sélectionne la route ayant la distance de réseau la plus courte.

      Si deux routes ont des distances de réseau identiques, la passerelle DRG sélectionne la route ayant la source de routage la plus prioritaire (STATIC > VCN > VIRTUAL_CIRCUIT> IPSEC_TUNNEL > RPC).

      Si deux routes ont la même source de routage, la passerelle DRG effectue une sélection arbitraire, mais stable.

4. Si des routes conflictuelles sont importées à partir d'attachements de même type, le conflit est résolu différemment selon ce type :
   1. Attachement de VCN : Si des blocs CIDR identiques sont importés à partir de deux attachements de VCN, un seul est sélectionné à l'aide d'une procédure de décision arbitraire, mais stable.
   2. Attachements VIRTUAL_CIRCUIT et IPSEC_TUNNEL : Si plusieurs routes ayant le même CIDR et des longueurs AS_PATH différentes sont importées dans une table de routage DRG, la route ayant la longueur AS_PATH la plus courte est sélectionnée. Sinon, une route est choisie à l'aide d'une procédure de décision arbitraire, mais stable.
   3. Attachements de RPC : Si des blocs CIDR identiques sont importés à partir de deux attachements de RPC, un d'entre eux est choisi à l'aide d'une procédure de décision arbitraire et stable.

Vous pouvez observer les résultats de la résolution de conflit en listant le contenu de la table de routage. Les routes obsolètes affichent le statut "conflit".

Agrégation d'itinéraires

Comme décrit dans la section RFC-1338, l'agrégation de routes vous permet d'"annoncer une route unique, agrégée, qui décrit toutes les destinations qu'elle contient" au lieu d'annoncer une route distincte pour chaque client. L'exemple principal de ceci dans le service de réseau pour OCI se produit lorsque vous configurez l'attachement de VCN d'une passerelle DRG pour importer des blocs CIDR de VCN au lieu des blocs CIDR de sous-réseau, ce qui simplifie les routes annoncées par BGP. En fonction de l'architecture réseau, vous pouvez également décider de :

• Utiliser des routes statiques plutôt que des répartitions d'importation sur la passerelle de routage dynamique pour résumer encore plus étroitement (la portée de cette opération est limitée à cet attachement spécifique)
• Agréger plusieurs attachements en introduisant une deuxième passerelle de routage dynamique et en rendant les attachements agrégés disponibles uniquement au moyen d'une connexion d'appairage distant vers une autre passerelle de routage dynamique

D'autres formes d'agrégation de routes ne sont pas disponibles.

Limitations

Certaines fonctions peuvent sembler possibles, mais les fonctions de routage suivantes ne sont pas autorisées :

• Création ou suppression explicite d'attachements de connexion d'appairage distant, de tunnel IPSec ou de circuit virtuel
• Routes statiques dans les tables de routage DRG avec saut suivant des attachements de tunnel IPSec ou de circuit virtuel
• Utilisation de répartitions de routes d'exportation autres que les valeurs par défaut
• Exportation de route dynamique vers des attachements de VCN
• Routes se propageant au moyen d'une connexion d'appairage distant dans plus de 4 DRG