Passerelles de routage dynamique

Utilisation des passerelles DRG et des attachements DRG

Lors de la création d'une passerelle DRG, vous devez indiquer le compartiment où celle-ci doit résider. Le placement de la passerelle DRG dans un compartiment permet de limiter le contrôle d'accès. Si vous ne savez pas quel compartiment utiliser, placez la passerelle DRG dans celui du réseau en nuage virtuel. Pour plus d'informations, voir Contrôle de l'accès.

Vous pouvez éventuellement affecter un nom convivial à la passerelle DRG. Il ne doit pas nécessairement être unique et vous pouvez le modifier ultérieurement. Oracle affecte automatiquement à la passerelle DRG un identificateur unique nommé ID Oracle Cloud (OCID). Pour plus d'informations, voir Identificateurs de ressource.

Pour utiliser une passerelle DRG, celle-ci doit être associée à d'autres ressources de réseau. Dans l'API, le processus d'association crée un objet DrgAttachment avec son propre OCID. DrgAttachment comporte un champ indiquant le type d'objet attaché à la passerelle DRG. Le champ Type peut être réglé à l'une des valeurs suivantes :

• VCN
• VIRTUAL_CIRCUIT
• IPSEC_TUNNEL
• REMOTE_PEERING_CONNECTION
• LOOPBACK (Voir Fichiers joints de bouclage pour plus de détails.)

Pour attacher un VCN à une passerelle DRG, utilisez l'opération CreateDrgAttachment ou la console pour créer explicitement l'objet d'attachement de passerelle DRG. Les annexes pour les circuits virtuels, les tunnels IPSec et les connexions d'appairage distant sont créées (et supprimées) automatiquement pour vous lors de la création (ou de la suppression) de l'objet réseau.

Utilisation des tables de routage DRG et des répartitions de routage

Un paquet entre une passerelle DRG au moyen d'un attachement et est routé à l'aide de règles dans la table de routage DRG affectée à cet attachement. Vous pouvez affecter la même table de routage à de nombreux attachements de passerelle DRG ou créer une table de routage dédiée pour chaque attachement, selon les politiques d'acheminement souhaitées.

Lorsque vous créez une passerelle DRG, deux tables de routage par défaut sont créées pour vous : une pour les attachements de réseau en nuage virtuel et une pour tous les autres attachements. Lorsqu'une table de routage est définie comme table de routage par défaut pour un type d'attachement, elle est affectée aux nouveaux attachements de ce type à moins qu'une autre table ne soit explicitement spécifiée. Les tables de routage spécifiées en tant que tables par défaut pour tout type ne peuvent pas être supprimées. Assurez-vous qu'une table de routage n'est pas définie par défaut pour un type d'attachement avant de la supprimer.

Un attachement de réseau en nuage virtuel comprend deux tables de routage : une table de routage DRG pour le trafic entrant dans la passerelle de routage dynamique et une table de routage de VCN pour celui du réseau en nuage virtuel. La table de routage DRG existe dans la passerelle de routage dynamique et sert à acheminer les paquets entrant dans cette dernière au moyen de l'attachement. La table de routage de VCN est utilisée pour acheminer les paquets entrant dans le réseau en nuage virtuel au moyen de l'attachement. Si aucune table de routage de VCN n'est définie, une table implicite masquée fournit toujours une connectivité à tous les sous-réseaux du VCN.

Répartitions de routes d'importation dynamique

Une répartition est une liste d'énoncés déclaratifs contenant un critère de correspondance (comme un OCID ou un type d'attachement) et une action. Vous pouvez utiliser des répartitions de routes pour spécifier comment les routes sont importées depuis ou exportées vers un attachement de passerelle de routage dynamique. Deux répartitions de routes d'importation générées automatiquement sont créées pour chaque passerelle DRG : une pour les routes VCN uniquement et une pour toutes les routes. Vous pouvez créer d'autres répartitions de routes d'importation.

Les tables de routage DRG contiennent des routes statiques et des routes dynamiques. Les routes statiques sont insérées dans des tables à l'aide de l'API, tandis que les routes dynamiques sont importées à partir d'attachements et insérées à l'aide d'une répartition de routes d'importation. Lorsque les critères d'un énoncé correspondent à un attachement, les routes associées à l'objet de réseau attaché à la passerelle de routage dynamique sont importées dynamiquement dans la table de routage DRG affectée à la répartition les contenant. Si l'énoncé est supprimé de la répartition, les routes sont retirées des tables de routage DRG. Les énoncés d'une répartition de routes sont évalués par ordre de priorité : le numéro le plus bas correspond à la priorité la plus élevée. L'ordre dans lequel les énoncés sont évalués n'affecte pas les préférences définies pour les routes qu'ils importent.

Lorsque vous créez des énoncés de répartition de routes dans la console, vous pouvez en créer un de type "Tout mettre en correspondance". Dans l'API, encodez un énoncé "match all" en réglant les critères de correspondance à la liste vide.

Comment les routes dynamiques arrivent-elles à un attachement?

Les routes vers vos réseaux sur place sont annoncées depuis l'équipement local d'abonné aux attachements de tunnel IPSec et de circuit virtuel à l'aide de BGP. Les routes sont propagées dynamiquement d'un attachement de RPC sur une passerelle DRG à un attachement de RPC sur une autre passerelle DRG au moyen de connexions d'appairage distant. Les routes dynamiques d'un VCN incluent tous les blocs CIDR de sous-réseau ou tous les blocs CIDR de VCN et tous les blocs CIDR de routage statique configurés sur la table de routage de VCN associée à l'attachement de passerelle DRG. La propriété vcnRouteType de l'attachement de réseau en nuage virtuel détermine si les blocs CIDR de sous-réseau ou les blocs CIDR de réseau VCN sont propagés dans cet attachement. Le comportement par défaut est d'importer les blocs CIDR de sous-réseau, mais ce comportement peut être modifié lors de la création ou de la mise à jour de l'attachement de VCN. Reportez-vous à Agrégation de routes pour plus de détails.

Répartitions de routes d'exportation dynamiques

Lorsqu'un attachement est affecté à une table de routage DRG, son contenu de cette dernière peut être exporté dynamiquement vers l'attachement. Si la répartition de routes d'exportation par défaut est affectée à un attachement, l'intégralité du contenu de la table de routage DRG affectée à cet attachement est exportée dynamiquement vers lui. Pour désactiver les exportations de routes dynamiques vers un attachement, utilisez l'opération d'API removeExportDrgRouteDistribution pour régler le champ exportDrgRouteDistributionId de l'attachement à NULL. L'exportation de route dynamique vers des attachements de réseau VCN n'est pas prise en charge.

Une répartition de routes d'exportation générée automatiquement est créée pour chaque passerelle DRG. Vous pouvez créer et attacher d'autres répartitions de routes d'exportation à l'aide de l'interface de ligne de commande et de l'API.

Restrictions de propagation de routes

Les routes importées à partir d'un tunnel IPSec ou d'un circuit virtuel ne sont jamais exportées vers d'autres attachements de tunnel IPSec ou de circuit virtuel, quelle que soit la configuration de la répartition de routes d'exportation. Dans la même veine, les paquets qui entrent dans une passerelle DRG au moyen d'un attachement de tunnel IPSec ou de circuit virtuel ne peuvent jamais sortir par le même moyen. Les paquets sont abandonnés si le routage est configuré de sorte que les paquets provenant d'attachements de tunnel IPSec ou de circuit virtuel sont envoyés à des attachements de ces mêmes types.

ECMP

Le routage multichemin à coût égal (ECMP) permet l'équilibrage de charge basé sur le flux du trafic réseau sur les circuits virtuels FastConnect ou les tunnels IPSec (mais pas une combinaison des types de circuit) à l'aide de BGP. Le routage multichemin à coût égal permet l'équilibrage de charge et le basculement actif-actif du trafic réseau entre un maximum de huit circuits.

Oracle utilise le protocole, l'IP de destination, l'IP source, le port de destination et le port source pour distinguer les flux aux fins d'équilibrage de charge au moyen d'un algorithme cohérent et déterministe. Par conséquent, plusieurs flux sont nécessaires pour utiliser toute la bande passante disponible.

Le routage ECMP est désactivé par défaut et peut être activé pour chaque table de routage. Oracle n'admet que les routes ayant la même préférence de routage pour la transmission au routage ECMP. Pour plus d'informations, voir Conflits de routes.

Source de route

Les routes DRG commencent comme des routes statiques ou comme des routes dynamiques provenant du réseau VCN, du tunnel IPSec, du circuit virtuel FastConnect ou des attachements de connexion d'appairage distant. Cette origine définit leur source, caractéristique non modifiable des routes. Dans l'API, la source est appelée routeProvenance d'une règle DrgRouteRule.

Les routes sont propagées entre les passerelles de routage dynamique à l'aide d'attachements de RPC.

Les routes ayant une source IPSEC_TUNNEL ou VIRTUAL_CIRCUIT ne sont pas exportées vers des attachements de tunnel IPSec ou de circuit virtuel, quelle que soit la répartition d'exportation de l'attachement.

Routage du trafic d'un sous-réseau vers une passerelle DRG

Le scénario de routage de base envoie le trafic d'un sous-réseau du réseau VCN à la passerelle DRG. Par exemple, si vous envoyez le trafic du sous-réseau vers un réseau sur place, vous configurez une règle dans la table de routage du sous-réseau. Le CIDR de destination de la règle est celui du réseau sur place (ou d'un sous-réseau qu'il contient), et sa cible, la passerelle DRG. Pour plus d'informations, voir Tables de routage de VCN.

Politique IAM requise

L'appairage des réseaux en nuage virtuels à l'aide d'une passerelle DRG nécessite des autorisations GIA spécifiques. Voir Politiques IAM pour le routage entre les réseaux en nuage virtuels pour plus de détails sur les autorisations nécessaires.

Versions de passerelle DRG

Les passerelles de routage dynamique créées avant le 17 mai 2021 utilisent le logiciel existant et peuvent être mises à niveau vers la version la plus récente. Par défaut, les passerelles de routage dynamique créées après cette date disposent de fonctions mises à niveau.

Les différences entre une passerelle DRG mise à niveau et une passerelle DRG existante sont présentées ci-dessous :

Une passerelle DRG existante :

• Ne dispose d'aucune table de routage programmable. Par défaut, son comportement de routage est le suivant : tout le trafic est transféré du réseau sur place à un réseau VCN associé, et de ce dernier au réseau sur place.
• Peut être associée à un seul réseau VCN. La passerelle DRG ne peut être utilisée que pour l'appairage distant de réseaux VCN à l'aide d'une connexion d'appairage distant.
• Peut être associée à FastConnect ou à RPV site à site, ou aux deux. Vous pouvez uniquement atteindre les ressources de la région locale à l'aide de ces connexions.
• Peut prendre en charge une RPC avec une paire DRG-VCN distante dans la même location. Voir Appairage distant de réseaux en nuage virtuels à l'aide d'une passerelle DRG existante pour en savoir plus sur l'appairage distant à l'aide d'une passerelle DRG existante.

Une passerelle DRG mise à niveau :

• Dispose de deux tables de routage par défaut; d'autres peuvent être ajoutées ultérieurement.
• Peut être associée à plusieurs réseaux en nuage virtuels dans la même région. Le trafic entre les réseaux VCN locaux et VCN peut passer par une passerelle DRG connectée entre eux au lieu d'une passerelle LPG. Pour plus de détails, voir Appairage de réseaux VCN locaux au moyen d'une passerelle DRG mise à niveau.
• Peut être associée à un réseau sur place à l'aide de FastConnect ou de RPV site à site, ou des deux. Ces connexions vous permettent d'accéder aux ressources des régions locales et distantes.
• Prend en charge une connexion d'appairage distant avec une paire DRG-VCN dans la même location ou dans une autre. Voir Appairage de VCN distant au moyen d'une passerelle DRG mise à niveau pour en savoir plus sur l'appairage distant à l'aide d'une passerelle DRG mise à niveau.

Le reste de cet article a récemment été mis à jour pour refléter les capacités d'une passerelle DRG mise à niveau. Les scénarios d'utilisation du service de réseau courants ont également été actualisés. L'appairage distant de réseaux en nuage virtuels à l'aide d'une passerelle DRG existante est le seul scénario d'acheminement ou d'appairage spécifique à une passerelle DRG existante.

Avant de mettre à niveau une passerelle DRG

Pour profiter des fonctions DRG améliorées, mettez à niveau la passerelle DRG. La mise à niveau de la passerelle DRG est automatisée, mais vous devez disposer des autorisations requises pour la démarrer.

La mise à niveau d'une passerelle DRG est un processus un sens sans option de retour à une passerelle DRG existante une fois qu'elle est démarrée.

Attendez-vous à une interruption de trafic pour tous les attachements de la passerelle DRG lors de la mise à niveau. Chaque attachement est mis à jour à son tour, ce qui force chaque attachement de mise à niveau dans un état de provisionnement où il ne peut plus transmettre le trafic. Si vous disposez de connexions redondantes, écoutez le basculement du trafic vers les autres circuits pendant que l'un d'entre eux est mis à niveau. Si vous n'avez qu'un seul circuit, il peut s'arrêter pendant environ 20 minutes. Toutes les sessions BGP existantes pour les connexions sur place (FastConnect ou RPV site à site) sont également réinitialisées, tandis que l'attachement et tous les tunnels RPV site à site IPSec sont également mis hors ligne.

Par exemple, si une passerelle DRG comporte deux attachements de circuit virtuel FastConnect, un circuit virtuel est mis à niveau en premier, il perd sa connectivité et le trafic passe sur l'autre circuit virtuel. Une fois la mise à jour terminée, le processus de mise à niveau actualise le second attachement de circuit virtuel et le circuit virtuel terminé est remis en ligne. Attendez-vous à ce que le processus de mise à niveau dure jusqu'à 30 minutes par attachement sur place.

Les connexions d'appairage distant n'ont pas besoin d'être réinitialisées comme les connexions de circuit virtuel ou de tunnel IPSec, et leur mise à niveau ne nécessite pas autant de temps.

Une fois le processus de mise à niveau de la passerelle DRG terminé, tous les tunnels IPSec RPV site à site sont remis en ligne et toutes les sessions de BGP pour FastConnect et RPV site à site sont rétablies. Par défaut, la passerelle DRG mise à niveau comporte deux tables de routage DRG générées automatiquement et des répartitions de route d'importation activées pour les attachements. Ces ressources sont conçues pour une rétro compatibilité avec une passerelle DRG existante et permettent la reprise de toutes les communications précédentes de la même manière qu'avant la mise à niveau, sans plus d'intervention de l'utilisateur.

Pour des instructions étape par étape sur la mise à niveau d'une passerelle DRG, voir Mise à niveau d'une passerelle DRG.

Scénarios

Nous avons fourni des scénarios de réseau détaillés pour vous aider à comprendre le rôle d'une passerelle DRG dans le service de réseau et l'intégration des composants entre eux.

Conflits de routes

Si deux routes à CIDR identiques sont observées dans la même table de routage DRG, la passerelle DRG résout le conflit à l'aide des critères suivants :

1. Les routes statiques ont toujours priorité sur les routes dynamiques.

   Note
   
   Vous ne pouvez pas spécifier manuellement deux routes statiques avec le même CIDR dans la même table de routage DRG, mais il est possible d'importer dynamiquement plusieurs routes avec le même CIDR.
2. Les conflits entre les routes dynamiques sont résolus en analysant d'abord leur chemin AS :
   • Le chemin AS des routes dont la source est VCN ou STATIC est toujours vide.
   • Les routes dont la source est IPSEC_TUNNEL ou VIRTUAL_CIRCUIT ont des données de chemin AS (voir Détails de routage pour les connexions à votre réseau sur place pour plus de détails).
3. Sinon, le type d'attachement qui a importé la route est évalué selon l'ordre de priorité suivant :
   1. VCN : La passerelle DRG effectue une sélection arbitraire, mais stable.
   2. VIRTUAL_CIRCUIT : Si le routage ECMP est désactivé, la passerelle DRG effectue une sélection arbitraire, mais stable. Si ECMP est activé, toutes les routes sont ajoutées à la table de routage et la passerelle DRG fait des choix de routage à l'aide d'ECMP. La largeur de routage ECMP maximale prise en charge dans une passerelle DRG est de 8.
   3. IPSEC_TUNNEL : Si le routage ECMP est désactivé, la passerelle DRG rend le routage ECMP selection.If arbitraire, mais stable, activé, toutes les routes sont ajoutées à la table de routage et la passerelle DRG effectue des choix de routage à l'aide du routage ECMP. La largeur de routage ECMP maximale prise en charge dans une passerelle DRG est de 8.

   4. REMOTE_PEERING_CONNECTION : La passerelle DRG sélectionne la route ayant la distance de réseau la plus courte.

      Si deux routes ont des distances de réseau identiques, la passerelle DRG sélectionne la route ayant la source de routage la plus prioritaire (STATIC > VCN > VIRTUAL_CIRCUIT> IPSEC_TUNNEL > RPC).

      Si deux routes ont la même source de routage, la passerelle DRG effectue une sélection arbitraire, mais stable.

4. Si des routes conflictuelles sont importées à partir d'attachements de même type, le conflit est résolu différemment selon ce type :
   1. Attachements de VCN : Si des blocs CIDR identiques sont importés à partir de deux attachements de VCN, un seul est sélectionné à l'aide d'une procédure de décision arbitraire, mais stable.
   2. Attachements VIRTUAL_CIRCUIT et IPSEC_TUNNEL : Si plusieurs routes ayant le même CIDR et des longueurs AS_PATH différentes sont importées dans une table de routage DRG, la route ayant la longueur AS_PATH la plus courte est sélectionnée. Sinon, une route est choisie à l'aide d'une procédure de décision arbitraire, mais stable.
   3. Attachements de RPC : Si des blocs CIDR identiques sont importés à partir de deux attachements de RPC, un d'entre eux est choisi à l'aide d'une procédure de décision arbitraire et stable.

Vous pouvez observer les résultats de la résolution de conflit en listant le contenu de la table de routage. Les routes obsolètes affichent le statut "conflit".

Agrégation d'itinéraires

Comme décrit dans le document RFC-1338, l'agrégation de routes vous permet "d'annoncer une route unique, agrégée, qui décrit toutes les destinations qu'elle contient" au lieu d'annoncer une route distincte pour chaque client. L'exemple principal de ceci dans le service de réseau OCI se produit lorsque vous configurez l'attachement de VCN d'une passerelle DRG pour importer des blocs CIDR de VCN au lieu de blocs CIDR de sous-réseau, ce qui simplifie les routes annoncées par BGP. Selon l'architecture du réseau, vous pouvez également choisir de :

• Utiliser des routes statiques plutôt que des répartitions d'importation sur la passerelle de routage dynamique pour résumer encore plus étroitement (la portée de cette opération est limitée à cet attachement spécifique)
• Agréger plusieurs attachements en introduisant une deuxième passerelle de routage dynamique et en rendant les attachements agrégés disponibles uniquement au moyen d'une connexion d'appairage distant vers une autre passerelle de routage dynamique

D'autres formes d'agrégation de routes ne sont pas disponibles.

Limitations

Certaines fonctions peuvent sembler possibles, mais les fonctions de routage suivantes ne sont pas autorisées :

• Création ou suppression explicite d'attachements de connexion d'appairage distant, de tunnel IPSec ou de circuit virtuel
• Routes statiques dans les tables de routage DRG avec saut suivant des attachements de tunnel IPSec ou de circuit virtuel
• Utilisation de répartitions de routes d'exportation non par défaut
• Exportation de route dynamique vers des attachements de VCN
• Routes se propageant au moyen d'une connexion d'appairage distant dans plus de 4 DRG