Tables de routage de VCN

Utilisation des tables de routage et des règles de routage

Chaque VCN est accompagné d'une table de routage par défaut qui comporte des règles implicites incluant les routes pour ses blocs CIDR. Sauf modification de votre part, chaque sous-réseau utilise la table de routage par défaut du VCN. Lorsque vous ajoutez des règles de routage à un VCN, vous pouvez les ajouter à la table par défaut. Toutefois, vous pouvez créer des tables de routage personnalisées pour chaque sous-réseau, si nécessaire. Par exemple, lorsque vous avez un sous-réseau public et un sous-réseau privé dans un VCN (voir Scénario C : Sous-réseaux publics et privés avec un RPV), vous devez utiliser différentes tables de routage pour les sous-réseaux, car les règles de routage pour ceux-ci doivent être différentes.

Chaque sous-réseau d'un VCN utilise une seule table de routage. Lorsque vous créez le sous-réseau, vous indiquez la table à utiliser. Vous pouvez à tout moment changer la table de routage que le sous-réseau utilise. Vous pouvez également modifier les règles d'une table de routage ou les supprimer toutes.

Vous pouvez affecter un nom descriptif à une table de routage personnalisée lors de la création. Il ne doit pas nécessairement être unique et vous pouvez le modifier ultérieurement. Oracle affecte automatiquement à la table de routage un identificateur Oracle Cloud (OCID) unique. Pour plus d'informations, voir Identificateurs de ressource.

Une règle de routage spécifie un bloc CIDR de destination et la cible (le saut suivant) pour tout trafic correspondant à ce bloc CIDR. Voici les types de cible autorisés pour une règle de routage :

• Passerelle de routage dynamique (DRG) : Pour les sous-réseaux qui ont besoin d'un accès privé aux réseaux connectés à un VCN (par exemple, un réseau sur place connecté à un RPV site à site ou FastConnect, unVCN appairé dans la même région ou un VCN appairé dans une autre région).
• Passerelle Internet : Pour les sous-réseaux publics qui ont besoin d'un accès direct à Internet.
• passerelle NAT : Pour les sous-réseaux avec des instances qui n'ont pas d'adresses IP publiques et ont besoin d'un accès sortant à Internet.
• passerelle de service : Pour les sous-réseaux qui ont besoin d'un accès privé aux services Oracle tels que Stockage d'objets.
• Passerelle d'appairage local (LPG) : Pour les sous-réseaux qui ont besoin d'un accès privé à un réseau VCN appairé dans la même région.
• Adresse IP privée : Pour les sous-réseaux qui doivent acheminer le trafic vers une instance du VCN. Pour plus d'informations, voir Utilisation d'une adresse IP privée comme cible d'acheminement. Aussi, voir Aperçu du routage pour un VCN.

Lors de l'ajout d'une règle de routage à une table de routage, vous indiquez le bloc CIDR de destination et la cible (plus le compartiment où réside la cible). Exception : Si la cible est une passerelle de service , au lieu d'un bloc CIDR de destination, vous spécifiez une chaîne fournie par Oracle qui représente les points d'extrémité publics du service concerné. Ainsi, vous n'avez pas à connaître tous les blocs CIDR du service, qui peuvent changer au fil du temps.

Si vous reconfigurez incorrectement une règle (par exemple, entrez un bloc CIDR de destination erroné), le trafic réseau que vous souhaitez acheminer peut être abandonné (disparaître) ou envoyé à une cible non intentionnelle.

Vous pouvez déplacer les tables de routage d'un compartiment à un autre. Le déplacement d'une table de routage n'a pas d'incidence sur son association aux VCN ou à des sous-réseaux. Lorsque vous déplacez une table de routage vers un nouveau compartiment, les politiques inhérentes s'appliquent immédiatement et ont une incidence sur l'accès à la table de routage. Pour plus d'informations, voir Contrôle de l'accès.

Vous ne pouvez pas supprimer la table de routage par défaut d'un VCN. Pour qu'une table de routage personnalisée puisse être supprimée, elle ne doit pas être associée à un sous-réseau ou à une passerelle, telle que DRG, LPG, IGW, NGW ou SGW.

Voir Limites de service pour une liste des limites applicables et des instructions pour demander l'augmentation d'une limite.

Routage interne au VCN

Le routage intra VCN vous permet de remplacer les décisions de routage par défaut appliquées au trafic destiné aux adresses IP contenues dans le bloc CIDR du VCN. Le routage interne au VCN offre les fonctionnalités suivantes :

• Routes locales : Chaque VCN achemine automatiquement le trafic au sein du VCN et entre les sous-réseaux du VCN, sauf si vous ajoutez des règles de routage indiquant le contraire. Le trafic local utilise la table de routage associée au sous-réseau, y compris le routage local dans le bloc CIDR du VCN.
• Routes intra-VCN personnalisées : Il s'agit des règles de routage que vous créez dans le VCN ou la table de routage de sous-réseau pour le trafic intra-VCN, qui peuvent remplacer les routes locales normales. Toutes les routes intra-VCN personnalisées ont une cible (DRG, LPG ou adresse IP privée dans le VCN) et un type de route statique.
• Meilleure sélection d'itinéraire : La plus longue correspondance de préfixe (ou route la plus spécifique) est sélectionnée. Lorsque plusieurs itinéraires pour le même préfixe sont possibles, le meilleur itinéraire est sélectionné en fonction de la priorité de type de routage suivante :
  1. Routes statiques ( définies par l'utilisateur)
  2. Les routes locales secondaires (créées automatiquement par OCI) ne sont pas visibles dans la table de routage
• IPv6 : OCI prend en charge le routage Intra VCN pour les préfixes VCN IPv6.

Utilisation du routage interne au VCN

L'illustration suivante présente un exemple de routage interne :

Acheminement par ressource

Vous pouvez utiliser le routage par ressource pour affecter une table de routage de VCN personnalisée à une ou plusieurs cartes VNIC ou à des adresses IP particulières sur une carte VNIC. Une adresse IP avec une table de routage affectée peut être une adresse IP principale ou secondaire de la carte VNIC. Avec le routage par ressource, une préférence hiérarchique s'applique en ce qui concerne la table de routage à utiliser pour la consultation du routage : la table de routage sur l'adresse IP est préférée sur la table de routage sur la carte VNIC, et la table de routage sur une carte VNIC est préférée sur la table de routage sur le sous-réseau. Voici le traitement de sélection des tables de routage :

1. Si une table de routage est associée à l'adresse IP de la carte VNIC, cette table de routage est utilisée pour acheminer le trafic à partir de l'adresse IP.
2. Si une adresse IP de carte VNIC n'a pas sa propre table de routage, la table de routage au niveau de la carte VNIC est utilisée pour acheminer le trafic à partir de l'adresse IP.
3. Si une route peut être associée à une carte VNIC, toutes les adresses IP de la carte VNIC qui n'ont pas de table de routage associée utilisent la table de routage de la carte VNIC.
4. Si aucune table de routage n'est associée à une carte VNIC, toutes les adresses IP de la carte VNIC qui n'ont pas de table de routage associée utilisent la table de routage du sous-réseau.

L'image suivante présente un exemple d'utilisation du routage par ressource :

Dans cet exemple, une instance de calcul OCI avec deux cartes vNIC dans le même sous-réseau comporte une application qui s'exécute et qui doit accéder à Internet ainsi qu'aux bases de données ou autres ressources du centre de données sur place. L'application utilise la carte VNIC A pour tout le trafic lié à un réseau sur place et la carte VNIC B pour tout le trafic lié à Internet. L'administrateur du réseau en nuage peut associer une table de routage personnalisée à la carte VNIC A, où la passerelle DRG par défaut est la cible, et achemine tout le trafic de la carte VNIC A vers la passerelle DRG. Une deuxième table de routage personnalisée est associée à la carte VNIC B, où la route par défaut a la passerelle Internet comme cible, et achemine tout le trafic de la carte VNIC B vers la passerelle Internet.

Un avantage ici est que, comme il s'agit de règles statiques, elles sont isolées des modifications apportées aux blocs CIDR utilisés dans le centre de données sur place. Toutes les modifications apportées à l'environnement sur place sont partagées avec la passerelle DRG à l'aide de l'annonce BGP, et les tables de routage de VCN peuvent être simples et stables.

Routage entrant de la passerelle

Politique GIA requise

Cas d'utilisation générale

OCI utilise la table de routage d'un sous-réseau pour acheminer le trafic vers une adresse IP de destination en dehors du sous-réseau. Si la destination est en dehors du VCN, en général vous configurez une règle de routage pour acheminer le trafic vers une passerelle sur le VCN (par exemple, une passerelle DRG connectée à un réseau sur place ou à un autre VCN, ou une passerelle Internet connectée à Internet). Si la destination se trouve dans un autre sous-réseau du même VCN, le trafic est acheminé par défaut au moyen de la route locale pour le bloc CIDR du VCN. Toutefois, vous pouvez d'abord acheminer ce trafic au moyen d'une instance dans le VCN. Dans ce cas, vous pouvez utiliser une adresse IP privée dans le VCN comme cible au lieu d'une passerelle sur ce réseau. Voici quelques raisons possibles :

• Pour mettre en oeuvre un boîtier de réseau virtuel (NVA) tel qu'un de pare-feu ou une détection d'intrusion qui filtre le trafic sortant des instances.
• Pour gérer un réseau superposé sur le VCN, qui vous permet d'exécuter les charges de travail d'orchestration de conteneur.
• Pour mettre en oeuvre la traduction d'adresses de réseau (NAT) dans le VCN. À la place, notez qu'Oracle recommande d'utiliser une passerelle NAT avec le VCN. En général, NAT crée un accès Internet sortant pour les instances qui n'ont pas de connectivité Internet directe.

La mise en oeuvre de ces cas d'utilisation nécessite plus que l'acheminement du trafic vers l'instance. La configuration est également requise sur l'instance elle-même.

Exigences relatives à l'utilisation d'une adresse IP privée comme cible

• L'adresse IP privée doit se trouver dans le même VCN que la table de routage.
• La carte vNIC de l'adresse IP privée doit être configurée pour ignorer la vérification de la source/destination afin que la carte vNIC puisse transmettre le trafic. Par défaut, les cartes vNIC sont configurées pour effectuer la vérification. Pour plus d'informations, voir Aperçu des cartes vNIC et des cartes d'interface réseau physiques.
• Vous devez configurer l'instance pour le transfert des paquets.

• La règle de routage doit spécifier l'OCID de l'adresse IP privée comme cible et non l'adresse IP elle-même. Exception : Si vous utilisez la console, vous pouvez spécifier l'adresse IP privée elle-même comme cible, et la console utilise l'OCID correspondant à l'adresse IP privée dans la règle.

  Important
  
  

  Une règle de routage avec une adresse IP privée comme cible peut mener à une disparition dans ces cas :

  • L'instance à laquelle l'adresse IP privée est affectée est arrêtée ou interrompue
  • La carte vNIC à laquelle l'adresse IP privée est affectée est mise à jour pour activer la vérification de la source ou de la destination, ou supprimée
  • L'affectation de l'adresse IP privée à la carte vNIC est supprimée

  Lorsqu'une adresse IP privée cible est interrompue, dans la console, la règle de routage affiche une note indiquant que l'OCID cible n'existe plus.

  Par exemple, si une instance cible est arrêtée avant que vous puissiez déplacer l'adresse IP privée secondaire vers une base de données de secours, vous devez mettre à jour la règle de routage pour utiliser l'OCID de la nouvelle adresse IP privée cible sur la base de données de secours. La règle utilise l'OCID de la cible et non l'adresse IP privée elle-même.

Processus de configuration général

1. Décidez quelle instance vous souhaitez recevoir et transmettre le trafic.
2. Sélectionnez une adresse IP privée sur l'instance (peut être sur la carte VNIC principale ou secondaire de l'instance). Pour mettre en oeuvre le basculement, configurez une adresse IP privée secondaire sur l'une des cartes vNIC de l'instance.
3. Désactivez la vérification de la source/destination sur la carte vNIC de l'adresse IP privée. Voir Aperçu des cartes vNIC et des cartes d'interface réseau physiques.
4. Obtenez l'OCID de l'adresse IP privée. Si vous utilisez la console, vous pouvez obtenir l'OCID ou l'adresse IP privée elle-même, ainsi que le nom du compartiment de cette dernière.
5. Pour le sous-réseau qui requiert le routage du trafic vers l'adresse IP privée, consultez la table de routage du sous-réseau. Si la table a déjà une règle avec la même CIDR de destination, mais une cible différente, supprimez cette règle.

6. Ajoutez une règle de routage avec les éléments suivants :

   • Target Type (Type de cible) : Voir la liste des types de cible dans Aperçu du routage pour un VCN. Si le type de cible est une passerelle DRG, la passerelle DRG attachée au VCN est automatiquement sélectionnée comme cible. Vous n'avez pas à définir la cible vous-même. Si la cible est un objet d'adresse IP privée, avant de la spécifier, désactivez la vérification de la source ou de la destination sur la carte VNIC qui utilise cet objet. Pour plus d'informations, voir Utilisation d'une adresse IP privée comme cible d'acheminement.
   • Bloc CIDR de destination : Disponible uniquement si la cible n'est pas une passerelle de service. La valeur est le bloc CIDR de destination pour le trafic. Vous pouvez fournir un bloc CIDR de destination spécifique ou utiliser 0.0.0.0/0 si tout le trafic quittant le sous-réseau doit être acheminé vers la cible spécifiée dans cette règle.
   • Service de destination : Disponible uniquement si la cible est une passerelle de service. La valeur est l'étiquette CIDR du service qui vous intéresse.
   • Compartiment : compartiment contenant la cible.
   • Cible : Cible. Si la cible est un objet d'adresse IP privée, entrez son OCID. Vous pouvez également entrer l'adresse IP privée elle-même, auquel cas la console trouve l'OCID correspondant et l'utilise comme cible de la règle de routage.
   • Description : Description facultative de la règle.

Comme mentionné ci-dessus, vous devez configurer l'instance pour le transfert des paquets.