Accès privé aux services Oracle

• Vous pouvez configurer un réseau VCN de sorte que votre réseau sur place ait un accès privé aux services Oracle dans Oracle Services Network par ce moyen. Les hôtes de votre réseau sur place communiquent avec leurs adresses IP privées.
• VCN utilise une passerelle de routage dynamique (DRG) pour communiquer avec le réseau sur place. L'accès aux services Oracle s'effectue par une passerelle de service sur le VCN. Le trafic entre le réseau VCN et le service Oracle circule sur la matrice réseau Oracle et ne passe jamais par le réseau Internet public.
• La passerelle de service est régionale et permet uniquement l'accès aux services Oracle pris en charge dans la même région que le réseau VCN.
• Les services Oracle pris en charge sont Oracle Cloud Infrastructure - Stockage d'objets et d'autres dans Oracle Services Network. Pour une liste, voir Service Gateway : Services en nuage pris en charge sur Oracle Services Network.
• La passerelle de service utilise le concept d'étiquette CIDR de service, qui est une chaîne représentant tous les intervalles d'adresses IP publiques régionales pour le service ou le groupe de services concerné (par exemple, Stockage d'objets OCI PHX est la chaîne de Stockage d'objets dans l'Ouest des États-Unis (Phoenix)). Vous utilisez l'étiquette CIDR de service lorsque vous configurez la passerelle de service et les règles de routage ou de sécurité associées pour contrôler le trafic vers le service. Vous pouvez l'utiliser lors de la configuration de règles de sécurité. Si les adresses IP publiques du service changent plus tard, vous n'avez pas besoin d'adapter ces règles.
• Pour activer le trafic prévu du réseau sur place par le réseau VCN vers les services Oracle, vous mettez en oeuvre les règles de routage pour l'attachement DRG et la passerelle de service du VCN.
• Si vous le voulez, vous pouvez configurer un routage de transit par une adresse IP privée dans le VCN. Par exemple, vous pouvez filtrer ou inspecter le trafic entre le réseau sur place et le service Oracle. Dans ce cas, vous acheminez le trafic vers une adresse IP privée sur une instance du VCN pour être inspecté. Le trafic qui en résulte continue jusqu'à sa destination. Cette rubrique présente les deux situations : routage de transit direct entre les passerelles sur VCN et routage de transit par une adresse IP privée.

Oracle Services Network est un réseau conceptuel dans Oracle Cloud Infrastructure qui est réservé aux services Oracle. Ces services ont des adresses IP publiques que vous atteignez généralement par Internet public. Toutefois, vous pouvez accéder à Oracle Services Network sans que le trafic passe par l'Internet public. Il existe différentes façons, en fonction des hôtes qui ont besoin de l'accès :

• Hôtes dans votre réseau sur place :

  • Accès privé par un VCN avec appairage privé FastConnect ou RPV site à site. C'est ce scénario qui est décrit dans cette rubrique. Les hôtes sur place utilisent des adresses IP privées et atteignent Oracle Services Network au moyen du réseau VCN et de sa passerelle de service.
  • Accès public avec un appairage public FastConnect : les hôtes sur place utilisent des adresses IP publiques.
• Hôtes dans votre réseau VCN :
  • Accès privé par une passerelle de service : les hôtes du VCN utilisent des adresses IP privées.

Le diagramme suivant illustre la disposition de base permettant de donner à votre réseau sur place un accès privé aux services Oracle.

Votre réseau sur place se connecte au réseau VCN au moyen d'un circuit virtuel privé FastConnect ou de RPV site à site. Chacun de ces types de connexion se termine par une passerelle de routage dynamique (DRG) associée au VCN. Le VCN dispose également d'une passerelle de service qui lui donne accès à Oracle Services Network. Le trafic de votre réseau sur place transite par le VCN, par la passerelle de service et vers le service Oracle qui vous intéresse. Les réponses sont retournées à votre réseau sur place par l'intermédiaire de la passerelle de service et du VCN.

Lorsque vous configurez une passerelle de service, vous activez une étiquette CIDR de service, qui est une chaîne qui représente tous les intervalles d'adresses IP publiques régionales pour le service ou le groupe de services auxquels vous voulez accéder au moyen de la passerelle de service. Par exemple, Tous les services PHX dans Oracle Services Network est l'étiquette CIDR de service pour les services Oracle disponibles dans l'Ouest des États-Unis (Phoenix) par l'intermédiaire d'une passerelle de service. Oracle utilise le protocole BGP (Border Gateway Protocol) sur la passerelle DRG pour annoncer ces intervalles d'adresses IP publiques régionales à l'appareil en périphérie de réseau (également appelé équipement local d'abonné ou CPE) sur votre réseau sur place. Pour obtenir la liste de ces intervalles disponibles par l'intermédiaire de la passerelle de service, voir Adresses IP publiques pour les réseaux en nuage virtuels et Oracle Services Network.

Plusieurs réseaux en nuage virtuels avec accès privé à Oracle Services

Votre organisation peut choisir d'utiliser plusieurs réseaux en nuage virtuels, chacun possédant une passerelle de service pour donner aux ressources du réseau VCN accès aux services Oracle. Par exemple, vous pourriez avoir un VCN différent pour chaque service de votre organisation.

Si vous voulez également configurer votre réseau sur place avec accès privé aux services Oracle au moyen d'un VCN avec une passerelle de service, cette section décrit deux dispositions de réseau différentes que vous pourriez utiliser.

Dans la première disposition, vous configurez une seule passerelle DRG, avec les réseaux en nuage virtuels disposés en étoile, comme illustré dans le diagramme suivant. Le réseau VCN qui sert de concentrateur fournit au réseau sur place un accès privé aux services Oracle. Les autres réseaux VCN sont appairés localement au VCN central. Vous configurez uniquement le VCN central en suivant les instructions sous Configuration d'un accès privé aux services Oracle. Cette disposition en étoile est recommandée et décrite davantage dans Routage de transit dans un VCN central.

La deuxième disposition présente une passerelle DRG distincte pour chaque VCN, avec un circuit virtuel privé FastConnect distinct ou RPV site à site de votre réseau sur place à chaque passerelle DRG. Vous réservez une passerelle DRG et un VCN pour fournir à votre réseau sur place un accès privé aux services Oracle. Dans le diagramme suivant, il s'agit du VCN placé au centre. Pour configurer ce VCN, suivez les instructions sous Configuration de l'accès privé aux services Oracle.

Remarquez que dans ces deux dispositions, le réseau sur place ne peut joindre les services Oracle que par une seule passerelle de service du VCN (celle qui est dédiée à cette fin) et non au moyen des passerelles de service des autres réseaux en nuage virtuels. Pour ces autres réseaux en nuage virtuels, seules les ressources à l'intérieur de ces réseaux en nuage virtuels peuvent atteindre les services Oracle au moyen de leur passerelle de service .

Indépendamment de la disposition choisie, vous pouvez écrire une politique GIA pour limiter l'accès à un saut de stockage d'objets afin que seules les demandes passant par une passerelle de service de VCN spécifique soient autorisées pour ce saut. Avec l'une ou l'autre de ces dispositions, vous devriez peut-être écrire la politique de sorte qu'elle autorise les demandes de plusieurs réseaux en nuage virtuels. Pour restreindre l'accès à des réseaux en nuage virtuels spécifiques, créez une source de réseau pour spécifier le VCN autorisé, puis écrivez la politique limitant l'accès à la source de réseau uniquement. Une source de réseau peut spécifier plusieurs réseaux en nuage virtuels ou vous pouvez créer une source de réseau pour chaque VCN. Pour plus d'informations sur la création de sources de réseau, voir Gestion des sources de réseau.

L'exemple de politique suivant suppose que vous configurez une source de réseau pour chacun de vos réseaux en nuage virtuels. La politique permet aux ressources du groupe ObjectBackup de l'exemple d'écrire des objets dans un seau appelé db-backup qui réside dans un compartiment nommé ABC. Lors de l'écriture d'une politique telle que celle-ci, vous pouvez spécifier une ou plusieurs sources de réseau. Cet exemple en présente trois.

Allow group ObjectBackup to read buckets in compartment ABC

Allow group ObjectBackup to manage objects in compartment ABC where
   all {target.bucket.name='db-backup', 
        any {request.networkSource.name='<hub_VCN_network_source>', request.networkSource.name='<spoke_1_VCN_network_source>', request.networkSource.name='<spoke_2_VCN_network_source>'},
        any {request.permission='OBJECT_CREATE', request.permission='OBJECT_INSPECT'}}

Pour plus d'informations, voir Configuration d'une passerelle de service dans la console dans la procédure de configuration d'une passerelle de service.

Il existe deux options pour le routage par le VCN pour un accès privé aux services Oracle :

• Routage de transit direct par des passerelles : Vous acheminez le trafic directement par le VCN, d'une passerelle à l'autre.
• Routage de transit par une adresse IP privée : Vous configurez une instance dans le VCN pour filtrer ou inspecter le trafic entre le réseau sur place et Oracle Services Network, et acheminer le trafic par l'intermédiaire d'une adresse IP privée sur l'instance.

Les exemples présentés dans les sections suivantes supposent que le VCN ne contient aucune charge de travail nécessitant l'accès au réseau sur place ou à Oracle Services Network. Le VCN ne sert qu'au routage de transit du trafic par le VCN.

Si vous êtes membre du groupe Administrateurs, vous disposez déjà de l'accès requis pour configurer un routage de transit. Sinon, il vous faut l'accès au service Réseau et l'autorisation de lancer des instances. Voir Politiques de gestion des identités et des accès pour le service de réseau.

Cette section explique comment utiliser la console pour configurer un routage de transit avec un VCN afin de permettre à votre réseau sur place d'accéder aux services Oracle.

Pour désactiver le routage de transit, supprimez les règles de :

• La table de routage associée à l'attachement DRG.
• La table de routage associée à la passerelle de service.

Une table de routage peut être associée à une ressource, sans comporter de règle. Sans au moins une règle, la table de routage n'est pas fonctionnelle.

Un attachement DRG ou une passerelle de service peut exister sans être associé à une table de routage. Cependant, après que vous associez une table de routage à un attachement DRG ou à une passerelle de service, celui-ci devra toujours être associé à une table. Mais il peut s'agir d'une table de routage différente. Vous pouvez également modifier les règles de la table, ou en supprimer une partie ou la totalité.