Pour assurer une connectivité sécurisée et fiable pour différentes applications et fonctions de gestion, le service Exadata Database sur Cloud@Customer utilise différents réseaux.

La liste suivante indique les exigences minimales pour l'installation d'un service Exadata Database sur un système Cloud@Customer :

• Réseau du service Exadata Cloud@Customer : Ce réseau sera configuré conformément aux spécifications Oracle et ne devrait pas être modifié par le client sans l'accord d'Oracle.
  • Réseau de plan de contrôle

    Ce réseau privé virtuel (RPV) connecte les deux serveurs de plan de contrôle qui se trouvent dans le bâti du service Exadata Database sur Cloud@Customer à Oracle Cloud Infrastructure. Le RPV permet les opérations lancées par le client à l'aide de la console et des API Oracle Cloud Infrastructure. Il facilite également la surveillance et l'administration sécurisées des composants d'infrastructure gérés par Oracle dans le service Exadata Database sur Cloud@Customer.

    • Considérations relatives à la connectivité du plan de contrôle

      Pour que le plan de contrôle fonctionne, le serveur du plan de contrôle doit pouvoir se connecter à certaines adresses Oracle Cloud Infrastructure (OCI). Vous devez activer l'accès sortant au port TCP 443 aux points d'extrémité dans une région OCI spécifique comme suit :

      Tableau 3-2 : Ports à ouvrir pour la connectivité du plan de contrôle

      Description / fonction	Port ouvert	Emplacement
      Service de tunnel sortant pour la livraison de l'automatisation en nuage	443 en sortie	Utilisez ce format d'URL en remplaçant oci_region par votre région : https://wss.exacc.oci_region.oci.oraclecloud.com
      Service de tunnel sécurisé pour l'accès à l'opérateur Oracle distant	443 en sortie	Utilisez ces formats d'URL, en remplaçant oci_region par votre région : https://mgmthe1.exacc.oci_region.oci.oraclecloud.com https://mgmthe2.exacc.oci_region.oci.oraclecloud.com
      Service de stockage d'objets pour extraire les mises à jour du système, la surveillance de l'infrastructure et la collecte de journaux	443 en sortie	Utilisez ce format d'URL en remplaçant oci_region par votre région : https://objectstorage.oci_region.oraclecloud.com https://swiftobjectstorage.oci_region.oraclecloud.com https://*.objectstorage.oci_region.oci.customer-oci.com
      Service de surveillance pour enregistrer et traiter les mesures Infrastructure Monitoring (IMM)	443 en sortie	Utilisez ce format d'URL en remplaçant oci_region par votre région : https://telemetry-ingestion.oci_region.oraclecloud.com
      Service d'identité pour l'autorisation et l'authentification	443 en sortie	Utilisez ce format d'URL en remplaçant oci_region par votre région : https://identity.oci_region.oraclecloud.com https://auth.oci_region.oraclecloud.com
      Service de tunnel sortant pour la livraison de l'automatisation en nuage	443 en sortie	Utilisez ce format d'URL en remplaçant oci_region par votre région : https://wsshe.adbd-exacc.oci_region.oci.oraclecloud.com
      Service de journalisation	443 en sortie	Utilisez ce format d'URL en remplaçant oci_region par votre région : https://frontend.logging.ad1.oci_region.oracleiaas.com https://frontend.logging.ad2.oci_region.oracleiaas.com https://frontend.logging.ad3.oci_region.oracleiaas.com https://controlplane.logging.ad1.oci_region.oracleiaas.com https://controlplane.logging.ad2.oci_region.oracleiaas.com https://controlplane.logging.ad3.oci_region.oracleiaas.com
      Authentification basée sur le principal de ressource et livraison du service de base de données autonome	443 en sortie	Utilisez ce format d'URL en remplaçant oci_region par votre région : https://database.oci_region.oraclecloud.com
      Console de machine virtuelle	443 en sortie	Utilisez ce format d'URL en remplaçant oci_region par votre région : https://console1.exacc.oci_region.oci.oraclecloud.com https://console2.exacc.oci_region.oci.oraclecloud.com
      Service de tunnel sécurisé temporaire pour l'accès à l'opérateur Oracle distant pour les ressources ADB-D	443 en sortie	Utilisez ce format d'URL en remplaçant region par votre région : https://mgmthe.adbd-exacc.region.oci.oraclecloud.com
      Service de surveillance pour enregistrer et traiter les ressources Infrastructure Monitoring Metrics (IMM)	443 en sortie	Utilisez ce format d'URL en remplaçant region par votre région : https://ingestion.logging.region.oci.oraclecloud.com
      Mesure et surveillance	443 en sortie	Utilisez ce format d'URL en remplaçant oci_region par votre région : https://*.oci_region.functions.oci.oraclecloud.com https://*.functions.oci_region.oci.oraclecloud.com

      Note
      
      L'accès à l'infrastructure ExaDB-C@C des points d'extrémité de service indiqués dans le tableau 3-2 Ports à ouvrir pour la connectivité de plan de contrôle est obligatoire pour toutes les fonctionnalités du service. Le fait de ne pas autoriser tous les URI obligatoires peut entraîner une réduction du service ou des fonctionnalités qui ne fonctionnent pas comme prévu.

      Notez que le serveur du plan de contrôle doit être capable d'établir un accès sortant au port TCP 443 uniquement. Si les connexions sortantes sur le port 443 doivent être autorisées, l'accès entrant au port TCP 443 n'est pas nécessaire, et il peut être souhaitable, du point de vue de la sécurité, de bloquer les connexions entrantes. (Fonctionnellement, le trafic bidirectionnel est toujours possible sur la connexion une fois que la connexion sortante sécurisée est établie).

      Le serveur de plan de contrôle requiert que les services DNS et NTP du client soient fonctionnels. La bande passante minimale requise pour la connexion Internet du serveur du plan de contrôle à OCI est de 50/10 mbit/s en aval et en amont.

      Certains clients ont des politiques de sécurité exigeant l'utilisation de mandataires pour toutes les connexions Internet à l'infrastructure informatique. Mandataire HTTP du client, par exemple, mandataire passif/d'entreprise pris en charge pour la connexion du serveur de plan de contrôle à OCI. Le mandataire HTTPS client, le mandataire d'identification et l'inspection du trafic ne sont pas pris en charge.

      Si vous utilisez des règles de pare-feu basées sur le filtrage d'adresses IP, en raison de la nature dynamique des interfaces en nuage, vous devez autoriser le trafic avec tous les intervalles CIDR IP pertinents associés à votre région OCI identifiés par https://docs.oracle.com/en-us/iaas/tools/public_ip_ranges.json.
  • Réseau d'administration

    Ce réseau connecte les serveurs et les commutateurs du service Exadata Database sur Cloud@Customer aux deux serveurs de plan de contrôle qui se trouvent dans le bâti du service Exadata Database sur Cloud@Customer. Il permet les opérations lancées par le client à l'aide de la console et des API Oracle Cloud Infrastructure. Il facilite également la surveillance et l'administration des composants d'infrastructure gérés par Oracle dans le service Exadata Database sur Cloud@Customer.

    Ce réseau est entièrement contenu dans le bâti du service Exadata Database sur Cloud@Customer et n'est pas connecté à votre réseau d'entreprise. Toutefois, l'infrastructure Exadata est connectée indirectement au réseau de votre entreprise au moyen des serveurs de plan de contrôle. Cette connexion est nécessaire pour fournir les services de système de noms de domaine (DNS) et de protocole de synchronisation de réseau (NTP) à l'infrastructure Exadata. Par conséquent, les adresses IP affectées au réseau d'administration ne doivent pas exister ailleurs dans votre réseau d'entreprise.

    Chaque serveur Oracle Database et Exadata Storage a deux interfaces réseau connectées au réseau d'administration. L'un fournit un accès de gestion au serveur sur l'un des ports Ethernet intégrés (NET0). L'autre donne accès au sous-système ILOM grâce à un port Ethernet ILOM dédié. Le service Exadata Database sur Cloud@Customer est livré avec les ports ILOM et NET0 connectés au commutateur Ethernet du bâti. Les modifications de câblage ou de configuration ne sont pas autorisées pour ces interfaces.

  • Réseau InfiniBand ou RDMA sur Ethernet Convergé (ROCE)

    Ce réseau connecte les serveurs de base de données, les serveurs de stockage Exadata et les serveurs de plan de contrôle à l'aide des commutateurs InfiniBand ou ROCE du bâti. Chaque serveur contient deux interfaces réseau InfiniBand (IB0 et IB1) ou ROCE (re0 et re1) qui sont connectées à des commutateurs InfiniBand ou ROCE distincts du bâti. Oracle Database utilise avant tout ce réseau pour le trafic d'interconnexion d'une grappe Oracle RAC et pour l'accès aux données des serveurs de stockage Exadata.

    Ce réseau non routable est entièrement contenu dans le bâti Exadata Cloud@Customer et n'est pas connecté à votre réseau d'entreprise. Toutefois, comme les serveurs de plan de contrôle sont connectés au réseau InfiniBand ou ROCE et à votre réseau d'entreprise, les adresses IP affectées au réseau InfiniBand ou ROCE ne doivent pas exister ailleurs dans votre réseau d'entreprise.

• Réseau du client : Réseaux gérés et détenus par le client requis pour que le plan de données Exadata Cloud@Customer puisse accéder aux systèmes connexes.
  • Réseau client

    Ce réseau relie les serveurs de base de données Exadata Cloud@Customer à votre réseau client existant et sert à l'accès client aux machines virtuelles. Les applications accèdent par ce réseau aux bases de données du service Exadata Database sur Cloud@Customer au moyen d'interfaces SCAN (Single Client Access Name) et Oracle RAC Virtual IP (VIP).

    Sur chaque serveur de base de données, le réseau d'accès client utilise une paire d'interfaces réseau qui sont connectées au réseau du client.

    Note
    
    Lorsque vous activez Data Guard, la réplication des données se fait par défaut sur le réseau client.
  • Réseau de sauvegarde

    Ce réseau est similaire au réseau d'accès client, car il connecte les serveurs de base de données du service Exadata Database sur Cloud@Customer à votre réseau existant. Il peut être utilisé pour accéder aux machines virtuelles à diverses fins, notamment pour les sauvegardes et les transferts de données en masse.

    Comme le réseau client, le réseau de sauvegarde utilise sur chaque serveur de base de données une paire d'interfaces réseau qui sont connectées au réseau du client. La connexion physique du réseau de sauvegarde à un réseau client est requise.

    Si le stockage sur place du client (NFS ou ZDLRA) doit être utilisé exclusivement comme destination de sauvegarde pour les bases de données, aucune connectivité externe à OCI n'est requise pour le réseau de sauvegarde.

    Exadata Cloud@Customer offre également une destination de sauvegarde de stockage d'objets en nuage gérée par Oracle. Si le service de stockage d'objets d'Oracle doit être utilisé comme destination de sauvegarde pour les sauvegardes de base de données, assurez-vous que le réseau de sauvegarde peut atteindre le service de stockage d'objets par le biais d'une connexion externe. Vous devez activer l'accès sortant au port TCP 443 pour le réseau de sauvegarde comme suit :

    Tableau 3-3 : Ports à ouvrir pour le réseau de sauvegarde

    Description / fonction	Port ouvert	Emplacement
    Service de stockage d'objets pour les sauvegardes de base de données en nuage (facultatif)	443 en sortie	Utilisez ce format d'URL en remplaçant oci_region par votre région : https://objectstorage.oci_region.oraclecloud.com https://swiftobjectstorage.oci_region.oraclecloud.com

  • Réseau de récupération après sinistre (clients autorisés uniquement)
    Note
    
    Ce réseau supplémentaire est disponible uniquement pour certains clients autorisés dans des circonstances spéciales. Votre système peut ne pas en être équipé.

    Le réseau de récupération après sinistre est configuré de la même manière que le réseau d'accès client, mais il est dédié uniquement à la transmission du trafic Data Guard. Si votre système inclut ce réseau, le trafic Data Guard sera acheminé par celui-ci au lieu du réseau client, à l'aide des interfaces IP virtuelles (VIP) SCAN (Single Client Access Name) et Oracle Real Application Clusters (Oracle RAC).

    Seules les vérifications préalables Data Guard nécessitent l'ouverture du réseau client. Une fois l'étape de vérification préalable terminée, le provisionnement Data Guard enregistre automatiquement la base de données sur le réseau de récupération après sinistre et l'utilise à la fois pour la restauration du fichier de données et le transport des informations de journalisation. Si l'ouverture du réseau client n'est pas une option, vous devez enregistrer manuellement la base de données principale auprès du module d'écoute du réseau de récupération après sinistre avant de lancer le provisionnement Data Guard.

    Le réseau de récupération après sinistre se compose d'une paire d'interfaces réseau sur chaque serveur de base de données, qui sont directement connectées au réseau du client.

Avant de déployer le service Oracle Exadata Database Service on Cloud@Customer, assurez-vous que le réseau de votre centre de données répond aux exigences.

Vous devez affecter un intervalle d'adresses IP au réseau d'administration et un autre au réseau privé RoCE.

/23

/16

/22

/19

/28

/27

/27

/26

/29

/28

/28

/27

/28

/27

/27

/26

Assurez-vous que votre service Oracle Exadata Database Service on Cloud@Customer répond aux exigences de liaison montante du serveur de plan de contrôle et du serveur de base de données.

Vous pouvez choisir d'utiliser l'équipement réseau fourni, ou vous pouvez créer votre propre réseau SFP.

Envisagez la solution décrite ci-dessous, qui tire parti du service FastConnect d'OCI, si vous souhaitez un isolement supplémentaire pour la connexion entre le serveur de plan de contrôle et OCI en plus de l'approche Tunnel TLS par défaut.

Pour plus d'informations, voir Oracle Cloud Infrastructure FastConnect.

Le service Oracle Exadata Database sur Cloud@Customer prend en charge le modèle de connectivité d'appairage public ou privé de FastConnect.

Figure 3-1 : Connectivité FastConnect pour le service Oracle Exadata Database sur Cloud@Customer à OCI par le biais d'un appairage public

Comme le montre la figure, le réseau du plan de contrôle du service Oracle Exadata Database sur Cloud@Customer sort vers le fournisseur FastConnect et vers la périphérie Oracle. Les clients qui disposent déjà d'une connectivité FastConnect existante peuvent l'utiliser pour connecter le service Oracle Exadata Database sur Cloud@Customer à la région OCI à l'aide d'un appairage public.

Figure 3-2 : Connectivité du service Oracle Exadata Database sur Cloud@Customer FastConnect à OCI par le biais d'un appairage privé