Identifier la topologie et les spécifications du VCN
Architecture de réseau unique
Le diagramme suivant présente un exemple d'architecture à réseau unique :
Note :
Oracle recommande d'utiliser le service de pare-feu d'application Web pour Oracle Cloud Infrastructure Web Application Firewall (OCI WAF) ou le service de pare-feu de réseau pour OCI pour des raisons de sécurité si vous avez des applications accessibles sur Internet (adresses IP publiques).Architecture de réseau en étoile
Le diagramme suivant présente un exemple d'utilisation d'une architecture de réseau en étoile :
L'architecture de réseau en étoile est l'architecture recommandée par Oracle pour la plupart des déploiements. Utilisez l'architecture réseau en étoile si votre entreprise a besoin d'un ou de plusieurs des éléments suivants (et non d'une liste exclusive) :
- Utilisez (ou prévoyez d'utiliser) plusieurs réseaux en nuage virtuels pour séparer les charges de travail.
- Centralisez le trafic orienté Internet dans un VCN hub, où sont gérés le pare-feu de réseau, les équilibreurs de charge orientés Internet, le WAF et les ressources de passerelle Internet.
- Maintenir la séparation du réseau pour les environnements de production, de test et de développement.
Spécifications du réseau en nuage virtuel
L'image suivante montre comment optimiser l'utilisation des domaines de disponibilité pour les conceptions à haute disponibilité.
Oracle recommande :
- Utilisation de sous-réseaux régionaux couvrant tous les domaines de disponibilité pour assurer une haute disponibilité.
- Création de réseaux en nuage virtuels distincts pour différentes charges de travail.
Note :
Pour les régions avec un seul domaine de disponibilité, utilisez les domaines d'erreur pour améliorer la résilience.
Dimensionner votre VCN ou vos sous-réseaux
Planifiez vos réseaux en nuage virtuels pour une expansion future et sélectionnez un intervalle d'adresses IP qui évite les chevauchements avec vos réseaux sur place ou autres.
Le tableau suivant fournit des conseils sur la taille de vos réseaux en nuage virtuels en fonction de vos besoins.
| Taille du VCN | Masque de réseau | Taille du sous-réseau | Nombre de sous-réseaux dans le réseau VCN | Adresses IP utilisables par sous-réseau |
|---|---|---|---|---|
| Petite | /24 | /27 | 8 | 29 |
| Medium | /20 | /24 | 16 | 253 |
| Grande | /18 | /22 | 16 | 1 021 |
| Très grande | /16 | /20 | 8 | 4 093 |
Différents sous-réseaux d'un VCN peuvent utiliser des tailles de bloc CIDR différentes pour une optimisation en fonction de besoins spécifiques en matière de charge de travail.
Note :
OCI réserve trois adresses IP dans chaque sous-réseau.Listes de sécurité et groupes de sécurité de réseau
Les listes de sécurité vous permettent de définir un jeu de règles de sécurité qui s'appliquent à toutes les ressources d'un sous-réseau.
Utilisez des groupes de sécurité de réseau pour une sécurité plus granulaire au niveau de l'application. Les groupes de sécurité de réseau vous permettent de définir des règles pour des cartes vNIC, des équilibreurs de charge, des systèmes de base de données, etc. spécifiques.
Le graphique suivant montre un exemple de la façon dont vous pouvez séparer l'architecture de sous-réseau du VCN des exigences de sécurité à l'aide de groupes de sécurité de réseau et autoriser uniquement les ressources utilisant NSG_DB1 à se connecter à la ressource à l'aide de NSG_App1.
Vous pouvez utiliser à la fois des listes de sécurité et des groupes de sécurité de réseau pour contrôler l'accès à vos ressources sur des sous-réseaux privés et publics. Si vous utilisez à la fois des groupes de sécurité de réseau et des listes de sécurité, le résultat sera les règles sommaires combinées du groupe de sécurité de réseau et de la liste de sécurité.
Oracle recommande d'utiliser des groupes de sécurité de réseau pour :
- Séparer l'architecture de sous-réseau de VCN des exigences de sécurité de l'application.
- Définissez un jeu de règles de trafic entrant et sortant qui s'appliquent à des cartes vNIC spécifiques.
Conseil :
Si vous utilisez des listes de sécurité, Oracle recommande d'utiliser une liste de sécurité individuelle par sous-réseau au lieu d'une liste combinée pour tous les sous-réseaux.Tables de routage
Conseil :
Oracle recommande d'importer des routes à l'aide de répartitions de routes d'importation.Le diagramme suivant présente les tables de routage associées au niveau DRG :
Les tables de routage au niveau DRG gèrent les éléments suivants :
- Attachements de réseau en nuage virtuel
- Attachements de circuit virtuel/FastConnect
- Fichiers joints IPSec/VPN
- Attachements de connexion d'appairage distant (RPC)
Note :
Une route statique dans une table de routage ne peut pas pointer vers des attachements FastConnect ou IPsec; utilisez plutôt la répartition de routes d'importation.Dans un VCN/sous-réseau, utilisez des routes statiques pour diriger le trafic vers les passerelles. Affectez des tables de routage individuelles à chaque sous-réseau pour contrôler le trafic sortant. Les ressources du même VCN peuvent communiquer sans routes explicites (routage implicite), mais des règles de sécurité appropriées doivent être en place.
Le diagramme suivant présente les passerelles auxquelles des tables de routage peuvent être associées ainsi que d'autres ressources :
Les tables de routage sont normalement associées par sous-réseau pour contrôler le trafic à partir de chaque sous-réseau spécifique. Vous pouvez configurer le routage avancé à partir des ressources du sous-réseau ou vers les ressources d'un sous-réseau.
Les tables de routage peuvent être associées aux éléments suivants :
- Sous-réseau
- VCN (entrant), attaché à l'attachement de passerelle DRG. Généralement utilisé pour forcer le trafic vers un pare-feu.
- Passerelle Internet
- Passerelle NAT
- Passerelle de service
- LPG
- VNIC
- Adresse IP