Analyseur de chemin réseau

Présentation de l'analyseur de chemin réseau

L'analyseur de chemin réseau fournit une fonctionnalité unifiée et intuitive permettant d'identifier les problèmes de configuration de réseau virtuel qui affectent la connectivité. NPA collecte et analyse la configuration réseau pour décider comment les chemins entre la source et la destination fonctionnent ou échouent. Aucun trafic réel n'est envoyé, mais la configuration est examinée et utilisée pour vérifier l'accessibilité.

L'analyseur de chemin de réseau examine soigneusement la configuration de routage et la configuration de sécurité, et identifie le chemin réseau potentiel parcouru par les trafics définis, ainsi que des informations relatives aux entités de réseau virtuel contenues dans le chemin. En plus des informations relatives au chemin, la sortie de ces vérifications inclut la manière dont les règles de routage et les fonctions de sécurité du réseau (listes d'accès réseau, groupes de sécurité système, Zero Trust Packet Routing, etc.) autorisent ou refusent le trafic. Les sources et les destinations peuvent se trouver dans OCI uniquement, sur OCI et sur le réseau sur site, ou sur OCI et sur Internet. L'analyseur de chemin réseau analyse tous les éléments de fonctions de réseau OCI standard et la configuration associée.

Avec l'analyseur de chemin réseau, vous pouvez :

• Résoudre les erreurs de configuration de routage et de sécurité à l'origine de problèmes de connectivité
• Vérifier que les chemins réseau logiques sont conformes à l'intention
• Vérifier que la configuration de la connectivité du réseau virtuel fonctionne comme prévu avant de commencer à envoyer le trafic

Pour atteindre l'un de ces objectifs, créez un test qui, selon vous, devrait fonctionner, puis exécutez-le. Vous pouvez également enregistrer la définition de test pour l'exécuter à nouveau ultérieurement. Les tests enregistrés sont affichés sur la page ANP pour que vous puissiez les sélectionner.

Les scénarios source/destination suivants sont pris en charge :

• D'OCI vers OCI
• D'OCI vers le réseau sur site
• Du réseau sur site vers OCI
• D'Internet vers OCI
• D'OCI vers Internet

Des tests peuvent être définis pour les paramètres suivants :

L'analyse effectuée utilise un cliché de configuration complet, mais le chemin réseau affiché se limite aux entités que vous êtes autorisé à visualiser. Lorsque vous ne disposez pas des droits d'accès nécessaires pour visualiser des objets du chemin, la sortie de test n'affiche ni ces objets, ni détails supplémentaires.

Le NPA utilise Batfish, une bibliothèque d'analyse d'analyse de configuration réseau open source. L'analyseur de chemin réseau utilise Batfish pour effectuer une analyse d'accessibilité et identifier les erreurs de configuration. Intentionet gère la bibliothèque Batfish.

Droits d'accès requis

Nous vous recommandons de toujours définir les stratégies de droit d'accès suivantes au niveau de la location (leur définition au niveau d'un compartiment peut rendre les résultats de l'analyse de Chemin moins précis) lors de l'utilisation de l'analyseur de Chemin Réseau.

• Droits d'accès utilisateur
  • Configurez les droits d'accès suivants pour accorder aux utilisateurs du groupe d'utilisateurs <group-name> la possibilité d'utiliser NPA, où <group-name> est le nom du groupe d'administrateurs pour les ressources réseau.

  allow group <group-name> to manage vn-path-analyzer-test in tenancy

• Droits d'accès au service
  Configurez les droits d'accès suivants pour permettre au service NPA d'accéder aux ressources et aux services de la location à des fins d'analyse de chemin.

  
  allow any-user to inspect compartments in tenancy where all { request.principal.type = 'vnpa-service' }
  allow any-user to read instances in tenancy where all { request.principal.type = 'vnpa-service' }
  allow any-user to read virtual-network-family in tenancy where all { request.principal.type = 'vnpa-service' }
  allow any-user to read load-balancers in tenancy where all { request.principal.type = 'vnpa-service' }
  allow any-user to read network-security-group in tenancy where all { request.principal.type = 'vnpa-service' } 
  allow any-user to read zpr-family in tenancy where all { request.principal.type = 'vnpa-service' }

Reportez-vous à la section path-analyzer-test dans Détails du service Network Monitoring pour plus de détails sur les droits d'accès de l'APN.

Limites et avertissements connus

Les cas d'emploi de l'analyseur de chemin réseau suivants ne sont pas pris en charge :

• Les sources et les destinations qui se trouvent dans le même sous-réseau et avec une adresse IP privée différente produisent des résultats incorrects.
• Lorsque la table de routage d'un sous-réseau comporte un saut suivant défini en tant qu'adresse IP privée, le statut Aucun routage peut être affiché par erreur.
• Si les passerelles d'appairage local sont appairées entre plusieurs locations, la réponse de l'analyse de chemin est Indéterminé.
• Si les connexions d'appairage à distance transitent par des locations ou des régions, la réponse de l'analyse de chemin est Indéterminé.
• NPA ne prend pas en charge IPv6. Les adresses IPv6 ne peuvent pas être utilisées comme sources ou destinations. Les paramètres de routage et de sécurité IPv6 sont ignorés et n'ont aucune incidence sur les résultats.
• L'analyseur de chemin réseau ne détecte pas les boucles de routage. Si des boucles de routage sont présentes, les résultats peuvent ne pas être concluants ou indiquer un échec.
• Le routage intra-VCN et le routage de passerelle Internet ne sont pas encore pris en charge dans les ANP et peuvent entraîner des résultats d'analyse de chemin inexacts.
• L'ANP ne fonctionne pas si le nombre de compartiments de la location demandant l'analyse de chemin est supérieur à 100. Pour ces locations, vous devez lancer une demande d'assistance afin d'utiliser l'analyseur de chemin réseau.
• L'APN ne peut pas évaluer les stratégies ZPR si elle ne parvient pas à atteindre la destination en raison d'un problème lié au routage, à la liste de sécurité ou au groupe de sécurité réseau. Dans ce cas, l'ANP affiche une notification ZPR n'a pas pu être évalué.
• La définition d'une adresse PSA en tant qu'adresse source n'est pas prise en charge. Une adresse PSA ne peut être qu'une adresse de destination pour l'analyse de chemin.

Cas d'emploi spéciaux

Lorsque certaines entités se trouvent dans un chemin pour une analyse et qu'elles ne sont ni la source ni la destination, les comportements suivants sont observés. Vous pouvez utiliser la solution indiquée pour ces cas d'emploi, le cas échéant.

Le diagramme suivant présente l'un des cas d'emploi où l'analyse de chemin doit être divisée en deux.

Demandes de travail d'analyse de chemin réseau

Utilisez les demandes de travail pour surveiller les opérations à longue durée d'exécution, telles que les tests d'analyse de chemin réseau. Lorsque vous exécutez une opération de ce type, le service génère une demande de travail . Une demande de travail est un journal d'activités que vous pouvez utiliser pour suivre chaque étape de la progression de l'opération. Chaque demande de travail dispose d'un OCID (identificateur Oracle Cloud) que vous pouvez utiliser pour interagir avec elle par programmation et pour l'automatisation. Les demandes de travail sont conservées pendant 12 heures.