Tables de routage de réseau cloud virtuel

Utilisation des tables et des règles de routage

Chaque réseau cloud virtuel est automatiquement accompagné d'une table de routage par défaut qui comporte des règles implicites incluant les routages des CIDR de réseau cloud virtuel. A moins d'indication contraire, chaque sous-réseau utilise la table de routage par défaut du réseau cloud virtuel. Lorsque vous ajoutez des règles de routage à un VCN, vous pouvez les ajouter à la table par défaut. Toutefois, vous pouvez créer des tables de routage personnalisées pour chaque sous-réseau si nécessaire. Par exemple, lorsque vous disposez d'un sous-réseau public et d'un sous-réseau privé dans un VCN (par exemple, reportez-vous à Scénario C : sous-réseaux publics et privés avec un VPN), vous devez utiliser différentes tables de routage pour les sous-réseaux car les règles de routage des sous-réseaux doivent être différentes.

Chaque sous-réseau d'un réseau cloud virtuel utilise une seule table de routage. Lorsque vous créez le sous-réseau, vous spécifiez celle à utiliser. Vous pouvez modifier la table de routage utilisée par le sous-réseau à tout moment. Vous pouvez également modifier les règles d'une table de routage, ou enlever toutes les règles.

Vous pouvez éventuellement affecter un nom descriptif à une table de routage personnalisée lors de sa création. Ce nom ne doit pas nécessairement être unique et peut être modifié ultérieurement. Oracle affecte automatiquement à la table de routage un identificateur unique appelé OCID (Oracle Cloud ID). Pour plus d'informations, reportez-vous à Identificateurs de ressource.

Une règle de routage spécifie un bloc CIDR de destination et la cible (le saut suivant) pour tout trafic correspondant à ce CIDR. Voici les types de cible autorisés pour une règle de routage :

• Passerelle de routage dynamique (DRG) : pour les sous-réseaux qui ont besoin d'un accès privé aux réseaux connectés à un VCN (par exemple, un réseau sur site connecté à un VPN site à site ou à FastConnect, un VCN appairé dans la même région ou un VCN appairé dans une autre région).
• Passerelle Internet : pour les sous-réseaux publics qui ont besoin d'un accès direct à Internet.
• Passerelle NAT : pour les sous-réseaux dotés d'instances ne disposant pas d'adresse IP publique mais nécessitant un accès sortant vers Internet.
• Passerelle de service : pour les sous-réseaux nécessitant un accès privé aux services Oracle tels qu'Object Storage.
• Passerelle d'appairage local : pour les sous-réseaux nécessitant un accès privé à un réseau cloud virtuel appairé de la même région.
• Adresse IP privée : pour les sous-réseaux qui doivent acheminer du trafic vers une instance du réseau cloud virtuel. Pour plus d'informations, reportez-vous à Utilisation d'une adresse IP privée comme cible de routage. Reportez-vous également à Présentation du routage pour un VCN.

Lorsque vous ajoutez une règle de routage à une table de routage, vous indiquez le bloc CIDR de destination et la cible (ainsi que le compartiment  où réside la cible). Exception : si la cible est une passerelle de service , au lieu d'un bloc CIDR de destination, vous indiquez une chaîne fournie par Oracle qui représente les adresses publiques du service qui vous intéresse. De cette manière, vous n'avez pas besoin de connaître tous les blocs CIDR du service, qui peuvent changer au fil du temps.

Si vous configurez une règle de manière incorrecte (par exemple, saisie d'un bloc CIDR de destination incorrect), le trafic réseau que vous avez prévu d'acheminer peut être supprimé (perdu dans un trou noir) ou envoyé à une cible inattendue.

Vous pouvez déplacer une table de routage d'un compartiment vers un autre. Le déplacement d'une table de routage n'a aucune incidence sur son attachement aux réseaux cloud virtuels ou aux sous-réseaux. Lorsque vous déplacez une table de routage vers un nouveau compartiment, les stratégies inhérentes s'appliquent immédiatement et influent sur l'accès à la table de routage. Pour plus d'informations, reportez-vous à Contrôle d'accès.

Vous ne pouvez pas supprimer la table de routage par défaut d'un réseau cloud virtuel. Une table de routage personnalisée ne peut être supprimée que si elle n'est pas associée à un sous-réseau ou à une passerelle (de routage dynamique, d'appairage local, Internet, NAT ou de service).

Reportez-vous aux limites de service pour obtenir la liste des limites applicables et des instructions de demande d'augmentation de limite.

Routage intra-VCN

Le routage intra VCN vous permet de remplacer les décisions de routage par défaut appliquées au trafic destiné aux adresses IP contenues dans le bloc CIDR du VCN. Le routage intra VCN offre les fonctionnalités suivantes :

• Routages locaux : chaque VCN achemine automatiquement le trafic au sein du VCN et entre les sous-réseaux VCN, sauf si vous ajoutez des règles de routage indiquant le contraire. Le trafic local utilise la table de routage associée au sous-réseau, y compris le routage local au sein du CIDR VCN.
• Routages Intra VCN personnalisés : il s'agit de règles de routage que vous créez dans la table de routage VCN ou de sous-réseau pour le trafic Intra VCN, qui peuvent remplacer les routes locales normales. Toutes les routes Intra VCN personnalisées ont une cible (DRG, passerelle d'appairage local ou adresse IP privée dans le VCN) et un type de route statique.
• Meilleure sélection de routage : la correspondance de préfixe la plus longue (ou le routage le plus spécifique) est sélectionnée. Lorsque plusieurs routes pour le même préfixe sont possibles, la meilleure route est sélectionnée en fonction de la priorité de type de route suivante :
  1. Routes statiques (définies par l'utilisateur)
  2. Routes locales implicites (créées automatiquement par OCI) non visibles dans la table de routage
• IPv6 : OCI prend en charge le routage intra VCN pour les préfixes de VCN IPv6.

Utilisation du routage intra-VCN

L'image suivante présente un exemple de routage interne :

Acheminement par ressource

Vous pouvez utiliser le routage par ressource pour affecter une table de routage VCN personnalisée à une ou plusieurs VNIC ou à des adresses IP particulières sur une VNIC. Une adresse IP avec une table de routage affectée peut être une adresse IP principale ou secondaire pour la VNIC. Avec le routage par ressource, une préférence hiérarchique s'applique en termes de table de routage à utiliser pour la recherche de routage : la table de routage sur l'adresse IP est préférée à la table de routage sur la carte d'interface réseau virtuelle, et la table de routage sur une carte d'interface réseau virtuelle est préférée à la table de routage sur le sous-réseau. Voici le processus de sélection de table de routage :

1. Si une table de routage est associée à l'adresse IP de la VNIC, cette table de routage est utilisée pour acheminer le trafic à partir de l'adresse IP.
2. Si une adresse IP de carte d'interface réseau virtuelle n'a pas sa propre table de routage, la table de routage au niveau de la carte d'interface réseau virtuelle est utilisée pour acheminer le trafic à partir de l'adresse IP.
3. Si une carte d'interface réseau virtuelle peut être associée à un routage, toutes les adresses IP de la carte d'interface réseau virtuelle qui n'ont pas de table de routage associée utilisent la table de routage de carte d'interface réseau virtuelle.
4. Si aucune table de routage n'est associée à une carte d'interface réseau virtuelle, toutes les adresses IP de la carte d'interface réseau virtuelle qui n'ont pas de table de routage associée utilisent la table de routage du sous-réseau.

L'image suivante présente un exemple d'utilisation du routage par ressource :

Dans cet exemple, une instance OCI Compute avec deux cartes d'interface réseau virtuelles dans le même sous-réseau dispose d'une application en cours d'exécution qui a besoin d'accéder à Internet, ainsi qu'à des bases de données ou à d'autres ressources dans le centre de données sur site. L'application utilise la VNIC A pour tout le trafic lié à un réseau sur site et la VNIC B pour tout le trafic lié à Internet. L'administrateur de réseau cloud peut associer une table de routage personnalisée à la carte d'interface réseau virtuelle A, où la route par défaut a le DRG comme cible, et achemine tout le trafic de la carte d'interface réseau virtuelle A vers le DRG. Une deuxième table de routage personnalisée est associée à la carte d'interface réseau virtuelle B, où la passerelle Internet est la cible de la route par défaut, et achemine tout le trafic de la carte d'interface réseau virtuelle B vers la passerelle Internet.

L'un des avantages ici est que, comme il s'agit de règles statiques, elles sont isolées des modifications apportées aux blocs CIDR utilisés dans le centre de données sur site. Toutes les modifications apportées à l'environnement sur site sont partagées avec le DRG à l'aide de la publication BGP, et les tables de routage VCN peuvent être simples et stables.

Routage entrant de passerelle

Stratégie IAM requise

Cas d'emploi généraux

OCI utilise la table de routage d'un sous-réseau pour acheminer le trafic vers une adresse IP de destination en dehors du sous-réseau. Si la destination se trouve en dehors du VCN, vous configurez généralement une règle de routage pour acheminer le trafic vers une passerelle sur le VCN (par exemple, un DRG connecté à un réseau sur site ou à un autre VCN, ou une passerelle Internet connectée à Internet). Si la destination se trouve dans un autre sous-réseau du réseau cloud virtuel, le trafic est acheminé par défaut à l'aide du routage local du CIDR de réseau cloud virtuel. Toutefois, vous pouvez souhaiter acheminer dans un premier temps ce trafic via une instance du réseau cloud virtuel. Dans ce cas, vous pouvez utiliser une adresse IP privée du réseau cloud virtuel comme cible au lieu d'une passerelle se trouvant dans celui-ci. Voici quelques cas où vous êtes susceptible de procéder ainsi :

• Pour implémenter une appliance virtuelle réseau telle qu'un pare-feu ou un système de détection des intrusions qui filtre le trafic sortant des instances.
• Pour gérer un réseau superposé sur le réseau cloud virtuel, ce qui vous permet d'exécuter des charges globales d'orchestration de conteneurs.
• Pour implémenter NAT (Network Address Translation) dans le réseau cloud virtuel. Notez qu'Oracle recommande plutôt d'utiliser une passerelle NAT avec le VCN. En général, NAT crée un accès Internet sortant pour les instances qui ne disposent pas d'une connectivité Internet directe.

L'implémentation de ces cas d'emploi nécessite plus que le routage du trafic vers l'instance. La configuration est également requise sur l'instance elle-même.

Exigences relatives à l'utilisation d'une adresse IP privée comme cible

• L'adresse IP privée doit être dans le même réseau cloud virtuel que la table de routage.
• Afin de pouvoir transmettre du trafic, la carte d'interface réseau virtuelle de l'adresse IP privée doit être configurée de manière à ignorer la vérification de source/destination. Par défaut, les cartes d'interface réseau virtuelles sont configurées pour effectuer la vérification. Pour plus d'informations, reportez-vous à Présentation des cartes d'interface réseau virtuelles et des cartes d'interface réseau physiques.
• Vous devez configurer l'instance pour qu'elle transfère des paquets.

• La règle de routage doit indiquer l'OCID de l'adresse IP privée en tant que cible, et non l'adresse IP proprement dite. Exception : si vous utilisez la console, vous pouvez plutôt indiquer l'adresse IP privée elle-même en tant que cible. Elle utilise l'OCID correspondant à l'adresse IP privée dans la règle.

  Important
  
  

  Une règle de routage avec une cible d'adresse IP privée peut entraîner une perte dans un trou noir dans les cas suivants :

  • L'instance à laquelle l'adresse IP privée est affectée est arrêtée ou prend fin
  • La carte d'interface réseau virtuelle à laquelle l'adresse IP privée est affectée est mise à jour afin d'activer la vérification de source/destination, ou supprimée
  • L'affectation de l'adresse IP privée à la carte d'interface réseau virtuelle est annulée

  Lorsqu'une adresse IP privée cible prend fin, dans la console, la règle de routage affiche une remarque indiquant que l'OCID cible n'existe plus.

  Pour le basculement en cas d'incident : si une instance cible prend fin avant que vous ne puissiez déplacer l'adresse IP privée secondaire vers une instance de secours, vous devez mettre à jour la règle de routage de façon à utiliser l'OCID de la nouvelle adresse IP privée cible sur l'instance de secours. La règle utilise l'OCID de la cible et non l'adresse IP privée elle-même.

Processus de configuration général

1. Décidez de l'instance qui doit recevoir et transmettre le trafic.
2. Sélectionnez une adresse IP privée sur l'instance (peut se trouver sur la VNIC principale de l'instance ou sur une seconde. Pour implémenter le basculement, configurez une adresse IP privée secondaire sur l'une des VNIC de l'instance.
3. Désactivez la vérification de source/destination sur la carte d'interface réseau virtuelle de l'adresse IP privée. Reportez-vous à Présentation des cartes d'interface réseau virtuelles et des cartes d'interface réseau physiques.
4. Obtenez l'OCID de l'adresse IP privée. Si vous utilisez la console, vous pouvez obtenir l'OCID ou l'adresse IP privée elle-même, avec le nom du compartiment de cette dernière.
5. Affichez la table de routage du sous-réseau qui doit acheminer le trafic vers l'adresse IP privée. Si elle comporte déjà une règle avec le même CIDR de destination mais avec une autre cible, supprimez cette règle.

6. Ajoutez une règle de routage avec les éléments suivants :

   • Type de cible : reportez-vous à la liste des types de cible dans Présentation du routage pour un VCN. Si le type de cible est un DRG, le DRG attaché du VCN est automatiquement sélectionné comme cible, et vous n'avez pas à spécifier la cible vous-même. Si la cible est un objet IP privé, vous devez, avant de la spécifier, désactiver la vérification de source/destination sur la VNIC qui utilise cet objet IP privé. Pour plus d'informations, reportez-vous à Utilisation d'une adresse IP privée comme cible de routage.
   • Bloc CIDR de destination : disponible uniquement si la cible n'est pas une passerelle de service. La valeur correspond au bloc CIDR de destination du trafic. Vous pouvez fournir un bloc CIDR de destination spécifique ou utiliser 0.0.0.0/0 si l'ensemble du trafic quittant le sous-réseau doit être acheminé vers la cible indiquée dans la règle.
   • Service de destination : disponible uniquement si la cible est une passerelle de service. La valeur correspond au libellé CIDR de service qui vous intéresse.
   • Compartiment : compartiment contenant la cible.
   • Cible : cible. Si la cible est un objet IP privé, entrez son OCID. Vous pouvez également entrer l'adresse IP privée, auquel cas la console trouve l'OCID correspondant et l'utilise en tant que cible pour la règle de routage.
   • Description : description facultative de la règle.

Comme mentionné précédemment, vous devez configurer l'instance pour qu'elle transfère des paquets.