Accès privé aux services Oracle

• Vous pouvez configurer un réseau cloud virtuel de sorte qu'il donne à votre réseau sur site un accès privé aux services Oracle dans Oracle Services Network. Les hôtes de votre réseau sur site communiquent avec leurs adresses IP privées.
• Le réseau cloud virtuel utilise une passerelle de routage dynamique pour communiquer avec le réseau sur site. L'accès aux services Oracle se fait par le biais d'une passerelle de service sur le réseau cloud virtuel. Le trafic provenant du réseau cloud virtuel et à destination du service Oracle emprunte la topologie de réseau Oracle et ne passe jamais par le réseau Internet public.
• La passerelle de service est régionale et permet d'accéder uniquement aux services Oracle pris en charge dans la même région que le réseau cloud virtuel.
• Oracle Cloud Infrastructure Object Storage et d'autres services dans Oracle Services Network font partie des services Oracle pris en charge. Pour obtenir la liste, reportez-vous à Passerelle de service : services cloud pris en charge dans Oracle Services Network.
• La passerelle de service utilise le concept de libellé CIDR de service. Il s'agit d'une chaîne représentant toutes les plages d'adresses IP publiques régionales pour le service ou le groupe de services qui vous intéresse, par exemple : OCI PHX Object Storage est la chaîne correspondant à Object Storage dans Ouest des Etats-Unis (Phoenix)). Vous utilisez ce libellé CIDR de service lorsque vous configurez la passerelle de service et les règles de routage associées pour contrôler le trafic vers le service. Vous pouvez l'utiliser lors de la configuration des règles de sécurité. Si les adresses IP publiques du service changent par la suite, il n'est pas nécessaire d'ajuster ces règles.
• Afin d'autoriser le trafic prévu depuis le réseau sur site vers les services Oracle via le réseau cloud virtuel, vous implémentez des règles de routage pour la passerelle de service et l'attachement de passerelle de routage dynamique du réseau cloud virtuel.
• Si vous le souhaitez, vous pouvez configurer le routage de transit via une adresse IP privée dans le réseau cloud virtuel. Par exemple, vous pouvez filtrer ou inspecter le trafic entre le réseau sur site et le service Oracle. Dans ce cas, vous acheminez le trafic vers une adresse IP privée sur une instance du réseau cloud virtuel à des fins de contrôle. Le trafic résultant continue vers sa destination. Cette rubrique aborde les deux cas : le routage de transit direct entre des passerelles sur le réseau cloud virtuel, et le routage de transit via une adresse IP privée.

Oracle Services Network est un réseau conceptuel d'Oracle Cloud Infrastructure réservé aux services Oracle. Ces services possèdent des adresses IP publiques auxquelles vous accédez généralement par le réseau Internet public. Toutefois, vous pouvez accéder à Oracle Services Network sans que le trafic ne passe par le réseau Internet public. Il existe différentes façons pour cela, en fonction de l'hôte qui a besoin de l'accès :

• Hôtes sur votre réseau sur site :

  • Accès privé via un réseau cloud virtuel avec appairage privé FastConnect ou VPN site à site : ce scénario est abordé dans cette rubrique. Les hôtes sur site utilisent des adresses IP privées et accèdent à Oracle Services Network par le biais du réseau cloud virtuel et de sa passerelle de service.
  • Accès public à l'appairage public FastConnect : les hôtes sur site utilisent des adresses IP publiques.
• Hôtes sur votre réseau cloud virtuel :
  • Accès privé via une passerelle de service : les hôtes du réseau cloud virtuel utilisent des adresses IP privées.

Le diagramme suivant illustre la disposition de base pour que votre réseau sur site puisse accéder de manière privée aux services Oracle.

Votre réseau sur site se connecte au réseau cloud virtuel par le biais d'un circuit virtuel privé FastConnect ou d'un VPN site à site. Chacun de ces types de connexions se termine sur une passerelle de routage dynamique (DRG) attachée au VCN. Le réseau cloud virtuel dispose également d'une passerelle de service qui lui donne accès à Oracle Services Network. Le trafic de votre réseau sur site passe par le réseau cloud virtuel et la passerelle de service, et se dirige vers le service Oracle souhaité. Les réponses sont renvoyées via la passerelle de service et le réseau cloud virtuel vers votre réseau sur site.

Lorsque vous configurez une passerelle de service, vous activez un libellé CIDR de service. Il s'agit d'une chaîne représentant toutes les plages d'adresses IP publiques régionales pour le service ou le groupe de services auquel vous souhaitez accéder par le biais de la passerelle de service. Par exemple, Tous les services PHX dans Oracle Services Network correspond au libellé CIDR de service pour les services Oracle disponibles dans Ouest des Etats-Unis (Phoenix) via une passerelle de service. Oracle utilise BGP (Border Gateway Protocol) sur la passerelle de routage dynamique pour publier ces plages d'adresses IP publiques régionales sur le dispositif en périphérie (également appelé CPE, pour Customer-Premises Equipment) dans votre réseau sur site. Pour obtenir la liste des plages disponibles via la passerelle de service, reportez-vous à Adresses IP publiques pour les réseaux cloud virtuels et Oracle Services Network.

Plusieurs réseaux cloud virtuels avec un accès privé aux services Oracle

Votre organisation peut choisir d'utiliser plusieurs réseaux cloud virtuels, chacun doté d'une passerelle de service afin que leurs ressources puissent accéder aux services Oracle. Par exemple, vous pouvez avoir un réseau cloud virtuel différent pour chaque service de votre organisation.

Si vous voulez également configurer votre réseau sur site avec un accès privé aux services Oracle via un réseau cloud virtuel doté d'une passerelle de service, cette section décrit deux dispositions de réseau différentes que vous pouvez utiliser.

Dans la première disposition, vous configurez une seule passerelle de routage dynamique, avec les réseaux cloud virtuels placés dans une disposition hub-and-spoke, comme indiqué dans le diagramme suivant. Le réseau cloud virtuel qui a le rôle de hub donne au réseau sur site un accès privé aux services Oracle et est dédié à cela. Les autres réseaux cloud virtuels sont appairés localement avec le réseau cloud virtuel hub. Vous configurez uniquement le réseau cloud virtuel hub selon les instructions dans Configuration d'un accès privé aux services Oracle. Cette disposition hub-and-spoke est recommandée et décrite plus loin dans Routage de transit au sein d'un réseau cloud virtuel hub.

Dans la seconde disposition, il existe une passerelle de routage dynamique distincte pour chaque réseau cloud virtuel, ainsi qu'un circuit virtuel privé FastConnect ou un VPN site à site distinct entre votre réseau sur site et chaque passerelle de routage dynamique. Une seule passerelle de routage dynamique et un seul réseau cloud virtuel sont dédiés à fournir à votre réseau sur site un accès privé aux services Oracle. Dans le diagramme suivant, le réseau cloud virtuel est au centre. Pour configurer ce réseau cloud virtuel, suivez les instructions dans Configuration d'un accès privé aux services Oracle.

Dans ces deux dispositions, le réseau sur site peut atteindre les services Oracle uniquement via la passerelle de service d'un seul réseau cloud virtuel (celui dédié à cet effet) et non via les passerelles de service des autres réseaux cloud virtuels. Pour ces autres réseaux cloud virtuels, seules les ressources qui se trouvent à l'intérieur de ceux-ci peuvent atteindre les services Oracle via la passerelle de service correspondante.

Quelle que soit la disposition que vous choisissez, vous pouvez écrire une stratégie IAM pour restreindre l'accès à un bucket Object Storage de sorte que seules les demandes qui proviennent de la passerelle de service d'un réseau cloud virtuel spécifique soient autorisées pour ce bucket. Avec l'une de ces dispositions, vous pouvez écrire la stratégie permettant d'autoriser les demandes provenant de plusieurs réseaux cloud virtuels. Pour restreindre l'accès à des réseaux cloud virtuels spécifiques, créez une source réseau afin d'indiquer le réseau cloud virtuel autorisé, puis écrivez la stratégie limitant l'accès à cette seule source réseau. Une source réseau peut spécifier plusieurs réseaux cloud virtuels ou vous pouvez en créer une par réseau cloud virtuel. Pour plus d'informations sur la création des sources réseau, reportez-vous à Gestion des sources réseau.

L'exemple de stratégie suivant suppose que vous avez configuré une source réseau pour chacun de vos réseaux cloud virtuels. La stratégie permet aux ressources du groupe ObjectBackup (en exemple) d'écrire des objets dans un bucket existant appelé db-backup, qui réside dans un compartiment appelé ABC. Lorsque vous écrivez une stratégie comme celle-ci, vous pouvez indiquer plusieurs sources réseau. Cet exemple en présente trois.

Allow group ObjectBackup to read buckets in compartment ABC

Allow group ObjectBackup to manage objects in compartment ABC where
   all {target.bucket.name='db-backup', 
        any {request.networkSource.name='<hub_VCN_network_source>', request.networkSource.name='<spoke_1_VCN_network_source>', request.networkSource.name='<spoke_2_VCN_network_source>'},
        any {request.permission='OBJECT_CREATE', request.permission='OBJECT_INSPECT'}}

Pour plus d'informations, reportez-vous à Configuration d'une passerelle de service dans la console dans la procédure de configuration d'une passerelle de service.

Il existe deux options de routage via le réseau cloud virtuel pour l'accès privé aux services Oracle :

• Routage de transit direct via des passerelles : vous acheminez le trafic directement par le biais du réseau cloud virtuel, d'une passerelle à l'autre.
• Routage de transit via une adresse IP privée : vous configurez une instance dans le réseau cloud virtuel pour filtrer ou inspecter le trafic entre le réseau sur site et Oracle Services Network, et acheminez le trafic via une adresse IP privée sur l'instance.

Les exemples présentés dans les sections suivantes supposent que le réseau cloud virtuel ne contient aucune charge globale ayant besoin d'accéder au réseau sur site ou à Oracle Services Network. Le réseau cloud virtuel est utilisé uniquement pour le routage de transit du trafic par le biais du réseau cloud virtuel.

Si vous êtes membre du groupe Administrateurs, vous disposez déjà de l'accès requis pour configurer le routage de transit. Sinon, vous devez avoir accès au service Networking et être en mesure de lancer des instances. Reportez-vous à Stratégies IAM pour Networking.

Cette section explique comment utiliser la console pour configurer le routage de transit avec un réseau cloud virtuel afin de donner à votre réseau sur site un accès privé aux services Oracle.

Pour désactiver le routage de transit, enlevez les règles des éléments suivants :

• Table de routage associée à l'attachement de passerelle de routage dynamique.
• Table de routage associée à la passerelle de service.

Une table de routage peut être associée à une ressource et ne pas avoir de règle. Toutefois, sans au moins une règle, une table de routage ne peut rien faire.

Il est possible qu'une passerelle de service ou qu'un attachement de passerelle de routage dynamique ne soit associé à aucune table de routage. Cependant, une fois que vous avez associé une table de routage à un attachement de passerelle de routage dynamique ou à une passerelle de service, ces derniers doivent toujours être associés à une table de routage. Vous pouvez toutefois lui en associer une autre. Vous pouvez également modifier les règles de la table, ou supprimer tout ou partie des règles.