Pour offrir une connectivité réseau sécurisée et fiable aux diverses fonctions d'application et de gestion, Exadata Database Service on Cloud@Customer utilise différents réseaux.

La liste suivante décrit les exigences réseau minimales pour installer un système Exadata Database Service on Cloud@Customer :

• Réseau de service Exadata Cloud@Customer : ce réseau est configuré en fonction des spécifications Oracle et ne doit pas être modifié par le client sans l'accord d'Oracle.
  • Réseau de plan de contrôle

    Ce réseau privé virtuel (VPN) connecte les deux serveurs de plan de contrôle situés dans le rack Exadata Database Service on Cloud@Customer à Oracle Cloud Infrastructure. Le VPN permet de sécuriser les opérations lancées par le client à l'aide des API et de la console Oracle Cloud Infrastructure. Il facilite également la surveillance et l'administration sécurisées des composants d'infrastructure gérés par Oracle dans Exadata Database Service on Cloud@Customer.

    • Remarques concernant la connectivité du plan de contrôle

      Pour que le plan de contrôle fonctionne, le serveur de plan de contrôle doit pouvoir se connecter à certaines adresses Oracle Cloud Infrastructure (OCI). Vous devez activer l'accès sortant du port TCP 443 aux adresses d'une région OCI spécifique comme suit :

      Tableau 3-2 Ports à ouvrir pour la connectivité du plan de contrôle

      Description/Objet	Port ouvert	Emplacement
      Service de tunnel sortant pour la fourniture de l'automatisation du cloud	443 sortant	Utilisez le format d'URL suivant en remplaçant oci_region par votre région : https://wss.exacc.oci_region.oci.oraclecloud.com
      Service de tunnel sécurisé pour l'accès à distance des opérateurs Oracle	443 sortant	Utilisez les formats d'URL suivants en remplaçant oci_region par votre région : https://mgmthe1.exacc.oci_region.oci.oraclecloud.com https://mgmthe2.exacc.oci_region.oci.oraclecloud.com
      Service Object Storage pour l'extraction des mises à jour système, la surveillance de l'infrastructure et la collecte de journaux	443 sortant	Utilisez le format d'URL suivant en remplaçant oci_region par votre région : https://objectstorage.oci_region.oraclecloud.com https://swiftobjectstorage.oci_region.oraclecloud.com https://*.objectstorage.oci_region.oci.customer-oci.com
      Service Monitoring pour l'enregistrement et le traitement des mesures IMM (Infrastructure Monitoring Metrics)	443 sortant	Utilisez le format d'URL suivant en remplaçant oci_region par votre région : https://telemetry-ingestion.oci_region.oraclecloud.com
      Service d'identité pour l'autorisation et l'authentification	443 sortant	Utilisez le format d'URL suivant en remplaçant oci_region par votre région : https://identity.oci_region.oraclecloud.com https://auth.oci_region.oraclecloud.com
      Service de tunnel sortant pour la fourniture de l'automatisation du cloud	443 sortant	Utilisez le format d'URL suivant en remplaçant oci_region par votre région : https://wsshe.adbd-exacc.oci_region.oci.oraclecloud.com
      Service Logging	443 sortant	Utilisez le format d'URL suivant en remplaçant oci_region par votre région : https://frontend.logging.ad1.oci_region.oracleiaas.com https://frontend.logging.ad2.oci_region.oracleiaas.com https://frontend.logging.ad3.oci_region.oracleiaas.com https://controlplane.logging.ad1.oci_region.oracleiaas.com https://controlplane.logging.ad2.oci_region.oracleiaas.com https://controlplane.logging.ad3.oci_region.oracleiaas.com
      Authentification basée sur le principal de ressource et livraison de service Autonomous Database	443 sortant	Utilisez le format d'URL suivant en remplaçant oci_region par votre région : https://database.oci_region.oraclecloud.com
      Console de machine virtuelle	443 sortant	Utilisez le format d'URL suivant en remplaçant oci_region par votre région : https://console1.exacc.oci_region.oci.oraclecloud.com https://console2.exacc.oci_region.oci.oraclecloud.com
      Service de tunnel sécurisé temporaire pour l'accès à distance des opérateurs Oracle pour les ressources ADB-D	443 sortant	Utilisez le format d'URL suivant en remplaçant region par votre région : https://mgmthe.adbd-exacc.region.oci.oraclecloud.com
      Service Monitoring pour l'enregistrement et le traitement des ressources IMM (Infrastructure Monitoring Monitoring Metrics)	443 sortant	Utilisez le format d'URL suivant en remplaçant region par votre région : https://ingestion.logging.region.oci.oraclecloud.com
      Mesure et surveillance	443 sortant	Utilisez le format d'URL suivant en remplaçant oci_region par votre région : https://*.oci_region.functions.oci.oraclecloud.com https://*.functions.oci_region.oci.oraclecloud.com

      Remarque
      
      L'accès à l'infrastructure ExaDB-C@C aux adresses de service indiquées dans le tableau 3-2 Ports à ouvrir pour la connectivité de plan de contrôle est obligatoire pour l'ensemble des fonctionnalités de service. Ne pas autoriser tous les URI obligatoires peut entraîner une réduction du service ou des fonctionnalités qui ne fonctionnent pas comme prévu.

      Le serveur de plan de contrôle doit pouvoir établir uniquement l'accès sortant du port TCP 443. Si les connexions sortantes doivent être autorisées sur le port 443, l'accès entrant du port TCP 443 n'est pas requis et il peut être souhaitable du point de vue de la sécurité de bloquer les connexions entrantes. (Fonctionnellement, le trafic bidirectionnel est toujours possible via la connexion une fois la connexion sortante sécurisée établie.)

      Le serveur de plan de contrôle nécessite des services DNS et NTP client pour être fonctionnel. Les exigences de bande passante minimales pour la connexion Internet à OCI du serveur de plan de contrôle sont de 50/10 Mbits/s en téléchargement en local/vers le serveur.

      Les stratégies de sécurité mises en place par certains clients exigent que des proxies soient utilisés pour toutes les connexions Internet à l'infrastructure informatique. Proxy HTTP client, par exemple, proxy passif/d'entreprise pris en charge pour la connexion du serveur de plan de contrôle à OCI. Le proxy de vérification, HTTPS client et l'inspection du trafic ne sont pas pris en charge.

      Si vous utilisez des règles de pare-feu reposant sur un filtrage d'adresses IP, en raison de la nature dynamique des interfaces cloud, vous devez autoriser le trafic avec toutes les plages d'adresses IP CIDR pertinentes associées à votre région OCI telles qu'identifiées par https://docs.oracle.com/en-us/iaas/tools/public_ip_ranges.json.
  • Réseau d'administration

    Ce réseau connecte les serveurs et les commutateurs Exadata Database Service on Cloud@Customer aux deux serveurs de plan de contrôle situés dans le rack Exadata Database Service on Cloud@Customer. Il facilite les opérations lancées par le client à l'aide des API et de la console Oracle Cloud Infrastructure. Il facilite également la surveillance et l'administration des composants d'infrastructure gérés par Oracle dans Exadata Database Service on Cloud@Customer.

    Ce réseau est entièrement contenu dans le rack Exadata Database Service on Cloud@Customer et ne se connecte pas au réseau de votre entreprise. Toutefois, l'infrastructure Exadata est indirectement connectée à votre réseau d'entreprise via les serveurs de plan de contrôle. Cette connexion est requise pour fournir des services DNS et NTP à l'infrastructure Exadata. Par conséquent, les adresses IP allouées au réseau d'administration ne doivent pas exister ailleurs dans le réseau d'entreprise.

    Chaque serveur Oracle Database et Exadata Storage Server dispose de deux interfaces réseau connectées au réseau d'administration. L'une permet d'accéder à la gestion du serveur via l'un des ports Ethernet imbriqués (NET0). L'autre donne accès au sous-système ILOM via un port Ethernet ILOM dédié. Exadata Database Service on Cloud@Customer est fourni avec les ports ILOM et NET0 connectés au commutateur Ethernet dans le rack. La modification du câblage ou de la configuration de ces interfaces n'est pas autorisée.

  • Réseau InfiniBand ou ROCE (RDMA over Converged Ethernet)

    Ce réseau connecte les serveurs de base de données, les serveurs Exadata Storage Server et les serveurs de plan de contrôle à l'aide des commutateurs InfiniBand ou ROCE du rack. Chaque serveur contient deux interfaces réseau InfiniBand (IB0 et IB1) ou interfaces ROCE (re0 et re1) connectées à des commutateurs InfiniBand ou ROCE distincts dans le rack. Oracle Database utilise principalement ce réseau pour le trafic d'interconnexion de cluster Oracle RAC et pour l'accès aux données sur les serveurs Exadata Storage Server.

    Ce réseau non routable est entièrement contenu dans le rack Exadata Cloud@Customer et ne se connecte pas au réseau de votre entreprise. Toutefois, étant donné que les serveurs de plan de contrôle sont connectés au réseau InfiniBand ou ROCE et au réseau d'entreprise, les adresses IP allouées au réseau InfiniBand ou ROCE ne doivent pas exister ailleurs dans le réseau d'entreprise.

• Réseau client : réseaux détenus et gérés par le client requis pour que le plan de données Exadata Cloud@Customer accède aux systèmes associés.
  • Réseau client

    Ce réseau connecte les serveurs de base de données Exadata Cloud@Customer à votre réseau client existant et est utilisé pour l'accès client aux machines virtuelles. Les applications accèdent aux bases de données sur Exadata Database Service on Cloud@Customer via ce réseau à l'aide d'interfaces SCAN et d'interfaces d'adresse IP virtuelle Oracle Real Application Clusters (Oracle RAC).

    Le réseau d'accès client utilise une paire d'interfaces réseau sur chaque serveur de base de données, qui sont connectées au réseau client.

    Remarque
    
    Lorsque vous activez Data Guard, la réplication des données se produit sur le réseau client par défaut.
  • Réseau de sauvegarde

    Ce réseau est semblable au réseau d'accès client car il connecte les serveurs Oracle Database Exadata Database Service on Cloud@Customer au réseau existant. Il permet d'accéder aux machines virtuelles à différentes fins, notamment la sauvegarde et le transfert de données en masse.

    Tout comme le réseau client, le réseau de sauvegarde utilise une paire d'interfaces réseau sur chaque serveur de base de données, qui sont connectées au réseau client. La connexion physique du réseau de sauvegarde à un réseau client est requise.

    Si seul le stockage sur site (NFS ou ZDLRA) du client doit être utilisé en tant que destination de sauvegarde pour les bases de données, aucune connectivité externe à OCI n'est requise pour le réseau de sauvegarde.

    Exadata Cloud@Customer propose également une destination de sauvegarde de stockage d'objet cloud gérée par Oracle. Si le service Object Storage d'Oracle doit être utilisé comme destination des sauvegardes de base de données, assurez-vous que le réseau de sauvegarde peut y accéder via une connexion externe. Vous devez activer l'accès sortant du port TCP 443 pour le réseau de sauvegarde comme suit :

    Tableau 3-3 Ports à ouvrir pour le réseau de sauvegarde

    Description/Objet	Port ouvert	Emplacement
    Service Object Storage pour les sauvegardes de base de données dans le cloud (facultatif)	443 sortant	Utilisez le format d'URL suivant en remplaçant oci_region par votre région : https://objectstorage.oci_region.oraclecloud.com https://swiftobjectstorage.oci_region.oraclecloud.com

  • Réseau de récupération après sinistre (clients autorisés uniquement)
    Remarque
    
    Ce réseau supplémentaire n'est disponible que pour certains clients autorisés dans des circonstances particulières. Il se peut que votre système ne soit pas équipé.

    Le réseau de récupération après sinistre est configuré de la même manière que le réseau d'accès client, mais il est dédié uniquement à la transmission du trafic Data Guard. Si votre système inclut ce réseau, le trafic Data Guard y est acheminé au lieu du réseau client, à l'aide des interfaces SCAN (Single Client Access Name) et IP virtuelle (VIP) Oracle Real Application Clusters (Oracle RAC).

    Seules les prévérifications Data Guard nécessitent que le réseau client soit ouvert. Une fois l'étape de prévérification terminée, le provisionnement Data Guard inscrit automatiquement la base de données auprès du réseau de récupération après sinistre et l'utilise pour la restauration des fichiers de données et le transport des informations de journalisation. Si l'ouverture du réseau client n'est pas possible, vous devez inscrire manuellement la base de données principale auprès du processus d'écoute du réseau de récupération après sinistre avant de lancer le provisionnement Data Guard.

    Le réseau de récupération après sinistre se compose d'une paire d'interfaces réseau sur chaque serveur de base de données, qui sont directement connectées au réseau client.

Avant de déployer Oracle Exadata Database Service on Cloud@Customer, assurez-vous que le réseau de votre centre de données répond aux exigences.

Vous devez allouer une plage d'adresses IP au réseau d'administration et une autre au réseau privé RoCE.

/23

/16

/22

/19

/28

/27

/27

/26

/29

/28

/28

/27

/28

/27

/27

/26

Assurez-vous que votre système Oracle Exadata Database Service on Cloud@Customer répond aux exigences en matière de liaison montante de serveur de plan de contrôle et de serveur de base de données.

Vous pouvez choisir d'utiliser l'équipement réseau fourni ou de créer votre propre réseau SFP.

Envisagez la solution décrite ci-dessous, qui tire parti du service FastConnect d'OCI, si vous voulez une isolation supplémentaire pour la connexion entre votre serveur de plan de contrôle et OCI en plus de l'approche de tunnel TLS par défaut.

Pour plus d'informations, reportez-vous à Oracle Cloud Infrastructure FastConnect.

Le service Oracle Exadata Database Service on Cloud@Customer prend en charge le modèle de connectivité d'appairage public ou privé de FastConnect.

Figure 3-1 Connectivité FastConnect d'Oracle Exadata Database Service on Cloud@Customer à OCI via l'appairage public

Comme illustré dans la figure, le réseau de plan de contrôle Oracle Exadata Database Service on Cloud@Customer sort vers le fournisseur FastConnect et la périphérie Oracle. Les clients qui disposent déjà d'une connectivité FastConnect peuvent l'utiliser pour connecter Oracle Exadata Database Service on Cloud@Customer à la région OCI à l'aide de l'appairage public.

Figure 3-2 Connectivité FastConnect d'Oracle Exadata Database Service on Cloud@Customer à OCI via l'appairage privé