Planifier la haute disponibilité pour les ressources réseau
L'une des premières étapes de l'utilisation d'Oracle Cloud Infrastructure est de configurer un réseau cloud virtuel (VCN) pour vos ressources cloud. Garantir la haute disponibilité de ce réseau est l'une des considérations les plus importantes dans votre conception d'architecture.
- Déterminez la taille appropriée des sous-réseaux de votre réseau.
- Planifiez les configurations de haute disponibilité pour ces composants clés : équilibreurs de charge, connexions VPN IPSec et circuits FastConnect.
Détermination de la taille correcte des sous-réseaux
Un sous-réseau est une sous-division d'un réseau cloud. L'établissement d'une haute disponibilité de votre réseau nécessite un redimensionnement correct de cette ressource.
Chaque sous-réseau d'un VCN se compose d'une plage contiguë d'adresses IP qui ne chevauchent pas les autres sous-réseaux du VCN (par exemple, 172.16.1.0/24). Les deux premières adresses IP et la dernière sur le CIDR du sous-réseau sont réservées par le service Oracle Cloud Infrastructure Networking. Vous ne pouvez pas modifier la taille du sous-réseau une fois qu'il a été créé. Il est donc important de déterminer la taille nécessaire avant de créer des sous-réseaux. Prévoyez la croissance future de vos charges de travail et laissez une capacité suffisante pour répondre aux exigences de haute disponibilité, telles que la nécessité de configurer des instances Compute de secours.
Planifier la haute disponibilité pour les équilibreurs de charge
Oracle Cloud Infrastructure Load Balancing fournit une répartition de trafic automatisée à partir d'un point d'entrée vers plusieurs serveurs accessibles à partir de votre VCN. Le service propose un équilibreur de charge avec une adresse IP publique ou privée au choix et une bande passante provisionnée.
Load Balancing Service améliore l'utilisation des ressources, facilite le redimensionnement et garantit la haute disponibilité. Il prend en charge le routage des demandes entrantes vers divers ensembles de back-ends en fonction du nom d'hôte virtuel, des règles de routage de chemin ou de la combinaison des deux.
Pour accepter le trafic Internet, vous devez créer un équilibreur de charge public. Le service lui affecte une adresse IP publique servant de point d'entrée pour le trafic entrant. Vous pouvez associer l'adresse IP publique à un nom DNS convivial via tout fournisseur DNS.
Un équilibreur de charge public a une portée régionale. La haute disponibilité est intrinsèquement assurée dans tous les domaines de disponibilité. Dans une région comportant un seul domaine de disponibilité, les noeuds d'équilibreur de charge sont répartis dans différents domaines de pannes. Pour atteindre une haute disponibilité de vos systèmes, vous pouvez placer les systèmes derrière un équilibreur de charge public. Par exemple, vous pouvez placer les machines virtuelles de votre serveur Web sous la forme d'ensembles de serveurs back-end derrière un équilibreur de charge public, comme illustré dans le diagramme suivant :
Remarque :
L'architecture présente plusieurs domaines de disponibilité. Pour une région dotée d'un seul domaine de disponibilité, ajustez l'architecture afin de répartir les ressources entre les domaines de pannes du domaine de disponibilité.Pour isoler votre équilibreur de charge d'Internet et simplifier votre état de sécurité, vous créez un équilibreur de charge privé. Le service d'équilibrage de charge lui affecte une adresse IP privée servant de point d'entrée pour le trafic entrant.
Lorsque vous créez un équilibreur de charge privé, le service n'a besoin que d'un seul sous-réseau pour héberger l'équilibreur de charge principal et celui de secours. L'équilibreur de charge peut être régional ou propre à un domaine de disponibilité, selon la portée de son sous-réseau hôte
Description de l'illustration pvt-lb.png
Remarque :
L'architecture présente plusieurs domaines de disponibilité. Pour une région dotée d'un seul domaine de disponibilité, ajustez l'architecture afin de répartir les ressources entre les domaines de pannes du domaine de disponibilité.- Déployez deux équilibreurs de charge privés, un dans chaque domaine de disponibilité.
- Configurez deux machines virtuelles DNS personnalisées dans le VCN.
- Modifiez les options DHCP par défaut du VCN pour utiliser un résolveur DNS personnalisé et définissez les serveurs DNS sur les adresses IP des machines virtuelles DNS.
- Ajoutez une nouvelle entrée de zone DNS circulaire pour le nom de domaine qualifié complet d'équilibreur de charge privé avec une durée de vie faible.
- Ajoutez deux enregistrements A avec les adresses IP des deux équilibreurs de charge privés.
- Utilisez le nom de domaine qualifié complet de l'équilibreur de charge privé lorsque vous accédez à l'équilibreur de charge privé.
Comprendre la conception haute disponibilité d'FastConnect et de VPN
Découvrez comment concevoir votre réseau pour la redondance de sorte qu'il réponde aux exigences des VPN IPSec Oracle Cloud Infrastructure et du contrat de niveau de service FastConnect, afin de garantir des connexions réseau hautement disponibles, tolérant les pannes, essentielles aux systèmes bien conçus.
- Planifiez une maintenance régulière par Oracle, votre fournisseur ou votre propre organisation.
- Evitez les points d'échec uniques, même si vous prévoyez d'utiliser plusieurs interfaces pour la disponibilité. Les connexions haute disponibilité nécessitent du matériel redondant, même en cas de connexion à partir du même emplacement physique.
- Envisagez une approche à double fournisseur pour garantir la diversité du réseau lors de la sélection des fournisseurs FastConnect.
- Provisionner une capacité réseau suffisante pour garantir que la défaillance d'une connexion réseau ne submerge pas et ne dégrade pas les connexions redondantes.
Planifier la haute disponibilité pour les connexions VPN IPSec
Vous pouvez choisir d'implémenter des connexions VPN IPSec pour connecter votre centre de données à Oracle Cloud Infrastructure. Une connexion VPN IPSec est facile à configurer et rentable.
Pour activer la redondance, chaque passerelle de routage dynamique Oracle Cloud Infrastructure (DRG) dispose de plusieurs adresses VPN, de sorte que chaque connexion VPN IPSec se compose de plusieurs tunnels IPSec redondants qui utilisent des routages statiques pour acheminer le trafic. Pour garantir une haute disponibilité, vous devez configurer des connexions VPN au sein de votre réseau interne afin d'utiliser l'un ou l'autre chemin si nécessaire, comme illustré dans le diagramme suivant :
Description de l'illustration vpn-redundancy.png
Si vos centres de données couvrent plusieurs emplacements géographiques, nous vous recommandons d'utiliser un CIDR étendu (0.0.0.0/0) comme routage statique en plus du CIDR de l'emplacement géographique spécifique. Ce CIDR étendu offre une haute disponibilité et une flexibilité à la conception de votre réseau.
Par exemple, le diagramme suivant présente deux réseaux dans des zones géographiques distinctes qui se connectent chacun à Oracle Cloud Infrastructure. Chaque zone dispose d'un routeur sur site unique, de sorte que deux connexions VPN IPSec peuvent être créées. Chaque connexion VPN IPSec comporte deux routages statiques : un pour le CIDR de la zone géographique particulière et un routage statique 0.0.0.0/0 large.
Description de l'illustration redondance-multiple-onprem-network.png
Dans un scénario, le routeur CPE 1 du diagramme précédent tombe en panne. Si le sous-réseau 1 et le sous-réseau 2 peuvent communiquer entre eux, l'VCN est toujours en mesure d'accéder aux systèmes du sous-réseau 1 en raison de la route statique 0.0.0.0/0 menant au CPE 2. Le schéma suivant illustre ce scénario :
Description de l'illustration vpn-redundancy-multiple-onprem-networks-failover.png
Dans un autre scénario, vous ajoutez une nouvelle zone géographique avec le sous-réseau 3 et vous la connectez au sous-réseau 2. Vous ajouteriez une règle de routage à la table de routage de votre VCN pour le sous-réseau 3 afin que le VCN puisse atteindre les systèmes du sous-réseau 3 sans créer de connexion VPN en raison du routage statique 0.0.0.0/0 qui va au CPE 2. Le schéma suivant illustre ce scénario :
Description de l'illustration vpn-redundancy-additional-onprem-network.png
Planifier la haute disponibilité pour les circuits FastConnect
Oracle Cloud Infrastructure FastConnect permet de créer facilement une connexion privée dédiée entre le centre de données et Oracle Cloud Infrastructure. FastConnect offre des options de bande passante plus élevée et une expérience réseau plus fiable et homogène par rapport aux connexions Internet.
- Utilisez l'appairage privé pour étendre votre infrastructure existante vers un réseau cloud virtuel (VCN) dans Oracle Cloud Infrastructure (par exemple, pour implémenter un cloud hybride ou dans un scénario de migration directe). La communication sur la connexion s'effectue avec des adresses privées IPv4 (généralement, RFC 1918).
- Utilisez l'appairage public pour accéder aux services publics dans Oracle Cloud Infrastructure sans utiliser Internet (par exemple, pour accéder à la console et aux API Oracle Cloud Infrastructure ou à des équilibreurs de charge publics dans votre VCN). La communication sur la connexion s'effectue avec des adresses IP publiques IPv4. Sans FastConnect, le trafic destiné aux adresses IP publiques serait acheminé via Internet. Avec FastConnect, le trafic passe par votre connexion physique privée.
Vous pouvez vous connecter directement aux routeurs Oracle Cloud Infrastructure aux points de présence du fournisseur ou utiliser l'un des nombreux partenaires d'Oracle pour vous connecter à vos ressources Oracle Cloud Infrastructure Networking à partir de POP du monde entier. Oracle fournit des fonctionnalités qui vous permettent de créer des connexions tolérant les pannes, notamment plusieurs POP par région et plusieurs routeurs FastConnect par POP.
- Plusieurs emplacements FastConnect dans chaque zone de métro
- Plusieurs routeurs à chaque emplacement FastConnect
- Plusieurs circuits physiques à chaque emplacement FastConnect
- Redondance de domaine de disponibilité : connectez-vous à n'importe quel emplacement FastConnect et à n'importe quel service d'accès situé dans n'importe quel domaine de disponibilité d'une région. Cette configuration assure la résilience du domaine de disponibilité via plusieurs POP par région. Les connexions d'appairage prennent fin sur les routeurs du POP.
- Redondance de l'emplacement du centre de données : connectez-vous à deux emplacements FastConnect différents par région.
- Redondance de routeur : connectez-vous à deux routeurs différents par emplacement FastConnect.
- Redondance des circuits : posez plusieurs connexions physiques à l'un des emplacements FastConnect. Chacun de ces circuits peut avoir plusieurs liaisons physiques dans une interface agrégée/LAG, ce qui ajoute un autre niveau de redondance.
- Redondance des partenaires/fournisseurs : connectez-vous aux emplacements FastConnect en utilisant un ou plusieurs partenaires.
- Colocalisation (vitesse de port de 10 Gbits/s) : en effectuant une colocalisation avec Oracle à un emplacement FastConnect
- Fournisseur Oracle (vitesses de port par incréments de 1 Gbit/s et 10 Gbits/s) : en se connectant à un fournisseur Oracle
Pour le scénario de fournisseur Oracle, nous vous recommandons de configurer des circuits redondants avec deux emplacements FastConnect différents par le même fournisseur ou différents fournisseurs. Avec cette configuration, vous pouvez bénéficier d'une redondance aux niveaux des circuits et du centre de données. Le diagramme suivant illustre la connexion FastConnect avec deux circuits virtuels et deux emplacements FastConnect différents :
Description de l'illustration fastconnect-multiple-fc-locations.png
Les partenaires FastConnect d'Oracle disposent de liens redondants vers le réseau Oracle. En tant que client du partenaire, vous devez disposer de liens redondants vers le réseau du partenaire. Ces connexions doivent se trouver sur des routeurs différents, à la fois dans votre réseau et dans le réseau du partenaire. Lorsque vous provisionnez des circuits virtuels, provisionnez-les sur vos multiples liaisons de fournisseur.
Le schéma suivant illustre les connexions redondantes suivantes :
Description de l'illustration fastconnect-dual-vc.png
- Eviter l'impact pendant la maintenance planifiée
Lorsque vous souhaitez effectuer des opérations de maintenance sur l'un de vos routeurs, vous pouvez configurer votre préférence locale BGP (Border Gateway Protocol) sur les routages appris sur leur circuit virtuel afin que la préférence locale soit plus élevée sur le routeur qui restera en service. La préférence locale BGP est utilisée pour modifier la préférence de trafic sortant dans un réseau sur site.
Vous pouvez modifier le trafic d'Oracle vers votre réseau à l'aide de l'extension AS BGP. Sur le routeur où la maintenance sera effectuée, ajoutez au début votre numéro AS BGP local. Ce faisant, le réseau Oracle Cloud préfère le circuit virtuel FastConnect qui possède le chemin AS le plus court.
Une fois que vous avez modifié les préférences locales BGP et l'ajout de préfixe AS, surveillez les compteurs d'interface de circuit virtuel de votre routeur et vérifiez que les débits de compteur de paquets entrants et sortants sont très faibles. Le seul trafic restant sur la liaison doit être le trafic de protocole BGP.
- Test continu des chemins redondants
Lors d'un fonctionnement normal, nous vous recommandons d'utiliser tous les chemins disponibles entre votre réseau sur site et Oracle Cloud. Ainsi, en cas de panne, le chemin redondant fonctionne déjà. Sinon, l'utilisation d'une conception active/de sauvegarde signifie que votre chemin de sauvegarde fonctionnera en cas d'échec. Pour cette raison, vous devez envisager d'utiliser des préférences locales BGP et une longueur de chemin AS BGP identiques.
Utiliser le VPN IPSec et FastConnect
Pour bénéficier d'un niveau de redondance supplémentaire, vous pouvez configurer le VPN IPSec et FastConnect afin de connecter vos centres de données sur site à Oracle Cloud Infrastructure.
Lorsque vous configurez une connexion VPN IPSec et des circuits virtuels FastConnect sur le même DRG, n'oubliez pas que le VPN IPSec utilise des routages statiques, mais qu'FastConnect utilise BGP. Oracle Cloud Infrastructure utilise un routage pour chacun des sous-réseaux de votre VCN sur la session BGP du circuit virtuel FastConnect, et remplace le comportement de sélection d'acheminement par défaut afin de privilégier les routages BGP aux routages statiques si un routage statique chevauche un routage annoncé par votre réseau on-premise. Le diagramme suivant illustre cette configuration :
