Peering VCN locale mediante Local Peering Gateway
Questo argomento riguarda il peering VCN locale. In questo caso, locale indica che le reti VCN risiedono nella stessa area. Se le VCN si trovano in aree diverse, consulta la sezione relativa al peering VCN remoto mediante un DRG legacy.
I Local Peering Gateway sono ancora supportati. In questo scenario si presuppone che si stia utilizzando un DRG precedente. Oracle consiglia attualmente di instradare il traffico da una VCN a un'altra tramite un DRG aggiornato, come descritto nella sezione Peering VCN locale tramite un DRG aggiornato.
Panoramica del peering VCN locale
Il peering VCN locale è il processo di connessione di due VCN nella stessa area in modo che le relative risorse possano comunicare utilizzando indirizzi IP privati senza instradare il traffico su Internet o attraverso la rete on premise. I VCN possono trovarsi nella stessa tenancy di Oracle Cloud Infrastructure o in altri ambienti. Senza il peering, una determinata VCN avrebbe bisogno di un gateway Internet e indirizzi IP pubblici per le istanze che devono comunicare con un'altra VCN.
Per informazioni relative ai limiti, vedere Limiti gateway e Richiesta di un aumento del limite del servizio.
Per ulteriori informazioni, consulta la sezione relativa all'accesso ad altre VCN: Peering.
Riepilogo dei componenti di networking per il peering con un GPL
A un livello elevato, i componenti del servizio di networking necessari per un peering locale includono:
- Due VCN con CIDR non sovrapposti, nella stessa area
- Gateway di peering locale (LPG) su ogni VCN nella relazione di peering.
- Una connessione tra questi due GPL.
- Supporto delle regole di instradamento per consentire al traffico di fluire sulla connessione e solo verso e da subnet selezionate nelle rispettive VCN (se desiderato).
- Supporto di regole di sicurezza per controllare i tipi di traffico consentiti verso e dalle istanze nelle subnet che devono comunicare con l'altra VCN.
Il seguente diagramma descrive i componenti.
Una determinata VCN può utilizzare i GPL sottoposti a peering per raggiungere queste risorse:
- VNIC nell'altra VCN
- Una rete in locale collegata all'altra VCN, se per le VCN è stato impostato uno scenario di instradamento avanzato denominato instradamento del transito
Una VCN non può utilizzare la propria VCN in peer per raggiungere altre destinazioni al di fuori delle VCN (come Internet). Ad esempio, se la VCN-1 nel diagramma precedente doveva disporre di un gateway Internet, le istanze della VCN-2 non potevano utilizzarla per inviare traffico agli endpoint su Internet. Tuttavia, la rete VCN-2 potrebbe ricevere traffico da Internet tramite la rete VCN-1. Per ulteriori informazioni, vedere Implicazioni importanti del peering VCN.
Accordo esplicito richiesto da entrambi i lati
Il peering coinvolge due VCN che potrebbero essere di proprietà della stessa parte o di due diversi. Le due parti potrebbero essere entrambe nella tua azienda, ma in diversi reparti. Oppure le due parti potrebbero trovarsi in società completamente diverse (ad esempio, in un modello di fornitore di servizi).
Il peering tra due VCN richiede l'accordo esplicito di entrambe le parti sotto forma di criteri di Oracle Cloud Infrastructure Identity and Access Management che ciascuna parte implementa per il compartimento o la tenancy della propria VCN. Se le reti VCN si trovano in tenancy diverse, ogni amministratore deve fornire la propria tenancy OCID e mettere in atto istruzioni di criteri speciali per abilitare il peering.
Scenario avanzato: instradamento transito
Lo scenario di instradamento avanzato denominato instradamento del transito consente la comunicazione tra una rete in locale e più VCN su una singola Oracle Cloud Infrastructure FastConnect o una VPN site-to-site. I VCN devono trovarsi nella stessa area ed essere sottoposti a peering locale in un layout hub e spoke. Nell'ambito dello scenario, la VCN che funge da hub dispone di una tabella di instradamento associata a ciascun GPL (in genere, le tabelle di instradamento sono associate alle subnet di una VCN).
Quando si crea un GPL, è possibile associarvi facoltativamente una tabella di instradamento. In alternativa, se si dispone già di un GPL esistente senza una tabella di instradamento, è possibile associare una tabella di instradamento a tale tabella. La tabella di instradamento deve appartenere alla VCN del GPL. Una tabella di instradamento associata a un GPL può contenere solo regole che utilizzano il DRG collegato della VCN come destinazione. Può anche supportare gli instradamenti dell'hop successivo dell'IP privato a un'istanza nella VCN.
Un GPL può esistere senza una tabella di instradamento associata. Tuttavia, dopo aver associato una tabella di instradamento a un LPG, deve essere sempre associata a una tabella di instradamento. È tuttavia possibile associare una tabella di instradamento diversa. È inoltre possibile modificare le regole della tabella oppure eliminare alcune o tutte le regole.
Importanti concetti di peering locale
I concetti riportati di seguito consentono di comprendere le nozioni di base del peering VCN e di stabilire un peering locale.
- PEERING
- Un peering è una singola relazione di peering tra due VCN. Esempio: se i peer VCN-1 con altre tre VCN, esistono tre peer. La parte locale del peering locale indica che i VCN si trovano nella stessa area. Una VCN specifica può avere al massimo 10 peering locali alla volta.
- AMMINISTRATORI VCN
- In generale, il peering VCN può verificarsi solo se entrambi gli amministratori della VCN lo accettano. In pratica, ciò significa che i due amministratori devono:
- ACCETTATORE E RICHIEDENTE
- Per implementare i criteri IAM necessari per il peering, i due amministratori della VCN devono assegnare un amministratore come richiedente e l'altro come accettore. Il richiedente deve essere quello per avviare la richiesta di connessione dei due GPL. A sua volta, l'accettante deve creare un determinato criterio IAM che conceda al richiedente l'autorizzazione a connettersi ai GPL nel compartimento dell'accettante. Senza tale criterio, la richiesta di connessione del richiedente non riesce.
- LOCAL PEERING GATEWAY (LPG)
- Un local peering gateway (LPG) è un componente di una VCN per l'instradamento del traffico a una VCN in peering locale. Nell'ambito della configurazione delle VCN, ogni amministratore deve creare un GPL per la propria VCN. Una VCN specifica deve disporre di un GPL separato per ogni peering locale stabilito (massimo 10 GPL per VCN). Per continuare con l'esempio precedente: la VCN-1 avrebbe tre GPL da peer con altre tre VCN. Nell'API, LocalPeeringGateway è un oggetto che contiene informazioni sul peering. Non è possibile riutilizzare un GPL per stabilire in seguito un altro peering.
- CONNESSIONE PEERING
- Quando il richiedente avvia la richiesta di peer (nella console o nell'API), chiede effettivamente di connettere i due GPL. Il richiedente deve disporre di informazioni per identificare ogni GPL (come il compartimento e il nome del GPL o l'OCID del GPL). Ogni amministratore deve mettere in atto i criteri IAM necessari per il proprio compartimento o tenancy.
- INSTRADAMENTO A LPN
- Nell'ambito della configurazione delle VCN, ogni amministratore deve aggiornare l'instradamento della VCN per consentire il flusso del traffico tra le VCN. In pratica, questo sembra l'instradamento impostato per qualsiasi gateway (ad esempio un gateway Internet o un gateway di instradamento dinamico). Per ogni subnet che deve comunicare con l'altra VCN, devi aggiornare la tabella di instradamento della subnet. La regola di instradamento specifica il CIDR e il GPL del traffico di destinazione come destinazione. Il GPL instrada il traffico che corrisponde a quella regola per l'altro GPL, che a sua volta instrada il traffico all'hop successivo nell'altra VCN.
-
Callout 1: Tabella di instradamento subnet A CIDR di destinazione Destinazione instradamento 0.0.0.0/0 Gateway Internet 172.16.0.0/12 DRG 192.168.0.0/16 LPG-1 Callout 2: Tabella di instradamento X subnet CIDR di destinazione Destinazione instradamento 10.0.0.0/16 LPG-2 - REGOLE DI SICUREZZA
- Ogni subnet in una VCN dispone di uno o più elenchi di sicurezza che controllano il traffico in entrata e in uscita dalle VNIC della subnet a livello di pacchetto. È possibile utilizzare gli elenchi di sicurezza per controllare il tipo di traffico consentito con l'altra VCN. Nell'ambito della configurazione delle VCN, ogni amministratore deve scegliere quali subnet nella propria VCN devono comunicare con le VNIC nell'altra VCN e aggiornare gli elenchi di sicurezza della subnet in modo che corrispondano.
Implicazioni importanti del peering VCN
Se non lo si è ancora fatto, leggere Implicazioni importanti del peering per comprendere importanti implicazioni relative al controllo dell'accesso, alla sicurezza e alle prestazioni per le VCN sottoposte a peering.
Impostazione di un peering locale
Ecco il processo generale per impostare un peering tra due VCN nella stessa area:
- Crea i GPL: ogni amministratore della VCN crea un GPL per la propria VCN.
- Condividi informazioni: gli amministratori condividono le informazioni di base necessarie.
- Impostare i criteri IAM necessari per la connessione: gli amministratori impostano i criteri IAM per abilitare la connessione da stabilire.
- Stabilire la connessione: il richiedente connette i due GPL.
- Aggiorna tabelle di instradamento: ogni amministratore aggiorna le tabelle di instradamento della propria VCN in modo da abilitare il traffico tra le VCN sottoposte a peering in base alle esigenze.
- Aggiorna regole di sicurezza: ogni amministratore aggiorna le regole di sicurezza della propria VCN per abilitare il traffico tra le VCN sottoposte a peering in base alle esigenze.
Se lo si desidera, gli amministratori possono eseguire i task E e F prima di stabilire la connessione. In tal caso, ogni amministratore deve conoscere il blocco CIDR o subnet specifiche della VCN dell'altra e condividerlo nel task B. Una volta stabilita la connessione, puoi anche ottenere il blocco CIDR dell'altra VCN visualizzando i dettagli del tuo GPL nella console. Cercare il CIDR pubblicato di peer. In alternativa, se si utilizza l'API, vedere il parametro peerAdvertisedCidr.
Dovrai anche preconfigurare alcune impostazioni IAM come i gruppi prima di passare attraverso il processo passo-passo.
Vedere le istruzioni nella sezione Creazione di un Local Peering Gateway.
Se entrambe le VCN si trovano nella stessa tenancy, utilizzare il criterio in Peering locale utilizzando un LPG (VCN nella stessa tenancy).
Se le VCN si trovano in tenancy diverse, utilizzare il criterio in Peering locale utilizzando un LPG (VCN in tenancy diverse).
Vedere le istruzioni nella sezione Connessione a un altro GPL.
Configurare le tabelle di instradamento in modo che utilizzino le informazioni relative alle altre VCN fornite nel task B: condivisione delle informazioni, utilizzando le istruzioni riportate in Configurazione delle tabelle di instradamento VCN per l'uso di un GPL.
Configurare le regole di sicurezza per utilizzare le informazioni per le altre VCN fornite nel task B: condivisione delle informazioni, utilizzando le istruzioni riportate in Configuring Security Rules to Use an LPG.