Gateway di instradamento dinamico

Utilizzo di DRG e collegamenti DRG

Quando si crea un DRG, è necessario specificare il compartimento in cui si desidera che risieda il DRG. Il posizionamento del gateway DRG in un compartimento consente di limitare il controllo dell'accesso. Se non sei sicuro di quale compartimento usare, metti il DRG nello stesso compartimento di una VCN che usi regolarmente. Per ulteriori informazioni, vedere Controllo accesso.

Facoltativamente, è possibile assegnare un nome descrittivo al DRG. Non deve essere unico e puoi cambiarlo in seguito. Oracle assegna automaticamente al DRG un identificativo univoco denominato OCID (Oracle Cloud ID). Per ulteriori informazioni, vedere Identificativi delle risorse.

Per utilizzare un DRG, è necessario collegarlo ad altre risorse di rete. Nell'API, il processo di collegamento crea un oggetto DrgAttachment con il proprio OCID. Il campo DrgAttachment contiene un tipo che indica il tipo di oggetto collegato al DRG. Il campo del tipo può essere impostato su uno dei seguenti valori:

• VCN
• VIRTUAL_CIRCUIT
• IPSEC_TUNNEL
• REMOTE_PEERING_CONNECTION
• LOOPBACK (per ulteriori dettagli, vedere Allegati LOOPBACK).

Per collegare una VCN a un DRG, utilizzare l'operazione CreateDrgAttachment o la console per creare in modo esplicito l'oggetto collegamento DRG. I collegamenti per i circuiti virtuali, i tunnel IPSec e le connessioni di peering remoto vengono creati ed eliminati automaticamente quando si crea o elimina l'oggetto di rete.

Utilizzo delle tabelle di instradamento DRG e delle distribuzioni di instradamento

Un pacchetto immette un DRG tramite un collegamento e viene instradato utilizzando le regole nella tabella di instradamento DRG assegnata a tale collegamento. È possibile assegnare la stessa tabella di instradamento a molti collegamenti DRG o creare una tabella di instradamento dedicata per ogni collegamento a seconda dei criteri di instradamento desiderati.

Quando si crea un DRG, vengono create automaticamente due tabelle di instradamento predefinite: una per i collegamenti VCN e una per tutti gli altri collegamenti. Quando una tabella di instradamento viene impostata come tabella di instradamento predefinita per un tipo di collegamento, la tabella viene assegnata ai nuovi collegamenti creati di quel tipo, a meno che non venga specificata in modo esplicito una tabella alternativa. Impossibile eliminare le tabelle di instradamento specificate come predefinite per qualsiasi tipo. Prima di provare a eliminarla, assicurarsi che una tabella di instradamento non sia impostata come tabella di instradamento predefinita per un tipo di collegamento.

Un collegamento VCN dispone di due tabelle di instradamento: una tabella di instradamento DRG per il traffico che entra nel gateway DRG e una tabella di instradamento VCN per il traffico che entra nella VCN. La tabella di instradamento DRG esiste nel DRG e viene utilizzata per instradare i pacchetti che immettono il DRG tramite il collegamento. La tabella di instradamento della VCN viene utilizzata per instradare i pacchetti che immettono la VCN tramite il collegamento. Se una tabella di instradamento VCN non è definita, una tabella implicita nascosta fornisce sempre la connettività a tutte le subnet nella VCN.

Distribuzione instradamento importazione/esportazione dinamica

Le tabelle di instradamento DRG contengono sia instradamenti statici che dinamici. Gli instradamenti statici vengono inseriti nelle tabelle mediante l'API, mentre gli instradamenti dinamici vengono importati dagli allegati e inseriti utilizzando una distribuzione instradamenti, una lista di istruzioni dichiarative contenenti criteri di corrispondenza (ad esempio un OCID o un tipo di allegato) e un'azione. È possibile utilizzare le distribuzioni di instradamento per specificare il modo in cui gli instradamenti vengono importati o esportati da o in un collegamento DRG. Per ogni DRG vengono create due distribuzioni di instradamento di importazione generate automaticamente: una per i soli instradamenti VCN e una per tutti gli instradamenti. È possibile creare altre distribuzioni di instradamento importazione.

Quando i criteri di corrispondenza di una distribuzione instradamenti includono un tipo di collegamento, gli instradamenti associati al collegamento vengono importati in modo dinamico nella tabella di instradamento DRG utilizzata dal collegamento. Quando un'istruzione viene rimossa dalla distribuzione instradamenti, gli instradamenti corrispondenti vengono rimossi dalle tabelle di instradamento DRG. Le istruzioni in una distribuzione instradamenti vengono valutate in ordine di priorità: il numero più basso ha la priorità più alta. L'ordine in cui vengono valutati i rendiconti non influisce sulla serie di preferenze per gli instradamenti importati.

Quando si creano istruzioni di distribuzione instradamenti nella console, è possibile creare un'istruzione il cui tipo di corrispondenza è "Corrispondenza con tutti". Nell'API codificare un'istruzione "match all" impostando i criteri di corrispondenza su un elenco vuoto.

Come arrivano i percorsi dinamici a un allegato?

Gli instradamenti alle reti on premise vengono pubblicati dal tunnel CPE ai collegamenti del tunnel IPSec e dei circuiti virtuali utilizzando il protocollo BGP. Gli instradamenti vengono propagati in modo dinamico da un collegamento RPC su un DRG a un collegamento RPC su un altro DRG tramite RPC connessi. Gli instradamenti dinamici in una VCN includono tutti i CIDR della subnet o tutti i CIDR VCN e tutti i CIDR di instradamento statico configurati nella tabella di instradamento VCN associata al collegamento DRG. La proprietà vcnRouteType del collegamento della VCN determina se i CIDR della subnet o i CIDR della VCN vengono propagati nel collegamento della VCN. Il funzionamento predefinito prevede l'importazione dei CIDR della subnet, ma questo funzionamento può essere modificato durante la creazione o l'aggiornamento del collegamento della VCN. Per altri dettagli, vedere Aggregazione instradamenti.

Distribuzioni instradamento esportazione dinamica

Quando un collegamento viene assegnato a una tabella di instradamento DRG, il contenuto di tale tabella può essere esportato in modo dinamico nel collegamento. Se la distribuzione di instradamento esportazione predefinita è assegnata a un collegamento, l'intero contenuto della tabella di instradamento DRG assegnata del collegamento viene esportato in modo dinamico nel collegamento. Per disabilitare le esportazioni di instradamento dinamico in un allegato, utilizzare l'operazione API removeExportDrgRouteDistribution per impostare il campo exportDrgRouteDistributionId dell'allegato su NULL. L'esportazione dell'instradamento dinamico ai collegamenti della VCN non è supportata.

Viene creata una distribuzione instradamento esportazione generata automaticamente per ogni DRG. È possibile creare e collegare altre distribuzioni instradamenti di esportazione utilizzando l'interfaccia CLI e l'API.

Limitazioni propagazione instradamento

Gli instradamenti importati da un tunnel IPSec o da un circuito virtuale non vengono mai esportati in altri collegamenti di tunnel IPSec o circuito virtuale, indipendentemente dalla configurazione della distribuzione degli instradamenti di esportazione. In una vena simile, i pacchetti che entrano in un DRG tramite un tunnel IPSec o un collegamento a un circuito virtuale non possono mai uscire da un tunnel IPSec o da un collegamento a un circuito virtuale. I pacchetti vengono eliminati se l'instradamento è configurato in modo che i pacchetti che hanno origine dai collegamenti del tunnel IPSec o dei circuiti virtuali vengano inviati ai collegamenti del tunnel IPSec o dei circuiti virtuali.

ECMP

ECMP (Equal-cost multi-path routing) consente il bilanciamento del carico basato sul flusso del traffico di rete su FastConnect circuiti virtuali o tunnel IPSec (ma non una combinazione di tipi di circuito) utilizzando BGP. ECMP consente il bilanciamento del carico attivo-attivo e il failover del traffico di rete tra un massimo di otto circuiti.

Oracle utilizza il protocollo, l'IP di destinazione, l'IP di origine, la porta di destinazione e la porta di origine per distinguere i flussi a scopo di bilanciamento del carico utilizzando un algoritmo coerente e deterministico. Pertanto, sono necessari diversi flussi per utilizzare tutta la larghezza di banda disponibile.

ECMP è disattivato per impostazione predefinita e può essere abilitato in base alla tabella per percorso. Oracle considera idonei per l'inoltro ECMP solo gli instradamenti con la stessa preferenza di instradamento. Per ulteriori informazioni, vedere Conflitti di instradamento.

Origine instradamento

Gli instradamenti DRG originano come instradamenti statici o come instradamenti dinamici dai collegamenti VCN, tunnel IPSec, circuito virtuale FastConnect o RPC. Questa origine definisce la propria origine, che è una caratteristica immutabile del percorso. Nell'interfaccia API, l'origine viene definita routeProvenance di un DrgRouteRule.

Gli instradamenti sono propagati tra DRG che utilizzano collegamenti RPC.

Gli instradamenti con un'origine IPSEC_TUNNEL o VIRTUAL_CIRCUIT non vengono esportati nei collegamenti del tunnel IPSec o dei circuiti virtuali, indipendentemente dalla distribuzione di esportazione del collegamento.

Instradamento del traffico di una subnet a un DRG

Lo scenario di instradamento di base invia il traffico da una subnet nella VCN al DRG. Ad esempio, se stai inviando traffico dalla subnet a una rete in locale, impostare una regola nella tabella di instradamento della subnet. Il CIDR di destinazione della regola è il CIDR per la rete in locale (o una subnet all'interno) e la destinazione della regola è il DRG. Per ulteriori informazioni, consulta le tabelle di instradamento VCN.

Criterio IAM necessario

Il peering di VCN che utilizzano un DRG richiede autorizzazioni IAM specifiche. Per i dettagli sulle autorizzazioni necessarie, vedere Criteri IAM per l'instradamento tra VCN.

Versioni DRG

I DRG creati prima del 17 maggio 2021 utilizzano il software legacy e possono essere aggiornati alla versione più recente. I DRG creati dopo che hanno le funzioni aggiornate per impostazione predefinita.

Di seguito viene riportata la differenza tra un DRG aggiornato e un DRG precedente.

Un DRG legacy:

• Nessuna tabella di instradamento programmabile. Ha un funzionamento di instradamento predefinito in cui tutto il traffico viene inoltrato dall'ambiente on premise a una VCN associata e dalla VCN all'ambiente on premise.
• Può essere collegato a una singola VCN. Il gateway DRG può collegarsi a un altro gateway DRG per il peering VCN remoto utilizzando un RPC.
• Può allegare FastConnect o VPN da sito a sito o entrambi. È possibile raggiungere le risorse solo nell'area locale utilizzando queste connessioni.
• Può supportare una connessione RPC con una coppia DRG-VCN remota nella stessa tenancy. Consulta la sezione relativa al peering VCN remoto mediante un DRG legacy per informazioni sul peering remoto utilizzando un DRG legacy.

Un DRG aggiornato:

• Dispone di due tabelle di instradamento per impostazione predefinita e altre possono essere aggiunte in seguito.
• Può essere collegato a più VCN all'interno della stessa area. Il traffico tra la VCN locale e la VCN può passare attraverso un DRG connesso a vicenda anziché un GPL. Per i dettagli, consulta la sezione relativa al peering VCN locale tramite un DRG aggiornato.
• Può collegarsi all'ambiente on premise utilizzando la VPN da FastConnect orSite a sito o entrambe. Queste connessioni consentono di raggiungere le risorse sia nelle aree locali che in quelle remote.
• Supporta una connessione RPC con una coppia DRG/VCN nella stessa tenancy o in un'altra tenancy. Per ulteriori informazioni sul peering remoto utilizzando un DRG aggiornato, consulta la sezione relativa al peering VCN remoto tramite un DRG aggiornato.

Il resto di questo articolo è stato recentemente aggiornato per riflettere le funzionalità di un DRG aggiornato, così come gli scenari di rete comuni. Il peering VCN remoto che utilizza un DRG legacy è l'unico scenario di instradamento o peering specifico di un DRG legacy.

Prima di eseguire l'upgrade di un DRG

Per usufruire delle funzioni DRG avanzate, eseguire l'upgrade del gateway DRG. Il processo di upgrade DRG è automatico, ma è necessario disporre delle autorizzazioni necessarie per avviare un upgrade. L'upgrade di un DRG è un processo unidirezionale senza alcuna opzione per eseguire il rollback a un DRG precedente dopo l'avvio del processo di upgrade.

Aspettatevi che ciascuno dei collegamenti del DRG venga aggiornato a sua volta, forzando ogni collegamento di upgrade a uno stato di provisioning. I collegamenti a circuiti virtuali e tunnel VPN non possono più inoltrare il traffico quando si è in uno stato di provisioning. Se hai solo un circuito virtuale, potrebbe scendere per circa 20 minuti. Anche tutte le sessioni BGP esistenti per le connessioni in locale vengono reimpostate mentre anche il collegamento e le connessioni vengono messi offline.

Se si dispone di connessioni ridondanti, prevedere il failover del traffico su altri circuiti mentre una connessione viene sottoposta ad aggiornamento. Utilizzando una configurazione ridondante, la connessione complessiva tra on premise e OCI viene gestita durante l'upgrade del DRG. Ad esempio, se un DRG dispone di due collegamenti di circuito virtuale FastConnect a una rete in locale con uno configurato come primario, mentre il circuito virtuale primario viene aggiornato, elimina la connettività, ma il traffico può comunque passare sul circuito virtuale secondario. Dopo che il primo aggiornamento è stato completato e il traffico sul circuito virtuale primario è stato ripristinato, il processo aggiorna il collegamento del circuito virtuale secondario e alla fine entrambi i circuiti virtuali sono tornati online. Il processo di upgrade dovrebbe durare fino a 30 minuti per ogni collegamento in locale. Allo stesso modo, se il processo di aggiornamento aggiorna il collegamento del circuito virtuale secondario, il traffico si interrompe su tale circuito, ma può comunque passare sul circuito virtuale primario fino a quando la connessione del circuito secondario non viene ripristinata.

Le connessioni di peering remoto e i collegamenti VCN non devono avere una reimpostazione BGP come fanno le connessioni a circuito virtuale o tunnel IPSec e l'upgrade è più veloce. Le connessioni VCN a un LPG o ad altri gateway non sono interessate, in quanto sono collegamenti nella VCN e non nel DRG.

Al termine del processo di aggiornamento del DRG, tutti i tunnel VPN da sito a sito IPSec vengono riportati online e tutte le sessioni BGP per FastConnect e VPN da sito a sito vengono ristabilite. Per impostazione predefinita, il DRG aggiornato dispone di due tabelle di instradamento DRG generate automaticamente e di distribuzioni di importazione abilitate per i collegamenti. Queste risorse sono progettate per garantire la compatibilità con le versioni precedenti di un DRG legacy e consentono a tutte le comunicazioni precedenti di riprendere in modo analogo al precedente aggiornamento, senza ulteriore intervento dell'utente.

Per istruzioni dettagliate su come aggiornare un DRG, vedere Aggiornamento di un DRG.

Scenari

Abbiamo fornito alcuni scenari di networking dettagliati per aiutarti a comprendere il ruolo di un DRG nel servizio di networking e il modo in cui i componenti lavorano insieme in generale.

Conflitti percorso

Se si osservano due instradamenti con CIDR identici nella stessa tabella di instradamento DRG, il DRG risolve il conflitto utilizzando i criteri seguenti:

1. I percorsi statici hanno sempre una preferenza maggiore rispetto ai percorsi dinamici.

   Nota
   
   Non è possibile specificare manualmente due instradamenti statici con lo stesso CIDR nella stessa tabella di instradamento DRG, ma è possibile importare in modo dinamico più instradamenti con lo stesso CIDR.
2. I conflitti tra i percorsi dinamici vengono risolti analizzando prima il percorso AS del percorso:
   • Gli instradamenti con un'origine instradamento di VCN o STATIC hanno sempre un percorso AS vuoto.
   • Gli instradamenti con un'origine di instradamento IPSEC_TUNNEL o VIRTUAL_CIRCUIT contengono dati del percorso AS (per ulteriori dettagli, vedere Dettagli di instradamento per le connessioni alla rete in locale).
3. In caso contrario, il tipo di allegato che ha importato l'instradamento viene valutato in base alla seguente priorità in base al tipo di allegato:
   1. VCN: il gateway DRG effettua una selezione arbitraria ma stabile.
   2. VIRTUAL_CIRCUIT: se ECMP è disabilitato, il DRG effettua una selezione arbitraria ma stabile. Se ECMP è abilitato, tutti gli instradamenti vengono aggiunti alla tabella di instradamento e il DRG effettua le scelte di instradamento utilizzando ECMP. La larghezza ECMP massima supportata all'interno di un DRG è 8.
   3. IPSEC_TUNNEL: se ECMP è disabilitato, il DRG crea un ECMP selection.If arbitrario ma stabile abilitato, tutti gli instradamenti vengono aggiunti alla tabella di instradamento e il DRG effettua le scelte di instradamento utilizzando ECMP. La larghezza ECMP massima supportata all'interno di un DRG è 8.

   4. REMOTE_PEERING_CONNECTION: il DRG sceglie l'instradamento con la distanza di rete più bassa.

      Se due instradamenti hanno distanze di rete identiche, il DRG seleziona l'instradamento con l'origine di instradamento con la priorità più alta (STATIC > VCN > VIRTUAL_CIRCUIT> IPSEC_TUNNEL > RPC).

      Se due instradamenti hanno la stessa origine di instradamento, il DRG effettua una selezione arbitraria ma stabile.

4. Se vengono importati instradamenti in conflitto da allegati dello stesso tipo, il conflitto viene risolto in modo diverso a seconda del tipo di allegato:
   1. Collegamenti VCN: se da due collegamenti VCN vengono importati CIDR identici, ne viene selezionato uno solo utilizzando una procedura decisionale arbitraria ma stabile.
   2. Collegamenti VIRTUAL_CIRCUIT e IPSEC_TUNNEL: se in una tabella di instradamento DRG vengono importati più instradamenti con lo stesso CIDR e lunghezze AS_PATH diverse, viene selezionato l'instradamento con la lunghezza AS_PATH più bassa. In caso contrario, un percorso viene scelto utilizzando una procedura decisionale arbitraria ma stabile.
   3. Collegamenti RPC: se i CIDR identici vengono importati da due collegamenti RPC, uno di essi viene scelto utilizzando una procedura decisionale stabile e arbitraria.

È possibile osservare i risultati della risoluzione dei conflitti elencando il contenuto della tabella di instradamento. I percorsi non più validi sono contrassegnati con lo stato "conflitto".

Aggregazione instradamenti

Come descritto in RFC-1338, l'aggregazione dei percorsi consente di "pubblicare un singolo percorso aggregato che descrive tutte le destinazioni in esso contenute" invece di pubblicizzare un percorso separato per ciascun client. L'esempio principale di ciò in OCI Networking si verifica quando si configura un collegamento VCN di un DRG per importare i CIDR VCN anziché i CIDR della subnet, semplificando in tal modo gli instradamenti pubblicati da BGP. A seconda dell'architettura di rete, è anche possibile scegliere di:

• Utilizzare instradamenti statici invece delle distribuzioni di importazione nel DRG per riepilogare in modo ancora più ristretto (l'ambito di questo è limitato al collegamento specifico).
• Aggrega tra più collegamenti introducendo un secondo DRG e rendendo i collegamenti aggregati disponibili solo tramite un RPC in un altro DRG

Altre forme di aggregazione instradamenti non sono disponibili.

Limitazioni

Alcune funzioni potrebbero sembrare possibili, ma le seguenti funzioni di instradamento non sono consentite:

• Creazione o eliminazione esplicita di collegamenti RPC, tunnel IPSec o circuiti virtuali
• Instradamenti statici nelle tabelle di instradamento DRG con hop successivo del tunnel IPSec o dei collegamenti dei circuiti virtuali
• Utilizzo di distribuzioni instradamenti esportazione non predefinite
• Esportazione instradamento dinamico nei collegamenti VCN
• Percorsi che si propagano attraverso RPC attraverso più di 4 DRG