Tabelle di instradamento VCN

Utilizzo delle tabelle di instradamento e delle regole di instradamento

Ogni VCN viene fornita automaticamente con una tabella di instradamento predefinita contenente regole implicite che includono gli instradamenti per i CIDR VCN. Se non si specifica altrimenti, ogni subnet utilizza la tabella di instradamento predefinita della VCN. Quando si aggiungono regole di instradamento a una VCN, è possibile aggiungerle alla tabella predefinita. Tuttavia, se necessario, puoi creare tabelle di instradamento personalizzate per ogni subnet. Ad esempio, quando in una VCN sono presenti una subnet pubblica e una subnet privata (ad esempio, vedere Scenario C: Subnet pubbliche e private con una VPN), è necessario utilizzare tabelle di instradamento diverse per le subnet perché le regole di instradamento per le subnet devono essere diverse.

Ogni subnet in una VCN utilizza una singola tabella di instradamento. Quando si crea la subnet, è necessario specificarne una da utilizzare. È possibile modificare la tabella di instradamento utilizzata dalla sottorete in qualsiasi momento. È inoltre possibile modificare le regole di una tabella di instradamento o rimuovere tutte le regole dalla tabella.

Facoltativamente, è possibile assegnare un nome descrittivo a una tabella di instradamento personalizzata durante la creazione. Non deve essere unico e puoi cambiarlo in seguito. Oracle assegna automaticamente alla tabella di instradamento un identificativo univoco denominato OCID (Oracle Cloud ID). Per ulteriori informazioni, vedere Identificativi delle risorse.

Una regola di instradamento specifica un blocco CIDR di destinazione e la destinazione (l'hop successivo) per qualsiasi traffico corrispondente al CIDR. Di seguito sono riportati i tipi di destinazioni consentiti per una regola di instradamento.

• Gateway di instradamento dinamico (DRG): per le subnet che richiedono l'accesso privato alle reti connesse a una VCN (ad esempio, una rete in locale connessa a una VPN da sito a sito o FastConnect, una VCN in peering nella stessa area o una VCN in peer in un'altra area).
• Gateway Internet: per le subnet pubbliche che richiedono l'accesso diretto a Internet.
• Gateway NAT: per subnet con istanze che non dispongono di indirizzi IP pubblici ma richiedono l'accesso in uscita a Internet.
• Gateway di servizi: per le subnet che richiedono l'accesso privato ai servizi Oracle come lo storage degli oggetti.
• Gateway di peering locale (LPG): per le subnet che richiedono l'accesso privato a una VCN in peering nella stessa area.
• IP privato: per le subnet che devono instradare il traffico a un'istanza nella VCN. Per ulteriori informazioni, vedere Utilizzo di un IP privato come destinazione di instradamento. Vedere anche Panoramica sull'instradamento per una VCN.

Quando si aggiunge una regola di instradamento a una tabella di instradamento, è necessario fornire il blocco e la destinazione CIDR di destinazione (oltre al compartimento in cui si trova la destinazione). Eccezione: se la destinazione è un gateway di servizi , anziché un blocco CIDR di destinazione, si specifica una stringa fornita da Oracle che rappresenta gli endpoint pubblici per il servizio di interesse. In questo modo non è necessario conoscere tutti i blocchi CIDR del servizio, che potrebbero cambiare nel tempo.

Se si configura una regola in modo errato (ad esempio, immettere il blocco CIDR di destinazione errato), il traffico di rete che si intendeva instradare potrebbe essere eliminato (in modalità blackholed) o inviato a una destinazione non intenzionale.

È possibile spostare una tabella di instradamento da un compartimento a un altro. Lo spostamento di una tabella di instradamento non influisce sul relativo collegamento a VCN o subnet. Quando si sposta una tabella di instradamento in un nuovo compartimento, i criteri intrinseci vengono applicati immediatamente e influiscono sull'accesso alla tabella di instradamento. Per ulteriori informazioni, vedere Controllo dell'accesso.

Non è possibile eliminare la tabella di instradamento predefinita di una VCN. Per eliminare una tabella di instradamento personalizzata, non deve essere associata a una subnet o a un gateway, ad esempio DRG, LPG, IGW, NGW o SGW.

Per esaminare un elenco dei limiti applicabili e le istruzioni per richiedere un incremento del limite, consulta i limiti del servizio.

Instradamento intra-VCN

L'instradamento all'interno della VCN consente di eseguire l'override delle decisioni di instradamento predefinite applicate al traffico destinato agli indirizzi IP contenuti nel blocco CIDR della VCN. L'instradamento all'interno della VCN prevede le funzionalità riportate di seguito.

• Instradamenti locali: ogni VCN instrada automaticamente il traffico all'interno della VCN e tra le subnet della VCN, a meno che non si aggiungano regole di instradamento che dichiarino il contrario. Il traffico locale utilizza la tabella di instradamento associata alla subnet, incluso l'instradamento locale all'interno del CIDR VCN.
• Instradamenti VCN interni personalizzati: si tratta di regole di instradamento create nella VCN o nella tabella di instradamento della subnet per il traffico intra-VCN, che possono sostituire i normali instradamenti locali. Tutti gli instradamenti VCN interni personalizzati dispongono di una destinazione (DRG, LPG o IP privato nella VCN) e di un tipo di instradamento statico.
• Selezione instradamento migliore: viene selezionata la corrispondenza prefisso più lunga (o l'instradamento più specifico). Quando sono possibili più instradamenti per lo stesso prefisso, l'instradamento migliore viene selezionato in base alla priorità del tipo di instradamento seguente:
  1. Instradamenti statici (definiti dall'utente)
  2. Instradamenti locali impliciti (creati automaticamente da OCI) non visibili nella tabella di instradamento
• IPv6: OCI supporta l'instradamento intra-VCN per i prefissi VCN IPv6.

Uso instradamento VCN interno

La seguente immagine mostra un esempio di instradamento interno:

Instradamento per risorsa

Puoi utilizzare l'instradamento per risorsa per assegnare una tabella di instradamento VCN personalizzata a una o più VNIC o a determinati indirizzi IP su una VNIC. Un indirizzo IP con una tabella di instradamento assegnata può essere un indirizzo IP primario o secondario per la VNIC. Con l'instradamento per risorsa, si applica una preferenza gerarchica in base alla tabella di instradamento da utilizzare per la ricerca dell'instradamento: la tabella di instradamento nell'indirizzo IP viene preferita rispetto alla tabella di instradamento nella VNIC e la tabella di instradamento in una VNIC viene preferita rispetto alla tabella di instradamento nella subnet. Ecco il processo di selezione della tabella di instradamento:

1. Se all'indirizzo IP della VNIC è associata una tabella di instradamento personalizzata, questa tabella di instradamento viene utilizzata per instradare il traffico dall'indirizzo IP.
2. Se un indirizzo IP VNIC non dispone di una propria tabella di instradamento, la tabella di instradamento a livello di VNIC viene utilizzata per instradare il traffico dall'indirizzo IP.
3. Se a una VNIC è associato un instradamento in grado, tutti gli indirizzi IP nella VNIC ai quali non è associata una tabella di instradamento utilizzano la tabella di instradamento della VNIC.
4. Se a una VNIC non è associata una tabella di instradamento, tutti gli indirizzi IP nella VNIC a cui non è associata una tabella di instradamento utilizzano la tabella di instradamento della subnet.

L'immagine seguente mostra un esempio di utilizzo dell'instradamento per risorsa:

In questo esempio, un'istanza di OCI Compute con due VNIC nella stessa subnet dispone di un'applicazione in esecuzione che deve accedere a Internet e anche ai database o ad altre risorse nel data center on premise. L'applicazione utilizza la VNIC A per tutto il traffico limitato per una rete in locale e la VNIC B per tutto il traffico limitato da Internet. L'amministratore della rete cloud può associare una tabella di instradamento personalizzata alla VNIC A in cui l'instradamento predefinito prevede il DRG come destinazione e instrada tutto il traffico dalla VNIC A al DRG. Una seconda tabella di instradamento personalizzata è associata alla VNIC B in cui l'instradamento predefinito prevede il gateway Internet come destinazione e instrada tutto il traffico dalla VNIC B al gateway Internet.

Un vantaggio qui è che, poiché si tratta di regole statiche, le regole vengono isolate dalle modifiche nei blocchi CIDR utilizzati nel data center on-premise. Tutte le modifiche apportate all'ambiente on premise vengono condivise con il gateway DRG mediante la pubblicità BGP e le tabelle di instradamento VCN possono essere semplici e stabili.

Instradamento in entrata gateway

Criterio IAM necessario

Casi d'uso generali

OCI utilizza la tabella di instradamento di una subnet per instradare il traffico a un indirizzo IP di destinazione esterno alla subnet. Se la destinazione si trova al di fuori della VCN, in genere si imposta una regola di instradamento per instradare il traffico a un gateway nella VCN (ad esempio, un gateway DRG connesso a una rete in locale o a un'altra VCN o a un gateway Internet connesso a Internet). Se la destinazione si trova in un'altra subnet della stessa VCN, per impostazione predefinita il traffico viene instradato utilizzando l'instradamento locale per il CIDR VCN. Tuttavia, potresti voler instradare prima tale traffico tramite un'istanza nella VCN. In questo caso, puoi usare un IP privato nella VCN come destinazione anziché come gateway nella VCN. Ecco alcuni motivi per cui potresti farlo:

• Implementare un'appliance di rete virtuale (NVA, Virtual Network Appliance), ad esempio un firewall o un rilevamento delle intrusioni, che filtra il traffico in uscita dalle istanze.
• Per gestire una rete di overlay sulla VCN, che ti consente di eseguire i carichi di lavoro di orchestrazione dei container.
• Per implementare la conversione NAT (Network Address Translation) nella VCN. Si noti che Oracle consiglia invece di utilizzare un gateway NAT con la VCN. In generale, NAT crea l'accesso a Internet in uscita per le istanze che non dispongono di connettività Internet diretta.

Per implementare questi casi d'uso, è necessario molto di più dell'instradamento del traffico all'istanza. La configurazione è obbligatoria anche sull'istanza stessa.

Requisiti per l'uso di un IP privato come destinazione

• L'IP privato deve trovarsi nella stessa VCN della tabella di instradamento.
• La VNIC dell'IP privato deve essere configurata per saltare il controllo di origine/destinazione in modo che la VNIC possa inoltrare il traffico. Per impostazione predefinita, le VNIC sono configurate per eseguire il controllo. Per ulteriori informazioni, vedere Panoramica delle VNIC e delle NIC fisiche.
• È necessario configurare l'istanza stessa per inoltrare i pacchetti.

• La regola di instradamento deve specificare l'OCID dell'IP privato come destinazione e non l'indirizzo IP stesso. Eccezione: se si utilizza la console, è possibile specificare l'indirizzo IP privato stesso come destinazione e la console utilizza l'OCID corrispondente all'indirizzo IP privato nella regola.

  Importante
  
  

  Una regola di instradamento con una destinazione IP privata può risultare in blackholing nei seguenti casi:

  • L'istanza a cui è assegnato l'IP privato viene arrestata o arrestata
  • La VNIC alla quale è assegnato l'IP privato viene aggiornata per abilitare il controllo di origine/destinazione oppure viene eliminata
  • L'assegnazione dell'IP privato alla VNIC viene annullata

  Quando un IP privato di destinazione viene arrestato, nella console la regola di instradamento visualizza una nota che indica che l'OCID di destinazione non esiste più.

  Per il failover: se un'istanza di destinazione viene arrestata prima di poter spostare l'IP privato secondario in standby, è necessario aggiornare la regola di instradamento in modo che utilizzi l'OCID del nuovo IP privato di destinazione in standby. La regola utilizza l'OCID della destinazione e non l'indirizzo IP privato stesso.

Processo di impostazione generale

1. Decidere l'istanza che si desidera ricevere e inoltrare il traffico.
2. Selezionare un IP privato nell'istanza (può trovarsi nella VNIC primaria dell'istanza o in una VNIC secondaria). Per implementare il failover, impostare un IP privato secondario su una delle VNIC dell'istanza.
3. Disabilitare il controllo di origine/destinazione sulla VNIC dell'IP privato. Vedere Panoramica delle VNIC e delle NIC fisiche.
4. Recupera l'OCID per l'IP privato. Se utilizzi la console, puoi ottenere l'OCID o l'indirizzo IP privato stesso, insieme al nome del compartimento dell'IP privato.
5. Per la subnet che deve instradare il traffico all'IP privato, visualizzare la tabella di instradamento della subnet. Se la tabella contiene già una regola con lo stesso CIDR di destinazione ma una destinazione diversa, eliminarla.

6. Aggiungere una regola di instradamento con gli elementi riportati di seguito.

   • Tipo di destinazione: vedere la lista dei tipi di destinazione in Panoramica sull'instradamento per una VCN. Se il tipo di destinazione è un DRG, il DRG collegato della VCN viene selezionato automaticamente come destinazione e non è necessario specificare manualmente la destinazione. Se la destinazione è un oggetto IP privato, prima di specificare la destinazione è necessario disabilitare prima il controllo di origine/destinazione nella VNIC che utilizza tale oggetto IP privato. Per ulteriori informazioni, vedere Utilizzo di un IP privato come destinazione di instradamento.
   • Blocco CIDR di destinazione: disponibile solo se la destinazione non è un gateway di servizio. Il valore è il blocco CIDR di destinazione per il traffico. È possibile fornire un blocco CIDR di destinazione specifico oppure utilizzare 0.0.0.0/0 se tutto il traffico che esce dalla subnet deve essere instradato alla destinazione specificata in questa regola.
   • Servizio di destinazione: disponibile solo se la destinazione è un gateway del servizio. Il valore corrisponde all'etichetta CIDR del servizio a cui si è interessati.
   • Compartimento: compartimento contenente la destinazione.
   • Destinazione: la destinazione. Se la destinazione è un oggetto IP privato, immettere il relativo OCID. In alternativa, puoi immettere l'indirizzo IP privato stesso, nel qual caso la console trova l'OCID corrispondente e lo utilizza come destinazione per la regola di instradamento.
   • Descrizione: una descrizione facoltativa della regola.

Come accennato in precedenza, è necessario configurare l'istanza stessa per inoltrare i pacchetti.