Accesso privato ai servizi Oracle

• Puoi impostare una rete VCN in modo che la tua rete on premise disponga dell'accesso privato ai servizi Oracle in Oracle Services Network tramite la rete VCN. Gli host nella rete in locale comunicano con gli indirizzi IP privati.
• La VCN utilizza un gateway di instradamento dinamico (DRG) per comunicare con la rete in locale. L'accesso ai servizi Oracle avviene tramite un gateway del servizio sulla VCN. Il traffico dalla VCN al servizio Oracle viaggia sul fabric di rete Oracle e non attraversa mai la rete Internet pubblica.
• Il gateway di servizi è regionale e consente l'accesso solo ai servizi Oracle supportati nella stessa area della VCN.
• I servizi Oracle supportati sono Oracle Cloud Infrastructure Object Storage e altri in Oracle Services Network. Per un elenco, vedere Gateway di servizi: Servizi cloud supportati in Oracle Services Network.
• Il gateway di servizi utilizza il concetto di etichetta CIDR del servizio, ovvero una stringa che rappresenta tutti gli intervalli di indirizzi IP pubblici regionali per il servizio o il gruppo di servizi di interesse (ad esempio, OCI PHX Object Storage è la stringa per lo storage degli oggetti nell'area occidentale degli Stati Uniti (Phoenix). Puoi utilizzare tale etichetta CIDR del servizio quando configuri il gateway di servizi e le regole di instradamento correlate per controllare il traffico verso il servizio. Facoltativamente, è possibile utilizzarla durante la configurazione delle regole di sicurezza. Se gli indirizzi IP pubblici del servizio cambieranno in futuro, non sarà necessario modificare tali regole.
• Per abilitare il traffico previsto dalla rete in locale tramite la VCN ai servizi Oracle, è necessario implementare le regole di instradamento per il collegamento DRG della VCN e il gateway di servizi.
• Se lo desideri, puoi impostare l'instradamento del transito tramite un IP privato nella VCN. Ad esempio, potresti voler filtrare o ispezionare il traffico tra la rete in locale e il servizio Oracle. In questo caso, instrada il traffico a un IP privato su un'istanza della VCN per l'ispezione e il traffico risultante continua fino alla destinazione. Questo argomento riguarda entrambe le situazioni: l'instradamento del transito direttamente tra i gateway nella VCN e l'instradamento del transito tramite un IP privato.

Oracle Services Network è una rete concettuale in Oracle Cloud Infrastructure riservata ai servizi Oracle. Questi servizi dispongono di indirizzi IP pubblici che in genere si raggiungono tramite la rete Internet pubblica. Tuttavia, puoi accedere a Oracle Services Network senza che il traffico passi attraverso la rete Internet pubblica. Esistono diversi modi, a seconda di quale host richiede l'accesso:

• Host nella rete in locale:

  • Accesso privato tramite una VCN con peering privato FastConnect o VPN da sito a sito: questo scenario viene trattato in questo argomento. Gli host in locale utilizzano indirizzi IP privati e raggiungono Oracle Services Network tramite la VCN e il gateway di servizi della VCN.
  • Accesso pubblico con peering pubblico FastConnect: gli host in locale utilizzano indirizzi IP pubblici.
• Host nella VCN:
  • Accesso privato tramite un gateway di servizi: gli host della VCN utilizzano indirizzi IP privati.

Il diagramma riportato di seguito illustra il layout di base per concedere all'utente l'accesso privato alla rete in locale ai servizi Oracle.

La rete on-premise si connette alla VCN tramite un circuito virtuale privato FastConnect o una VPN site-to-site. Ciascuno di questi tipi di connessioni termina in un gateway di instradamento dinamico (DRG) collegato alla VCN. La VCN dispone anche di un gateway di servizi che consente alla VCN di accedere a Oracle Services Network. Il traffico proveniente dalla rete in locale passa attraverso la VCN, il gateway di servizi e il servizio Oracle di interesse. Le risposte vengono restituite tramite il gateway del servizio e la VCN alla rete in locale.

Quando si imposta un gateway di servizi, è possibile abilitare un'etichetta CIDR del servizio, ovvero una stringa che rappresenta tutti gli intervalli di indirizzi IP pubblici regionali per il servizio o il gruppo di servizi a cui si desidera accedere tramite il gateway del servizio. Ad esempio, Tutti i servizi PHX in Oracle Services Network è l'etichetta CIDR del servizio per i servizi Oracle disponibili nell'area occidentale degli Stati Uniti (Phoenix) tramite un gateway di servizi. Oracle utilizza il protocollo BGP (Border Gateway Protocol) sul DRG per comunicare tali intervalli di indirizzi IP pubblici regionali al dispositivo perimetrale (denominato anche CPE (Customer-premise Equipment) nella tua rete on premise. Per un elenco di questi intervalli disponibili tramite il gateway del servizio, vedere Indirizzi IP pubblici per VCN e Oracle Services Network.

Più VCN con accesso privato ai servizi Oracle

La tua organizzazione potrebbe scegliere di utilizzare più VCN, ognuna con un gateway di servizi per concedere alle risorse della VCN l'accesso ai servizi Oracle. Ad esempio, è possibile disporre di una VCN diversa per ogni reparto dell'organizzazione.

Se anche desideri impostare la rete in locale con accesso privato ai servizi Oracle tramite una rete VCN con un gateway di servizi, questa sezione descrive due layout di rete diversi che è possibile utilizzare.

Nel primo layout, è possibile impostare un singolo DRG, con le reti VCN in un layout hub e spoke come mostrato nel diagramma successivo. La VCN che funge da hub è dedicata a fornire alla rete on premise l'accesso privato ai servizi Oracle. Le altre VCN sono peering locale con la VCN hub. È possibile configurare solo la VCN hub in base alle istruzioni fornite nella sezione Impostazione dell'accesso privato ai servizi Oracle. Questo layout hub e spoke è consigliato e descritto ulteriormente nel instradamento del transito all'interno di una VCN hub.

Nel secondo layout, è disponibile un DRG separato per ogni VCN, con un circuito virtuale privato FastConnect separato o una VPN da sito a sito dalla rete on premise a ogni DRG. Puoi dedicare un DRG e una VCN per fornire alla tua rete on premise l'accesso privato ai servizi Oracle. Nel diagramma successivo, si tratta della VCN al centro. Per configurare la VCN, seguire le istruzioni riportate in Impostazione dell'accesso privato ai servizi Oracle.

In entrambi i layout, la rete in locale può raggiungere i servizi Oracle solo tramite un singolo gateway di servizi della VCN (quello dedicato a questo scopo) e non tramite i gateway di servizi delle altre VCN. Per queste altre VCN, solo le risorse all'interno di tali VCN possono raggiungere i servizi Oracle tramite il gateway di servizi della propria VCN.

Indipendentemente dal layout scelto, puoi scrivere un criterio IAM per limitare l'accesso a un bucket di storage degli oggetti in modo che per tale bucket siano consentite solo le richieste provenienti da un gateway di servizi di una VCN specifica. Con uno di questi layout, potrebbe essere necessario scrivere il criterio per consentire le richieste da più VCN. Per limitare l'accesso a VCN specifiche, creare un'origine di rete per specificare la VCN consentita, quindi scrivere il criterio che limita l'accesso solo all'origine di rete. Un'origine di rete può specificare più VCN oppure è possibile creare un'origine di rete per ogni VCN. Per informazioni sulla creazione di origini di rete, vedere Gestione delle origini di rete.

Il criterio di esempio riportato di seguito presuppone l'impostazione di un'origine di rete per ciascuna rete VCN. Il criterio consente alle risorse del gruppo ObjectBackup di esempio di scrivere oggetti in un bucket esistente denominato db-backup che risiede in un compartimento denominato ABC. Quando si scrive un criterio come questo, è possibile specificare una o più origini di rete. Questo esempio ne mostra tre.

Allow group ObjectBackup to read buckets in compartment ABC

Allow group ObjectBackup to manage objects in compartment ABC where
   all {target.bucket.name='db-backup', 
        any {request.networkSource.name='<hub_VCN_network_source>', request.networkSource.name='<spoke_1_VCN_network_source>', request.networkSource.name='<spoke_2_VCN_network_source>'},
        any {request.permission='OBJECT_CREATE', request.permission='OBJECT_INSPECT'}}

Per ulteriori informazioni, vedere Impostazione di un gateway di servizi nella console nella procedura di impostazione di un gateway di servizi.

Sono disponibili due opzioni per l'instradamento tramite la VCN per l'accesso privato ai servizi Oracle:

• Instradamento del transito direttamente tramite i gateway: il traffico viene instradato direttamente tramite la VCN da un gateway all'altro.
• Instradamento del transito tramite un IP privato: imposti un'istanza nella VCN per filtrare o ispezionare il traffico tra la rete in locale e Oracle Services Network e instradare il traffico tramite un IP privato nell'istanza.

Gli esempi mostrati nelle sezioni seguenti presuppongono che la VCN non contenga carichi di lavoro necessari per accedere alla rete in locale o a Oracle Services Network. La VCN viene utilizzata solo per l'instradamento del transito del traffico attraverso la VCN.

Se si è membri del gruppo Administrators, si dispone già dell'accesso necessario per impostare l'instradamento del transito. In caso contrario, è necessario accedere al servizio di networking e disporre della possibilità di avviare le istanze. Vedere Criteri IAM per il networking.

In questa sezione viene descritto come utilizzare la console per impostare l'instradamento del transito con una VCN per concedere all'utente l'accesso privato della rete in locale ai servizi Oracle.

Per disattivare l'instradamento del transito, rimuovere le regole da:

• Tabella di instradamento associata al collegamento DRG.
• Tabella di instradamento associata al gateway del servizio.

Una tabella di instradamento può essere associata a una risorsa ma non dispone di regole. Senza almeno una regola, una tabella di instradamento non fa nulla.

Un collegamento DRG o un gateway di servizi può esistere senza una tabella di instradamento associata. Tuttavia, dopo aver associato una tabella di instradamento a un collegamento DRG o a un gateway di servizi, deve essere sempre associata una tabella di instradamento. È tuttavia possibile associare una tabella di instradamento diversa. È inoltre possibile modificare le regole della tabella oppure eliminare alcune o tutte le regole.