Per fornire connettività di rete sicura e affidabile per varie funzioni di applicazione e gestione, Exadata Database Service on Cloud@Customer utilizza reti diverse.

Nella lista riportata di seguito vengono descritti i requisiti di rete minimi per l'installazione di un Exadata Database Service su un sistema Cloud@Customer.

• Exadata Cloud@Customer Service Network: questa rete verrà impostata in base alle specifiche Oracle e non deve essere modificata dal cliente senza accordo Oracle.
  • Rete del piano di controllo

    Questa rete privata virtuale (VPN) connette i due server del piano di controllo che si trovano nel rack Exadata Database Service on Cloud@Customer a Oracle Cloud Infrastructure. La VPN facilita le operazioni sicure avviate dal cliente utilizzando la console e le API di Oracle Cloud Infrastructure. Inoltre, facilita il monitoraggio e l'amministrazione sicuri dei componenti dell'infrastruttura gestita da Oracle in Exadata Database Service on Cloud@Customer.

    • Considerazioni sulla connettività del piano di controllo

      Per consentire il funzionamento del piano di controllo, il server del piano di controllo deve essere in grado di connettersi a determinati indirizzi Oracle Cloud Infrastructure (OCI). È necessario abilitare l'accesso in uscita alla porta TCP 443 agli endpoint in un'area OCI specifica come indicato di seguito.

      Tabella 3-2 porte da aprire per la connettività del piano di controllo

      Descrizione/Scopo	Porta aperta	Posizione
      Servizio tunnel in uscita per la distribuzione dell'automazione cloud	443 in uscita	Utilizzare questo formato URL, sostituendo oci_region con la propria area: https://wss.exacc.oci_region.oci.oraclecloud.com
      Servizio tunnel sicuro per l'accesso remoto degli operatori Oracle	443 in uscita	Utilizzare questi formati URL, sostituendo oci_region con la propria area: https://mgmthe1.exacc.oci_region.oci.oraclecloud.com https://mgmthe2.exacc.oci_region.oci.oraclecloud.com
      Servizio di storage degli oggetti per recuperare gli aggiornamenti del sistema, il monitoraggio dell'infrastruttura e la raccolta dei log	443 in uscita	Utilizzare questo formato URL, sostituendo oci_region con la propria area: https://objectstorage.oci_region.oraclecloud.com https://swiftobjectstorage.oci_region.oraclecloud.com https://*.objectstorage.oci_region.oci.customer-oci.com
      Servizio di monitoraggio per registrare ed elaborare le metriche di Infrastructure Monitoring (IMM)	443 in uscita	Utilizzare questo formato URL, sostituendo oci_region con la propria area: https://telemetry-ingestion.oci_region.oraclecloud.com
      Servizio identità per autorizzazione e autenticazione	443 in uscita	Utilizzare questo formato URL, sostituendo oci_region con la propria area: https://identity.oci_region.oraclecloud.com https://auth.oci_region.oraclecloud.com
      Servizio tunnel in uscita per la distribuzione dell'automazione cloud	443 in uscita	Utilizzare questo formato URL, sostituendo oci_region con la propria area: https://wsshe.adbd-exacc.oci_region.oci.oraclecloud.com
      Servizio di log	443 in uscita	Utilizzare questo formato URL sostituendo oci_region con la propria area: https://frontend.logging.ad1.oci_region.oracleiaas.com https://frontend.logging.ad2.oci_region.oracleiaas.com https://frontend.logging.ad3.oci_region.oracleiaas.com https://controlplane.logging.ad1.oci_region.oracleiaas.com https://controlplane.logging.ad2.oci_region.oracleiaas.com https://controlplane.logging.ad3.oci_region.oracleiaas.com
      Autenticazione basata su principal delle risorse e distribuzione del servizio Autonomous Database	443 in uscita	Utilizzare questo formato URL, sostituendo oci_region con la propria area: https://database.oci_region.oraclecloud.com
      Console VM	443 in uscita	Utilizzare questo formato URL, sostituendo oci_region con la propria area: https://console1.exacc.oci_region.oci.oraclecloud.com https://console2.exacc.oci_region.oci.oraclecloud.com
      Servizio tunnel sicuro temporaneo per l'accesso remoto dell'operatore Oracle per le risorse ADB-D	443 in uscita	Utilizzare questo formato URL, sostituendo region con la propria area: https://mgmthe.adbd-exacc.region.oci.oraclecloud.com
      Servizio di monitoraggio per registrare ed elaborare le risorse Infrastructure Monitoring Metrics (IMM)	443 in uscita	Utilizzare questo formato URL, sostituendo region con la propria area: https://ingestion.logging.region.oci.oraclecloud.com
      Misurazione e monitoraggio	443 in uscita	Utilizzare questo formato URL, sostituendo oci_region con la propria area: https://*.oci_region.functions.oci.oraclecloud.com https://*.functions.oci_region.oci.oraclecloud.com

      Nota
      
      L'accesso all'infrastruttura ExaDB-C@C agli endpoint di servizio indicati nella Tabella 3-2 Porte da aprire per la connettività del piano di controllo è obbligatorio per la funzionalità di servizio completo. La mancata autorizzazione di tutti gli URI obbligatori può comportare una riduzione del servizio o funzionalità non funzionanti come progettato.

      Tenere presente che il server del piano di controllo deve essere in grado di stabilire solo l'accesso in uscita della porta TCP 443. Sebbene sia necessario consentire le connessioni in uscita sulla porta 443, l'accesso in entrata alla porta TCP 443 non è necessario e potrebbe essere opportuno, dal punto di vista della sicurezza, bloccare le connessioni in entrata. In termini funzionali, il traffico bidirezionale è ancora possibile tramite la connessione una volta stabilita la connessione sicura in uscita.

      Il server del piano di controllo richiede che i servizi DNS e NTP del cliente siano funzionali. I requisiti minimi di larghezza di banda per la connessione Internet al server del piano di controllo a OCI sono 50/10 MB di download/upload.

      Alcuni clienti hanno politiche di sicurezza che richiedono l'uso di proxy per tutte le connessioni Internet all'infrastruttura IT. Proxy cliente HTTP, ad esempio proxy passivo/aziendale supportato per la connessione del server del piano di controllo a OCI. Il cliente HTTPS, il proxy di verifica e l'ispezione del traffico non sono supportati.

      Se si utilizzano regole firewall basate su filtro degli indirizzi IP, a causa della natura dinamica delle interfacce cloud, è necessario consentire il traffico con tutti gli intervalli CIDR IP pertinenti associati alla propria area OCI, come identificato da https://docs.oracle.com/en-us/iaas/tools/public_ip_ranges.json.
  • Rete di amministrazione

    Questa rete connette i server Exadata Database Service on Cloud@Customer e passa ai due server del piano di controllo che si trovano nel rack Exadata Database Service on Cloud@Customer. Semplifica le operazioni avviate dal cliente utilizzando la console e le API di Oracle Cloud Infrastructure. Inoltre, facilita il monitoraggio e l'amministrazione dei componenti dell'infrastruttura gestita da Oracle in Exadata Database Service on Cloud@Customer.

    Questa rete è completamente contenuta nel rack Exadata Database Service on Cloud@Customer e non si connette alla rete aziendale. Tuttavia, l'infrastruttura Exadata è collegata indirettamente alla rete aziendale tramite i server del piano di controllo. Questa connessione è necessaria per fornire i servizi DNS (Domain Name System) e NTP (Network Time Protocol) all'infrastruttura Exadata. Pertanto, gli indirizzi IP allocati alla rete di amministrazione non devono esistere altrove nella rete aziendale.

    Ogni server Oracle Database e Exadata Storage Server dispone di due interfacce di rete connesse alla rete di amministrazione. Uno fornisce l'accesso di gestione al server tramite una delle porte Ethernet incorporate (NET0). L'altro consente di accedere al sottosistema ILOM (Integrated Lights-Out Management) tramite una porta Ethernet ILOM dedicata. Exadata Database Service on Cloud@Customer viene fornito con le porte ILOM e NET0 connesse allo switch Ethernet nel rack. Le modifiche al cablaggio o alla configurazione di queste interfacce non sono consentite.

  • Rete InfiniBand o RDMA over Converged Ethernet (ROCE)

    Questa rete connette i database server, Exadata Storage Servers e i server del piano di controllo utilizzando gli switch InfiniBand o ROCE sul rack. Ogni server contiene due interfacce di rete InfiniBand (IB0 e IB1) o ROCE (re0 e re1) collegate a switch InfiniBand o ROCE separati nel rack. In primo luogo, Oracle Database utilizza questa rete per il traffico di interconnessione cluster Oracle RAC e per l'accesso ai dati su Exadata Storage Servers.

    Questa rete non instradabile è completamente contenuta nel rack Exadata Cloud@Customer e non si connette alla rete aziendale. Tuttavia, poiché i server del piano di controllo sono collegati alla rete InfiniBand o ROCE e alla rete aziendale, gli indirizzi IP allocati alla rete InfiniBand o ROCE non devono esistere altrove nella rete aziendale.

• Rete cliente: reti gestite e di proprietà del cliente necessarie per consentire al piano dati Exadata Cloud@Customer di accedere ai sistemi correlati.
  • Rete client

    Questa rete connette i database server Exadata Cloud@Customer alla rete client esistente e viene utilizzata per l'accesso client alle virtual machine. Le applicazioni accedono ai database in Exadata Database Service on Cloud@Customer tramite questa rete utilizzando le interfacce SCAN (Single Client Access Name) e VIP (Oracle Real Application Clusters) Virtual IP (Oracle RAC).

    La rete di accesso ai client utilizza una coppia di interfacce su ciascun database server, connesse alla rete del cliente.

    Nota
    
    Quando si abilita Data Guard, la replica dei dati viene eseguita sulla rete client per impostazione predefinita.
  • Rete di backup

    Questa rete è simile alla rete di accesso client poiché connette i server Exadata Database Service su Cloud@Customer Oracle Database alla rete esistente. Può essere utilizzato per l'accesso alle macchine virtuali per vari scopi, tra cui backup e trasferimenti di dati in blocco.

    Come la rete client, la rete di backup utilizza una coppia di interfacce di rete su ciascun server di database, che sono connesse alla rete del cliente. È necessaria la connessione fisica della rete di backup a una rete del cliente.

    Se lo storage in locale (NFS o ZDLRA) del cliente deve essere utilizzato esclusivamente come destinazione di backup per i database, non è necessaria alcuna connettività esterna a OCI per la rete di backup.

    Exadata Cloud@Customer offre anche una destinazione di backup dello storage degli oggetti cloud gestito da Oracle. Se il servizio di storage degli oggetti di Oracle deve essere utilizzato come destinazione di backup per i backup del database, assicurarsi che la rete di backup possa raggiungere il servizio di storage degli oggetti tramite una connessione esterna. È necessario abilitare l'accesso in uscita alla porta TCP 443 per la rete di backup come indicato di seguito.

    Tabella 3-3 porte da aprire per la rete di backup

    Descrizione/Scopo	Porta aperta	Posizione
    Servizio di storage degli oggetti per i backup dei database basati su cloud (facoltativo)	443 in uscita	Utilizzare questo formato URL, sostituendo oci_region con la propria area: https://objectstorage.oci_region.oraclecloud.com https://swiftobjectstorage.oci_region.oraclecloud.com

  • Disaster Recovery Network (solo clienti autorizzati)
    Nota
    
    Questa rete aggiuntiva è disponibile solo per determinati clienti autorizzati in circostanze speciali. Il sistema potrebbe non essere dotato di esso.

    La rete Disaster Recovery è configurata in modo simile alla rete di accesso client, ma è dedicata esclusivamente alla trasmissione del traffico Data Guard. Se il sistema include questa rete, il traffico Data Guard verrà instradato tramite tale rete anziché tramite la rete client, utilizzando le interfacce SCAN (Single Client Access Name) e VIP (Oracle Real Application Clusters) Virtual IP (Oracle RAC).

    Solo i controlli preliminari di Data Guard richiedono l'apertura della rete client. Una volta completata la fase di controllo preliminare, il provisioning di Data Guard registra automaticamente il database con la rete Disaster Recovery e lo utilizza sia per il ripristino dei file di dati che per il trasporto dei redo. Se l'apertura della rete client non è un'opzione, è necessario registrare manualmente il database primario con il listener di rete Disaster Recovery prima di avviare il provisioning di Data Guard.

    La rete Disaster Recovery è costituita da una coppia di interfacce di rete su ciascun database server, che sono direttamente connesse alla rete del cliente.

Prima di distribuire Oracle Exadata Database Service on Cloud@Customer, assicurati che la tua rete di data center soddisfi i requisiti.

È necessario allocare un intervallo di indirizzi IP alla rete di amministrazione ed un altro intervallo di indirizzi IP alla rete privata RoCE.

/23

/16

/22

/19

/28

/27

/27

/26

/29

/28

/28

/27

/28

/27

/27

/26

Assicurarsi che il sistema Oracle Exadata Database Service on Cloud@Customer soddisfi i requisiti di uplink del server del piano di controllo e del database server.

È possibile scegliere di utilizzare l'apparecchiatura di rete fornita oppure creare la propria rete SFP.

Prendi in considerazione la soluzione descritta di seguito, che sfrutta il servizio FastConnect di OCI, se desideri un ulteriore isolamento per la connessione tra CPS e OCI in aggiunta all'approccio tunnel TLS predefinito.

Per ulteriori informazioni, consulta Oracle Cloud Infrastructure FastConnect.

Il servizio Oracle Exadata Database Service on Cloud@Customer supporta il modello di connettività peering pubblico o privato di FastConnect.

Figura 3-1 Connettività di Oracle Exadata Database Service on Cloud@Customer FastConnect a OCI tramite peering pubblico

Come mostrato nella figura, la rete del piano di controllo Oracle Exadata Database Service on Cloud@Customer passa al provider FastConnect e all'edge Oracle. I clienti che potrebbero già disporre di una connettività FastConnect esistente possono utilizzarla per connettere Oracle Exadata Database Service on Cloud@Customer all'area OCI utilizzando il peering pubblico.

Figura 3-2 Connettività di Oracle Exadata Database Service on Cloud@Customer FastConnect a OCI tramite peering privato