Nota

Questa esercitazione richiede l'accesso a Oracle Cloud. Per iscriverti a un account gratuito, consulta Inizia a utilizzare Oracle Cloud Infrastructure Free Tier.
Utilizza valori di esempio per le credenziali, la tenancy e i compartimenti di Oracle Cloud Infrastructure. Al termine del laboratorio, sostituisci questi valori con quelli specifici del tuo ambiente cloud.

Aggiungi il load balancer OCI e il WAF OCI a un hub con l'architettura di instradamento della VCN spoke e l'hub

Introduzione

Questa esercitazione descrive i task necessari per distribuire e configurare un load balancer Oracle Cloud Infrastructure (OCI) con OCI Web Application Firewall (WAF) in OCI e le modalità di funzionamento in un ambiente di instradamento VCN hub e spoke.

L'immagine seguente illustra i flussi di traffico.

Connettività esterna allo spoke mediante il load balancer e il WAF

immagine

Obiettivi

Verrà configurato un load balancer OCI con il criterio WAF OCI in un'architettura di rete hub e spoke. Inoltre, imposteremo i server Web per monitorare e tenere traccia del modo in cui il load balancer distribuisce il traffico.

Prerequisiti

Assicurarsi di completare le seguenti esercitazioni se si desidera ricreare il contenuto di questa esercitazione.

Task 1: Revisione dell'architettura di rete hub e spoke corrente

Per continuare questo tutorial dovremmo avere:

1 x VCN hub (con un firewall, un gateway Internet, un gateway NAT e un gateway di servizi)
3 VCN spoke
1 x On-premises attached with an IPSec VPN Connection

Nella VCN dell'hub è disponibile un'istanza Windows che può essere utilizzata per connettersi alle istanze spoke. Ogni spoke avrà un'istanza che verrà configurata come server Web. Queste istanze possono essere utilizzate come endpoint per il load balancer che verrà distribuito in questa esercitazione.

La seguente immagine illustra il punto di partenza.

immagine

Task 2: configurare l'instradamento nell'architettura di rete hub e spoke tra OCI WAF e OCI Load Balancer, il firewall hub e le istanze spoke

L'immagine seguente illustra l'architettura di rete Hub e spoke corrente con tutte le liste di sicurezza e le tabelle di instradamento.

immagine

Prima di aggiungere il load balancer OCI, vogliamo assicurarci che il traffico proveniente dalla subnet del load balancer OCI venga instradato al firewall dell'hub in modo che il traffico possa essere ispezionato sul firewall dell'hub prima che invii il traffico alle istanze spoke.

Sebbene sia già presente una regola di instradamento predefinita, è comunque consigliabile aggiungere questa regola per richiamarla in modo esplicito come abbiamo fatto anche con le altre reti.

Aggiungere la regola di instradamento.
1. Eseguire il login alla console OCI, passare a Networking, Reti cloud virtuali e Rete cloud virtuale.
2. Fare clic su Tabelle di instradamento.
1. Selezionare la tabella di instradamento VCN_HUB_RT_DRG_TRANSIT.
Fare clic su Aggiungi regole di instradamento.
1. Tipo di destinazione: selezionare IP privato.
2. Tipo di destinazione: immettere Blocco CIDR.
3. Blocco CIDR di destinazione: immettere 0.0.0.0/0.
4. Selezione destinazione: immettere 172.16.0.20, ovvero l'indirizzo IP del firewall pfSense.
5. Fare clic su Aggiungi regole di instradamento.
Si noti che l'instradamento 172.16.0.128/25 viene ora aggiunto alla tabella di instradamento VCN_HUB_RT_DRG_TRANSIT.

L'immagine seguente illustra l'architettura di rete Hub e spoke corrente con tutte le liste di sicurezza e le tabelle di instradamento con regole di instradamento.

Task 3: Installare un server Web sui server backend

Installare un server Web NGINX su tutte le istanze nei VCN spoke. Per ulteriori informazioni su come installare un server Web NGINX su un'istanza Oracle Linux, vedere Task 6: installare un server Web sull'istanza.

immagine

Task 4: Creare o modificare una pagina Web sui server backend

Per impostazione predefinita, ogni server Web verrà configurato con una pagina Web predefinita. Per tenere traccia della posizione in cui il nostro load balancer OCI reindirizza il traffico ad esso, è buona norma modificare qualcosa nella pagina Web in modo da sapere quale server viene colpito.

Possiamo farlo modificando il contenuto del file index.html NGINX predefinito.

sudo nano /usr/share/nginx/html/index.html

Per l'istanza A, modificare l'intestazione:

<h1>Welcome to nginx! This is INSTANCE-A</h1>

Per l'istanza B, modificare l'intestazione:

<h1>Welcome to nginx! This is INSTANCE-B</h1>

Per Instance-C, modificare l'intestazione:

<h1>Welcome to nginx! This is INSTANCE-C</h1>

Assicurarsi di salvare i file index.html dopo averli modificati.

Task 5: installare un load balancer OCI

Prima di creare il load balancer OCI, è necessario consentire l'ingresso della porta 80 nella lista di sicurezza della VCN hub. Tutto il traffico, incluso il traffico che proviene dal load balancer nella subnet pubblica della VCN HUB, viene instradato al firewall HUB. Le istanze che il load balancer utilizzerà gli endpoint sono in ascolto sulla porta TCP/80. Per questo motivo, dobbiamo anche consentire l'ingresso della porta TCP/80 nella VCN dell'hub in modo che la subnet privata nella VCN dell'hub in cui viene instradato il traffico consenta anche la comunicazione verso le VCN spoke.

Aggiungi regola di entrata.
1. Clicca sul menu hamburger (≡) dall'angolo in alto a sinistra.
2. Fare clic su Networking.
3. Fare clic su Reti cloud virtuali.
1. Assicurati di essere nella sezione Rete cloud virtuale.
2. Fare clic sulla VCN HUB-VCN.
Fare clic su Elenchi di sicurezza.
Fare clic su Lista di sicurezza predefinita per HUB-VCN.
1. Assicurarsi di trovarsi nella sezione Regole di entrata.
2. Fare clic su Aggiungi regole di entrata.
3. Aggiungere una regola di sicurezza che consenta l'uso di TCP/80 dall'origine (172.16.0.128/25) a Tutte le destinazioni.
Nota:
- Stiamo utilizzando la lista di sicurezza predefinita applicata alla rete HUB-VCN e quindi applicata a tutte le subnet separate all'interno di questa rete HUB-VCN.
- Ciò significa anche che il traffico che va dalla subnet pubblica alla subnet privata all'interno della rete HUB-VCN è soggetto a questa lista di sicurezza predefinita poiché a entrambe le subnet viene applicato lo stesso elenco di sicurezza predefinito.
- Per questo motivo stiamo consentendo l'ingresso della porta TCP/80 perché se non lo facciamo il load balancer non è in grado di comunicare con i server backend come tutti il traffico viene inviato dalla subnet pubblica alla subnet privata perché stiamo utilizzando un'architettura HUB-and-Spoke con un firewall all'interno della subnet privata della VCN HUB.
L'immagine seguente illustra gli elementi creati finora con l'aggiunta della regola di sicurezza.
Creare il load balancer.
1. Clicca sul menu hamburger (≡) dall'angolo in alto a sinistra.
2. Fare clic su Networking.
3. Fare clic su Load balancer.
Fare clic su Crea load balancer.
1. Immettere un nome di load balancer.
2. Selezionare Pubblico per il tipo di visibilità.
3. Selezionare Indirizzo IP temporaneo.
4. Scorrere in basso.
Mantieni tutto predefinito e scorri verso il basso.
1. Selezionare la VCN in cui collegare il load balancer.
2. Selezionare la subnet in cui collegare il load balancer.
3. Fare clic su Avanti.
1. Selezionare Ponderato round robin come criterio di bilanciamento del carico.
2. Fare clic su Aggiungi backend.
1. Selezionare tutti i backend delle istanze nei VCN spoke.
2. Fare clic su Aggiungi backend selezionati.
1. Rivedere i backend e modificare la porta, se necessario, in questa esercitazione tutte le istanze backend ascoltano la porta 80.
2. Scorrere in basso.
Mantenere l'impostazione predefinita del criterio di controllo dello stato e fare clic su Avanti.
1. Immettere un nome di listener.
2. Selezionare HTTP come tipo di traffico gestito dal listener.
3. Immettere una porta del listener da 80.
4. Fare clic su Avanti.
1. Selezionare un gruppo di log.
2. Fare clic su Sottometti.
Tenere presente che lo stato del load balancer è CREATING.
1. Lo stato del load balancer è stato modificato da CREATING a ACTIVE.
2. Si noti che l'integrità generale è in sospeso.
3. Si noti che l'integrità del set backend è in sospeso.
1. Prendere nota dell'indirizzo IP pubblico del load balancer.
2. Dopo alcuni minuti, l'integrità generale è impostata su OK.
3. Dopo alcuni minuti, l'opzione Backend imposta l'integrità è impostata su OK.
Scorrere verso il basso per esaminare più da vicino il set backend.
1. Fare clic su Set backend.
2. Fare clic sul set backend disponibile.
1. Si noti che l'integrità generale è OK.
2. Si noti che l'integrità del backend è OK.
3. Scorrere in basso.
1. Fare clic su Backend.
2. Prendere nota dei backend nella sezione Backend.
1. Aprire un nuovo browser.
2. Immettere l'indirizzo IP pubblico del load balancer.
3. Tenere presente che il load balancer reindirizza il traffico all'istanza nella VCN B spoke.
1. Aggiornare la pagina.
2. Tenere presente che il load balancer ora reindirizza il traffico all'istanza nella VCN C spoke.
1. Aggiornare la pagina.
2. Tenere presente che il load balancer ora reindirizza il traffico all'istanza nella VCN B spoke di nuovo.
1. Aggiornare la pagina.
2. Tenere presente che il load balancer ora reindirizza il traffico all'istanza nella VCN A spoke.
La seguente immagine illustra ciò che hai creato finora e come scorre il traffico.
Assicurarsi che il firewall dell'hub consenta la porta TCP/80 dal load balancer ai server backend. In questo tutorial, abbiamo consentito tutto il traffico nel firewall hub per scopi di test.

Task 6: installare e configurare un Web Application Firewall OCI

Configurare OCI Web Application Firewall.
1. Clicca sul menu hamburger (≡) dall'angolo in alto a sinistra.
2. Fare clic su identità e sicurezza.
3. Fare clic su Web Application Firewall.
Fare clic su Crea criterio WAF.
1. Immettere il nome per il criterio WAF.
2. Fare clic su Avanti.
1. Assicurarsi che l'opzione Abilita controllo di accesso sia abilitata.
Utilizza un sito web in grado di recuperare il tuo indirizzo IP ISP. Questa operazione è necessaria per configurare il controllo dell'accesso in OCI Web Application Firewall. In questo tutorial, stiamo utilizzando www.ipchicken.com per recuperare l'indirizzo IP ISP.
Nella sezione Aggiungi regola di accesso, immettere le informazioni riportate di seguito.
1. Fare clic su Aggiungi regola di accesso.
2. Immettere un nome per la regola di accesso.
3. Tipo di condizione: selezionare indirizzo IP di origine.
4. Operatore: selezionare In elenco.
5. Intervalli IP CIDR: immettere l'indirizzo IP del proprio ISP.
6. Scorrere in basso.
1. In Azione regola, immettere il nome dell'azione e selezionare Azione codice risposta 401 preconfigurata.
2. Fare clic su Aggiungi regola di accesso.
1. La regola di accesso è stata aggiunta.
2. Fare clic su Avanti.
Fare clic su Avanti.
Fare clic su Avanti.
1. Selezionare il load balancer su cui si desidera configurare il criterio WAF. Utilizzare il load balancer creato nel task 5.
2. Fare clic su Avanti.
Fare clic su Crea criterio WAF.
Tenere presente che il criterio WAF viene creato.
1. Tenere presente che lo stato del criterio WAF è ACTIVE.
2. Fare clic su Criteri per tornare alla pagina dei criteri WAF.
Prendere nota del criterio WAF appena configurato.

Task 7: eseguire il test della connettività WAF, del load balancer OCI e della sicurezza WAF OCI

Aprire il browser utilizzato nel task 5 e aggiornare la pagina.

Nota: se è stata chiusa, immettere l'indirizzo IP pubblico del load balancer.
Si noti che non è più possibile accedere ai server Web perché sono stati bloccati con il criterio WAF.

Conferme

Autore - Iwan Hoogendoorn (esperto di rete OCI)

Altre risorse di apprendimento

Esplora altri laboratori su docs.oracle.com/learn o accedi a più contenuti gratuiti sulla formazione su Oracle Learning YouTube channel. Inoltre, visita education.oracle.com/learning-explorer per diventare un Oracle Learning Explorer.

Per la documentazione del prodotto, visita l'Oracle Help Center.

Titolo e informazioni sul copyright

Add OCI Load Balancer and OCI WAF to a Hub with Hub and Spoke VCN Routing Architecture

G12090-01

July 2024

Oracle e/o relative consociate.