1. Opzioni di connettività di rete per l'integrazione dei servizi Oracle Utilities Cloud con applicazioni esterne
  2. Comprendere le tecnologie di connessione

Comprendere le tecnologie di connessione

Quando si esegue l'integrazione tra un'applicazione di servizi Oracle Utilities Cloud e un'applicazione gestita esternamente, nel data center o in un data center di terze parti, è possibile selezionare tra tre diverse tecnologie di connettività, a seconda dei requisiti di topologia e integrazione,

Le tecnologie di connessione disponibili sono:
  • Oracle Cloud Infrastructure FastConnect
  • Connessione VPN IPsec
  • Proxy inverso

Comprendere Oracle VPN Connect

Puoi utilizzare Oracle VPN Connect per connettere la tua rete aziendale/privata a Oracle Cloud Infrastructure (OCI) tramite la rete Internet pubblica. Fornisce comunicazioni sicure attraverso un tunnel privato virtuale tramite la rete Internet pubblica tra i servizi Oracle Utilities Cloud su OCI e l'applicazione esterna con cui si integra.

Per integrare le applicazioni esterne, è necessario impostare VPN separate per ogni data center e ogni data center di terze parti che potrebbe essere necessario connettere a OCI. I clienti devono impostare e configurare VPN Connect. VPN Connect è un servizio gratuito, senza costi orari per le porte. I costi di trasferimento dati sono coperti dai prezzi del cloud di rete.

Quando utilizzare VPN Connect

Quando queste condizioni esistono, è consigliabile utilizzare VPN Connect:

  • Quando un'applicazione esterna che deve essere integrata con i servizi Oracle Utilities Cloud si trova all'interno della rete privata aziendale e non si prevede di esporre le API a una rete Internet pubblica (in uscita dalle applicazioni dei servizi Oracle Utilities Cloud) dall'interno del data center o se l'applicazione non è in grado di accedere alla rete Internet pubblica (in entrata ai servizi Oracle Utilities Cloud), ma deve essere integrata con i servizi Oracle Utilities Cloud.

    Durante l'accesso agli endpoint privati/API di un'applicazione esterna, sarebbe necessario un intermediario su Oracle Cloud Infrastructure insieme a VPN Connect. I servizi Oracle Utilities Cloud non possono connettersi agli indirizzi IP privati per le comunicazioni in uscita da SaaS, ma per l'integrazione sono necessari un indirizzo IP pubblico a cui connettersi.

  • Quando le applicazioni esterne non utilizzano certificati emessi da CA e si prevede di utilizzare un proxy inverso impostato in Oracle Cloud Infrastructure e l'applicazione esterna non espone alcuna API alla rete Internet pubblica. È possibile che VPN Connect sia necessario per consentire al proxy inverso di connettersi all'applicazione esterna da Oracle Cloud Infrastructure.
  • Quando desideri un canale di comunicazione protetto sulla rete Internet pubblica per l'integrazione dei servizi Oracle Utilities Cloud con le applicazioni nel tuo data center o nel data center di terze parti.

Preparati all'uso di VPN Connect

Prima di implementare VPN Connect per integrare le applicazioni esterne con Oracle SaaS, effettuare le operazioni riportate di seguito.

  • Comprendere i requisiti e i task per l'impostazione.
  • Configurare la CPE (Customer-Provided Equipment).
  • Pianifica le ridondanze che impediranno costosi tempi di inattività del sistema.
Configurazione connessione VPN IPSec

L'impostazione di una rete VPN Connect IPSec tra applicazioni esterne e Oracle SaaS è un processo in più passaggi che può essere complesso a meno che non si comprenda nel dettaglio Questo argomento fornisce una panoramica di base dei passi richiesti. Per ulteriori informazioni, vedere Impostazione di VPN Connect, a cui viene fatto riferimento in "Prima di utilizzare VPN Connect".

  1. Scegliere il tipo di instradamento più adatto all'implementazione. La VPN IPSec dispone di due tunnel IPSec ridondanti ed è consigliabile configurare il dispositivo CPE (Customer-Provided Equipment) per utilizzare entrambi i tunnel. È possibile selezionare uno dei due tipi di instradamento per i tunnel riportati di seguito.
    • instradamento dinamico BGP, con cui gli instradamenti disponibili vengono acquisiti in modo dinamico tramite BGP.
    • instradamento statico, con cui, quando si imposta la connessione IPSec al DRG, si specifica alla rete on premise gli instradamenti specifici di cui si desidera che la VCN sia a conoscenza.
    Per ulteriori dettagli sulla scelta del tipo di instradamento, consultare "Routing for the Oracle IPSec VPN", a cui viene fatto riferimento in "Before Using VPN Connect".
  2. Completare il questionario in Impostazione di VPN Connect, a cui viene fatto riferimento in "Prima di utilizzare VPN Connect". Queste domande richiedono informazioni quali il CIDR della VCN, l'indirizzo IP pubblico del dispositivo CPE, il tipo di instradamento che intendi utilizzare e altri dettagli pertinenti.
  3. Impostare i componenti VPN IPSec:
    1. Crea la tua VCN.
    2. Crea un DRG.
    3. Collegare il gateway DRG alla VCN.
    4. Creare una tabella di instradamento e una regola di instradamento per il gateway DRG.
    5. Creare una lista di sicurezza e le regole necessarie.
    6. Crea una subnet nella VCN.
    7. Creare un oggetto CPE e fornire l'indirizzo IP pubblico del dispositivo CPE.
    8. Creare una connessione IPSec all'oggetto CPE e fornire le informazioni di instradamento necessarie.
  4. Utilizzare l'applicazione di supporto per la configurazione CPE, che genererà le informazioni da utilizzare per il tecnico di rete durante la configurazione del dispositivo CPE. Per ulteriori informazioni, vedere Uso dell'applicazione di supporto per la configurazione CPE e anche la configurazione CPE, a cui viene fatto riferimento in "Prima di utilizzare VPN Connect".
  5. Chiedere al tecnico di rete di configurare il dispositivo CPE.
  6. Convalida della connettività.
Configura apparecchiature fornite dal cliente

I tecnici della rete richiedono informazioni di base sulle interfacce interne ed esterne del dispositivo on premise, ovvero sull'apparecchiatura fornita dall'utente o su CPE. In questo modo sarà possibile configurare il dispositivo in locale alla propria estremità della rete VPN IPSec in modo che il traffico possa fluire tra la rete in locale e la VCN.

Nota:

Oracle ha verificato un software specifico da utilizzare con VPN Connect. Tuttavia, elencarli qui è oltre l'ambito di questa Playbook. Puoi vedere questa lista in Dispositivi CPE verificati, a cui viene fatto riferimento in "Prima di utilizzare VPN Connect".
Il tecnico di rete dovrà effettuare le seguenti operazioni:
  1. Determinare i requisiti di instradamento. Oracle utilizza l'instradamento asimmetrico su più tunnel che costituiscono la connessione VPN IPSec. Anche se si configura un tunnel come primario e un altro come backup, il traffico dalla VCN alla rete on premise può utilizzare qualsiasi tunnel "attivo" sul dispositivo.

    Configurare i firewall di conseguenza. In caso contrario, i test ping o il traffico dell'applicazione attraverso la connessione non funzioneranno in modo affidabile. Se utilizzi l'instradamento dinamico BGP con la VPN IPSec, puoi configurare l'instradamento in modo che Oracle preferisce un tunnel sull'altro.

  2. Raccogli informazioni importanti sulla VCN e una connessione IPSec con più tunnel IPSec. Queste informazioni includono:
    • OCID VCN, che è un identificativo Oracle Cloud Infrastructure univoco che ha un UUID alla fine
    • CIDR VCN
    • Maschera di sottorete CIDR VCN
    • Per ogni tunnel IPSec, l'indirizzo IP dell'endpoint del tunnel IPSec Oracle (intestazione VPN) e del segreto condiviso
  3. Raccogliere informazioni di base sulle interfacce interne ed esterne del dispositivo on premise (il tuo CPE).
  4. Stabilire se le intestazioni VPN Oracle utilizzano tunnel basati su percorso o tunnel basati su criteri (nota anche che l'utilizzo di tunnel basati su criteri prevede alcune avvertenze).
  5. Osservare le seguenti best practice VPN IPSec:
    • Configura tutti i tunnel per ogni connessione IPSec.
    • Rendi i CPE ridondanti nelle tue posizioni on premise.
    • Considera gli instradamenti aggregati di backup.
  6. Verifica e conferma lo stato della connessione. Dopo aver configurato la connessione IPSec, eseguire il test della connessione avviando un'istanza nella VCN, quindi eseguendo il ping dalla rete in locale.
Ridondanza piano

Le ridondanze nell'implementazione della connessione VPN IPSec garantiscono prestazioni affidabili e riducono o eliminano i costosi tempi di inattività e altre sollecitazioni sul sistema. Quando si implementano le ridondanze, la chiave consiste nel creare percorsi di backup progettati per garantire efficienza, velocità e disponibilità.

Per pianificare la ridondanza, prendere in considerazione tutti i componenti (hardware, impianti, circuiti e alimentazione) tra la rete on premise e Oracle Cloud Infrastructure. Considerare anche la diversità, per garantire che le strutture non siano condivise tra i percorsi. Di seguito sono riportate alcune considerazioni sulla ridondanza. Per esaminare alcuni esempi utili di pianificazione della ridondanza, vedere la sezione "Casi d'uso della ridondanza" nella Guida alla ridondanza della connettività, a cui viene fatto riferimento in "Before Using VPN Connect" altrove in questa Playbook.

Prima di utilizzare VPN Connect

Le migliori prassi VPN Connect precedenti sono state ricavate dalla documentazione di Oracle Cloud Infrastructure, che contiene informazioni più dettagliate su questo servizio. Prima di utilizzare VPN Connect, è necessario esaminare quanto segue:

Comprendere FastConnect OCI

Oracle FastConnect consente di installare una linea privata dedicata, da un provider di telecomunicazioni tra un data center esterno e un data center Oracle Cloud Infrastructure (OCI). In questo modo si ottiene una comunicazione affidabile e sicura tramite una linea privata dedicata separata che connette il data center OCI e il data center esterno e fornisce funzionalità di comunicazione al di fuori della rete Internet pubblica.

Oracle FastConnect può essere utilizzato con il data center appartenente al cliente dell'applicazione di servizi Oracle Utilities Cloud o con un data center di terze parti per integrare le applicazioni esterne. La capacità FastConnect con un data center di terze parti può richiedere accordi o effetti aggiuntivi. Se è necessaria la funzionalità FastConnect, questa deve essere concessa in licenza e configurata separatamente dal cliente.

Quando utilizzare FastConnect OCI

Utilizza FastConnect OCI ogni volta che è richiesta una linea privata dedicata a larghezza di banda elevata tra il data center che ospita l'applicazione esterna e l'applicazione di servizi Oracle Utilities Cloud.

Preparati all'uso di FastConnect OCI

Prima di implementare Oracle Cloud Infrastructure FastConnect per integrare le applicazioni esterne con Oracle SaaS, effettuare le operazioni riportate di seguito.

  • Consultare la documentazione di OCI FastConnect.
  • Comprendere i requisiti di OCI di FastConnect.
  • Esaminare i concetti di progettazione più efficaci.
  • Pianificazione delle ridondanze.
Revisione della documentazione di FastConnect

Oracle fornisce una documentazione completa e sostanziale per implementare e utilizzare FastConnect OCI che non rientra nell'ambito di questo playbook. Per individuare questo contenuto, consulta i collegamenti nell'argomento "Prima di utilizzare FastConnect OCI".

Comprendere i requisiti di FastConnect

Prima di iniziare a usare FastConnect, devi soddisfare una serie di requisiti di implementazione.

Requisiti minimi:
  • Avere un account Oracle Cloud Infrastructure con almeno un utente con le autorizzazioni IAM (Oracle Cloud Infrastructure Identity and Access Management) appropriate.
  • Avere le autorizzazioni Oracle Cloud Infrastructure Identity and Access Management (IAM) appropriate, ad esempio un utente del gruppo Amministratori.
  • Possibilità di apparecchiature di rete che supportano l'instradamento di livello 3 mediante BGP.
  • Per la condivisione della stessa struttura logistica di data center con Oracle: possibilità di connettersi utilizzando la fibra a modalità singola nella sede FastConnect selezionata. Vedere anche Hardware e Requisiti di instradamento.
  • Per la connessione a un partner Oracle, è necessaria almeno una connessione di rete fisica con il partner.
  • Per la connessione a un provider di terze parti, è necessaria almeno una connessione fisica con il provider.
  • Solo per il peering privato, è necessario impostare almeno un DRG esistente per la VCN.
  • Solo per il peering pubblico: è necessaria la lista di prefissi di indirizzi IP pubblici che si desidera utilizzare con la connessione. Oracle verificherà la tua proprietà di ciascun prefisso.
Puoi trovare informazioni aggiuntive su questi requisiti nella documentazione relativa ai requisiti di hardware e di instradamento, a cui viene fatto riferimento nell'argomento "Before Using OCI FastConnect" in altre posizioni di questa Playbook.
Esamina opzioni di progettazione FastConnect

Sono disponibili tre opzioni FastConnect tra cui scegliere: provider Oracle, provider di terze parti e condivisione della stessa struttura logistica di data center. In questo argomento è possibile scegliere l'opzione migliore per l'implementazione in base a punti importanti della progettazione.

Quando pianifichi una distribuzione FastConnect, devi prendere in considerazione tre punti principali:
  • Prima di tutto, determinare la posizione Oracle alla quale si desidera connettersi.

    Oracle ha varie sedi in tutto il mondo, dette aree, in cui viene distribuito Oracle Cloud Infrastructure. Ogni area ha una o due sedi di ingresso fisico denominate data center FastConnect (DC). Il data center FastConnect è il punto di ingresso nell'area geografica OCI ed è dotato di hardware ridondante. FastConnect DC indica il punto in cui il cliente stabilirà la connettività. Puoi trovare un elenco completo delle aree abilitate per FastConnect sul sito Web dei provider di rete e partner di scambio dati di Oracle Nord America, a cui viene fatto riferimento nell'argomento "Prima di utilizzare FastConnect OCI".

  • Successivamente, attenuare i servizi a cui si desidera connettersi tramite FastConnect (noto anche come circuito virtuale).
    FastConnect fa riferimento alla connessione fisica tra le soluzioni on premise e Oracle Cloud Infrastructure (OCI). In FastConnect creerai un circuito virtuale per la connessione ai servizi all'interno di OCI. Esistono due tipi di circuiti virtuali (VC):
    • Peering privato, ovvero un circuito virtuale quando si desidera connettersi on premise alla rete cloud virtuale (VCN) all'interno di OCI.
    • Peering pubblico, ovvero un circuito virtuale che consente di connettere il sistema on premise a Oracle Services Network (OSN) e accedere ai servizi pubblici senza utilizzare Internet.
  • Infine, determinare il tipo di FastConnect da utilizzare:
    Quale delle tre opzioni FastConnect soddisfa al meglio le tue esigenze? Per rispondere a questa domanda, è necessario considerare alcuni aspetti diversi del disegno:
    • Dove si trova il data center del cliente?
    • Quanti data center il cliente vuole connettersi a OCI
    • Qual è la relazione del cliente con fornitori o vettori?
    • Dove può essere il provider a fornire circuiti o cross connect per
    • Quanto tempo richiede la distribuzione di FastConnect da parte del cliente? Larghezza di banda della latenza dei costi
    Questi sono punti chiave da considerare nella progettazione e nella scelta dell'opzione FastConnect appropriata. Ad esempio, se il cliente ha una buona relazione con il provider A, ma il provider A non è un provider Oracle, l'opzione successiva consiste nell'utilizzare il provider di terze parti o l'opzione Colocation. Se il provider A è in grado di distribuire i circuiti nel data center FastConnect, ma non è in grado di distribuire il cross connect al data center FastConnect, il cliente dovrà esaminare un provider diverso. Se il cliente non coincide con il DC FastConnect, Colocation non è un'opzione.

Si tratta solo di una breve panoramica sulle opzioni di progettazione per l'implementazione di FastConnect OCI. Per informazioni più dettagliate su queste opzioni di progettazione, consulta il post del blog su FastConnect Design, a cui viene fatto riferimento nell'argomento "Prima di utilizzare FastConnect OCI".

Ridondanza piano

Le ridondanze nell'implementazione FastConnect OCI garantiscono prestazioni affidabili e riducono o eliminano i costosi tempi di inattività e altre difficoltà nel sistema. Quando si implementano le ridondanze, la chiave consiste nel creare percorsi di backup progettati per garantire efficienza, velocità e disponibilità.

Sebbene le migliori prassi in termini di ridondanza da seguire dipendano dal modello di connettività utilizzato, dovresti sempre progettare la tua rete per ottenere alta disponibilità (HA) e prepararti a questi tipi di interruzioni:
  • Manutenzione pianificata regolarmente dall'organizzazione, dal fornitore (se ne utilizzi uno) o da Oracle.
  • Errori imprevisti da parte dei componenti di rete, del provider o di Oracle. Gli errori sono rari, ma è necessario pianificare per loro.
Per garantire la ridondanza, Oracle offre quanto segue:
  • Più provider per ogni area geografica
  • Due sedi FastConnect per ogni area geografica seguente (tutte le altre aree dispongono di una singola sede FastConnect)
    • Germania centrale (Francoforte)
    • Regno Unito - Sud (Londra)
    • Stati Uniti orientale (Ashburn)
    • Stati Uniti occidentali (Phoenix)
  • Due router in ogni sede FastConnect
  • Più connessioni fisiche tra ciascun partner Oracle e Oracle (per una determinata area)

Puoi trovare una discussione più completa sulle best practice specifiche per un modello di connettività FastConnect OCI nelle migliori prassi per la ridondanza di FastConnect, a cui viene fatto riferimento in "Prima di utilizzare FastConnect OCI".

Prima di utilizzare FastConnect OCI

Le migliori prassi Oracle Cloud Infrastructure FastConnect precedenti sono state ricavate dalla documentazione OCI, che contiene informazioni più dettagliate su questo servizio. Prima di usare FastConnect, dovresti consultare i seguenti argomenti:

Esempio di reimpostazione inversa del proxy

Un proxy inverso è un tipo di server proxy che proxy fornisce uno o più server e recupera le risorse da tali server per conto di un client. Il client vede che le richieste vengono servite dal proxy inverso ed è ignaro dei server che il proxy inverso estrae. Un proxy inverso può essere utilizzato per esporre gli endpoint privati a Internet pubblica e per fornire comunicazioni sicure mediante certificati firmati, se un server o un'applicazione non utilizza certificati firmati.

È possibile eseguire il provisioning di un proxy inverso nell'areademilitarizzata del data center che ha accesso alla rete aziendale/privata e che espone endpoint specifici dell'applicazione alla rete Internet pubblica tramite il proxy inverso, per l'integrazione con le applicazioni dei servizi Oracle Utilities Cloud in OCI.

In assenza di certificati con firma CA nelle applicazioni esterne che devono essere integrate con le applicazioni dei servizi Oracle Utilities Cloud (in particolare per la comunicazione in uscita dalle applicazioni dei servizi Oracle Utilities Cloud), è possibile impostare un proxy inverso con certificati con firma CA su proxy per l'applicazione o le applicazioni esterne.

È possibile impostare un singolo proxy inverso su proxy per più applicazioni, in base all'impostazione della rete. Il proxy inverso può essere impostato su Oracle Cloud Infrastructure o all'interno della zona di rete demilitarizzata del tuo data center, in base all'applicabilità. È possibile utilizzare un software proxy appropriato che richiede le VM e altre sottoscrizioni, l'impostazione e la configurazione delle risorse, se necessario, per eseguire l'impostazione del proxy inverso su Oracle Cloud Infrastructure.

Quando utilizzare Reverse Proxy

Le API dell'applicazione esterna non sono esposte alla rete Internet pubblica, pertanto un proxy inverso impostato nel data center dell'applicazione esterna o in Oracle Cloud Infrastructure può esporre tali endpoint alle applicazioni dei servizi Oracle Utilities Cloud.

Nel caso in cui il proxy inverso sia impostato su Oracle Cloud Infrastructure, potrebbe essere necessario VPN Connect se le API dell'applicazione esterna non sono esposte a Internet pubblica. Se le applicazioni esterne non utilizzano certificati con firma CA. È quindi possibile impostare un singolo proxy inverso con certificati CA emessi per proxy una o più applicazioni esterne.

Di seguito è riportato un esempio di impostazione di un proxy inverso su OCI.
  1. Per impostare un proxy inverso su OCI, creare un'istanza VM nella VCN.
  2. Se si utilizza Linux come O/S per la VM, impostare le regole in entrata nella VCN per consentire l'accesso SSH alla VM.
  3. Scaricare e installare un software proxy inverso sulla nuova VM di cui è stato eseguito il provisioning in OCI e configurarlo in modo che possa ricevere comunicazioni dai servizi Oracle Utilities Cloud e instradarlo per l'applicazione esterna tramite la VPN.
  4. Assicurarsi di impostare il proxy inverso con un indirizzo IP pubblico in modo che Oracle Utilities Cloud Service possa inviare la comunicazione in uscita al proxy inverso.

Vedere "Comprendere i canali di integrazione disponibili" altrove in questo playbook per comprendere i canali supportati e i requisiti aggiuntivi per l'integrazione con i sistemi esterni.

Comprendere le differenze tra VPN Connect e FastConnect OCI

Se non è necessario utilizzare un proxy inverso per implementare l'integrazione tra l'applicazione dei servizi Oracle Utilities Cloud e un'applicazione ospitata esternamente, ma non si è sicuri se utilizzare la connessione VPN IPSec o FastConnect OCI, la comprensione delle differenze tra i due elementi aiuterà a rendere corretta la determinazione.

Una VPN IPSec stabilisce una connessione di rete cifrata su Internet tra il data center dell'applicazione esterna e la rete cloud virtuale (VCN) Oracle Cloud Infrastructure. Offre larghezza di banda bassa o modesta e comporta la variabilità intrinseca delle connessioni basate su Internet.

La rete Internet viene bypassata da FastConnect. Utilizza, al contrario, connessioni di rete dedicate e private tra la rete o il data center dell'applicazione esterna e la VCN.

Sono disponibili ulteriori confronti: