Azureのインターコネクト

アジア太平洋(APAC)

OCIの場所- キー	Azure ExpressRouteの場所
日本東部(東京) NRT	東京
シンガポール(シンガポール) - SIN	シンガポール
韓国中部(ソウル) - ICN	ソウル

ヨーロッパ、中東、アフリカ(EMEA)

OCIの場所	Azure ExpressRouteの場所
ドイツ中央部(フランクフルト) - FRA	フランクフルトおよびフランクフルト2
オランダ北西部(オランダ) - AMS	Amersterdam2
英国南部(ロンドン) - LHR	ロンドン
南アフリカ中央部(ヨハネスブルク) - JNB	ヨハネスブルグ

ラテン・アメリカ(LATAM)

OCIの場所	Azure ExpressRouteの場所
ブラジル南東部(ヴィニェード) - VCP	カンピナス

北アメリカ(NA)

OCIの場所	Azure ExpressRouteの場所
カナダ南東部(トロント) - YYZ	トロントおよびトロント2
米国東部(アッシュバーン) - IAD	ワシントンDCとワシントンDC2
米国西部(フェニックス) - PHX	フェニックス
米国西部(サンノゼ) - SJC	シリコンバレー

VCNからVNetへの接続: あるクラウドから別のクラウドへの拡張

VCNとVNetを接続して、プライベートIPアドレスを使用するトラフィックがクラウド間接続を経由できるようにします。

たとえば、VNetに接続されているVCNを次の図に示します。VNet内のリソースは、VCN内のデータベース・サービス・リソースで実行されるOracleデータベースにアクセスする.NETアプリケーションを実行しています。アプリケーションとデータベースの間のトラフィックでは、AzureとOracle Cloud Infrastructureの間のクロスクラウド接続で実行される論理回線が使用されます。

VCNとVNetの間の接続を有効にするには、Oracle Cloud Infrastructure FastConnect仮想回路とAzure ExpressRoute回路の両方を設定します。この接続には組込みの冗長性があるため、1つのFastConnect仮想回線および1つのExpressRoute回路を設定する必要があります。接続の帯域幅は、ExpressRoute回路に対して選択する帯域幅の値です。

手順については、接続の設定を参照してください。

ピアリングされたVCN

この接続では、接続されたVCNを介してVNetから同じOracle Cloud Infrastructureリージョンまたは異なるリージョンのピアリングされたVCNへのトラフィックが可能になります。

接続でサポートされないトラフィックのタイプ

このクラウド間接続では、VCNを介したオンプレミス・ネットワークからVNet、またはVNetを介したオンプレミス・ネットワークからVCNへのトラフィックは許可されません。

接続の確立の制御

Oracle Cloud Infrastructure IAMポリシーでは、次のものを制御できます:

• 組織内の誰がFastConnect仮想回線の作成権限を持つか(接続の設定を参照)。関連するIAMポリシーの削除は、VNetへの既存の接続には影響せず、将来の接続を作成する機能にのみ影響します。
• ルート表、ネットワーク・セキュリティ・グループおよびセキュリティ・リストを管理できるユーザー。

接続でのトラフィック・フローの制御

VCNとVNetの間に接続が確立されている場合でも、VCN内のルート表を使用して接続上のパケット・フローを制御できます。たとえば、VNetの特定のサブネットのみにトラフィックを制限できます。

接続を削除しなくても、VCNからVNetにトラフィックを転送するルート・ルールを削除して、VNetへのトラフィック・フローを停止できます。また、VNetとのイングレス・トラフィックまたはエグレス・トラフィックを有効にするセキュリティ・ルールを削除することでも、トラフィックを実質上停止できます。この場合、接続上ではトラフィック・フローは停止されず、VNICレベルでトラフィック・フローが停止されます。

許可されている特定のタイプのトラフィックの制御

VNetとのアウトバウンド・トラフィックおよびインバウンド・トラフィックがすべて意図または予期され、定義されていることを確認してください。一方のクラウドから他方のクラウドへ送信できるトラフィックのタイプおよび一方のクラウドが他方のクラウドから受け入れるトラフィックのタイプを明示的に示す、Azureネットワーク・セキュリティ・グループおよびOracleセキュリティ・ルールを実装します。

sudo firewall-cmd --zone=public --permanent --add-port=1521/tcp
								
sudo firewall-cmd --reload

セキュリティ・ルールおよびファイアウォルの他に、VCNのインスタンス上のその他のOSベースの構成を評価します。VCN CIDRに適用されないが、VNetのCIDRに意図せず適用されるデフォルト構成がある場合があります。

VCNでのデフォルトのセキュリティ・リスト・ルールの使用

VCNのサブネットでデフォルト・セキュリティ・リストをデフォルト・ルールで使用する場合、そのリスト内の2つのルールで任意の場所(0.0.0.0/0、つまりVNet)からのイングレス・トラフィックが許可されます:

• 0.0.0.0/0および任意のソース・ポートからのTCPポート22 (SSH)トラフィックを許可するステートフル・イングレス・ルール
• 0.0.0.0/0および任意のソース・ポートからのICMPタイプ3、コード4トラフィックを許可するステートフル・イングレス・ルール

これらのルールと、それらを保持するか更新するかを評価します。前述のとおり、許可されるすべてのインバウンドまたはアウトバウンド・トラフィックが意図または予期され、定義どおりであることを確認します。

パフォーマンスへの影響およびセキュリティ・リスクに対する準備

一般に、VNetによる影響を考慮してVCNを準備します。たとえば、VCNまたはそのインスタンスに対する負荷が増加する可能性があります。または、VCNがVNetから直接、またはVNetからVCNが悪意のある攻撃を受ける可能性があります。

パフォーマンスについて: VCNがVNetにサービスを提供している場合、VNetの需要に備えてサービスをスケール・アップする準備をします。これは、必要に応じて追加のインスタンスを作成する準備のことかもしれません。または、VCNへのネットワーク・トラフィックのレベルが高い懸念がある場合は、VCNが実行する必要がある接続レベルを制限するためにステートレス・セキュリティ・ルールの使用を検討します。ステートレス・セキュリティ・ルールによって、サービス拒否(DoS)攻撃の影響を抑えることもできます。

セキュリティ・リスク関連: VNetがインターネットに接続されている場合、VCNがバウンス攻撃にさらされる可能性があります。バウンス攻撃には、インターネット上の悪意のあるホストが、VNetから来ていると思われるトラフィックをVCNに送信します。これを防ぐには、前述したように、セキュリティ・ルールを使用して、VNetからのインバウンド・トラフィックを、予想およびas-definedトラフィックに制限します。

前提条件: 必要なリソース

すでに次のものを備えている必要があります:

• Azure VNet (サブネットおよび仮想ネットワーク・ゲートウェイを使用)
• Oracle Cloud Infrastructureサブネットを持つVCNおよびアタッチされたDynamic Routing Gateway (DRG)。作成後は必ずVCNにDRGをアタッチしてください。オンプレミス・ネットワークとVCNの間にすでにサイト間VPNまたはFastConnectがある場合、VCNにはすでにDRGがアタッチされています。Azureへの接続を設定するとき、同じDRGを使用します。

念のため、接続の各側に含まれる同等のネットワーキング・コンポーネントをリストした表を次に示します。

前提条件: 必要なBGP情報

VCNとVNetの間の接続は、BGP動的ルーティングを使用します。Oracle仮想回路を設定する場合、OracleとAzure間の2つの冗長BGPセッションに使用されるBGP IPアドレスを指定します:

• BGPアドレスのプライマリ・ペア(Oracle側に1つ、Azure側に1つのIPアドレス)
• 別のBGPアドレスのセカンダリ・ペア(Oracle側に1つ、Azure側に1つのIPアドレス)

ペアごとに、/28から/31までのサブネット・マスクを持つ個別のアドレス・ブロックを指定する必要があります。

各アドレス・ブロックの2つ目と3つ目のアドレスは、BGP IPアドレス・ペアに使用されます。

• ブロック内の2番目のアドレスはBGPセッションのOracle側用です
• ブロック内の3番目のアドレスはBGPセッションのAzure側用です

ブロック内の最初のアドレスと最後のアドレスは、他の内部目的に使用されます。

たとえば、CIDRが10.0.0.20/30の場合、ブロックのアドレスは次のようになります:

• 10.0.0.20
• 10.0.0.21: Oracle側ではこれを使用します(Oracle Consoleで、10.0.0.21/30というアドレスを入力します)
• 10.0.0.22: Azure側ではこれを使用します(Oracle Consoleで、10.0.0.22/30というアドレスを入力します。このアドレスは、コンソールでは顧客側と呼ばれることに注意してください)
• 10.0.0.23

セカンダリBGPアドレスにも、同じサイズの2番目のブロックを指定する必要があることに注意してください。例: 10.0.0.24/30。この場合、10.0.0.25はOracle側、10.0.0.26はAzure側のものです。Oracle Consoleでは、これらを10.0.0.25/30および10.0.0.26/30と入力する必要があります。

前提条件: 必須のIAMポリシー

おそらく、関連するAzureおよびOracleネットワーキング・リソースを作成して使用するために、必要なAzure Active Directoryアクセス権とOracle Cloud Infrastructure IAMが付与されています。IAMの場合: ユーザー・アカウントが管理者グループにある場合、必要な権限を持っています。それ以外の場合、このポリシーはすべてのネットワーキング・リソースをカバーします:

Allow group NetworkAdmins to manage virtual-network-family in tenancy

仮想回線の作成および管理のみの場合、次のようなポリシーが必要です:

Allow group VirtualCircuitAdmins to manage drgs in tenancy

Allow group VirtualCircuitAdmins to manage virtual-circuits in tenancy

詳細は、ネットワーキングに対するIAMポリシーを参照してください。

全体的なプロセス

次の図に、VCNとVNetを接続するプロセスを示します。