Azureのインターコネクト

VCNとVNetを接続して、プライベートIPアドレスを使用するトラフィックがクロスカウド接続を経由できるようにします。

たとえば、次の図は、VNetに接続されているVCNを示しています。VNet内のリソースは、VCN内のデータベース・サービス・リソースで実行されるOracleデータベースにアクセスする.NETアプリケーションを実行します。アプリケーションとデータベースの間のトラフィックでは、AzureとOracle Cloud Infrastructureの間のクロスカウド接続で実行される論理回路が使用されます。

VCNとVNetの間の接続を有効にするには、Oracle Cloud Infrastructure FastConnect仮想回回線およびAzure ExpressRoute仮想回回線を設定します。接続には組み込みの冗長性があるため、1つの FastConnect仮想回線および1つのExpressRoute回線を設定するだけで済んでいます。接続の帯域幅は、ExpressRoute回回線に対して選択した帯域幅の値になります。

手順については、接続の設定を参照してください

この接続により、接続されたVCNを介して、VNetから同じOracle Cloud Infrastructureリージョンまたは異なるリージョンのピアリングされたVCNへのトラフィック・フローが可能になります。

このクロスカウド接続では、「VCNを介したオンプレミス・ネットワーク」から「VNet」、「VNetを介したオンプレミス・ネットワーク」から「VCN」へのトラフィックは有効にされません。

Oracle Cloud Infrastructure IAMポリシーでは、次のものを制御できます:

• 組織内の誰がFastConnect仮想回回線の作成権限を持ちます(接続の設定を参照)。関連するIAMポリシーを削除しても、VNetへの既存の接続には影響せず、将来の接続を作成する機能のみに影響します。
• ルート表、ネットワーク・セキュリティ・グループおよびセキュリティ・リストを管理できるユーザー。

VCNとVNetの間に接続が確立されている場合でも、VCN内のルート表を使用した接続上のパケット・フローを制御できます。たとえば、VNetの特定のサブネットのみにトラフィックを制限できます。

接続を削除しなくても、VCNからVNetにトラフィックを転送しますルート・ルールを削除するのみVNetへのトラフィック・フローを停止できます。また、VNetとのイングレス・トラフィックまたはエグレス・トラフィックを有効にするセキュリティ・ルールを削除することでも、トラフィックを実質上停止できます。この場合、接続上ではトラフィック・フローは停止されず、VNICレベルでトラフィック・フローが停止されます。

VNetとのアウトバウンド・トラフィックおよびインバウンド・トラフィックがすべて意図/予期されたものであり、定義されたものであることを確認してください。一方のクラウドから他方のクラウドへ送信できるトラフィックのタイプおよび一方のクラウドが他方のクラウドから受け入れるトラフィックのタイプを明示的に示す、Azureネットワーク・セキュリティ・グループおよびOracleセキュリティ・ルールを実装します。

sudo firewall-cmd --zone=public --permanent --add-port=1521/tcp
								
sudo firewall-cmd --reload

セキュリティ・ルールおよびファイアウォールの他に、VCNのインスタンス上のその他のOSベースの構成を評価します。デフォルトのVCN CIDRには適用されないが、VNetのCID Rに意図せず適用されるデフォルト構成があります。

VCNのサブネットでデフォルトのセキュリティ・リストをデフォルト・ルールで使用する場合、そのリスト内の2つのルールで任意の場所(0.0.0.0/0、つまり、VNet)からのイングレス・トラフィックを許可します:

• 0.0.0.0/0および任意のソース・ポートからのTCPポート22 (SSH)トラフィックを許可するステートフル・イングレス・ルール
• 0.0.0.0/0および任意のソース・ポートからのICMPタイプ3、コード4トラフィックを許可するステートフル・イングレス・ルール

これらのルールと、それらを保持するか更新するかを評価します。前述のように、許可されるすべてのインバウンド・トラフィックまたはアウトバウンド・トラフィックが意図されているか、予想どおりに定義されていることを確認してください。

一般に、VNetによる影響を考慮してVCNを準備してください。たとえば、VCNまたはそのインスタンスに対する負荷が増加する可能性があります。または、VCNがVNetから直接、またはVNet経由で悪意のある攻撃を受ける可能性があります。

パフォーマンスについて: VCNがVNETにサービスを提供している場合、VNetの需要に備えてデータベースをスケール・アップする準備をします。これは、必要に応じて追加インスタンスを作成する準備になることかもしれません。また、VCNへのネットワーク・トラフィックのレベルが高いことを懸念する場合は、VCNが実行する必要のある接続トラッキングのレベルを制限するためにステートレス・セキュリティ・ルールの使用を検討してください。ステートレス・セキュリティ・ルールによって、サービス拒否(DoS)攻撃の影響を抑えることもできます。

セキュリティ・リスク関連: VNetがインターネットに接続されている場合、VCNがバウンス攻撃にさらされる可能性があります。バウンス攻撃には、VNetからのと思われるVCNにトラフィックを送信するインターネット上の悪意のあるホストが含まれます。これを防ぐには、前述のとおり、セキュリティ・ルールを使用して、VNetからのインバウンド・トラフィックを、予期および定義されたトラフィックに慎重に制限します。

すでに次のものを備えている必要があります:

• サブネットおよび仮想ネットワーク・ゲートウェイを使用するAzure VNet
• サブネットおよびアタッチされたDynamic Routing Gateway (DRG)を持つOracle Cloud Infrastructure VCN。作成後、VCNにDRGをアタッチすることを忘れないでください。オンプレミス・ネットワークとVCN間にすでにサイト間VPNまたはFastConnectがある場合、VCNにはすでにDRGがアタッチ済です。Azureへの接続を設定するとき、同じDRGを使用します。

念のため、接続の各側に含まれる同等のネットワーキング・コンポーネントをリストした表を次に示します。

VCNとVNetの間の接続は、BGP動的ルーティングを使用します。Oracle仮想回回線を設定する場合、OracleとAzureの間の2つの冗長BGPセッションで使用されるBGP IPアドレスを指定します:

• BGPアドレスのプライマリ・ペア(Oracle側に1つのIPアドレス、Azure側に1つのIPアドレス)
• 別のBGPアドレスのセカンダリ・ペア(Oracle側に1つ、Azure側に1つのIPアドレス)

ペアごとに、/28から/31までのサブネット・マスクを持つ個別のアドレス・ブロックを指定する必要があります。

各アドレス・ブロックの2番目と3番目のアドレスは、BGPIPアドレス・ペアに使用されます:

• ブロック内の2番目のアドレスはBGPセッションのOracle側用です
• ブロック内の3番目のアドレスはBGPセッションのAzure側用です

ブロック内の最初のアドレスと最後のアドレスは、他の内部目的に使用されます。

たとえば、CIDRが10.0.0.20/30の場合、ブロック内のアドレスは次のようになります。

• 10.0.0.20
• 10.0.0.21: Oracle側で使用します(Oracle Consoleで、アドレスを10.0.0.21/30として入力します)。
• 10.0.0.22: Azure側で使用します(Oracle Consoleで、アドレスを10.0.0.22/30として入力し、このアドレスがコンソールの「Customer」側と呼ばれることを確認します)
• 10.0.0.23

セカンダリBGPアドレスにも、同じサイズの2番目のブロックを指定する必要があることに注意してください。例: 10.0.0.24/30。この場合、10.0.0.25はOracle側、10.0.0.26はAzure側のものです。Oracle Consoleでは、これらを10.0.0.25/30および10.0.0.26/30として入力する必要があります。

関連するAzureおよびOracleネットワーキング・リソースを作成して使用するために、必要なAzure Active Directoryアクセス権とOracle Cloud Infrastructure IAMアクセス権があることを前提とします。IAMの場合: ユーザー・アカウントが管理者グループ内にある場合、必要な権限を持っています。それ以外の場合、このポリシーはすべてのネットワーキング・リソースをカバーします:

Allow group NetworkAdmins to manage virtual-network-family in tenancy

仮想回線の作成および管理のみの場合、次のポリシーが必要です:

Allow group VirtualCircuitAdmins to manage drgs in tenancy
                        
                        Allow group VirtualCircuitAdmins to manage virtual-circuits in tenancy

詳細は、ネットワーキングに対するIAMポリシーを参照してください。

次の図は、VCNとVNetを接続するプロセス全体を示します。

最初のタスクは、VCNおよびVNet内の関連するサブネット間に必要なトラフィック・フローを判別し、一致するようにセキュリティ・ルールを構成することです。追加する一般的なルールのタイプは、次のとおりです:

• 他のクラウドの関連サブネットから許可するトラフィックのタイプに対するイングレス・ルール。
• 一方のクラウドから他方のクラウドへの送信トラフィックを許可するエグレス・ルール。VCNのサブネットに、すべての宛先(0.0.0.0/0)へのすべてのタイプのプロトコルに対応する広範囲のエグレス・ルールがすでにある場合は、VNetへのトラフィック用に特別なルールを追加する必要はありません。VCNのデフォルトのセキュリティ・リストには、そのような広範囲のデフォルトのエグレス・ルールが含まれています。

VNetとVCNの間に許可するトラフィックの推奨タイプは、次のとおりです:

• 接続をそれぞれの側からテストするための両方向のPingトラフィック
• SSH (TCPポート22)
• Oracleデータベースへのクライアント接続(TCPポート1521でのSQL*NET)

対象となる特定のアドレス範囲(たとえば、他方のクラウドの関連サブネット)との間のトラフィックのみを許可します。

VCNの場合:

VNetの場合: VNet内のどのサブネットがVCNと通信する必要があるかを判別します。次に、トラフィックが許可されるように、それらのサブネットに対してネットワーク・セキュリティ・グループを構成します。

1. VCN内のどのサブネットがVNetと通信する必要があるかを判別します。

2. これらの各サブネットのセキュリティ・リストを更新して、目的の(VネットのCIDRブロックまたはVNetのサブネットを使用する)エグレス・トラフィックまたはイングレスのトラフィックを許可するためのルールを含めます:

   1. コンソールで、目的のVCNを表示している状態で、「セキュリティ・リスト」を選択します。
   2. 関心のあるセキュリティ・リストを選択します。

   3. 「すべてのルールの編集」を選択し、1つ以上のルールを作成します。各ルールには、許可する特定のタイプのトラフィックが含まれます。後続のルールの例を参照してください。

   4. ダイアログ・ボックスの下部にある「セキュリティ・リスト・ルールの保存」を選択します。

   セキュリティ・ルールの設定の詳細は、セキュリティ・ルールを参照してください。

Oracle Cloud Infrastructure FastConnectへのExpressRoute回回線を設定する。回線の設定時、Microsoft社からサービス・キーを受け取ります。そのサービス・キーは、次のタスクでOracleに提示する必要があるため記録します。

次のタスクで、Microsoft Azure: ExpressRouteへのFastConnectプライベート仮想回回線を設定します。仮想回線のプロビジョニングが完了すると、ExpressRoute回回線が更新され、プライベート・ピアリングが有効になっていることが示されています。

1. コンソールで、作業するコンパートメントを表示していることを確認します。不明な場合は、接続先のDRGを含むコンパートメントを使用してください。このコンパートメントの選択は、対応するIAMポリシーとともに、これから作成する仮想回回線にアクセスできるユーザーを制御します。
2. ナビゲーション・メニューを開き、「ネットワーキング」を選択します。「顧客接続」で、「FastConnect」を選択します。

   結果の「FastConnect」ページは、新しい仮想回線を作成したり、仮想回線を管理する必要がある場合に戻ることのできるページです。

3. 「接続の作成」を選択します。
4. 「FastConnectパートナ」を選択し、リストから「Microsoft Azure: ExpressRoute」をクリックします。

5. 仮想回線について次の情報を入力します:

   • 名前:わかりやすい名前。値は仮想回線間で一意である必要はなく、後で変更できます。機密情報を入力しないでください。
   • コンパートメントに作成:そのままにします(現在作業中のコンパートメント)。
   • 仮想回線タイプ: 「プライベート仮想回線」を選択します。
   • Dynamic Routing Gatewayコンパートメント: DRGが存在するコンパートメント(すでに選択済)を選択します。
   • 動的ルーティング・ゲートウェイ: DRGを選択します。
   • プロビジョニングされた帯域幅: ExpressRoute回路に対して選択したのと同じ帯域幅レベル(または使用可能な最も近い値)を選択できます。
   • Partner Serviceキー: ExpressRoute回回線を設定したときにMicrosoft社から受信したサービス・キーを入力します。
   • 顧客プライマリBGP IPアドレス:このフィールドはAzureプライマリBGP IPアドレスになります。指定する(/28から/31までのサブネット・マスクを持つ)プライマリCIDRブロックの3番目のアドレスを入力し、最後にサブネット・マスクを含めます。例: 10.0.0.22/30。このフィールドおよび次のフィールドの詳細は、接続の設定に関する項を参照してください。
   • OracleプライマリBGP IPアドレス(オプション):このフィールドを空白のままにすると、Azure BGP IPアドレスに指定したCIDRブロックに基づいてOracleによってアドレスが推測されます。この例では、正しい値は10.0.0.21/30です。
   • 顧客セカンダリBGP IPアドレス:このフィールドはAzureセカンダリBGP IPアドレス です。指定する(/28から/31までのサブネット・マスクを持つ)セカンダリCIDRブロックの3番目のアドレスを入力し、最後にサブネット・マスクを含めます。例: 10.0.0.26/30。
   • OracleプライマリBGP IPアドレス(オプション):このフィールドを空白のままにすると、Azure BGP IPアドレスに指定したCIDRブロックに基づいてOracleによってアドレスが推測されます。この例では、正しい値は10.0.0.25/30です。

6. 「続行」を選択します。

   仮想回線が作成されます。

7. 「閉じる」を選択します。

Oracle仮想回線を作成した後、Azureにアクセスして回回線のプロビジョニングを要求する必要はありません。自動的に行われます。

両方の回線が数分以内にプロビジョニングされます。確認するには、次のようにします。

• ExpressRoute回線の場合、プライベート・ピアリングがプロビジョニングされていることを確認します。
• FastConnect仮想回折の場合、ステータスが「稼働中」であることを確認します。FastConnect仮想回回線のステータスを取得するにはを参照してください。

VCNの場合:

1. VCN内のどのサブネットがVNetと通信する必要があるかを判別します。

2. それらの各サブネットのルート表を更新し、VNetのCIDR宛のトラフィックをDRGに転送する新しいルールを含めます:

   1. コンソールで、目的のVCNを表示している状態で、「ルート表」を選択します。
   2. 目的のルート表を選択します。
   3. 「ルート・ルールの編集」を選択します。

   4. 「+別のルート・ルール」を選択し、次の情報を入力します:

      • ターゲット・タイプ: Dynamic Routing Gateway。VCNのアタッチされているDRGがターゲットとして自動的に選択されるため、ターゲットを自分で指定する必要はありません。
      • 宛先CIDRブロック: VNet内の関連するサブネット(前の図の10.0.0.0/16)。
      • 説明:ルールの説明(オプション)。
   5. 「保存」を選択します。

VNetの場合: VNet内のどのサブネットがVCNと通信する必要があるかを判別します。次に、トラフィックがVNetゲートウェイにルーティングされるよう、それらのサブネットに対してルート表を構成します。

ルールに一致する宛先のサブネット・トラフィックは、DRGにルーティングされます。DRGでは、仮想回線のBGPセッション情報に基づいて、トラフィックをVNetにルーティングすることが認識されます。

その後、接続が不要になってDRGを削除する場合は、最初にDRGをターゲットとして指定しているVCN内のすべてのルート・ルールを削除する必要があります。

ルート・ルールの設定の詳細は、VCNルート表を参照してください。

VNetセキュリティ・グループおよびVCNセキュリティ・ルールが正しく設定されている場合は、VCNでインスタンスを作成してVNetのホストからそれにアクセスするか、インスタンスからVNetのホストに接続できます。可能である場合、接続を使用する準備ができています。

1. ナビゲーション・メニューを開き、「ネットワーキング」を選択します。「顧客接続」で、「FastConnect」を選択します。
2. 接続が存在するコンパートメントを選択してから、対象の接続を選択します。仮想回線のアイコンが緑色で「稼働中」を示している場合は、仮想回線がプロビジョニングされており、BGPが正しく構成されています。仮想回線を使用する準備ができています。

仮想回回線の次の項目を変更できます:

• 名前
• 使用するDRG

1. ナビゲーション・メニューを開き、「ネットワーキング」を選択します。「顧客接続」で、「FastConnect」を選択します。
2. 接続が存在するコンパートメントを選択し、接続を選択します。
3. 仮想回折を選択します。
4. 「編集」を選択して変更を行います。機密情報を入力しないでください。
5. 「保存」を選択します。

次の図は、VCNからVNetへの接続を終了するプロセス全体を示します。

1. Azureポータルで、ExpressRoute回線を表示し、その接続を確認します。ExpressRoute回線の接続がまだ存在しないことを確認します。すべての接続を削除してから続行します。

2. Oracleポータルで、FastConnect仮想回線を削除します。

   1. ナビゲーション・メニューを開き、「ネットワーキング」を選択します。「顧客接続」で、「FastConnect」を選択します。
   2. 接続が存在するコンパートメントを選択し、接続を選択します。
   3. 仮想回折を選択します。
   4. 「削除」を選択します。

   5. プロンプトが表示されたら確認します。

      仮想回線のライフサイクル状態が「終了中」に切り替わります。

3. Azureポータルで、ExpressRoute回線のプライベート・ピアリングが削除されていることを確認します。また、ExpressRoute回線のステータスが「未プロビジョニング」に変更されたことも確認します。
4. Azureポータルで、ExpressRoute回線を削除します。

AzureとOracle Cloud Infrastructureの間の接続が終了します。