ネットワーク設定

このトピックでは、Oracle Data Infrastructure Cloud@Customerをデプロイするためのネットワーク要件について説明します。

Oracle Data Infrastructure Cloud@Customerでは、様々なアプリケーションおよび管理機能に対して安全で信頼性の高い接続を提供するために、別々のネットワークを使用します。

データ・インフラストラクチャ・ネットワーク

このネットワークは Oracleの仕様に従って構成されており、Oracleの承認なしに修正することはできません。

コントロール・プレーン・ネットワーク

コントロール・プレーン・ネットワークは、データ・インフラストラクチャ内の2つのコントロール・プレーン・プロキシ・サービス・仮想マシンをOracle Cloud Infrastructure (OCI)に接続します。次の2つの主な目的があります。

コントロール・プレーン・ネットワークは、コントロール・プレーン通信専用であり、顧客のデータ・トラフィックとは別のものであり、安全で信頼性の高いインフラストラクチャ管理を実現します。

コントロール・プレーンが正しく機能するには、コントロール・プレーン・プロキシ・サービス・仮想マシンが特定のOCIエンドポイントに接続できる必要があります。次の表の説明に従って、OCIリージョン内の必要なエンドポイントへのアウトバウンドTCPポート443アクセスを有効にします。

説明/目的 オープン・ポート 場所
クラウド自動化配信用の送信トンネル・サービス 443アウトバウンド このURL形式を使用して、<oci_region>をリージョンに置き換えます:
https://wss.dbinfracc.<oci_region>.ocp.oraclecloud.com
リモートOracleオペレータ・アクセス用のセキュア・トンネル・サービス 443アウトバウンド このURL形式を使用して、<oci_region>をリージョンに置き換えます:
https://mgmt.dbinfracc.<oci_region>.ocp.oraclecloud.com
システム更新、インフラストラクチャ・モニタリングおよびログ収集を取得するObject Storage Service 443アウトバウンド このURL形式を使用して、<oci_region>をリージョンに置き換えます:
https://objectstorage.<oci_region>.oraclecloud.com
インフラストラクチャ・モニタリング・メトリック(IMM)の記録および処理用のモニタリング・サービス 443アウトバウンド 次に示すURL形式を使用して、<oci_region>をリージョンに置き換えます:
https://telemetry-ingestion.<oci_region>.oraclecloud.com
認可および認証用のアイデンティティ・サービス 443アウトバウンド <oci_region>をリージョンに置き換えて、次のURL形式を使用します。
https://identity.<oci_region>.oraclecloud.com
https://auth.<oci_region>.oraclecloud.com
リソース・プリンシパル・ベースの認証とデータベース・サービスの提供 443アウトバウンド <oci_region>をリージョンに置き換えて、次のURL形式を使用します。
https://datacc.<oci_region>.ocp.oraclecloud.com
https://database.<oci_region>.oraclecloud.com
OS更新用のオペレーティング・システム管理サービス 443アウトバウンド <oci_region>をリージョンに置き換えて、次のURL形式を使用します。
https://osmh.<oci_region>.oci.oraclecloud.com
https://osmh.yum.<oci_region>.oci.oraclecloud.com
https://management-agent.<oci_region>.oci.oraclecloud.com

前述の表に示したサービス・エンドポイントへのデータ・インフラストラクチャからのアクセスは、完全な機能のために必要です。必要なすべてのエンドポイントへのアクセスを許可しないと、機能が低下したり、機能が期待どおりに動作しない可能性があります。

コントロール・プレーン・プロキシ・サービス・仮想マシンでは、アウトバウンドTCPポート443アクセスのみが必要です。インバウンドTCPポート443へのアクセスは不要で、セキュリティを強化するためにブロックできます。セキュアなアウトバウンド接続が確立されると、接続を介して双方向通信が発生する可能性があります。

また、コントロール・プレーン・プロキシ・サービス・仮想マシンが正しく機能するには、お客様のDNSおよびNTPサービスも必要です。OCIへの接続に必要な帯域幅の最小要件は、50 Mbpsのダウンロードと10 Mbpsのアップロードです。

一部の環境では、アウトバウンド・インターネット接続にプロキシが必要です。OCIへのコントロール・プレーン・プロキシ・サービスのVM接続には、HTTPオープン・プロキシ・サーバーを使用します。リバース・プロキシ・サーバー、チャレンジ・プロキシおよびトラフィック検査はサポートされていません。

IPアドレス・フィルタリングに基づいてファイアウォール・ルールを使用する場合は、次のファイルにリストされているすべての関連するOCIリージョンCIDR範囲のトラフィックを許可します:

https://docs.oracle.com/en-us/iaas/tools/public_ip_ranges.json

システム・ネットワーク

この内部システム・ネットワークは、データ・インフラストラクチャ・サーバーおよびコントロール・プレーン・プロキシ・サービス・仮想マシンを接続します。ストレージ(ASM)トラフィック、高パフォーマンスのインターコネクト・トラフィック、およびインフラストラクチャ・コンポーネントの管理に使用されます。

このネットワークはデータ・インフラストラクチャ内に完全に含まれており、企業ネットワークに直接接続しません。ただし、データ・インフラストラクチャは、コントロール・プレーン・プロキシ・サービス・仮想マシンを介して企業ネットワークに間接的に接続されます。したがって、システム・ネットワークに割り当てられるIPアドレスは、企業ネットワーク内の他の場所に存在していない必要があります。

各データ・インフラストラクチャ・サーバーおよびストレージ・サーバーには、次のポートからシステム・ネットワークに接続された3つのネットワーク・インタフェースがあります。

NET0およびNET MGMT (ILOM)ポートは、2つのデータ・インフラストラクチャ・サーバー間で相互接続されます。2つのサーバー上のPCIeスロット#1上のポートは、2つのサーバー間のプライベートクラスタインターコネクトのために接続されています。これらのインタフェースのケーブル接続または構成変更は、許可されません。

顧客ネットワーク

データ・インフラストラクチャ・データ・プレーンが関連システムにアクセスするために必要な顧客管理ネットワーク。

クライアント・ネットワーク

クライアント・ネットワークは、データ・インフラストラクチャ上のVMクラスタおよびアプリケーション・仮想マシンを既存のクライアント・ネットワークに接続し、これらのVMへのクライアント・アクセスに使用されます。アプリケーションは、シングル・クライアント・アクセス名(SCAN)とOracle Real Application Clusters(Oracle RAC)の仮想IP (VIP)インタフェースを使用して、このネットワークからOracle AIデータベースにアクセスします。

Data Guardが有効な場合、データ・レプリケーションではデフォルトでクライアント・ネットワークが使用されます。

バックアップ・ネットワーク

バックアップ・ネットワークは、データ・インフラストラクチャ上のVMクラスタおよびアプリケーション・仮想マシンを既存のネットワークに接続するため、クライアント・ネットワークと似ています。様々な目的(バックアップ、一括データ転送など)でVMにアクセスするために使用できます。

クライアント・ネットワークと同様に、バックアップ・ネットワークは顧客ネットワークに物理的に接続されている必要があります。

NFSやOracle Zero Data Loss Recovery Appliance (リカバリ・アプライアンス)などの顧客管理のオンプレミス・ストレージをバックアップの保存先として排他的に使用する場合、バックアップ・ネットワークにはOCIへの外部接続は必要ありません。

データ・センター・ネットワーク・サービス

データ・インフラストラクチャをデプロイする前に、データ・センター・ネットワークが必要な前提条件を満たしていることを確認してください。

ドメイン・ネーム・システム(DNS)

デプロイメント・プロセスの一環として、クライアントおよびバックアップ・ネットワーク・インタフェースに使用されるホスト名およびIPアドレスを決定する必要があります。これらのホスト名およびIPアドレスを企業のDNSに登録します。

1つ以上の信頼性のあるDNSサーバーが必要です。これは、Control Plane Proxy Services VMおよびクライアント・ネットワーク上のすべてのサーバーにアクセスできる必要があります。サーバーが使用できなくなった場合に冗長性を提供するために、最大3つの DNSサーバーを構成できます。

Network Time Protocol(NTP)

データ・インフラストラクチャでは、Network Time Protocol (NTP)を使用して、すべてのシステム・コンポーネント間で時間を同期します。

1つ以上の信頼性のあるNTPサーバーが必要です。これは、制御プレーン・プロキシ・サービス・仮想マシンおよびクライアント・ネットワーク上のすべてのサーバーにアクセスできる必要があります。サーバーが使用できなくなった場合に冗長性を提供するために、最大3つのNTPサーバーを構成できます。

IPアドレスとサブネット

必要なデータ・インフラストラクチャ・ネットワークにIPアドレス範囲を割り当てる必要があります。

システム・ネットワーク

システム・ネットワークに使用されるアドレス範囲と、企業ネットワーク内の他のネットワークとの間に重複は許可されません。すべてのIPアドレスは、企業ネットワーク内で一意である必要があります。また、企業ネットワークのIPアドレスをコントロール・プレーン・プロキシ・サービス・仮想マシンに割り当てる必要があります。データ・インフラストラクチャの作成時に、これらのネットワーク構成の詳細を指定します。

データ・インフラストラクチャの作成時に、コンソールによってシステム・ネットワークCIDRブロックのデフォルト値が事前移入されます。提案されたCIDRブロックが企業ネットワーク内の既存のIPアドレスと重複しない場合は、これを使用できます。

システムネットワークのIPアドレス要件を確認します。この表は、各ネットワークに許可される最大および最小のCIDRブロック接頭辞の長さを示します。CIDRブロック接頭辞の最大長は、ネットワークに必要な最小のIPアドレス範囲を定義します。将来の拡張を可能にするには、ネットワーク・チームと協力して、予想される成長のために十分なIPアドレスを予約します。

ネットワーク・タイプ IPアドレスの要件
システム・ネットワーク /24接頭辞が付いたRFC 1918プライベートCIDRブロック
コントロール・プレーン・ネットワーク 2つのIPアドレス(コントロール・プレーン・プロキシ・サービスVMごとに1つ)

システム・ネットワークCIDR要件の詳細は、データ・インフラストラクチャの作成を参照してください。

ホスト名とIPアドレス

企業ネットワークに接続するために、データ・インフラストラクチャでは、クライアントおよびバックアップ・ネットワーク上のネットワーク・インタフェースにホスト名とIPアドレスが必要です。必要なIPアドレスの数は、システム・シェイプによって異なります。VMネットワークの作成時に、ホスト名やIPアドレスなど、これらのネットワーク構成の詳細を指定します。すべてのIPアドレスを静的に割り当てる必要があり、Dynamic Host Configuration Protocol (DHCP)を使用することはできません。クライアント・ネットワークとバックアップ・ネットワークでは、別々のサブネットを使用する必要があります。

クライアント・ネットワーク

バックアップ・ネットワーク

データ・インフラストラクチャが、コントロール・プレーン・ネットワーク、クライアント・ネットワークおよびバックアップ・ネットワークのアップリンク要件を満たしていることを確認します。

コントロール・プレーン・プロキシ・サービスVMネットワーク

クライアント・ネットワークおよびバックアップ・ネットワークのデュアルポート構成

クライアントおよびバックアップ・ネットワークのクアッドポート構成

FastConnectを使用したコントロール・プレーン・プロキシ・サービス・仮想マシンとOCI間のセキュアな接続の確立

デフォルトのTLSトンネル・アプローチを超えて、コントロール・プレーン・プロキシ・サービス・仮想マシンとOCI間の接続をさらに分離する必要がある場合は、OCI FastConnectの使用を検討してください。

詳細は、OCI FastConnectを参照してください。

データ・インフラストラクチャは、パブリック・ピアリングとプライベート・ピアリングの両方のFastConnect接続モデルをサポートしています。

コントロール・プレーン・ネットワークは、FastConnectプロバイダを介してOracleエッジ・ネットワークに接続します。既存のFastConnect接続を使用して、パブリック・ピアリングを使用してデータ・インフラストラクチャをOCIリージョンに接続することもできます。

データ・インフラストラクチャ用のFastConnectの構成

OCI FastConnectは、データ・インフラストラクチャのデプロイ前またはデプロイ後に構成できます。

FastConnectのデータ・インフラストラクチャ・エグレス・ネットワーク構成

FastConnectを介してトラフィックをルーティングするようにコントロール・プレーン・プロキシ・サービスのVMネットワーク・エグレス・ルールを構成します。また、ネットワークがインターネットに直接接続されている顧客のDNSサービスにアクセスできることも確認します。データ・インフラストラクチャは、顧客DNSサービスを使用してOCIパブリック・エンドポイントを解決します。

FastConnectは専用ネットワーク接続をすでに提供しているため、FastConnectを使用する場合は、コントロール・プレーン・プロキシ・サービス・仮想マシンとOCIリージョンの間で企業HTTPプロキシを使用することはお薦めしません。企業プロキシが必要な場合は、データ・インフラストラクチャ・トラフィックがFastConnectを介してルーティングされるように、追加のルーティングを構成します。

プライベート・ピアリングを使用する場合は、転送ルーティングがVCN側で構成されていることを確認します。