ハブおよびスポークVCNルーティング・アーキテクチャを使用したハブへのOCI Load BalancerおよびOCI WAFの追加

イントロダクション

このチュートリアルでは、OCIでOCI Web Application Firewall (WAF)を使用したOracle Cloud Infrastructure (OCI) Load Balancerをデプロイおよび構成するために必要なタスクと、これがハブおよびスポークVCNルーティング環境でどのように機能するかについて説明します。

次の図は、トラフィックフローを示しています。

Load BalancerおよびWAFを使用したSpoke接続への外部接続

イメージ

目的

OCI WAFポリシーを使用したOCI Load Balancerは、ハブおよびスポーク・ネットワーク・アーキテクチャで構成します。また、ロード・バランサがトラフィックをどのように分散するかを監視および追跡するために、Webサーバーを設定します。

前提条件

このチュートリアルでコンテンツを再作成する場合は、次のチュートリアルを完了してください。

タスク1: 現在のハブおよびスポーク・ネットワーク・アーキテクチャの確認

このチュートリアルを続けるには、次のものが必要です。

1つのxのハブVCN(ファイアウォール、インターネット・ゲートウェイ、NATゲートウェイおよびサービス・ゲートウェイを使用)
3 xスポークSCN
1 x IPSec VPN接続でオンプレミスがアタッチされました

ハブVCNには、スポーク・インスタンスへの接続に使用できるWindowsインスタンスがあります。各スポークには1つのインスタンスがWebサーバーとして構成され、これらのインスタンスは、このチュートリアルでデプロイするロード・バランサのエンドポイントとして使用できます。

次の画像に開始点を示します。

イメージ

タスク2: OCI WAFとOCI Load Balancer、ハブ・ファイアウォールおよびスポーク・インスタンス間のハブおよびスポーク・ネットワーク・アーキテクチャでのルーティングの構成

次の図は、すべてのセキュリティ・リストおよびルーティング表を含む現在のハブおよびスポーク・ネットワーク・アーキテクチャを示しています。

イメージ

OCIロード・バランサを追加する前に、OCI Load Balancerサブネットからのトラフィックがハブ・ファイアウォールにルーティングされていることを確認し、トラフィックをスポーク・インスタンスに送信する前にハブ・ファイアウォールで検査できるようにする必要があります。

これを実行するデフォルトのルーティング・ルールがすでにありますが、他のネットワークと同様に明示的にコールアウトするには、このルールを追加することをお薦めします。

ルーティング・ルールを追加します。
1. OCIコンソールにログインし、「ネットワーキング」、「Virtual Cloud Networks」および「Virtual Cloud Network」に移動します。
2. 「ルート表」をクリックします。
1. VCN_HUB_RT_DRG_TRANSITルート表を選択します。
「ルート・ルールの追加」をクリックします。
1. ターゲット・タイプ: 「プライベートIP」を選択します。
2. 宛先タイプ: 「CIDRブロック」と入力します。
3. 宛先CIDRブロック: 0.0.0.0/0と入力します。
4. ターゲット選択: 172.16.0.20と入力します。これは、pfSenseファイアウォールのIPアドレスです。
5. 「ルート・ルールの追加」をクリックします。
172.16.0.128/25ルートがVCN_HUB_RT_DRG_TRANSITルート表に追加されました。

次の図は、すべてのセキュリティ・リストおよびルート・ルールを含むルーティング表を含む現在のハブおよびスポーク・ネットワーク・アーキテクチャを示しています。

タスク3: バックエンド・サーバーへのWebサーバーのインストール

スポークSCN内のすべてのインスタンスにNGINX Webサーバーをインストールします。Oracle LinuxインスタンスにNGINX Webサーバーをインストールする方法の詳細は、タスク6: インスタンスへのWebサーバーのインストールを参照してください。

イメージ

タスク4: バックエンド・サーバーでのWebページの作成または変更

デフォルトでは、各WebサーバーはデフォルトのWebページで構成されます。OCI Load Balancerがトラフィックをどこにリダイレクトするかを追跡するには、Webページで何かを変えて、どのサーバーがヒットしたかを把握することをお薦めします。

これを行うには、デフォルトのNGINX index.htmlファイルの内容を変更します。

sudo nano /usr/share/nginx/html/index.html

Instance-Aの場合、ヘッダーを変更します。

<h1>Welcome to nginx! This is INSTANCE-A</h1>

Instance-Bの場合、ヘッダーを変更します。

<h1>Welcome to nginx! This is INSTANCE-B</h1>

Instance-Cの場合は、ヘッダーを変更します。

<h1>Welcome to nginx! This is INSTANCE-C</h1>

index.htmlファイルは、変更後に必ず保存してください。

タスク5: OCI Load Balancerのインストール

OCI Load Balancerを作成する前に、まずハブVCNセキュリティ・リストでポート80イングレスを許可する必要があります。ハブVCNのパブリック・サブネットのロード・バランサから送信されるトラフィックを含むすべてのトラフィックは、HUBファイアウォールにルーティングされます。ロード・バランサがエンドポイントを使用するインスタンスは、ポートTCP/80でリスニングしています。このため、ハブVCNでポートTCP/80イングレスを許可して、トラフィックがルーティングされるハブVCN内のプライベート・サブネットでスポークVCNへの通信も可能にする必要があります。

イングレス・ルールの追加
1. 左上隅のハンバーガーメニュー(≡)をクリックします。
2. 「ネットワーキング」をクリックします。
3. 「仮想クラウド・ネットワーク」をクリックします。
1. 「仮想クラウド・ネットワーク」セクションが表示されていることを確認します。
2. 「ハブVCN」VCNをクリックします。
「セキュリティ・リスト」をクリックします。
「HUB-VCNのデフォルト・セキュリティ・リスト」をクリックします。
1. 「イングレス・ルール」セクションが表示されていることを確認します。
2. 「イングレス・ルールの追加」をクリックします。
3. 「ソース」(172.16.0.128/25)から「すべての宛先」にTCP/80が許可されるセキュリティ・ルールを追加します。
ノート:
- HUB-VCNに適用され、このHUB-VCN内のすべての個別のサブネットに適用されるデフォルトのセキュリティ・リストを使用しています。
- これは、同じデフォルト・セキュリティ・リストが両方のサブネットに適用されるため、パブリック・サブネットからHUB-VCN内のプライベート・サブネットに向かうトラフィックも、このデフォルト・セキュリティ・リストに従うことを意味します。
- このため、ポートTCP/80イングレスを許可しています。これは、これを行わないと、ロード・バランサがバックエンド・サーバーと通信できないためです。HUB-VCNのプライベート・サブネット内にファイアウォールがあるハブ・アンド・スポーク・アーキテクチャを使用しているため、トラフィックはパブリック・サブネットからプライベート・サブネットに送信されます。
次のイメージは、セキュリティ・ルールを追加してこれまでに作成した内容を示しています。
ロード・バランサを作成します。
1. 左上隅のハンバーガーメニュー(≡)をクリックします。
2. 「ネットワーキング」をクリックします。
3. 「Load Balancer」をクリックします。
「ロード・バランサの作成」をクリックします。
1. ロード・バランサ名を入力します。
2. 「可視性タイプ」で「パブリック」を選択します。
3. 「Ephemeral IP address」を選択します。
4. 下へスクロール
すべてをデフォルトのままにして、下にスクロールします。
1. ロード・バランサをアタッチするVCNを選択します。
2. ロード・バランサをアタッチする「サブネット」を選択します。
3. 「次」をクリックします。
1. 「ロード・バランシング・ポリシー」として「加重ラウンド・ロビン」を選択します。
2. 「バックエンドの追加」をクリックします。
1. スポークSCN内のインスタンスのすべてのバックエンドを選択します。
2. 「選択したバックエンドの追加」をクリックします。
1. このチュートリアルでは、バックエンドを確認し、必要に応じてポートを変更します。すべてのバックエンド・インスタンスがポート80をリスニングします。
2. 下へスクロール
ヘルス・チェック・ポリシーをデフォルトのままにして、「次へ」をクリックします。
1. リスナー名を入力します。
2. 「リスナーで処理するトラフィック・タイプ」として「HTTP」を選択します。
3. 「リスナー・ポート」に80を入力します。
4. 「次」をクリックします。
1. ログ・グループを選択します。
2. 「発行」をクリックします。
ロード・バランサ・ステータスはCREATINGです。
1. ロード・バランサのステータスがCREATINGからACTIVEに変更されたことに注意してください。
2. 全体的なヘルスが保留中であることに注意してください。
3. バックエンド・セットのヘルスが保留中であることに注意してください。
1. ロード・バランサのパブリックIPアドレスをノートにとります。
2. 数分後、「全体的なヘルス」は「OK」になります。
3. 数分後、バックエンド・セットのヘルスは「OK」になります。
下にスクロールして、バックエンド・セットの詳細を確認します。
1. 「バックエンド・セット」をクリックします。
2. 使用可能なバックエンド・セットをクリックします。
1. 「全体的なヘルス」は「OK」です。
2. 「バックエンド・セットのヘルス」が「OK」であることに注意してください。
3. 下へスクロール
1. 「バックエンド」をクリックします。
2. 「バックエンド」セクションのバックエンドに注意してください。
1. ブラウザを新しく開きます。
2. ロード・バランサのパブリックIPアドレスを入力します。
3. ロード・バランサは、トラフィックをスポークVCN Bのインスタンスにリダイレクトします。
1. ページをリフレッシュします。
2. ロード・バランサは、トラフィックをスポークVCN C内のインスタンスにリダイレクトするようになりました。
1. ページをリフレッシュします。
2. ロード・バランサは、トラフィックをスポークVCN B内のインスタンスに再度リダイレクトするようになりました。
1. ページをリフレッシュします。
2. ロード・バランサは、トラフィックをスポークVCN Aのインスタンスにリダイレクトするようになりました。
次の図は、これまでに作成した内容とトラフィックの流れを示しています。
ハブ・ファイアウォールで、ロード・バランサからバックエンド・サーバーへのポートTCP/80が許可されていることを確認します。このチュートリアルでは、テスト目的でハブ・ファイアウォール内のすべてのトラフィックを許可しました。

タスク6: OCI Web Application Firewallのインストールおよび構成

OCI Web Application Firewallを構成します。
1. 左上隅のハンバーガーメニュー(≡)をクリックします。
2. 「アイデンティティとセキュリティ」をクリックします。
3. 「Web Application Firewall」をクリックします。
「WAFポリシーの作成」をクリックします。
1. WAFポリシーの名前を入力します。
2. 「次」をクリックします。
1. 「アクセス制御の有効化」が有効になっていることを確認します。
ISP IPアドレスを取得できるWebサイトを使用します。これは、OCI Web Application Firewallでアクセス制御を構成するために必要です。このチュートリアルでは、www.ipchicken.comを使用してISP IPアドレスを取得します。
「アクセス・ルールの追加」セクションで、次の情報を入力します。
1. 「アクセス・ルールの追加」をクリックします。
2. アクセス・ルールの「名前」を入力します。
3. 条件タイプ: 「ソースIPアドレス」を選択します。
4. 演算子: 「リスト内」を選択します。
5. CIDR IP範囲:独自のISPのIPアドレスを入力します。
6. 下へスクロール
1. 「ルール・アクション」で、アクション名を入力し、「事前構成済401レスポンス・コード・アクション」を選択します。
2. 「アクセス・ルールの追加」をクリックします。
1. アクセス・ルールが追加されていることに注意してください。
2. 「次」をクリックします。
「次」をクリックします。
「次」をクリックします。
1. WAFポリシーを構成するロード・バランサを選択します。タスク5で作成したロード・バランサを使用します。
2. 「次」をクリックします。
WAFポリシーの作成をクリックします。
WAFポリシーが作成されていることに注意してください。
1. WAFポリシーのステータスがACTIVEであることに注意してください。
2. 「ポリシー」をクリックして、「WAFポリシー」ページに戻ります。
構成したWAFポリシーに注意してください。

タスク7: OCI WAF、OCI Load Balancerの接続性およびWAFセキュリティのテスト

タスク5で使用されているブラウザを開き、ページをリフレッシュします。

ノート:クローズした場合は、ロード・バランサのパブリックIPアドレスを入力します。
Webサーバーは、WAFポリシーでブロックされているため、アクセスできなくなります。

承認

作成者 - Iwan Hoogendoorn (OCIネットワーク・スペシャリスト)

その他の学習リソース

docs.oracle.com/learnの他のラボを確認するか、Oracle Learning YouTubeチャネルで無料のラーニング・コンテンツにアクセスしてください。また、education.oracle.com/learning-explorerにアクセスしてOracle Learning Explorerになります。

製品ドキュメントは、Oracle Help Centerを参照してください。

タイトルおよび著作権情報

Add OCI Load Balancer and OCI WAF to a Hub with Hub and Spoke VCN Routing Architecture

G12091-01

July 2024

Oracle and/or its affiliates.