ノート:

Oracle Cloud Infrastructure Network FirewallでOracle Cloud VMware Solutionワークロードを保護

イントロダクション

このドキュメントでは、Oracle Cloud Infrastructure (OCI) Network Firewallを使用して、Oracle Cloud VMware Solutionで実行されるワークロードを保護する方法について説明します。Oracle Cloud VMware Solutionでは、OCIでVMwareソフトウェア定義データ・センター(SDDC)を作成および管理できます。

OCI Network Firewallは、分散モデルまたは転送モデルとしてデプロイできます。このチュートリアルでは、Network FirewallがハブVCN、Oracle Cloud VMware Solution SDDCにあるTransitモデルをスポークVCNにデプロイします。OCIネットワーキングのイントラVCNおよびイングレス・ルーティング機能を使用して、ハブVCNで実行されているネットワーク・ファイアウォールを介してトラフィックを検査できます。

ノート: このチュートリアルではOCI Network Firewallを示しますが、ほとんどの概念は、Fortinet、Palo Alto Networks、Cisco、Check Pointなどの他のサード・パーティ製アプライアンスに適用される必要があります。顧客は、特定のベンダー/パートナーと協力して、ベンダーがサポートしていることを確認する必要があります。

ユースケース

OCI Intra VCNルーティング機能を使用すると、VCN内のOCIワークロード・トラフィックをサポートするためのルーティングを簡単に設定でき、ファイアウォールを使用してトラフィックを検査/保護することもできます。次のようなVCN内イングレス・ルーティング機能を使用します。

このチュートリアルでは、様々なトラフィック・シナリオおよびOCI Network Firewallでサポートされている主な機能を検証します。

ノート: Transitモデルを使用して、NSXワークロードVM内の東西トラフィックを検査することはできません。そのトラフィックを検査する場合は、このチュートリアルでは扱っていないOracle Cloud VMware Solution環境にサード・パーティ・パートナ・ソリューションをデプロイすることをお薦めします。

目標

このチュートリアルでは、Oracle Cloud VMwareソリューション環境でのOCI Network Firewallソリューションを使用したOCI Intra-VCNルーティング機能について説明します。OCIでのファイアウォール・デプロイメントを簡略化する、Virtual Cloudネットワーキング・ルーティングのユースケースを取り上げました。

前提条件

ノート: 本番環境では、ファイアウォールを高可用性でデプロイする必要があります。

アーキテクチャ

このユースケースをサポートするために、次のトポロジを参照できます。

図1

タスク1: OCIネットワーク・ファイアウォールの構成

次の項では、OCI Network Firewallの最小限必要な構成について説明します。詳細な構成については、公式ドキュメントを参照してください。

  1. VCNサブネットおよびVLAN: 最初のステップは、ユースケース・トポロジをサポートするための前提条件の項の説明に従って、必要なVCNおよびサブネットを作成したことを確認することです。

    • OCIコンソールを使用して確認するには、「Virtual Cloud Networks」、「Virtual Cloudネットワークの詳細」、「リソース」に移動します。

      • Hub-VCNでネットワーク・ファイアウォールをサポートするためのファイアウォール- サブネット-IADサブネット
      • トラフィック検証用のVMをサポートするハブVCNのパブリック・要塞サブネット-IAD、JumpHost- サブネット-IADサブネット
      • DBワークロードをサポートするDB-Spoke-VCN-IAD VCNのDB-Subnet-IADサブネット
      • Oracle Cloud VMware Solution SDDCのデプロイメント中に、適切なサブネットおよびVLANが作成されている必要があります

    • 次の図は、ハブVCN (ファイアウォール-VCN-IAD)および関連するサブネットを示しています。

      図2

    • 次に、ファイアウォール・サブネットにデプロイされたOCIネットワーク・ファイアウォールをデプロイする必要があります。詳細は、公式ドキュメントを参照してください。

  2. OCIネットワーク・ファイアウォール・ポリシー・ルール: ユース・ケース・トラフィックをサポートするために必要なファイアウォール・セキュリティ・ルールが追加されていることを確認します。ルールの構成方法の詳細は、公式ドキュメントを参照してください。

    図3

  3. OCIネットワーク・ファイアウォール: ハブVCNで、前提条件に従ってネットワーク・ファイアウォールをデプロイします。ファイアウォールVMがアクティブになったら、それを使用してトラフィックを保護します。

    図4

  4. VCN、サブネット、VLANおよびDRGアタッチメントのルート表: ユースケース・トポロジの正しいルート・ルールを反映するようにルート表を構成する必要があります。概要レベルでは、VCNのルート表を次のように変更する必要があります。

    • ファイアウォール-VCN

      • ファイアウォール・サブネット・ルート表: 各サブネットCIDRを宛先として、ターゲットをインターネット・ゲートウェイ、Natゲートウェイ、サービス・ゲートウェイまたはDRGとして、エントリを作成します。
      • パブリック・要塞サブネット・ルート表: 各サブネットCIDRを宛先として、ターゲットをネットワーク・ファイアウォールIPアドレスとしてエントリを作成します。
      • プライベートJumpHostサブネット・ルート表: 各サブネットCIDRを宛先として、ターゲットをネットワーク・ファイアウォールIPアドレスとしてエントリを作成します。
      • VCNイングレス・ルート表: 各宛先CIDRおよびターゲットをファイアウォールIPアドレスとしてエントリを作成し、スポークVCNからのトラフィックを検査します。

    • Oracle Cloud VMware Solution VCN

      • サブネットSDDCルート表: 各サブネットCIDRを宛先として、ターゲットをDRGとしてエントリを作成します。
      • vSphere VLANルート表: 各サブネットCIDRを宛先として、ターゲットをDRGとしてエントリを作成します。
      • NSX Edgeアップリンク1 VLANルート表: 各サブネットCIDRを宛先として、ターゲットをDRGとしてエントリを作成します。
      • VCNイングレス・ルート表: トラフィックがオーバーレイ・ホストに戻るように、各宛先オーバーレイCIDRおよびターゲットをNSX-EDGE-UPLINK IPアドレスとしてエントリを作成します。

    • DB VCN

      • DBサブネット・ルート表: 各サブネットCIDRを宛先として、ターゲットをDRGとして、OCIネットワーク・ファイアウォールを介したトラフィックを検査するエントリを作成します。

    • DRG VCNアタッチメント

      • ファイアウォール-VCNアタッチメント・ルート表: 各NSXワークロードCIDRを宛先として、次のホップをOracle Cloud VMware Solution VCNアタッチメントとして使用するエントリを作成します。Oracle Cloud VMware SolutionおよびDB VCNが基準に一致するルート・ディストリビューションをインポートします。
      • Oracle Cloud VMware Solution-VCNアタッチメント・ルート表: 各サブネットCIDRを宛先として、ターゲットをファイアウォールVCNアタッチメントとして、OCIネットワーク・ファイアウォールを介したトラフィックを検査するエントリを作成します。
      • DBアタッチメント・ルート表: 各サブネットCIDRを宛先として、次のホップをファイアウォールVCNアタッチメントとして、OCIネットワーク・ファイアウォールを介したトラフィックを検査するエントリを作成します。

ノート: トラフィックが両方向で適切に検査されるように、ルート対称が使用されていることを確認してください。

タスク2: OCIネットワーク・ファイアウォールからのトラフィックの検証および検査

この時点で、JumpHost Windows VM、Bastion VM、Oracle Cloud VMware Solution SDDC環境、NSXオーバーレイVMおよびDB Spoke VMからのトラフィックを検証し、OCI Network Firewallからのトラフィックを調べることができます。次の図は、ユースケース・トポロジに従って実行されている必要なVMを示しています。

図5

図6

VCN内ルーティング(IVR)を介したJumpBox Windows VMからNSXオーバーレイVMへの南北トラフィック検査

ネットワーク・ゲートウェイ・イングレス・ルーティングを介したNSXオーバーレイVMからインターネットへの南北トラフィック検査

VCN内ルーティング(IVR)を介した、JumpBox Windows VMからvCenterへの東西トラフィック検査

DBスポークVMおよびESXiホストからの東西トラフィック検査(その逆も同様)

IPS/IDS、URLフィルタリング、SSL転送プロキシおよびSSLインバウンド検査トラフィックを、VCN間ルーティングを介してNSXオーバーレイVMからインターネットに

IPS/ID

URLフィルタリング

SSL転送プロキシおよびSSLインバウンド検査

謝辞

作成者:

その他の学習リソース

docs.oracle.com/learnで他のラボをご覧いただくか、Oracle Learning YouTubeチャネルでより無料のラーニング・コンテンツにアクセスしてください。また、education.oracle.com/learning-explorerにアクセスして、Oracle Learning Explorerになります。

製品ドキュメントについては、Oracle Help Centerを参照してください。