참고:

Oracle Cloud Infrastructure Network Firewall으로 Oracle Cloud VMware Solution 워크로드 보호

소개

이 문서에서는 OCI(Oracle Cloud Infrastructure) Network Firewall을 사용하여 Oracle Cloud VMware Solution에서 실행되는 워크로드를 보호하는 방법에 대해 설명합니다. Oracle Cloud VMware Solution을 사용하면 OCI에서 VMware SDDC(소프트웨어 정의 데이터 센터)를 생성하고 관리할 수 있습니다.

OCI 네트워크 방화벽은 분산 모델 또는 전송 모델로 배치할 수 있습니다. 이 사용지침서에서는 네트워크 방화벽이 스포크 VCN의 허브 VCN, Oracle Cloud VMware Solution SDDC에 있는 Transit 모델을 배포합니다. OCI 네트워킹의 VCN 내 및 수신 라우팅 기능을 사용하여 허브 VCN에서 실행되는 네트워크 방화벽을 통해 트래픽을 검사할 수 있습니다.

참고: 이 자습서에서는 OCI Network Firewall을 소개하지만, 대부분의 개념은 Fortinet, Palo Alto Networks, Cisco, Check Point 등과 같은 다른 타사 어플라이언스에 적용되어야 합니다. 고객은 공급업체가 지원하는지 확인하기 위해 특정 공급업체/파트너와 협력해야 합니다.

사용 사례

OCI Intra VCN 라우팅 기능은 VCN 내에서 OCI 워크로드 트래픽을 지원하도록 라우팅을 구성하는 단순성을 제공하며, 방화벽을 사용하여 트래픽을 검사/보안할 수도 있습니다. 다음과 같은 VCN 내 및 수신 라우팅 기능을 사용합니다.

이 사용지침서에서는 다양한 트래픽 시나리오와 OCI 네트워크 방화벽이 지원하는 주요 기능을 검증합니다.

참고: 전송 모델을 사용하여 NSX 워크로드 VM 내의 동서 트래픽을 검사할 수 없습니다. 해당 트래픽을 검사하려면 이 자습서에서 다루지 않는 Oracle Cloud VMware Solution 환경 내에 타사 파트너 솔루션을 배포하는 것이 좋습니다.

목표

이 사용지침서에서는 Oracle Cloud VMware 솔루션 환경에서 OCI 네트워크 방화벽 솔루션을 사용하는 OCI 내부 VCN 라우팅 기능에 대해 설명합니다. OCI에서의 방화벽 배포를 간소화하는 가상 클라우드 네트워킹 라우팅 사용 사례를 살펴보았습니다.

필요 조건

주: 운용 환경에서는 고가용성으로 방화벽을 배치해야 합니다.

구조

다음 토폴로지를 참조하여 이 사용 사례를 지원할 수 있습니다.

그림 1

작업 1: OCI 네트워크 방화벽 구성

다음 섹션에서는 OCI 네트워크 방화벽의 최소 필요 구성을 보여줍니다. 고급 구성은 공식 문서를 참조하십시오.

  1. VCN 서브넷 및 VLAN: 첫번째 단계는 사용 사례 토폴로지를 지원하기 위해 Prerequisites 섹션에 설명된 대로 필요한 VCN 및 서브넷을 생성했는지 확인하는 것입니다.

    • OCI 콘솔에서 가상 클라우드 네트워크, 가상 클라우드 네트워크 세부정보, 리소스로 이동하여 확인할 수 있습니다.

      • 허브-VCN의 네트워크 방화벽을 지원하는 방화벽-서브넷-IAD 서브넷
      • Public-Bastion-Subnet-IAD, JumpHost-허브-VCN의 서브넷-IAD 서브넷으로 트래픽 검증을 위한 VM 지원
      • DB 워크로드 지원을 위한 DB-Spoke-VCN-IAD VCN의 DB-Subnet-IAD 서브넷
      • Oracle Cloud VMware Solution SDDC를 배치하는 동안 적절한 서브넷 및 VLAN을 생성해야 합니다.

    • 다음 이미지는 Hub-VCN(방화벽-VCN-IAD) 및 연관된 서브넷을 보여줍니다.

      그림 2

    • 다음으로 방화벽 서브넷에 배포된 OCI 네트워크 방화벽을 배포해야 합니다. 자세한 내용은 공식 문서를 참조하십시오.

  2. OCI 네트워크 방화벽 정책 규칙: 사용 사례 트래픽을 지원하기 위해 필요한 방화벽 보안 규칙이 추가되었는지 확인합니다. 규칙 구성 방법에 대한 자세한 내용은 공식 문서를 참조하십시오.

    그림 3

  3. OCI 네트워크 방화벽: 허브-VCN에서 필요 조건에 따라 네트워크 방화벽을 배치합니다. 방화벽 VM이 활성화되면 이를 사용하여 트래픽을 보호합니다.

    그림 4

  4. VCN, 서브넷, VLAN 및 DRG 연결에 대한 경로 테이블: 사용 사례 토폴로지에 대한 올바른 경로 규칙을 반영하도록 경로 테이블을 구성해야 합니다. 상위 레벨에서 다음과 같이 VCN의 경로 테이블을 수정해야 합니다.

    • 방화벽-VCN

      • 방화벽 서브넷 경로 테이블: 각 서브넷 CIDR을 대상으로, 대상을 인터넷 게이트웨이, NAT 게이트웨이, 서비스 게이트웨이 또는 DRG로 사용하여 항목을 생성합니다.
      • 공용 배스천 서브넷 경로 테이블: 각 서브넷 CIDR을 대상으로, 대상을 네트워크 방화벽 IP 주소로 항목을 생성합니다.
      • 전용 JumpHost 서브넷 경로 테이블: 각 서브넷 CIDR을 대상으로, 대상을 네트워크 방화벽 IP 주소로 항목을 만듭니다.
      • VCN 수신 경로 테이블: Spoke VCN의 트래픽을 검사하려면 각 대상 CIDR 및 대상을 방화벽 IP 주소로 항목을 만듭니다.

    • Oracle Cloud VMware Solution VCN

      • 서브넷 SDDC 경로 테이블: 각 서브넷 CIDR을 대상으로, 대상을 DRG로 사용하여 항목을 생성합니다.
      • vSphere VLAN 경로 테이블: 각 서브넷 CIDR을 대상으로, 대상을 DRG로 사용하여 항목을 만듭니다.
      • NSX Edge 업링크 1 VLAN 경로 테이블: 각 서브넷 CIDR을 대상으로, 대상을 DRG로 사용하여 항목을 생성합니다.
      • VCN 수신 경로 테이블: 각 대상으로 항목을 생성합니다. CIDR 및 대상을 NSX-EDGE-UPLINK IP 주소로 오버레이하여 트래픽이 오버레이 호스트로 돌아가도록 합니다.

    • DB VCN

      • DB 서브넷 경로 테이블: 각 서브넷 CIDR을 대상으로, 대상을 DRG로 사용하여 OCI 네트워크 방화벽을 통해 트래픽을 검사하는 항목을 생성합니다.

    • DRG VCN 연결

      • 방화벽-VCN 연결 경로 테이블: 각 NSX 작업 로드 CIDR을 대상으로, 다음 홉을 Oracle Cloud VMware Solution VCN 연결로 사용하여 항목을 생성합니다. Oracle Cloud VMware Solution 및 DB VCN과 일치하는 조건을 사용하여 경로 분포를 임포트합니다.
      • Oracle Cloud VMware Solution-VCN 연결 경로 테이블: 각 서브넷 CIDR을 대상으로, 대상을 방화벽-VCN 연결로 사용하여 OCI 네트워크 방화벽을 통해 트래픽을 검사하는 항목을 생성합니다.
      • DB 연결 경로 테이블: 각 서브넷 CIDR을 대상으로, 다음 홉을 방화벽-VCN 연결로 사용하여 OCI 네트워크 방화벽을 통해 트래픽을 검사하는 항목을 생성합니다.

주: 양방향에서 트래픽이 제대로 검사되도록 경로 대칭이 사용되는지 확인하십시오.

작업 2: OCI 네트워크 방화벽의 트래픽 검증 및 검사

이 시점에서는 JumpHost Windows VM, Bastion VM, Oracle Cloud VMware Solution SDDC 환경, NSX 오버레이 VM 및 DB Spoke VM의 트래픽을 검증하고 OCI 네트워크 방화벽의 트래픽을 검사할 수 있습니다. 다음 이미지는 사용 사례 토폴로지에 따라 실행되는 필수 VM을 보여줍니다.

그림 5

그림 6

JumpBox Windows VM에서 VCN 내 라우팅(IVR)을 통한 NSX 오버레이 VM으로의 남북 트래픽 검사

네트워크 게이트웨이 수신 라우팅을 통해 NSX 오버레이 VM에서 인터넷으로의 남북 트래픽 검사

VCN 내 라우팅(IVR)을 통해 JumpBox Windows VM에서 vCenter로의 동서 트래픽 검사

DB Spoke VM 및 ESXi Host의 동서 트래픽 검사 및 그 반대로

IPS/IDS, URL 필터링, SSL 전달 프록시 및 SSL 인바운드 검사 트래픽(VCN 간 라우팅을 통해 NSX 오버레이 VM에서 인터넷으로 전송)

IP/ID

URL 필터링

SSL Forward Proxy & SSL Inbound Inspection

감사의 글

권한:

추가 학습 자원

docs.oracle.com/learn에서 다른 실습을 탐색하거나 Oracle Learning YouTube 채널에서 더 많은 무료 학습 콘텐츠에 액세스할 수 있습니다. 또한 education.oracle.com/learning-explorer을 방문하여 Oracle Learning Explorer가 됩니다.

제품 설명서는 Oracle Help Center를 참조하십시오.