Interconexão para Azure

Ásia-Pacífico (APAC)

Localização do OCI - chave	Localização do Azure ExpressRoute
Leste do Japão (Tóquio) NRT	Tóquio
Singapura (Singapura) - SIN	Singapura
Centro da Coreia do Sul (Seul) - ICN	Seul

Europa, Oriente Médio, África (EMEA)

Localização do OCI	Localização do Azure ExpressRoute
Centro da Alemanha (Frankfurt) - FRA	Frankfurt e Frankfurt2
Noroeste da Holanda (Amsterdã) - AMS	Amersterdam2
Sul do Reino Unido (London) - LHR	London
Centro da África do Sul (Johanesburgo) - JNB	Johannesburg

América Latina (LATAM)

Localização do OCI	Localização do Azure ExpressRoute
Sudeste do Brasil (Vinhedo) - VCP	Campinas

América do Norte (NA)

Localização do OCI	Localização do Azure ExpressRoute
Sudeste do Canadá (Toronto) - YYZ	Toronto e Toronto2
US East (Ashburn) - IAD	Washington DC e Washington DC2
US West (Phoenix) - PHX	Phoenix
Oeste dos EUA (San Jose) - SJC	Silicon Valley

Conexão entre VCN e VNet: Extensão de uma Nuvem para outra

Você pode conectar uma VCN e VNet de forma que o tráfego que usa endereços IP privados passe pela conexão de nuvem cruzada.

Por exemplo, o diagrama a seguir mostra uma VCN conectada com um VNet. Os recursos no VNet são executados em um aplicativo .NET que acessa um banco de dados Oracle que é executado nos recursos do serviço Database na VCN. O tráfego entre o aplicativo e o banco de dados usa um circuito lógico que executa a conexão de nuvem cruzada entre o Azure e o Oracle Cloud Infrastructure.

Para permitir a conexão entre a VCN e a VNet, configure um circuito virtual do Oracle Cloud Infrastructure FastConnect e um circuito do Azure ExpressRoute. A conexão tem redundância incorporada. Isso significa que você só precisa configurar um único circuito virtual FastConnect e um único circuito ExpressRoute. A largura de banda da conexão é o valor de largura de banda selecionado para o circuito ExpressRoute.

Para obter instruções, consulte Configurando uma Conexão.

VCNs Pareadas

A conexão permite que o tráfego flua de VNet pela VCN conectada para uma VCN pareada na mesma região do Oracle Cloud Infrastructure ou em outra região.

Tipos de Tráfego Não Suportados pela Conexão

Essa conexão de nuvem cruzada não permite o tráfego entre a rede local e a VNet ou entre a rede local e a VCN.

Controlando o Estabelecimento de uma Conexão

Com as políticas do Oracle Cloud Infrastructure IAM, você pode controlar:

• Quem na organização tem autoridade para criar um circuito virtual FastConnect (consulte Configurando uma Conexão). A exclusão da política relevante do IAM não afeta as conexões existentes com um VNet, apenas a capacidade de criar uma conexão futura é criada é afetada.
• Quem pode gerenciar tabelas de roteamento, grupos de segurança de rede e listas de segurança.

Controlando o Fluxo de Tráfego na Conexão

Mesmo que uma conexão tenha sido estabelecida entre a VCN e a VNet, você pode controlar o fluxo de pacotes na conexão com tabelas de roteamento na VCN. Por exemplo, você pode restringir o tráfego a apenas sub-redes específicas na VNet.

Sem excluir a conexão, você pode interromper o fluxo de tráfego para VNet removendo regras de roteamento que direcionam o tráfego da VCN para VNet. Você também pode interromper efetivamente o tráfego removendo regras de segurança que permitam o tráfego de entrada ou de saída com a VNet. Isso não interrompe o tráfego que flui pela conexão, mas o interrompe no nível da VNIC.

Controlando os Tipos Específicos de Tráfego Permitidos

Certifique-se de que todo tráfego de saída e de entrada com o VNet seja o pretendido ou esperado e conforme definido. Implemente o grupo de segurança de rede do Azure e as regras de segurança da Oracle que declarem explicitamente os tipos de tráfego que as nuvens podem enviar e aceitar entre si.

sudo firewall-cmd --zone=public --permanent --add-port=1521/tcp
								
sudo firewall-cmd --reload

Além de regras de segurança e firewalls, avalie outra configuração baseada em Sistema Operacional nas instâncias da VCN. Pode haver configurações padrão que não se aplicam ao CIDR da VCN, mas que se aplicam inadvertidamente ao CIDR da VNet.

Usando Regras de Lista de Segurança Padrão com a VCN

Se as sub-redes da VCN utilizarem a lista de segurança padrão com as regras padrão, duas regras dessa lista permitirão tráfego de entrada proveniente de qualquer lugar (0.0.0.0/0 e, portanto, VNet):

• Uma regra de entrada com monitoramento de estado que permite tráfego TCP na porta 22 (SSH) proveniente de 0.0.0.0/0 e de qualquer porta de origem
• Uma regra de entrada com monitoramento de estado que permite tráfego ICMP do tipo 3 código 4 proveniente de 0.0.0.0/0 e de qualquer porta de origem

Avalie essas regras e se deseja mantê-las ou atualizá-las. Conforme mencionado anteriormente, certifique-se de que todo o tráfego de entrada ou saída permitido seja pretendido ou esperado e conforme definido.

Preparação para Riscos de Segurança e de Impacto no Desempenho

Em geral, prepare a VCN para as formas como ela pode ser afetada pelo VNet. Por exemplo, a carga da VCN ou de suas instâncias pode aumentar. Ou a VCN pode sofrer um ataque mal-intencionado causado diretamente pelo VNet ou por meio dele.

Sobre o desempenho: se a VCN estiver fornecendo um serviço ao VNet, prepare-se para ampliá-lo e atender às necessidades do VNet. Isso pode significar estar preparado para criar mais instâncias, conforme necessário. Ou se você estiver preocupado com os altos níveis de tráfego de rede proveniente da VCN, considere usar regras de segurança sem monitoramento de estado para limitar o nível de rastreamento das conexões que a VCN deverá realizar. As regras de segurança sem monitoramento de estado também podem ajudar a amenizar o impacto de um ataque de negação de serviço (DoS).

Em relação aos riscos de segurança: Se o VNet estiver conectado à Internet, a VCN poderá ser exposta a ataques de bounce. Um ataque de bounce envolve um host malicioso na internet enviando tráfego para a VCN que parece estar vindo de VNet. Para se proteger contra isso, como mencionado anteriormente, use regras de segurança para limitar cuidadosamente o tráfego de entrada proveniente do VNet ao esperado e conforme definido.

Pré-requisitos: Recursos Necessários

Você deverá ter:

• Um Azure VNet com sub-redes e gateway de rede virtual
• Uma VCN com sub-redes do Oracle Cloud Infrastructure e um DRG (Dynamic Routing Gateway) conectado. Lembre-se de anexar o DRG à VCN depois de criá-lo. Se você já tiver uma VPN entre Sites ou FastConnect entre a rede on-premises e a VCN, a VCN já terá um DRG anexado. Use esse mesmo DRG aqui ao configurar a conexão com o Azure.

Como lembrete, a seguir mostramos uma tabela que lista os componentes de rede comparáveis envolvidos em cada lado da conexão.

Pré-requisitos: Informações sobre BGP Necessárias

A conexão entre a VCN e VNet usa o roteamento dinâmico de BGP. Ao configurar o circuito virtual Oracle, você fornece os endereços IP BGP usados para as duas sessões BGP redundantes entre o Oracle e o Azure:

• Um par principal de endereços BGP (um endereço IP para o lado Oracle, um endereço IP para o lado Azure)
• Um par secundário separado de endereços BGP (um endereço IP para o lado Oracle, um endereço IP para o lado Azure)

Para cada par, forneça um bloco de endereços distinto, com uma máscara de sub-rede de /28 a /31.

O segundo e o terceiro endereços de cada bloco são usados para o par de endereços IP BGP:

• O segundo endereço do bloco destina-se ao lado Oracle da sessão BGP
• O terceiro endereço do bloco destina-se ao lado Azure da sessão BGP

O primeiro e o último endereços do bloco são usados para outras finalidades internas.

Por exemplo, se o CIDR for 10.0.0.20/30, os endereços do bloco serão:

• 10.0.0.20
• 10.0.0.21: Use para o lado Oracle (na Console do Oracle, informe o endereço como 10.0.0.21/30)
• 10.0.0.22: Use para o lado Azure (na Console do Oracle, informe o endereço como 10.0.0.22/30 e observe que esse endereço é mencionado como o lado "Cliente" na Console)
• 10.0.0.23

Lembre-se de que você também deve fornecer um segundo bloco com o mesmo tamanho para os endereços BGP secundários. Por exemplo: 10.0.0.24/30. Nesse caso, 10.0.0.25 destina-se ao lado Oracle, e 10.0.0.26 destina-se ao lado Azure. Na Console do Oracle, informe esses valores como 10.0.0.25/30 e 10.0.0.26/30.

Pré-requisitos: Política do IAM Necessária

Você provavelmente tem o acesso necessário ao Azure Active Directory e ao Oracle Cloud Infrastructure IAM para criar e trabalhar com os recursos de rede relevantes do Azure e da Oracle. Para o IAM: se sua conta de usuário estiver no grupo Administradores, você terá a autoridade necessária. Caso contrário, essa política abrangerá todos os recursos de Rede:

Allow group NetworkAdmins to manage virtual-network-family in tenancy

Para apenas criar e gerenciar um circuito virtual, você deverá ter uma política como esta:

Allow group VirtualCircuitAdmins to manage drgs in tenancy

Allow group VirtualCircuitAdmins to manage virtual-circuits in tenancy

Para obter mais informações, consulte Políticas do IAM para Redes.

Processo Geral

O diagrama a seguir mostra o processo geral de conexão da VCN e VNet.