Interconexão para o Google Cloud

Você pode conectar uma VCN e uma VPC para que o tráfego que usa endereços IP privados passe por uma conexão de nuvem para nuvem.

Por exemplo, o diagrama a seguir mostra uma VCN conectada a um VCP. Os recursos na VPC estão executando um aplicativo que acessa um banco de dados Oracle que é executado em recursos do serviço Database na VCN. O tráfego entre o aplicativo e o banco de dados usa um circuito lógico executado na conexão entre a nuvem e a nuvem entre o GCP e o OCI.

Para ativar a conexão entre a VPC e a VCN, você configura um anexo de VLAN do GCP e um circuito virtual OCI FastConnect. A conexão não tem redundância incorporada, o que significa que você precisa configurar uma segunda conexão do Oracle Interconnect for Google Cloud para permitir um design de rede altamente disponível e resiliente.

Para obter instruções detalhadas, consulte Configurando uma Conexão.

O tráfego de conexão pode fluir da VPC para uma ou mais VCNs pareadas na mesma região da OCI ou em outras regiões da OCI.

Essa conexão não permite o tráfego entre uma rede on-premises por meio da OCI para a VPC ou de uma rede on-premises por meio do GCP para a OCI.

Com políticas do Oracle Cloud Infrastructure IAM, você pode controlar:

• Quem tem autoridade para criar um circuito virtual FastConnect (consulte Configurando uma Conexão). A exclusão da política relevante do IAM não afeta nenhuma conexão existente a uma VPC, somente a capacidade de uma conexão futura ser criada.
• Quem pode gerenciar tabelas de roteamento, grupos de segurança de rede e listas de segurança.

Mesmo se uma conexão tiver sido estabelecida entre a VCN e a VPC, você poderá controlar o fluxo de pacotes pela conexão com as tabelas de roteamento da VCN. Por exemplo, você pode restringir o tráfego a apenas sub-redes específicas na VPC.

Sem encerrar a conexão, você pode interromper o fluxo de tráfego para a VPC removendo regras de roteamento que direcionam o tráfego da VCN para a VPC. Você também pode efetivamente parar o tráfego removendo qualquer regra de segurança que permita o tráfego de entrada ou saída de VPC. Isso não interrompe o tráfego que flui pela conexão, mas o interrompe no nível da VNIC.

Certifique-se de que todo o tráfego de saída e entrada com a VPC seja pretendido ou esperado e definido. Implemente a segurança do GCP e regras do Oracle que estabeleçam explicitamente quais tipos de tráfego uma nuvem pode enviar para a outra e aceite da outra.

sudo firewall-cmd --zone=public --permanent --add-port=1521/tcp
								
sudo firewall-cmd --reload

Além de usar regras de segurança e firewalls, avalie outras configurações baseadas no sistema operacional nas instâncias da VCN. Pode haver configurações padrão que não se aplicam ao CIDR da VCN, mas se aplicam inadvertidamente ao CIDR da VPC.

Se a sub-rede da VCN usar a lista padrão de segurança com as regras padrão, duas regras nessa lista permitirão tráfego de entrada de qualquer lugar ( 0.0.0.0/0 e, portanto, a VPC):

• Regra de entrada com monitoramento de estado que permite tráfego na porta TCP 22 (SSH) proveniente de 0.0.0.0/0 e de qualquer porta de fonte
• Regra de entrada com monitoramento de Estado que permite tráfego no tráfego ICMP do tipo 3, tráfego do código 4 proveniente de 0.0.0.0/0 e qualquer porta de origem

Avalie essas regras e se deseja mantê-las ou atualizá-las. Conforme mencionado anteriormente, certifique-se de que todo o tráfego de entrada ou saída permitido seja pretendido ou esperado e definido.

Em geral, prepare a VCN para as formas como ela poderá ser afetada pela VPC. Por exemplo, a carga na VCN ou em suas instâncias pode aumentar. Ou a VCN pode sofrer um ataque mal-intencionado diretamente do VPC ou por meio dele.

Em relação ao desempenho: Se a VCN estiver fornecendo um serviço para a VPC, esteja preparado para ampliar o serviço para acomodar as demandas da VPC. Isso pode significar estar preparado para criar mais instâncias, conforme necessário. Ou se você estiver preocupado com altos níveis de tráfego de rede chegando à VCN, considere o uso de regras de segurança sem monitoramento de estados para limitar o nível de rastreamento de conexão que a VCN deve executar. As regras de segurança sem monitoramento de estado também podem ajudar a amenizar o impacto de um ataque de negação de serviço (DoS).

Em relação aos riscos de segurança: Se a VPC estiver conectada à internet, a VCN poderá ser exposta a ataques de bounce. Um ataque de bounce envolve um host malicioso na internet que envia tráfego para a VCN que parece estar vindo da VPC. Para se proteger contra isso, como mencionado anteriormente, use regras de segurança para limitar cuidadosamente o tráfego de entrada da VPC ao tráfego esperado e definido.

Você deverá ter:

• Um GCP VPC com sub-redes, um Google Cloud Router e perímetros de serviço
• Uma VCN com sub-redes do Oracle Cloud Infrastructure e um gateway de roteamento dinâmico (DRG) anexado. Lembre-se de anexar o DRG à VCN depois de criá-lo. Se você já tiver VPN Site a Site ou FastConnect entre uma rede on-premises e uma VCN, a VCN já poderá ter um DRG anexado. Use esse mesmo DRG aqui ao configurar a conexão com o GCP.
• Permissões do IAM para configurar os recursos necessários para os componentes do OCI necessários.
• Uma assinatura válida no OCI e no GCP para as regiões que você deseja conectar

Como lembrete, a seguir mostramos uma tabela que lista os componentes de rede comparáveis envolvidos em cada lado da conexão.

A conexão entre a VPC e a VCN usa roteamento dinâmico BGP. Ao configurar o circuito virtual Oracle, você fornece os endereços IP BGP usados para as duas sessões BGP redundantes entre o sistema Oracle e o GCP:

• Um par principal de endereços BGP (um endereço IP para o lado Oracle, um endereço IP para o lado GCP)
• Um par secundário separado de endereços BGP (um endereço IP para o lado Oracle, um endereço IP para o lado GCP)

Para cada par, forneça um bloco de endereços separado com uma máscara de sub-rede de /28 a /31.

O segundo e o terceiro endereços de cada bloco são usados para o par de endereços IP BGP.

• O segundo endereço do bloco destina-se ao lado Oracle da sessão BGP
• O terceiro endereço no bloco é para o lado do GCP da sessão BGP

O primeiro e o último endereços do bloco são usados para outras finalidades internas. Por exemplo, se o CIDR for 10.0.0.20/30, os endereços no bloco serão:

• 10.0.0.20
• 10.0.0.21: Use isso para o lado da Oracle (no Console da Oracle, informe o endereço como 10.0.0.21/30)
• 10.0.0.22: Use-o para o lado do GCP (no Console da Oracle, digite o endereço como 10.0.0.22/30 e observe que esse endereço é chamado de lado "Cliente" no Console)
• 10.0.0.23

Lembre-se de que você também deve fornecer um segundo bloco com o mesmo tamanho para os endereços BGP secundários. Por exemplo: 10.0.0.24/30. Nesse caso, 10.0.0.25 é para o lado Oracle e 10.0.0.26 é para o lado GCP. No Console da Oracle, você deve informá-los como 10.0.0.25/30 e 10.0.0.26/30.

Você já deve ter o acesso necessário ao GCP e ao Oracle Cloud Infrastructure IAM para criar e trabalhar com os recursos de rede relevantes do GCP e da Oracle. Se sua conta de usuário estiver no grupo Administradores, você provavelmente terá a autoridade necessária; caso contrário, uma política semelhante a esta abrangerá todos os recursos do serviço Networking:

Allow group NetworkAdmins to manage virtual-network-family in tenancy

Para somente criar e gerenciar um circuito virtual, você deve ter uma política como essa:

Allow group VirtualCircuitAdmins to manage drgs in tenancy
                        
                        Allow group VirtualCircuitAdmins to manage virtual-circuits in tenancy

Para obter mais informações, consulte Políticas do IAM para Redes.

O diagrama a seguir mostra o processo geral de conexão de uma VPC e uma VCN.

A primeira tarefa é decidir qual tráfego precisa fluir entre as sub-redes relevantes dentro da VPC e da VCN e, em seguida, configurar os perímetros de serviço e as regras de segurança da VCN necessários. Os tipos gerais de regras de inclusão são:

• Regras de entrada para os tipos de tráfego que você deseja permitir das outras sub-redes relevantes da nuvem.
• Regras de saída para permitir o tráfego de saída para a outra nuvem. Se a sub-rede da VCN já tiver uma ampla regra da saída para todos os tipos de protocolos para todos os destinos (0.0.0.0/0), não será necessário adicionar um especial para o tráfego à VPC. A Lista de Segurança Padrão da VCN inclui uma regra de saída padrão tão ampla.

Estes são os tipos de tráfego recomendados para permitir entre a VPC e a VCN:

• Tráfego de ping nas duas direções para testar a conexão de cada lado
• SSH (porta TCP 22)
• Conexões clientes com um banco de dados Oracle (SQL*NET na porta TCP 1521)

Só permita tráfego entre faixas de endereços específicos do seu interesse (por exemplo, as sub-redes relevantes da outra nuvem).

Para a VPC: Decida quais sub-redes na VPC precisam se comunicar com a VCN. Em seguida, configure os perímetros de serviço para essas sub-redes para permitir o tráfego.

Para a VCN:

1. Decida quais sub-redes na VCN precisam se comunicar com a VPC.

2. Atualize a lista da segurança de cada um dessas sub-redes para incluir regras com a qual permita tráfego de saída ou de entrada com o bloco CIDR da VPC ou uma sub-rede da VPC:

   1. Na Console, ao exibir a VCN em que você está interessado, selecione Lista de Segurança.
   2. Selecione a lista de segurança na qual você está interessado.

   3. Selecione Editar Todas as Regras e crie uma ou mais regras, cada um para o tipo específico de tráfego que você deseja permitir. Veja as regras de exemplo a seguir.

   4. Quando terminar, selecione Salvar Regras da Lista de Segurança na parte inferior da caixa do diálogo.

   Para obter mais informações sobre a configuração de regras de segurança, consulte Regras de Segurança.

Crie um par de conexões de Interconexão do Parceiro com o Oracle Cloud Infrastructure FastConnect . Durante a configuração, defina os seguintes parâmetros:

• Rede: Use o padrão.
• Região: Selecione uma região em que a interconexão esteja disponível. Consulte Disponibilidade.
• Cloud Router: Selecione um Cloud Router que já funcione com a VPC que você deseja conectar a uma VCN do OCI.
• MTU: Selecione 1500. Esse tamanho é o menos provável de causar problemas. Consulte o artigo Hanging Connection para obter mais informações sobre tamanhos de MTU no OCI.

Você recebe uma ou mais chaves de pareamento do GCP. Consulte a etapa 10 de Criar anexos de VLAN não criptografados. Registre ou armazene essa chave de pareamento, pois você deve fornecê-la à Oracle ao configurar um circuito virtual FastConnect na próxima etapa. A chave de emparelhamento é uma chave exclusiva que permite que a OCI identifique e se conecte à rede Google Cloud VPC e ao Cloud Router associado. O OCI requer essa chave para concluir a configuração do anexo de VLAN.

Na próxima tarefa, você configura um circuito virtual privado FastConnect para a Google Cloud Platform. Quando esse provisionamento de circuito virtual termina, o anexo de VLAN é atualizado para mostrar que o pareamento privado está ativado.

1. Na Console, confirme que você está exibindo o compartimento no qual deseja trabalhar. Se não tiver certeza de qual moeda, use o compartimento que contém o DRG para se conectar. Essa opção de compartimento, junto com uma política de IAM correspondente, controla quem pode acessar o circuito virtual que você está prestes a criar.

2. Abra o menu de navegação e selecione Rede. Em Conectividade do cliente, selecione FastConnect.

   A página FastConnect resultante é onde você cria um novo circuito virtual e para onde retornará posteriormente quando for necessário gerenciar o circuito virtual.

3. Selecione Criar FastConnect.
4. Selecione Parceiro FastConnect e selecione Google Cloud : Interconexão do OCI na lista.

5. Selecione Circuito virtual único (o padrão) ou Circuitos virtuais redundantes para configurar circuitos virtuais que usam diferentes dispositivos físicos no mesmo local do FastConnect. Consulte Melhores Práticas de Redundância do FastConnect para obter mais informações sobre redundância. Se você selecionar Circuito virtual único, poderá retornar mais tarde para adicionar um circuito virtual redundante.

6. Selecione Próximo.

7. Informe o seguinte para o circuito virtual (Circuito virtual 1 se você tiver selecionado Circuitos virtuais redundantes):

   • Nome: Um nome descritivo para os circuitos virtuais. O valor não precisa ser exclusivo nos circuitos virtuais e você pode alterá-lo posteriormente. Evite digitar informações confidenciais.
   • Criar no Compartimento: Deixe como está (o compartimento em que você está trabalhando).
   • Selecione Parceiro e selecione o parceiro na lista.
     Observação
     
     Se você selecionar Megaport como parceiro, poderá provisionar o lado do parceiro do circuito usando as etapas opcionais mencionadas.

8. Selecione o tipo de circuito virtual Privado. Os circuitos virtuais redundantes devem ser privados ou ambos públicos; portanto, essa definição é correspondida no outro circuito virtual. Agora informe o seguinte:

   • Selecione Todo o tráfego ou Tráfego IPSec somente no FastConnect. O circuito virtual pode ser usado para IPSec por FastConnect com qualquer opção, mas você pode optar por permitir apenas tráfego criptografado no circuito virtual. Os circuitos virtuais redundantes devem ter a mesma configuração; portanto, isso é correspondido no outro circuito virtual.
   • Gateway de Roteamento Dinâmico: selecione o DRG para o qual o tráfego do FastConnect será roteado. O IPSec em FastConnect requer um DRG atualizado. Esse DRG pode ser anexado a várias VCNs ou a outros DRGs com VCNs anexadas.
   • Largura de Banda Provisionada: Selecione um valor. Se a largura de banda precisar aumentar posteriormente, você poderá atualizar o circuito virtual para usar outro valor (consulte "Para editar um circuito virtual" em FastConnect: Com um Parceiro Oracle).
   • Chave do Partner Service (Opcional): Informe a chave de serviço fornecida pelo Google. Você pode informar essa chave agora ou editar o circuito posteriormente.

   Se a sessão BGP ir para a Oracle (consulte Diagramas Básicos de Rede), a caixa de diálogo inclui outros campos para a sessão BGP:

   • Endereço IP BGP do Cliente: O endereço IP de pareamento BGP para a borda (CPE), com uma máscara de sub-rede de /28 a /31.
   • Endereço IP do Oracle BGP: O endereço IP de pareamento de BGP que você deseja usar para a borda Oracle (o DRG), com a máscara da sub-rede de /28 a /31.
   • Ativar Atribuição de Endereço IPv6: Há suporte para endereçamento IPv6 em todas as regiões comerciais e governamentais. Consulte FastConnect e IPv6.
   • ASN do BGP do cliente: O ASN público ou privado do Google VCP.
   • Usar uma Chave de Autenticação MD5 para BGP (opcional): marque essa caixa de seleção e forneça uma chave se a autenticação MD5 for necessária. O sistema Oracle suporta até a autenticação MD5 de 128 bits.
   • Ativar Detecção de Encaminhamento Bidireccional (opcional): Marque esta caixa de verificação para ativar a Detecção de Encaminhamento Bidireccional.
     Observação
     
     Quando você usa Detecção de Encaminhamento Bidirecional, o dispositivo pareado deve ser configurado para usar um intervalo mínimo de 300 m e um multiplicador de 3.
9. Se você estiver criando um circuito virtual redundante, especifique as informações necessárias para o outro circuito virtual (Circuito virtual 2). Se você tiver selecionado Circuitos virtuais redundantes, lembre-se de que as definições do tipo de circuito virtual (privado ou público) e Todo o tráfego ou IPSec somente sobre tráfego FastConnect para Circuito virtual 2 já estão definidas para corresponder ao Circuito virtual 1 e se você alterá-las, as definições do outro circuito serão alteradas automaticamente para correspondência.
   Observação
   
   A criação de um circuito virtual redundante será opcional se você tiver selecionado Circuitos virtuais redundantes e o parceiro selecionado criar uma conexão da Camada 3 com o OCI, mas um circuito virtual redundante será necessário se o parceiro selecionado criar uma conexão da Camada 2. Consulte Melhores Práticas de Redundância do FastConnect para obter mais informações sobre as conexões da Camada 2 e da Camada 3.

10. Selecione Criar.

    O circuito virtual é criado e uma página de status é exibida. Selecione Fechar para retornar à lista de circuitos virtuais.

11. Selecione o nome do circuito virtual que você criou. Enquanto o circuito virtual estiver no estado PENDING PARTNER, seu OCID e um link para o portal do parceiro serão exibidos na caixa da confirmação "Conexão criada" na parte superior da página. O OCID do circuito virtual também está disponível com os outros detalhes desse circuito. Copie e cole o OCID em outro local. Você o entregará ao parceiro Oracle na próxima tarefa. Copie também o OCID do circuito redundante se você tiver criado um.

Depois de criar o circuito virtual FastConnect, aguarde até que o OCI configure as conexões. Observando a página de detalhes do circuito virtual que você criou, verifique na guia Informações do circuito virtual se o estado do ciclo de vida das informações do circuito virtual muda para Provisionado. Consulte também a guia informações do BGP para verificar se a sessão BGP foi estabelecida. Aguarde alguns minutos para que a sessão BGP seja alterada para o estado Estabelecido. Consulte também Para obter o status de um circuito virtual FastConnect.

Essa etapa só será necessária se você não tiver pré-ativado os anexos de VLAN do GCP quando tiver recebido as chaves de pareamento na Tarefa 2: Criar um anexo de VLAN de Interconexão do Google Cloud.

Após a conclusão da configuração e do provisionamento no OCI, se você não tiver pré-ativado os anexos de VLAN do GCP, receberá uma notificação por e-mail do Google Cloud . Após receber o e-mail, você deverá Ativar o anexo de VLAN na Console do Google Cloud . É necessário ativar a conexão e verificar seu status de ativação antes de verificar se você estabeleceu conectividade com o Google Cloud .

Para a VPC: Decida quais sub-redes na VPC precisam se comunicar com a VCN. Em seguida, configure a publicidade BGP para essas sub-redes para rotear o tráfego conforme apropriado.

Para a VCN:

1. Decida quais sub-redes na VCN precisam se comunicar com a VPC.

2. Atualize a tabela da rota para cada um dessas sub-redes para incluir uma nova regra que direcione o tráfego destinado para o CIDR da VPC para DRG:

   1. Na Console, durante a exibição da VCN desejada, selecione Tabelas de Roteamento.
   2. Selecione a tabela da rota desejada.
   3. Selecione Editar Regras de Roteamento.

   4. Selecione + Outra Regra de Roteamento e informe o seguinte:

      • Tipo de Destino: Gateway da Rota Dinâmica. O DRG anexado à VCN é selecionado automaticamente como alvo e você não precisa especificar o alvo.
      • Bloco CIDR de destino: A sub-rede relevante na VPC (10.0.0.0/16 no diagrama anterior).
      • Descrição: Uma descrição opcional da regra.
   5. Selecione Salvar.

Qualquer tráfego da sub-rede com um destino que corresponda à regra é roteado para o DRG. O DRG sabe então rotear o tráfego para a VPC com base nas informações da sessão de BGP do circuito virtual.

Posteriormente, se você não precisar mais da conexão e quiser excluir o DRG, primeiro exclua todas as regras de roteamento na VCN que especificam o DRG como destino.

Para obter mais informações sobre a configuração de regras de roteamento, consulte Tabelas de Roteamento da VCN.