Conectando VCNs por meio de um LPG (Local Peering Gateway)

No Private Cloud Appliance, Você pode configurar gateways de pareamento locais. O pareamento de VCN é o processo de conexão de várias VCNs (redes virtuais na nuvem) para que os recursos possam se comunicar usando endereços IP privados.

Você pode usar o pareamento de VCN para dividir sua rede em várias VCNs, por exemplo, com base em departamentos ou linhas de negócios, com cada VCN tendo acesso privado direto às outras. Você também pode colocar recursos compartilhados em uma única VCN que todas as outras VCNs podem acessar de forma privada. Duas VCNs pareadas podem estar na mesma tenancy ou em outras.

Políticas

O pareamento entre duas VCNs requer um acordo explícito de ambas as partes na forma de políticas do IAM que cada parte implementa para seu próprio compartimento ou tenancy da VCN. Se as VCNs estiverem em tenancies diferentes, cada administrador deverá fornecer o OCID da tenancy e colocar em prática instruções de política coordenadas especiais para ativar o pareamento.

Para implementar as políticas do IAM necessárias para pareamento, os dois administradores de VCN devem designar um administrador como o solicitante e o outro como o aceitador. O solicitador deve ser a moeda para iniciar a solicitação de conexão dos dois LPGs. Por sua vez, o aceitador deve criar uma política específica do serviço IAM que dê ao solicitador permissão para se conectar a LPGs no compartimento do aceitador, Sem essa política, falha na solicitação de conexão do solicitantes. O administrador da VCN pode excluir uma conexão de pareamento excluindo seu LPG.

Roteamento e Controle de Tráfego

Como parte da configuração das VCNs, cada administrador deve atualizar o roteamento da VCN para permitir o fluxo de tráfego entre as VCNs. Na prática, isso se parece com o roteamento configurado para qualquer gateway, como um gateway de internet ou um gateway de roteamento dinâmico. Para cada sub-rede que precisa se comunicar com a outra VCN, atualize a tabela da rota da sub-rede. A regra de roteamento especifica o CIDR do tráfego de destino e o seu LPG como alvo. O seu LPG roteia o tráfego correspondente à regra para o outro LPG, que, por sua vez, encaminha o tráfego para o próximo salto na outra VCN.

Você pode controlar o fluxo de pacotes pela conexão de pareamento com tabelas de roteamento na sua VCN. Por exemplo, você pode restringir o tráfego a apenas sub-redes específicas na VCN. Sem excluir o pareamento, você pode parar o fluxo de tráfego para a outra VCN removendo regras da rota que direcionam tráfego da sua VCN para a outra VCN. Você também pode interromper efetivamente o tráfego removendo regras de segurança que permitam o tráfego de entrada ou de saída com a outra VCN. Quando o tráfego flui sobre a conexão de pareamento não é interrompido, mas é interrompido no nível da VNIC.

Regras de Segurança

Cada administrador da VCN deve garantir que todo o tráfego de saída e de entrada com a outra VCN seja planejado, esperado e bem definido. Na prática, isso significa implementar regras de lista de segurança que declarem explicitamente os tipos de tráfego que a sua VCN pode enviar para a outra e pode aceitar da outra. Se suas sub-redes usarem a lista de segurança padrão, haverá duas regras permitindo tráfego de entrada SSH e ICMP de qualquer lugar, assim como a outra VCN. Avalie essas regras e se deseja mantê-las ou atualizá-las.

Além de listas de segurança e firewalls, avalie outras configurações baseadas no sistema operacional nas instâncias da sua VCN. Pode haver configurações padrão que não se aplicam ao seu próprio CIDR de VCN, mas que se aplicam inadvertidamente ao outro CIDR de VCN.