Observação:

Proteja suas cargas de trabalho do Oracle Cloud VMware Solution com o Oracle Cloud Infrastructure Network Firewall

Introdução

Este documento abrange como você pode usar o Oracle Cloud Infrastructure (OCI) Network Firewall para proteger suas cargas de trabalho em execução em uma Oracle Cloud VMware Solution. O Oracle Cloud VMware Solution permite que você crie e gerencie VMware SDDCs (Software-Defined Data Center) na OCI.

O Firewall de Rede do OCI pode ser implantado como um modelo Distribuído ou um modelo de Trânsito. Neste tutorial, implantaremos o modelo de Trânsito, no qual o Firewall de Rede está no Hub VCN, SDDC do Oracle Cloud VMware Solution em uma VCN de spoke. Usando os recursos de roteamento Intra-VCN e Entrada da Rede OCI, você pode inspecionar o tráfego via Firewall de Rede em execução na VCN do Hub.

Observação: embora este tutorial mostre o OCI Network Firewall, a maioria dos conceitos deve se aplicar a quaisquer outros appliances de 3a parte, como Fortinet, Palo Alto Networks, Cisco, Check Point e muito mais. O cliente precisa trabalhar com o fornecedor/parceiro específico para garantir que ele seja suportado pelo fornecedor.

Casos de Uso

Os recursos de roteamento Intra VCN do OCI nos dão a simplicidade de configurar o roteamento para suportar o tráfego de carga de trabalho do OCI em VCNs, e você também pode usar um Firewall para inspecionar/proteger seu tráfego. Usaremos recursos Intra-VCN e de roteamento de entrada que incluem:

Neste tutorial, validaremos diferentes cenários de tráfego e os recursos de chave suportados pelo OCI Network Firewall:

Observação: você não pode inspecionar o tráfego leste-oeste em VMs de carga de trabalho NSX usando o modelo de Trânsito. Se você quiser inspecionar esse tráfego, recomenda-se implantar a solução 3rd Party Partner no ambiente Oracle Cloud VMware Solution, que não é abordada neste tutorial.

Objetivo

Este tutorial descreve o recurso OCI Intra-VCN Routing com a solução OCI Network Firewall em um ambiente de solução VMware do Oracle Cloud. Nós cobrimos o caso de uso do Virtual Cloud Networking Routing que simplifica sua implantação do Firewall na OCI.

Pré-requisitos

Observação: em um ambiente de produção, você deve implantar Firewalls em alta disponibilidade.

Arquitetura

Você pode consultar a topologia a seguir para suportar esse caso de uso.

Figura 1

Tarefa 1: Configurar o Firewall de Rede do OCI

As seções a seguir mostram a configuração mínima necessária do Firewall de Rede do OCI. Para obter configurações mais avançadas, consulte a documentação oficial.

  1. Sub-redes e VLANs da VCN: A primeira etapa é garantir que você tenha criado VCNs e sub-redes necessárias, conforme descrito na seção Pré-requisitos, para suportar sua topologia de caso de uso.

    • Você pode verificá-las usando a Console do OCI navegando até Redes Virtuais na Nuvem, Detalhes da Rede Virtual na Nuvem, Recursos.

      • Sub-rede Firewall-Subnet-IAD para suportar Firewall de Rede na VCN do Hub
      • Public-Bastion-Subnet-IAD, sub-redes JumpHost-Subnet-IAD no Hub-VCN para suportar VMs para validações de tráfego
      • Sub-rede DB-Subnet-IAD na VCN DB-Spoke-VCN-IAD para suportar cargas de trabalho do BD
      • Durante a implantação do SDDC Oracle Cloud VMware Solution, as Sub-redes e as VLANs apropriadas devem ter sido criadas

    • A imagem a seguir mostra o Hub-VCN (Firewall-VCN-IAD) e as sub-redes associadas.

      Figura 2

    • Em seguida, você precisa implantar o firewall da Rede do OCI implantado na sub-rede do firewall. Para obter mais informações, siga a documentação oficial.

  2. Regras de Política de Firewall de Rede do OCI: Certifique-se de que as regras de segurança de firewall necessárias sejam adicionadas para suportar o tráfego de casos de uso. Para obter mais informações sobre como configurar regras, siga a documentação oficial.

    Figura 3

  3. Firewall de Rede do OCI: No Hub-VCN, implante o firewall de Rede conforme os pré-requisitos. Quando sua VM de Firewall estiver ativa, use-a para proteger seu tráfego.

    Figura 4

  4. Tabelas de roteamento para VCN, Sub-redes, VLANs e Anexos DRG: Você precisaria configurar as tabelas de roteamento para refletir as regras de roteamento corretas para a topologia do caso de uso. Em um nível alto, você precisaria modificar as tabelas de roteamento nas VCNs da seguinte forma:

    • Firewall-VCN

      • Tabela de Roteamento da Sub-rede de Firewall: Crie entradas com cada CIDR de sub-rede como destino e destino como gateway de internet, gateway nat, gateway de serviço ou DRG.
      • Tabela de Roteamento da Sub-rede Pública do Bastion: Crie entradas com cada CIDR da sub-rede como destino e destino como endereço IP do firewall de rede.
      • Tabela de Roteamento de Sub-rede JumpHost Privada: Crie entradas com cada CIDR de sub-rede como destino e destino como endereço IP do firewall de rede.
      • Tabela de Roteamento de Entrada da VCN: Crie entradas com cada CIDRs de destino e o destino como endereço IP de firewall para inspecionar o tráfego de VCNs Spoke.

    • VCN do Oracle Cloud VMware Solution

      • Tabela de Roteamento do SDDC da Sub-rede: Crie entradas com cada CIDR da sub-rede como destino e destino como DRG.
      • vSphere Tabela de Roteamento de VLAN: Crie entradas com cada CIDR de sub-rede como destino e destino como DRG.
      • Tabela de Roteamento de VLAN do Uplink 1 do NSX Edge: Crie entradas com cada CIDR de sub-rede como destino e destino como DRG.
      • Tabela de Roteamento de Entrada da VCN: Crie entradas com cada CIDRs de Sobreposições de destino e o destino como endereço IP NSX-EDGE-UPLINK para garantir que o tráfego retorne aos hosts de sobreposição.

    • VCN do BD

      • Tabela de Roteamento de Sub-rede de BD: Crie entradas com cada CIDR de sub-rede como destino e o destino como DRG para inspecionar o tráfego via Firewall de Rede do OCI.

    • Anexo de VCNs do DRG

      • Tabela de Roteamento de Anexo de VCN do Firewall: Crie entradas com cada CIDRs de carga de trabalho NSX como destino e o próximo salto como anexo de VCN do Oracle Cloud VMware Solution. Importe a Distribuição de Rota com critérios correspondidos do Oracle Cloud VMware Solution e DB VCN.
      • Tabela de Roteamento de Anexo da Oracle Cloud VMware Solution-VCN: Crie entradas com cada CIDR de sub-rede como destino e destino como Anexo da VCN do Firewall para inspecionar o tráfego via Firewall de Rede do OCI.
      • Tabela de Roteamento de Anexo de BD: Crie entradas com cada CIDR de sub-rede como destino e o próximo salto como Anexo de VCN de Firewall para inspecionar o tráfego via Firewall de Rede do OCI.

Observação: certifique-se de que a simetria de rota seja usada para que o tráfego seja inspecionado corretamente nas duas direções.

Tarefa 2: Validar e inspecionar o tráfego do Firewall de Rede do OCI

Nesse ponto, você pode validar o tráfego da VM do Windows JumpHost, da VM Bastion, do ambiente SDDC do Oracle Cloud VMware Solution, das VMs de Sobreposição de NSX e da VM Spoke do BD e inspecionar o tráfego do Firewall de Rede do OCI. A imagem a seguir mostra as VMs necessárias em execução de acordo com a topologia de caso de uso.

Figura 5

Figura 6

Inspeção de tráfego Norte-Sul de VM do Windows JumpBox para VMs de Sobreposição NSX via IVR (Intra-VCN Routing)

Inspeção de tráfego Norte-Sul da VM de Sobreposição NSX para a Internet via Roteamento de Entrada do Gateway de Rede

Inspeção de tráfego Leste-Oeste da JumpBox VM do Windows para vCenter via IVR (Intra-VCN Routing)

Inspeção de tráfego Leste-Oeste do DB Spoke VM e do Host ESXi e vice-versa

IPS/IDS, filtragem de URL, proxy de encaminhamento SSL e Tráfego de Inspeção de entrada SSL das VMs de Sobreposição NSX para a internet via Roteamento Inter VCN

IPS/IDS

Filtragem de URL

Proxy de Encaminhamento de SSL e Inspeção de Entrada de SSL

Agradecimentos

Autores:

Mais Recursos de Aprendizagem

Explore outros laboratórios no site docs.oracle.com/learn ou acesse mais conteúdo de aprendizado gratuito no canal YouTube do Oracle Learning. Além disso, visite education.oracle.com/learning-explorer para se tornar um Oracle Learning Explorer.

Para obter a documentação do produto, visite o Oracle Help Center.