Esta imagem mostra o fluxo de tráfego de entrada norte-sul entre a VCN hub e a VCN web/aplicativo (spoke) em uma região que usa o Firewall VM-Series Palo Alto Networks. A região do Oracle Cloud Infrastructure inclui dois domínios de disponibilidade. A região contém uma VCN hub e uma VCN spoke única (camada da Web ou da aplicação) conectada por gateways de pareamento local (LPGs).

• Hub VCN (192.168.0.0/16): O Hub VCN contém um cluster de duas máquinas virtuais (VMs) Palo Alto Networks com uma VM em cada um dos domínios de disponibilidade como um sanduíche entre o balanceador de carga de rede flexível interno e externo. A VCN hub inclui quatro sub-redes: uma sub-rede de gerenciamento, uma sub-rede confiável, uma sub-rede não confiável e uma sub-rede nlb.

  • A sub-rede de gerenciamento usa a interface de gerenciamento (interface principal - VNIC0) para permitir que os usuários finais se conectem à interface do usuário.
  • A sub-rede não confiável usa a placa de rede virtual 1 (VNIC1) para tráfego externo de ou para o Firewall Palo Alto Networks VM-Series.
  • A sub-rede confiável usa o VNIC2 para tráfego interno de ou para o Firewall da Série de VMs de Redes Alto Palo.
  • A sub-rede nlb permite que o usuário final crie um balanceador de carga de rede flexível público/privado que permita a conexão local e/ou de entrada da Internet.

  O tráfego de entrada entra na VCN hub de origens externas por meio do balanceador de carga de rede externa para o Firewall VM-Series das Redes Altas Palo e, em seguida, por meio da sub-rede confiável para o gateway de pareamento local (LPG):

  • Gateway de Internet: Tráfego de rotas de clientes web externos e da Internet para o balanceador de carga de rede pública externa e, em seguida, ele vai para um dos Firewall de Redes Palo Alto VM-Series através da sub-rede não confiável. A sub-rede não confiável tem um endereço público que permite que o usuário se conecte de fora. Há um CIDR de destino de permissão de rota padrão 0.0.0.0/0 (todos os endereços).
  • Gateway de roteamento dinâmico: O tráfego do data center do cliente (172.16.0.0/12) é roteado para o balanceador de carga privado externo e, em seguida, ele vai para um dos Firewalls da Série VMs da Palo Alto Networks por meio da sub-rede não confiável. O CIDR de destino do DRG é 10.0.0.0/24 ou 10.0.1.0/24 (VCNs spoke: aplicativo e banco de dados).
  • Redes Palo Alto: O tráfego é roteado pela VM do gateway e pela sub-rede confiável para o LPG. A conversão do Endereço de Origem acontece no Firewall da Série VMs. O CIDR de destino padrão para a sub-rede confiável é 10.0.0.0/24 e/ou 10.0.1.0/24 (VCNs spoke: aplicativo/banco de dados).
  • Gateway de pareamento local: o tráfego da sub-rede confiável para a VCN spoke é roteado pelo LPG.
  • Aplicativo ou Web: Se o tráfego for destinado a esta VCN spoke, ele será roteado por meio da conexão LPG.
  • Banco de Dados: Se o tráfego for destinado a esta VCN spoke, ele será roteado por meio da conexão LPG.

• A camada da Web ou da aplicação falou VCN (10.0.0.0/24): A VCN contém uma única sub-rede. Um balanceador de carga de aplicativos gerencia o tráfego entre VMs Web e de aplicativos em cada um dos domínios de disponibilidade. O tráfego da VCN hub para o balanceador de carga do aplicativo é roteado por um gateway de pareamento local para o balanceador de carga do aplicativo. O CIDR de destino da sub-rede spoke é 0.0.0.0/0 (todos os endereços).