注：

使用 Oracle Cloud Infrastructure Network Firewall 保护 Oracle Cloud VMware Solution 负载

简介

本文档介绍如何使用 Oracle Cloud Infrastructure (OCI) 网络防火墙保护在 Oracle Cloud VMware Solution 中运行的负载。Oracle Cloud VMware Solution 允许您在 OCI 中创建和管理 VMware 软件定义的数据中心 (SDDC)。

OCI 网络防火墙可以部署为分布式模型或传输模型。在本教程中，我们将部署传输模型，其中网络防火墙位于分支 VCN 中的 Hub VCN、Oracle Cloud VMware Solution SDDC。使用 OCI 网络的 VCN 和入站路由功能，您可以通过在 Hub VCN 中运行的网络防火墙来检查流量。

注意：尽管本教程展示了 OCI 网络防火墙，但大多数概念都应该适用于其他任何第三方设备，例如 Fortinet、Palo Alto Networks、Cisco、Check Point 等。客户需要与特定的供应商/合作伙伴合作，以确保供应商支持该服务。

用例

通过 OCI 内部 VCN 路由功能，您可以轻松配置路由来支持 VCN 中的 OCI 工作负载流量，您还可以使用防火墙来检查/保护流量。我们将使用内部 VCN 和入站路由功能，其中包括：

在本教程中，我们将验证不同的流量方案，OCI 网络防火墙支持的主要功能：

注：无法使用传输模型检查 NSX 工作负载 VM 中的东西流量。如果要检查该流量，建议在 Oracle Cloud VMware Solution 环境中部署第三方合作伙伴解决方案，本教程中未介绍该解决方案。

目标

本教程介绍了 Oracle Cloud VMware 解决方案环境中 OCI 网络防火墙解决方案的 OCI 内部 VCN 路由功能。我们已经介绍了虚拟云网络路由使用场景，可简化您在 OCI 上的防火墙部署。

先决条件

注：在生产环境中，必须以高可用性部署防火墙。

体系结构

您可以参阅以下拓扑来支持此用例。

图 1

任务 1：配置 OCI 网络防火墙

以下各节展示了 OCI 网络防火墙所需的最低配置。有关更高级的配置，请参阅官方文档。

  1. VCN 子网和 VLAN：第一步是确保您按“先决条件”部分所述创建了所需的 VCN 和子网，以支持您的用例拓扑。

    • 您可以通过导航到虚拟云网络、虚拟云网络详细信息、资源来使用 OCI 控制台验证它们。

      • 用于在 Hub-VCN 中支持网络防火墙的防火墙子网 IAD 子网
      • Hub-VCN 中的 Public-Bastion-Subnet-IAD、JumpHost-Subnet-IAD 子网，用于支持 VM 用于流量验证
      • DB-Spoke-VCN-IAD VCN 中的 DB-Subnet-IAD 子网，用于支持数据库负载
      • 在部署 Oracle Cloud VMware Solution SDDC 期间，必须创建相应的子网和 VLAN

    • 下图显示了 Hub-VCN (Firewall-VCN-IAD) 和关联的子网。

      图 2

    • 接下来，您需要部署部署部署在防火墙子网中的 OCI 网络防火墙。有关详细信息，请参阅官方文档。

  2. OCI 网络防火墙策略规则：确保添加了必需的防火墙安全规则来支持用例通信。有关如何配置规则的更多信息，请遵循官方文档。

    图 3

  3. OCI 网络防火墙：在 Hub-VCN 中，根据先决条件部署网络防火墙。防火墙 VM 激活后，使用它来保护您的流量。

    图 4

  4. VCN、子网、VLAN 和 DRG 附件的路由表：您需要配置路由表，以反映用例拓扑的正确路由规则。在较高级别上，您需要按如下方式修改 VCN 中的路由表：

    • 防火墙 VCN

      • 防火墙子网路由表：创建条目，将每个子网 CIDR 作为目标，将目标作为 Internet 网关、nat 网关、服务网关或 DRG。
      • 公共堡垒子网路由表：创建以每个子网 CIDR 作为目标且目标作为网络防火墙 IP 地址的条目。
      • 专用 JumpHost 子网路由表：创建以每个子网 CIDR 作为目标且目标作为网络防火墙 IP 地址的条目。
      • VCN 入站路由表：创建每个目标 CIDR 和目标作为防火墙 IP 地址的条目，以检查来自 Spoke VCN 的流量。

    • Oracle Cloud VMware Solution VCN

      • 子网 SDDC 路由表：创建条目，将每个子网 CIDR 作为目标，将目标作为 DRG。
      • vSphere VLAN 路由表：创建以每个子网 CIDR 作为目标且目标为 DRG 的条目。
      • NSX Edge 上行链路 1 VLAN 路由表：创建以每个子网 CIDR 作为目标且目标为 DRG 的条目。
      • VCN 入站路由表：创建每个目标重叠 CIDR 以及目标为 NSX-EDGE-UPLINK IP 地址的条目，以确保流量返回到叠加主机。

    • 数据库 VCN

      • DB 子网路由表：创建条目，将每个子网 CIDR 作为目标，将目标作为 DRG，以检查通过 OCI 网络防火墙的流量。

    • DRG VCN 附件

      • 防火墙 VCN 附件路由表：创建条目，将每个 NSX 工作负载 CIDR 作为目标，将下一个跃点作为 Oracle Cloud VMware Solution VCN 附件。使用与 Oracle Cloud VMware Solution 和数据库 VCN 匹配的条件导入路由分配。
      • Oracle Cloud VMware Solution - VCN 附件路由表：创建条目，将每个子网 CIDR 作为目标，并将目标作为防火墙 VCN 附件来检查通过 OCI 网络防火墙的流量。
      • 数据库附件路由表：创建条目，将每个子网 CIDR 作为目标，将下一个跃点作为防火墙 VCN 附件来检查通过 OCI 网络防火墙的流量。

注：确保使用路由对称，以便同时在两个方向上正确检查流量。

任务 2：验证和检查来自 OCI 网络防火墙的流量

此时，您可以验证来自 JumpHost Windows VM、堡垒 VM、Oracle Cloud VMware Solution SDDC 环境、NSX 叠加 VM 和 DB Spoke VM 的流量，并检查来自 OCI 网络防火墙的流量。下图显示了按用例拓扑运行所需的 VM。

图 5

图 6

通过内部 VCN 路由 (IVR) 从 JumpBox Windows VM 到 NSX 叠加 VM 的南北流量检查

通过网络网关入站路由从 NSX 叠加 VM 到互联网的南北流量检查

通过内部 VCN 路由 (IVR) 从 JumpBox Windows VM 到 vCenter 的东西流量检查

从 DB Spoke VM 和 ESXi 主机进行东西流量检查，反之亦然

IPS/IDS、URL 过滤、SSL 转发代理和 SSL 入站检查流量，通过 VCN 间路由从 NSX 叠加 VM 到互联网

IPS/IDS

URL 筛选

SSL 正向代理和 SSL 入站检查

致谢

授权者：

更多学习资源

探索 docs.oracle.com/learn 上的其他实验室，或者访问 Oracle Learning YouTube 频道上的更多免费学习内容。此外，请访问 education.oracle.com/learning-explorer 成为 Oracle Learning Explorer。

有关产品文档，请访问 Oracle 帮助中心。