了解 OCI 工作负载网络的关键设计决策

您可以通过构建特定于组织需求的工作负载网络来优化网络性能和连接。 此解决方案手册介绍了构建 Oracle Cloud Infrastructure (OCI) 工作负载网络的关键设计决策和优秀实践。您将了解解释网络组件和服务的模式，这些模式可帮助您构建弹性 OCI 网络以满足组织需求。

使用须知

查看此相关解决方案，以了解有关设置 CIS 着陆区的更多信息。

• 部署符合 Oracle Cloud CIS 基础基准的安全体系框架

体系结构

此体系结构在您设置网络和连接后显示了一个完整的体系结构。使用此架构可根据组织需求做出关键设计决策。

下图展示了弹性 OCI 网络的已完成参考架构。

插图 mult-region-deployment-full-arch.png 的说明

多区域 - 部署 - 完全 - 存档 -oracle.zip

此体系结构支持以下组件：

• OCI 虚拟云网络和子网

  虚拟云网络 (VCN) 是您可以在 OCI 区域中设置的可定制软件定义网络。与传统数据中心网络一样，VCN 允许您控制网络环境。一个 VCN 可以具有多个不重叠的无类域间路由 (classless inter-domain routing，CIDR) 块，在创建 VCN 后可以更改这些块。您可以将 VCN 细分为多个子网，这些子网可以限定为某个区域或某个可用性域。每个子网由一系列不与 VCN 中的其他子网重叠的连续地址组成。您可以在创建子网后更改子网的大小。子网可以是公共子网，也可以是专用子网。

• 网络安全组 (NSG)

  NSG 充当云资源的虚拟防火墙。借助 OCI 的零信任安全模型，您可以控制 VCN 内的网络流量。NSG 由一组入站和出站安全规则组成，这些规则仅应用于单个 VCN 中指定的一组虚拟网络接口卡 (virtual network interface card，VNIC)。

• 安全列表

  您可以为每个子网创建安全规则，以指定允许进出子网的通信的源、目标和类型。

• 动态路由网关 (DRG)

  DRG 是一个虚拟路由器，用于为同一区域中的 VCN、VCN 与该区域之外的网络（例如另一个 OCI 区域中的 VCN、内部部署网络或其他云提供商中的网络）之间的专用网络流量提供路径。

• 本地对等连接

  本地对等连接允许同一 OCI 区域中的两个 VCN 直接使用专用 IP 地址进行通信。此通信不会遍历 Internet 或内部部署网络。本地对等连接由作为 VCN 之间的连接点的本地对等连接网关 (LPG) 启用。在每个 VCN 中配置 LPG 并建立对等连接关系，以允许一个 VCN 中的实例、负载平衡器和其他资源安全地访问同一区域内另一个 VCN 中的资源。

• OCI FastConnect

  Oracle Cloud Infrastructure FastConnect 可在您的数据中心与 OCI 之间创建专用连接。与基于互联网的连接相比，FastConnect 提供了更高的带宽选项和更可靠、更稳定的网络体验。

• OCI 站点到网站 VPN

  OCI Site-to-Site VPN 可在内部部署网络与 OCI 上的 VCN 之间提供 IPSec VPN 连接。IPSec 协议套件在数据包从源传输到目标之前对 IP 通信进行加密，并在数据包到达时对通信进行解密。