使用 Fortinet 安全 Fabric 确保 Oracle PeopleSoft Suite 安全
Fortinet 提供了企业级云安全解决方案，可通过本机与 Oracle Cloud Infrastructure 集成来扩展 Fortinet 安全 Fabric，从而在内部部署数据中心和云环境中保护应用。它提供了可扩展的性能，并推动了高级安全编排和统一的威胁保护。
公司将其 Peoplesoft 工作负荷从内部部署移动或扩展到 Oracle Cloud Infrastructure 可以选择 Fortinet Security Fabric 云解决方案来连接和扩展其数据中心网络，还可以保护其超过 Oracle Cloud 本机安全选项的工作负荷，而不需要重大的配置、集成或业务流程更改。
此参考体系结构为有兴趣扩展标准 Oracle PeopleSoft 应用程序参考体系结构的组织提供建议，实施高可用性配置中的 Fortinet 安全性 Fabric 解决方案以提供故障转移保护。
体系结构
集线器空间拓扑是一种传统的网络模式，用于将一个集中网络（集线器）连接到多个定向连接的网络（分支）。这些网络之间的流量通过高可用性 FortiGate 下一代防火墙流动，它提供了一个集中位置来实施安全性和流量检查。集线器虚拟云网络 (VCN) 是北部和东部流量的中心连接点。每个 PeopleSoft 体系结构层都部署在其自己的分支 VCN 上，允许带更多层保护微型抽样，因为检查并保护每个数据包在不同层之间移动。
此体系结构可以为连接多个分支提供高度可扩展且模块化的设计，其中每个分支网络代表一个应用程序的层，例如 Web、应用程序和数据库。它在一个特定的环境（例如生产、测试和开发）和不同的基础设施（例如区域、内部部署数据中心和多云）中运行。
FortiAnalyzer 和 FortiManager 是可选组件，可以部署到 FortiGate 的同一子网中。FortiADC 提供负载平衡服务并将请求转发到 PeopleSoft Web 层。
下图说明了此引用体系结构。
插图 archie-peoplesoft-fortinet-oci.png 的说明
可通过以下方案实施 Hub-Spoke 拓扑：
- 将 transit-routing 与本地对等连接网关 (Local peering gateways, LPG) 配合使用，以将请求 VCN 与中心 VCN 连接。
- 单独将每个 FortiGate 虚拟网络接口卡 (VNIC) 连接到每个分支 VCN。
对于 VNIC 连接方案，每个分支 VCN 应具有一个路由规则，以便将所有流量转发到连接到分支 VCN 的 FortiGate VNIC 专用 IP 地址。
对于 LPG 方案，每个分支 VCN 都应有一个路由规则，以便将所有流量转发到 LPG。在 LPG 中，您应具有另一个用于将流量转发到不可信 IP 或者浮动 IP、连接到中心 VCN 的 FortiGate 地址的路由规则。
请注意，FortiGate 不应该检查每个 VCN 中的任何流量（VCN CIDR 范围内的目标 IP），因为 Oracle Cloud Infrastructure 会自动将针对 VCN 自身的所有包直接通过内部 Oracle Cloud 子网默认网关转发到目标 IP。
南部入站通信量
来自互联网或内部部署网络的入站流量连接到托管在 FortiGate 防火墙的无国家或瓦纳接口上的公共 IP 地址。公共 IP 地址（保留的或临时的）是由 Oracle 管理的 NAT IP 地址，该地址与 Oracle Cloud Infrastructure 上的不仅国家子网内的辅助专用 IP 地址关联。辅助专用 IP 地址（浮动 IP）是静态分配给 FortiGate 上的不受影响的接口。如果发生故障转移，则浮动 IP 将随公共 IP 地址一起移到其他主机。
在进行包检测后，入站通信流量会通过信任接口离开 FortiGate。目标地址是部署在应用程序层分支 VCN 中的 FortiADC 虚拟 IP 地址。FortiADC 根据负载平衡器策略平衡活动的 PeopleSoft 应用服务器之间的流量。由于此流量位于 VCN 中，因此包直接转到目标主机。以下模式中的入站流量流量：
- FortiGate 中心 VCN：从 FortiGate 国家/地区到 FortiGate 信任 VNIC 到 Oracle Cloud Infrastructure 信任子网默认网关，到信任子网上的 LPG 到应用程序层。
- 应用程序层分支 VCN：从应用程序层子网上的 LPG 到 Oracle Cloud Infrastructure FortiADC 子网默认网关到 FortiADC VNIC 到 PeopleSoft Web 服务器。
对于通过同一防火墙检查的多个环境，可以将多个辅助 IP 地址同时分配给不受影响的接口和信任接口 (vnic)。每个专用 IP 应该用作源地址，该地址可以映射到防火墙策略中的一个特定目标应用程序或环境。或者，您可以在 FortiGate 中设置一个目标 NAT 策略，指向可以表示每个目标应用程序或环境的不同虚拟 ip 或端口的端口转发。
南部出站通信量
来自 FortiGate 中心 VCN 的出站流量通过互联网网关进行路由。
从分支 VCN 到任何目标的出站流量将从分支 VCN LPG 路由到中心 VCN 中的对等 LPG。在包到达中心 VCN 后，与 LPG 关联的路由会在信任接口中将流量转发到 FortiGate 浮动 IP。从此处，在检验后，FortiGate 将数据包路由到未国家/地区的默认网关。根据信任子网路由表，该表将继续通过 Internet 网关进行或内部部署。
东部流量
Oracle 建议在 VCN 级别分段网络，而不是子网级别来检查更容易的西部流量，因为 VCN CIDR 块中的所有流量都通过内部 Oracle Cloud Infrastructure 子网默认网关自动路由，并且不能覆盖此路由。
来自任何分支 VCN 的轻松西部流量将从分支 VCN LPG 路由到中心 VCN 中的对等 LPG，然后路由到信任接口中的 FortiGate 浮动 IP。FortiGate 会检查传入流量，并基于 FortiGate 防火墙策略将目标地址设置为分支 VCN 中的目标主机或者发送了数据包的源主机。流量通过信任接口保留 FortiGate，并通过信任子网中的缺省网关发送，该网关会将数据包转发到目标分支数据库或应用程序 VCN 的 LPG 对等设备。
体系结构具有以下组件：
- Fortinet FortiGate Next-Generation 防火墙
提供网络和安全服务，例如威胁保护、SSL 检验以及超级用于保护内部段和关键任务环境的延迟。它支持直接单根 I/o 虚拟化 (SR-IOV) 以提高性能。可以直接从 Oracle Cloud Marketplace 部署 FortiGate。
- Fortinet FortiAnalyzer
通过集中式网络日志记录、分析和报告，提供数据驱动的企业安全洞察。
- Fortinet FortiManager
在网络中提供单窗格的玻璃管理，并在网络活动中提供实时视图和历史视图。
- Fortinet FortiADC
在多个地理区域之间平衡流量。根据策略路由动态重写内容以确保应用程序和服务器负载平衡。FortiADC 还处理压缩、高速缓存、HTTP 2.0 和 HTTP PageSpeed 优化。
- PeopleSoft Web 层
FortiADC 负载平衡器、PeopleSoft Web 服务器和 ElasticSearch 服务器组合。
- PeopleSoft 应用程序层
PeopleSoft 应用服务器和 PeopleSoft Process Scheduler 服务器组合。
- PeopleSoft 数据库层
Oracle Database 组合，但不限于 Oracle Exadata 数据库或 Oracle Database 服务。
- PeopleTools 客户端层
PeopleTools 客户机，用于执行开发、迁移和升级等管理活动。
- 区域
Oracle Cloud Infrastructure 区域是包含一个或多个数据中心（称为可用性域）的本地化地理区域。区域与其他区域无关，绝对距离可以分离这些区域（跨国家/地区甚至大洲）。
- 可用性域
可用性域是区域中独立的数据中心。每个可用性域中的物理资源都与其他可用性域中的资源隔离，可提供容错能力。可用性域不共享基础设施（如电源或冷却）或内部可用性域网络。因此，一个可用性域出现故障不太可能影响该区域中的其他可用性域。
- 容错域
故障域是可用性域内的一组硬件和基础结构。每个可用性域都有三个包含独立电源和硬件的容错域。在多个容错域中分布资源时，应用程序可以容忍故障域内的物理服务器故障、系统维护和电源故障。
- 虚拟云网络 (VCN) 和子网
VCN 是您在 Oracle Cloud Infrastructure 区域中设置的可自定义专用网络。与传统数据中心网络一样，Vcn 允许您完全控制网络环境。您可以将 Vcn 细分为可限定为区域或可用性域的子网。区域子网和可用性域特定子网都可以共存在于同一 VCN 中。子网可以是公共或专用的。
- 中心 VCN
必须部署 FortiGate 的集中网络。它可以提供与所有 Spoke、Oracle Cloud Infrastructure Services、公共端点和客户端以及内部部署数据中心网络的连接。它通常由以下四个子网组成：
- 管理子网
连接 FortiGate 的主要 VNIC 的公共子网。它负责 FortiGate 控制平面操作和一般管理活动。
- 不可信子网
包含 FortiGate VNIC 连接的公共子网。它充当来自 Internet 或内部部署数据中心的入站流量的网关/端点。
- 信任子网
包含 FortiGate VNIC 连接的专用子网。它将流量转发到连接到中心 VCN 的 LPG，然后转发到正确的请求 VCN。它还应从 Spoke VCN 接收入站包。
- HA 子网
包含 FortiGate VNIC 连接的专用子网。此选项专供心跳/HA 通信使用。
- 管理子网
- Web 层分支 VCN
PeopleSoft Web 层的专用子网，它由 HA 模式、PeopleSoft Web 服务器和 PeopleSoft 弹性搜索服务器中的 FortiADC 负载平衡器设置组成。
- 应用程序层分支 VCN
应用程序服务器主机和 PeopleSoft 工具主机的专用子网。
- 数据库层分支 VCN
用于托管 Oracle 数据库的专用子网。
- 路由表
VCN 的虚拟路由表。它们具有路由规则，用于将子网中的流量路由到 VCN 外部的目标（例如，路由到 Internet）到内部部署网络或对等 VCN。每个 VCN 会自动附带一个没有规则的默认路由表。
- Internet 网关或 NAT 网关
互联网网关或 NAT 网关由 FortiGate 用于与外部公共端点通信。FortiGate 至少需要部署一个 NAT 网关来访问 Fortinet 许可服务器，因为 FastConnect 连接不需要互联网网关。
- 本地对等连接网关
本地对等连接网关 (Local peering gateway, LPG) 是 VCN 上的组件，负责将流量路由到同一 Oracle Cloud Infrastructure 区域中的本地对等 VCN。每个中心和分支 VCN 都部署了 LPG。每个 VCN 的 LPG 附件数限制为 10 个。
- 服务网关
需要通过服务网关来从中心 VCN 或内部部署网络与 Oracle 服务（如基础结构、PaaS 或 SaaS）通信。
- 动态路由网关
动态路由网关 (DRG) 是一个虚拟路由器，它为 VCN 区域之外的 VCN 和网络之间的专用通信提供路径。
- 虚拟网络接口卡 (Vnic)
Oracle Cloud Infrastructure 数据中心中的服务具有物理网卡 (nic)。虚拟机实例使用与物理 Nic 关联的虚拟 nic (vnic) 进行通信。每个实例都有一个主要 VNIC，该 VNIC 在启动期间自动创建并连接，在实例的有效期内可用。DHCP 仅提供给主 VNIC。可以在实例启动后添加辅助 Vnic，应为每个接口设置静态 ip。
- 专用 IP 地址
用于解决实例的专用 IPv4 地址和相关信息。每个 VNIC 都有一个主专用 IP，可以添加和删除辅助专用 IP。实例上的主专用 IP 地址在实例启动期间是附加的，在实例的有效期内不会更改。辅助 Ip 也应属于 VNIC 子网的同一 CIDR。辅助 IP 用作浮动 IP，因为它可以在同一子网内不同实例的不同 vnic 之间移动。您也可以将其用作其他端点来承载不同的服务。
- 公共 IP 地址
网络服务定义由 Oracle 选择的映射到专用 IP 的公共 IPv4 地址。
- 暂时：此地址是临时的，在实例的生命周期内存在
- 保留：此地址是持久性的，在实例的有效期内存在。它可以取消分配，然后重新分配给其他实例。
- 源和目标检查
每个 VNIC 在其网络流量上执行源和目标检查。禁用此标志将使 FortiGate 可以处理未定位到防火墙的网络通信。
- 安全列表
对于每个子网，您都可以创建安全规则来指定子网中必须允许的源、目标以及流量类型。
- 计算配置
在计算中，配置指定分配给实例的 Cpu 数量和内存量。计算配置还确定计算实例可用的 Vnic 数量和最大带宽数量。
建议
您的要求可能不同于此处所述的体系结构。使用以下建议作为起点。
- PeopleSoft 高可用性
- 主动 - 每个 PeopleSoft 层的主动服务器冗余
每个层都包含 PeopleSoft 应用服务器、PeopleSoft Web 服务器、ElasticSearch 服务器和 PeopleSoft Process Scheduler 的冗余实例以提供高可用性。
- 容错
通过使用多个 ADs 将每个层中的服务器（节点）部署到不同可用性域，可实现故障容限。在单个 AD 区域中，可以将服务器节点部署到不同的故障域中。所有 PeopleSoft 实例都处于活动状态并从负载平衡器接收流量
- 带 RAC 数据库的数据库层中存在冗余
此层包含数据库系统实例。为了满足性能和 HA 要求，Oracle 建议您在 Oracle Cloud Infrastructure 中使用双节点 Oracle Real Application Clusters (RAC) 数据库系统或 Oracle Database Exadata Cloud Service。
- 主动 - 每个 PeopleSoft 层的主动服务器冗余
- FortiGate 高可用性
为了维护会话复制和恢复通信（如果中断），请在主动 - 被动式高可用性模式下部署 FortiGate，并在辅助 vnic 上禁用源和目标检查以获得信任和不受影响的接口。为高可用性或心跳流量创建专用接口和子网。
在故障转移事件期间使用辅助 Ip。FortiGate 发出对 Oracle Cloud api 的调用，以将这些 ip 从主 FortiGate 主机移至辅助 FortiGate 主机。
- FortiADC 高可用性
在主动 - 策略 - Vrp HA 模式下部署 FortiADC，该模式基于 VRRP 的概念，但不基于 VRRP 协议本身。该模式允许配置同步和会话同步，与其他 HA 模式类似。在内部接口的辅助 Vnic 上启用跳过源/目标检查。
- VCN
创建 VCN 时，确定每个子网中的云资源需要多少 IP 地址。使用无类域间路由 (Classless Inter-Domain Routing, CIDR) 表示法，指定子网掩码以及足够大的网络地址范围用于所需的 IP 地址。请使用位于标准专用 IP 地址空间内的地址范围。
选择与要设置专用连接的任何其他网络（在 Oracle Cloud Infrastructure 中、内部部署数据中心或其他云提供方中）不重叠的地址范围。
创建 VCN 后，不能更改其地址范围。
设计子网时，请考虑您的流量流和安全要求。将特定层或角色内的所有资源附加到同一子网，这些子网可用作安全边界。
- 安全列表
安全列表充当用于在网络内的包级别控制通信的虚拟防火墙。仅当任何列表中的规则允许流量时，才允许流量。默认情况下，安全规则是有状态的，即一种用于指示您希望使用与该规则匹配的连接跟踪的机制。因此，流量的响应将被跟踪并自动回到原始主机，而不管出站规则如何。
由于 FortiGate 下一级防火墙检查所有流量，因此您不需要通过安全列表强制实施严格的规则。它们最终可以用作保护的第二个屏障，但不是必需的。只能为管理 FortiGate 配置创建一个安全列表，以允许 SSH 和 HTTPS 通信或任何其他可能需要的服务。对于整个中心服务器和请求 Vcn 中的所有剩余流量，您需要修改默认安全列表，以允许所有端口/协议的入站流量和出站流量。
- FortiGate 防火墙策略
防火墙策略是一组比较的指令，用于控制通过防火墙进行的通信流。这些说明控制流量的传送位置、处理方式、是否处理流量，以及是否允许通过 FortiGate 传递流量。当防火墙收到连接包时，它将按端口号分析包的源地址、目的地地址和服务。它还会注册传入和传出接口。还有与该策略相关联的操作：接受或拒绝。如果操作接受，策略将允许通信会话。否则，策略操作将阻止通信会话。
PeopleSoft 需要打开具有以下端口和协议的策略：
层 组件 协议 端口 Web 层 Web 服务器 TCP/HTTPS 443 (PIA) Web 层 Web 服务器 TCP 22 (SSH) Web 层 弹性搜索 TCP 9200 应用程序层 JSL TCP 9033-9040 数据库层 TNSListener TCP 1521–1522 客户端层 PeopleTools 客户机 VM TCP/UDP 10200–10205 对于易于使用的西部流量，请考虑以下流量模式：
通信流 组件名 协议/端口 Web 层和应用程序层 JSL TCP/443 应用程序层和数据库层 TNSListener TCP/1521-1522 客户端层和 Web 层 SSH TCP/22 客户端层和应用程序层 SSH TCP/22 客户端层和应用程序层 JOTL/JSL TCP/9033-9040 客户端层和数据库层 TCP TCP/1521-1522 例如，您可以在 FortiGate 可信接口上创建策略，以允许 Web 层和应用程序层之间以及应用程序层和数据库层之间的通信。
还可以创建带有指向虚拟 IP 地址的目标 NAT 的策略，以允许或限制从特定源 IP 地址或网络访问 PeopleSoft 套件。
- FortiGate 静态路由策略
在 FortiGate 上为每个分支 VCN（目标地址/网络）创建静态路由，并将网关 IP 设置为信任子网默认网关地址（信任子网 CIDR 中的第一个主机 IP 地址）。
对于出站连接，在 FortiGate 上为出站流量创建静态路由，并将网关 IP 设置为不受影响的子网默认网关地址（第一个主机 IP 在不受影响的子网 CIDR 中添加地址）。
- Oracle Cloud Infrastructure VCN 路由表
应为“北部”和“东方西部”流量检验创建以下路由表。
VCN 名称 目标 目标类型 目标 子网的缺省路由表 FortiGate FortiGate_Untrust - mgmt_route_table 0.0.0.0/0 Internet 网关 < FortiGate VCN Internet 网关> 不可信管理 FortiGate FortiGate_Trust - route_table < Web_Tier VCN CIDR > 本地对等连接网关 < LPG- Web_Tier > 不适用 FortiGate FortiGate_Trust - route_table < Application_Tier VCN CIDR > 本地对等连接网关 < LPG- Application_Tier > 不适用 FortiGate FortiGate_Trust - route_table < DB_Tier VCN CIDR > 本地对等连接网关 < LPG- DB_Tier > 不适用 FortiGate FortiGate_Trust - route_table < Client_Tier VCN CIDR > 本地对等连接网关 < LPG- Client_Tier > 不适用 FortiGate LPG- route_table 0.0.0.0/0 专用 IP < FortiGate 信任 VNIC 专用 IP（浮动 IP）> 不适用 Web_Tier 默认路由表 0.0.0.0/0 不适用 < LPG- Web_Tier -to-Hub > 不适用 Application_Tier 默认路由表 0.0.0.0/0 不适用 < LPG- Application_Tier -to-Hub > 不适用 DB_Tier 默认路由表 0.0.0.0/0 不适用 < LPG- DB_Tier -to-Hub > 不适用 Client_Tier 默认路由表 0.0.0.0/0 不适用 < LPG- Client_Tier -to-Hub > 不适用 - Oracle Cloud Infrastructure VCN 本地对等连接网关
必须创建以下 Lpg，才能允许南部和东部地区通信
- FortiGate VCN LPG 设置
名称 路由表 对等通告 CIDR 跨租户 LPG-Web-Tier LPG- route_table < Web_Tier VCN CIDR > 否 LpgApplication - 应用程序 LPG- route_table < Application_Tier VCN CIDR > 否 LPG-DB-Tier LPG- route_table < DB_Tier VCN CIDR > 否 LPG-Client-Tier LPG- route_table < Client_Tier VCN CIDR > 否 - Web 层 VCN LPG 设置
名称 路由表 对等通告 CIDR 跨租户 LPG-Web-Tier-to-Hub 不适用 0.0.0.0/0 否 - 应用程序层 VCN LPG 设置
名称 路由表 对等通告 CIDR 跨租户 LPGApplication - 应用程序到中心服务器 不适用 0.0.0.0/0 否 - 数据库层 VCN LPG 设置
名称 路由表 对等通告 CIDR 跨租户 LPG-DB-Tier-to-Hub 不适用 0.0.0.0/0 否 - 客户端/层 VCN LPG 设置
名称 路由表 对等通告 CIDR 跨租户 LPGient-Tier-to-Hub 不适用 0.0.0.0/0 否
- FortiGate VCN LPG 设置
- FortiADC 服务器负载平衡
FortiADC 必须在 HA 模式下与应用程序层部署在同一 VCN 内。在 FortiADC 中创建会话持久性 cookie （第 4 层），以在应用程序层主机之间分发通信量。
FortiADC 应将会话状态与 HTTP 标头和 Cookie 一起使用，以确保用户和服务器保持持持久性。因此，应在 FortiADC 上创建持久类型“插入 Cookie”以在 HTTP 标头中插入 Cookie，从而确保用户继续定向到会话状态信息所在的特定 PeopleSoft Web 服务器主机。
考虑事项
- 性能
FortiGate 是此体系结构中的一个关键组件，并且选择的 FortiGate 模型、计算配置和启动选项会影响工作量的性能。验证模型列表及其在 FortiGate 数据工作表中各自的细节。
- 安全性
FortiGate 使用 OCI IAM 动态组或 API 签名密钥在故障转移时进行 API 调用。根据您的安全/合规性要求设置策略。
- 可用性
要在区域中有多个可用性域时确保提高可用性，请在不同的 AD 上部署集群的每个主机。否则，请选择不同的故障域以根据反关联性规则提高可用性。此规则对 Fortinet 和 Oracle 产品有效。
- 成本
Oracle Cloud Infrastructure 市场中提供了 Fortinet、FortiGate 和 FortiADC。
Fortinet FortiGate 可作为 BYOL 或付费产品使用。
Fortinet FortiADC 仅可用作 BYOL。