使用 Fortinet 安全 Fabric 保護 Oracle PeopleSoft Suite
Fortinet 提供企業級的雲端安全解決方案，可將 Fortinet Security Fabric 與 Oracle Cloud Infrastructure 整合，以保護企業內部部署資料中心和雲端環境中的應用系統。它提供可擴展的效能，並可擴充進階的安全協調流程與統一威脅保護。
公司從企業內部部署環境移動或擴充其 Peoplesoft 工作負載至 Oracle Cloud Infrastructure 可以選擇 Fortinet Security Fabric 雲端解決方案來連線及擴充他們的資料中心網路，以及保護超過 Oracle Cloud 原生安全性選項的工作負載，而不需要進行大量的組態、整合或商業流程變更。
此參照架構提供的是組織對於擴充標準 Oracle PeopleSoft 應用程式參照架構的網路和安全設計建議，在高度可用的組態中實行 Fortinet 安全 Fabric 解決方案以提供容錯移轉保護。
架構
軸輻拓樸是傳統的網路樣式，可將集中網路 (網軸) 連接至多個導向的連線網路 (網輻)。這些網路之間的流量透過高可用性的 FortiGate 新一代防火牆流動，可讓集中位置強制執行安全性和流量檢查。集線器虛擬雲端網路 (VCN) 是兩種 North - uth 和 East-West 流量的連線中心點。PeopleSoft 架構的每個層都是部署在自己的網輻 VCN 上，因此允許微區隔具有更多層的保護，因為會檢查在不同層之間移動的每個封包，並加以保護。
此架構可提供高擴展性和模組化設計，以用於連線多個網輻，其中每個網路代表一個應用程式層，例如 Web、應用程式以及資料庫。它適用於一個特定環境，例如生產、測試與開發，以及不同的基礎架構 (例如區域、內部部署資料中心和多重雲端)。
FortiAnalyzer 和 FortiManager 是選擇性元件，您可以部署到 FortiGate 的相同子網路中。FortiADC 提供負載平衡服務，並將要求轉送至 PeopleSoft Web 層。
下列圖表說明此參照架構。
Tecture-peoplesoft-fortinet-oci.png 圖解描述
您可以透過下列情況，實行軸輻式拓樸：
- 透過本地對等互連閘道 (LPG) 使用轉換路由，將網輻 VCN 與中樞 VCN 連線。
- 將每個 FortiGate 虛擬網路介面卡 (VNIC) 連附至每個網輻 VCN。
對於 VNIC 連附案例，每個網輻 VCN 都應擁有路由規則，將所有流量轉送至連附至網輻 VCN 的 FortiGate VNIC 專用 IP 位址。
對於 LPG 案例，每個網輻 VCN 都應擁有路由規則，將所有流量轉送至 LPG。在 LPG 內，您應該有另一個將流量轉送至不受信任 IP 的路由規則，或是浮動 IP (連附至中樞 VCN 的 FortiGate 位址)。
請考慮 FortiGate 不應檢查每個 VCN 內的任何流量 (VCN CIDR 範圍內的目的地 IP)，因為 Oracle Cloud Infrastructure 會自動透過內部 Oracle Cloud 子網路預設閘道，將 VCN 本身所收到的所有封包轉送至目的地 IP。
北部-認證入埠流量
源自網際網路或企業內部部署網路的內送流量，會連線到 FortiGate 防火牆不信任或信任介面上所代管的公用 IP 位址。公用 IP 位址 (保留或臨時) 是 Oracle 所管理的 NAT IP 位址，與 Oracle Cloud Infrastructure 上無法辨識的子網路內與次要專用 IP 位址相關聯。次要專用 IP 位址 (浮動 IP) 是以靜態方式指定給 FortiGate 上不穩定的介面。如果發生容錯移轉，浮動 IP 會連同公用 IP 位址移至其他主機。
進行封包檢查後，內送流量會透過信任介面取消 FortiGate。目的地位址是指建置在應用程式層網輻 VCN 中的 FortiADC 虛擬 IP 位址。FortiADC 會根據負載平衡器原則，平衡作用中 PeopleSoft 應用程式伺服器之間的流量。因為此流量是在 VCN 內，所以封包會直接移至目的地主機。以下列模式的傳入流量：
- FortiGate 中樞 VCN：從 FortiGate 不信任 VNIC，移至 FortiGate 信任 VNIC 到 Oracle Cloud Infrastructure 信任子網路預設閘道，到信任子網路上的 LPG 到應用程式層。
- 應用程式層網輻 VCN：從應用程式層子網路上的 LPG 到 Oracle Cloud Infrastructure FortiADC 子網路預設閘道，到 FortiADC VNIC 到 PeopleSoft Web 伺服器。
對於透過同一個防火牆檢查的多個環境，您可以指派多個次要 IP 位址給不信任和信任介面 (vnic)。每個專用 IP 都應該作為來源位址，來源位址可對應至您防火牆原則中的一個特定目標應用程式或環境。或者，您也可以在 FortiGate 中設定其連接埠轉送的目的地 NAT 原則，指向可代表每個目的地應用程式或環境的不同虛擬 ip 或連接埠。
北部-認證外傳流量
來自 FortiGate 中樞 VCN 的輸出流量會透過網際網路閘道傳送。
從支點 VCN 到任何目的地的輸出流量會從支點 VCN LPG 路由至中樞 VCN 中對等互連的 LPG。封包達到中樞 VCN 之後，與 LPG 關聯的路由就會將流量轉送至信任介面中的 FortiGate 浮動 IP。然後在檢查之後，FortiGate 會將封包路由至不信任的子網路預設閘道。根據信任子網路路由表格，它會繼續進行網際網路或透過網際網路閘道進行內部部署。
東西流量
Oracle 建議您在 VCN 層級進行區段化網路，而非子網路層級來檢查極為西部流量，因為 VCN CIDR 區塊內的所有流量都會自動透過內部 Oracle Cloud Infrastructure 子網路預設閘道遞送，而且無法覆寫此路由。
所有網輻 VCN 的輕鬆流量都是從網輻 VCN LPG 路由至集線器 VCN 中的對等互連 LPG，然後再路由至信任介面中的 FortiGate 浮動 IP。FortiGate 會檢查內送流量，並根據 FortiGate 防火牆原則，將目的地位址設為網輻 VCN 中的目的地主機，或者返回傳送封包的來源主機。流量會透過信任介面展開 FortiGate，並透過信任子網路中的預設閘道傳送，然後將封包轉送至目的地網輻資料庫或應用程式 VCN。
架構包含下列元件：
- Fortinet FortiGate Next-Generation Firewall
提供保護內部區段和重要環境的網路和安全服務，例如威脅保護、SSL 檢查和超連結延遲。它支援直接單一根 I/o 虛擬化 (SR-IOV) 來增強效能。您可以直接從 Oracle Cloud Marketplace 建置 FortiGate。
- Fortinet FortiAnalyzer
透過集中的網路記錄日誌、分析和報告功能，提供資料導向的企業安全性洞察分析。
- Fortinet FortiManager
提供網路上單一平台的緊急處理管理，並為網路活動提供即時和歷史檢視。
- Fortinet FortiADC
跨多個地理區域的餘額流量。它會根據原則路由動態重新寫入內容，以確保應用程式和伺服器負載平衡。FortiADC 也會處理壓縮、快取、HTTP 2.0 以及 HTTP PageSpeed 最佳化。
- PeopleSoft Web 層
由 FortiADC 負載平衡器、PeopleSoft Web 伺服器和 ElasticSearch 伺服器構成。
- PeopleSoft 應用程式層
構成 PeopleSoft 應用程式伺服器和 PeopleSoft Process Scheduler 伺服器。
- PeopleSoft 資料庫層
由 Oracle Database 組成，但不限於 Oracle Exadata 資料庫或 Oracle Database 服務。
- PeopleTools 用戶端層
管理活動 (如開發、移轉及升級) 的 PeopleTools 從屬端。
- 區域
Oracle Cloud Infrastructure 區域是包含一或多個資料中心的本地化地理區域，稱為可用性網域。區域與其他區域無關，大明可以分開區域 (跨國或甚至是洲)。
- 可用性網域
可用性網域是區域內獨立、獨立的資料中心。每個可用性網域中的實體資源都會與其他可用性網域中的資源隔離，以提供容錯。可用性網域並不共用基礎架構，例如電源或冷卻，或內部可用性網域網路。因此，一個可用性網域發生故障，不會影響區域中的其他可用性網域。
- 容錯域
錯誤網域是可用性網域內硬體和基礎架構的群組。每個可用性網域都有三個容錯域，具有獨立的電源和硬體。當您將資源分配到多個容錯域時，應用程式可容許在容錯域中發生實體伺服器失敗、系統維護和電源失敗。
- 虛擬雲端網路 (VCN) 和子網路
VCN 是您在 Oracle Cloud Infrastructure 區域中設定的可自訂專用網路。和傳統資料中心網路一樣，Vcn 也可讓您完全透過網路環境來控制。您可以將 Vcn 區段成子網路，這可以是區域作用領域或可用性網域的作用領域。區域子網路和可用性網域特定子網路都可以在相同的 VCN 中共存。子網路可以是公用或專用。
- 中樞 VCN
必須建置 FortiGate 的集中網路。它可以提供所有網幅 Vcn、Oracle Cloud Infrastructure 服務、公用端點和從屬端，以及企業內部部署資料中心網路的連線。它通常由以下四個子網路組成：
- 管理子網路
連附 FortiGate 之主要 VNIC 的公用子網路。它負責 FortiGate 控制層作業和一般管理活動。
- 不信任的子網路
包含 FortiGate VNIC 附件的公用子網路。它是作為網際網路傳入流量或從企業內部部署資料中心進入流量的閘道/端點。
- 信任子網路
包含 FortiGate VNIC 附件的專用子網路。它會將流量轉送至連附至 Hub VCN 的 LPG，然後轉送至適當的 Spoke VCN。它也應收到來自軸輻 Vcn 的傳入封包。
- HA 子網路
包含 FortiGate VNIC 附件的專用子網路。活動訊號/HA 流量專用。
- 管理子網路
- Web 層支點 VCN
PeopleSoft Web 層的專用子網路，由在 HA 模式、PeopleSoft Web 伺服器和 PeopleSoft 彈性搜尋伺服器中設定的 FortiADC 負載平衡器組成。
- 應用程式層支點 VCN
應用程式伺服器主機和 PeopleSoft 工具主機的專用子網路。
- 資料庫層支點 VCN
用於代管「Oracle 資料庫」的專用子網路。
- 路由表
您 VCN 的虛擬路由表。它們具有路由規則，可將流量從子網路路路路到 VCN 外的目的地 (例如網際網路、企業內部部署網路或對等互連的 VCN)。每個 VCN 都會自動隨附一個沒有規則的預設路由表。
- 網際網路閘道或 NAT 閘道
FortiGate 使用網際網路閘道或 NAT 閘道與外部公用端點通訊。FortiGate 至少需要建置的 NAT 閘道才能存取 Fortinet 授權伺服器，如果因為 FastConnect 連線的緣故，不需要網際網路閘道。
- 本地對等互連閘道
本地對等互連閘道 (LPG) 是 VCN 上的元件，負責將流量遞送至同一 Oracle Cloud Infrastructure 區域內的本機對等互連 VCN。每一個集線器與網輻 VCN 都已部署 LPG。每一 VCN 的每個 LPG 附件數目限制為 10 個。
- 服務閘道
需要服務閘道才能從中樞 VCN 或企業內部部署網路與 Oracle 服務 (例如「基礎架構」、PaaS 或 SaaS) 通訊。
- 動態路由閘道
動態路由閘道 (DRG) 是一種虛擬路由器，可提供 VCN 區域外部 VCN 和網路之間的專用流量路徑。
- 虛擬網路介面卡 (Vnic)
Oracle Cloud Infrastructure 資料中心的服務具有實體網路介面卡 (nic)。虛擬機器執行處理會使用與實體 Nic 關聯的虛擬 nic (vnic) 進行通訊。每個執行處理都有一個主要 VNIC，會在啟動時自動建立並連附，而且可在執行處理存留時間內使用。DHCP 僅提供給主要 VNIC。您可以在執行處理啟動後新增次要 Vnic，並為每個介面設定靜態 ip。
- 專用 IP 位址
例項的專用 IPv4 位址和相關資訊。每個 VNIC 都有一個主要專用 IP，您可以新增和移除次要專用 IP。執行處理上的主要專用 IP 位址是在執行處理啟動時附加，而且在執行處理存留時間不會變更。次要 Ip 也應該屬於相同的 VNIC 子網路 CIDR。次要 IP 是用來作為浮動 IP，因為它可以在相同子網路內的不同執行處理之間移動。您也可以使用它作為代管不同服務的不同端點。
- 公用 IP 位址
網路服務會定義 Oracle 所選擇且對應至專用 IP 的公用 IPv4 位址。
- 暫時：這個位址是暫時性的，並且存在於執行處理存留時間
- 保留：此地址是持續性的，且已超過執行處理存留時間的範圍。它可以取消指派，並重新指派給其他執行處理。
- 來源和目的地檢查
每個 VNIC 會對其網路流量執行來源和目的地檢查。停用此旗標可讓 FortiGate 處理不是為防火牆設定目標的網路流量。
- 安全清單
您可以為每個子網路建立安全規則，以指定子網路中必須允許且離開子網路的來源、目的地以及流量類型。
- 運算資源配置
在運算中，形狀指定配置給執行處理的 Cpu 數目和記憶體數量。「運算」型態也會決定「運算」執行處理的可用 Vnic 數目和最大頻寬。
建議
您的需求可能與此處描述的架構不同。請使用下列建議作為起點。
- PeopleSoft 高可用性
- 作用中-每個 PeopleSoft 層的作用中伺服器冗餘
每個層均包含 PeopleSoft 應用程式伺服器、PeopleSoft Web 伺服器、ElasticSearch 伺服器和 PeopleSoft Process Scheduler 的多餘執行處理，以提供高可用性。
- 錯誤允差
藉由在每個層中將伺服器 (節點) 建置到區域中具有多個 Ad 的不同可用性網域，可以達到錯誤允差。在單一 AD 區域上，您會將伺服器節點建置到不同的錯誤網域。所有 PeopleSoft 執行處理都處於作用中狀態，並從負載平衡器接收流量
- 以 RAC 資料庫作為「資料庫層」的冗餘
此層包含資料庫系統執行處理。對於效能和 HA 需求，Oracle 建議您在 Oracle Cloud Infrastructure 中使用雙節點 Oracle Real Application Clusters (RAC) 資料庫系統或 Oracle Database Exadata Cloud Service。
- 作用中-每個 PeopleSoft 層的作用中伺服器冗餘
- FortiGate 高可用性
若要維護階段作業複製並在中斷時繼續通訊、請以主動-被動的高可用性模式建置 FortiGate、並且停用信任和無信任介面次要 vnic 的來源和目的地檢查。為高可用性或活動訊號流量建立專用的介面和子網路。
容錯移轉事件期間會使用次要 Ip。FortiGate 會呼叫 Oracle Cloud api，將這些 ip 從主要 ip 移至次要 FortiGate 主機。
- FortiADC 高可用性
以 Active-Active-VRRP HA 模式部署 FortiADC，該模式是以 VRRP 概念為基礎，但不是 VRRP 協定本身。此模式與其他 HA 模式相同，可讓您使用組態同步和階段作業同步。在內部介面的次要 Vnic 啟用略過來源/目的地檢查。
- VCN
建立 VCN 時，請決定在每個子網路中，有多少 IP 位址雲端資源需要。使用無類別網域間路由 (CIDR) 表示法，指定足以容納所需 IP 位址的子網路遮罩和網路位址範圍。請使用標準專用 IP 位址空間內的位址範圍。
選取未與您想要設定專用連線的任何其他網路 (在 Oracle Cloud Infrastructure、企業內部部署資料中心或其他雲端提供者中) 重疊的位址範圍。
建立 VCN 之後，就無法變更位址範圍。
設計子網路時，請考慮流量和安全性需求。將特定層或角色內的所有資源附加至相同的子網路，以作為安全性界限。
- 安全清單
安全清單的作用是控制網路內封包層次之流量的虛擬防火牆。只有在任一清單中的任一規則允許流量時，才允許流量。依照預設，安全規則為狀態性的，此機制是用來指示您要使用符合該規則之連線追蹤的機制。因此，不論傳出規則為何，系統都會追蹤流量的回應，並自動允許回復原始主機。
由於所有流量都是由 FortiGate Next-Gen 防火牆進行檢查，因此您不需要透過安全清單強制執行嚴格規則。它們最終可作為第二阻塞的保護，但並非必要。只有管理 FortiGate 組態時，您才建立允許 SSH 和 HTTPS 流量或任何可能需要之其他服務的安全清單。對於所有 Hub 和網幅 VCN 中經由防火牆傳送的其餘流量，您必須修改預設安全清單，以允許所有連接埠/協定的傳入和傳出流量。
- FortiGate 防火牆原則
防火牆原則是一組相似的指示，可控制流量通過防火牆的流量。這些指示會控制流量的處理方式、處理方式、處理流量的時間，以及是否允許通過 FortiGate。防火牆收到連線封包時，會依連接埠號碼分析封包的來源位址、目的地位址和服務。它也會註冊內送和外送介面。另外，也有一個動作與原則關聯：接受或拒絕。如果動作接受，原則會允許通訊階段作業。否則，原則動作會阻隔通訊階段作業。
PeopleSoft 需要使用原則搭配下列連接埠和協定，才能開啟：
層 元件 通訊協定 連接埠 Web 層 Web 伺服器 TCP/HTTPS 443 (PIA) Web 層 Web 伺服器 TCP 22 (SSH) Web 層 彈性搜尋 TCP 9200 應用程式層 JSL TCP 9033-9040 資料庫層 TNSListener TCP 1521–1522 從屬端層 PeopleTools 從屬端 VM TCP/UDP 10200–10205 對於易於西部的流量，請考量下列流量樣式：
流量 元件名稱 協定/連接埠 Web 層和應用程式層 JSL TCP/443 應用程式層和資料庫層 TNSListener TCP/1521-1522 從屬端層和 Web 層 SSH TCP/22 從屬端層和應用程式層 SSH TCP/22 從屬端層和應用程式層 JOTL/JSL TCP/9033-9040 從屬端層和資料庫層 TCP TCP/1521-1522 例如，您可以在 FortiGate 信任介面上建立原則，以允許 Web 與應用程式層及應用程式與資料庫層之間的流量。
您也可以建立目的地 NAT 指向虛擬 IP 位址的原則，來允許或限制從特定來源 IP 位址或網路存取 PeopleSoft 套件。
- FortiGate 靜態路由原則
在 FortiGate 上建立每個網輻 VCN (目的地位址/網路) 的靜態路由，並將閘道 IP 設為信任子網路預設閘道位址 (信任子網路 CIDR 中的第一個主機 IP 位址)。
如果是輸出連線，請在 FortiGate 上建立輸出流量的靜態路由，並將閘道 IP 設為不信任的子網路預設閘道位址 (第一個主機 IP 新增位址至不信任的子網路 CIDR)。
- Oracle Cloud Infrastructure VCN 路由表
應該為「北部-認證」和「東部」流量檢查建立下列路由表。
VCN 名稱 目的地 目標類型 目標 子網路的預設路由表 FortiGate FortiGate_Untrust - mgmt_route_table 0.0.0.0/0 網際網路閘道 < FortiGate VCN 網際網路閘道> 不信任的管理 FortiGate FortiGate_Trust - route_table < Web_Tier VCN CIDR > 本地對等互連閘道 < LPG- Web_Tier > N/A FortiGate FortiGate_Trust - route_table < Application_Tier VCN CIDR > 本地對等互連閘道 < LPG- Application_Tier > N/A FortiGate FortiGate_Trust - route_table < DB_Tier VCN CIDR > 本地對等互連閘道 < LPG- DB_Tier > N/A FortiGate FortiGate_Trust - route_table < Client_Tier VCN CIDR > 本地對等互連閘道 < LPG- Client_Tier > N/A FortiGate LPG- route_table 0.0.0.0/0 專用 IP < FortiGate 信任 VNIC 專用 IP (浮動 IP)> N/A Web_Tier 預設路由表 0.0.0.0/0 N/A < LPG- Web_Tier 至 Hub > N/A Application_Tier 預設路由表 0.0.0.0/0 N/A < LPG- Application_Tier 至 Hub > N/A DB_Tier 預設路由表 0.0.0.0/0 N/A < LPG- DB_Tier 至 Hub > N/A Client_Tier 預設路由表 0.0.0.0/0 N/A < LPG- Client_Tier 至 Hub > N/A - Oracle Cloud Infrastructure VCN 本地對等互連閘道
必須建立下列 LPGs 以允許 North - OAuth 和 East-West 通訊
- FortiGate VCN LPG 設定
名稱 路由表格 對等宣告的 CIDR 跨租用戶 LPG-Web-Tier LPG- route_table < Web_Tier VCN CIDR > 否 LPG-Application-Tier LPG- route_table < Application_Tier VCN CIDR > 否 LPG-DB-Tier LPG- route_table < DB_Tier VCN CIDR > 否 Lpg-關係層級 LPG- route_table < Client_Tier VCN CIDR > 否 - Web-tier VCN LPG 設定
名稱 路由表格 對等宣告的 CIDR 跨租用戶 LPG-Weber-to-Hub N/A 0.0.0.0/0 否 - 應用程式層 VCN LPG 設定
名稱 路由表格 對等宣告的 CIDR 跨租用戶 LPG-Application-Tier-to-Hub N/A 0.0.0.0/0 否 - 設定資料庫層 VCN LPG
名稱 路由表格 對等宣告的 CIDR 跨租用戶 LPG-DB-Tier-to-Hub N/A 0.0.0.0/0 否 - 從屬端層 VCN LPG 設定
名稱 路由表格 對等宣告的 CIDR 跨租用戶 LPG-Clienter-to-Hub N/A 0.0.0.0/0 否
- FortiGate VCN LPG 設定
- FortiADC Server 負載平衡
FortiADC 必須在與 HA 模式中的應用程式層相同的 VCN 內部部署。在 FortiADC 建立階段作業永久 Cookie (第 4 層)，以分配「應用程式」層主機之間的流量。
FortiADC 應該將階段作業狀態與 HTTP 標頭和 Cookie 搭配使用，以確保使用者和伺服器保持一致。因此，您應在 FortiADC 建立一個「插入 Cookie」保存類型，以在 HTTP 標頭中插入 Cookie，確保使用者繼續被導向至階段作業狀態資訊所在的特定 PeopleSoft Web 伺服器主機。
注意事項
- 效能
FortiGate 是此架構中的主要元件，而且選取 FortiGate 模型、運算型態以及啟動選項會影響工作負載效能。檢查模型清單與其在 FortiGate 資料表中的個別特性。
- 安全性
FortiGate 使用 OCI IAM 動態群組或 API 簽署金鑰來進行容錯移轉時 API 呼叫。根據您的安全/相容性需求設定原則。
- 使用狀態
為了確保區域中有多個可用性網域時可用性更高，請在不同的 AD 上部署叢集的每個主機。否則，請選取不同的錯誤網域，根據您的反相關性規則增加可用性。此規則適用於 Fortinet 和 Oracle 產品。
- 成本
Oracle Cloud Infrastructure Marketplace 提供 Fortinet、FortiGate 以及 FortiADC。
Fortinet FortiGate 有一個 BYOL 或付費方案可供使用。
Fortinet FortiADC 只能當作 BYOL 使用。