Intercambio de trafico de VCN locales mediante gateways de intercambio de tráfico locales
En este tema, se explica el intercambio de tráfico de VCN local. En este caso, local significa que las VCN residen en la misma región. Si las VCN están en regiones diferentes, consulte Intercambio de tráfico de VCN remoto mediante un DRG heredado.
Los gateways de intercambio de tráfico local siguen estando soportados. En este escenario se asume que utiliza un DRG heredado. Oracle actualmente recomienda enrutar el tráfico de una VCN a otra mediante un DRG actualizado, como se describe en Intercambio de tráfico de VCN local a través de un DRG actualizado.
Visión general del intercambio de tráfico de VCN local
El intercambio de tráfico de VCN local es el proceso de conexión de dos VCN en la misma región para que sus recursos se puedan comunicar mediante direcciones IP privadas sin enrutar el tráfico a través de internet o de la red local. Las VCN pueden estar en el mismo arrendamiento de Oracle Cloud Infrastructure o en otros diferentes. Sin intercambio de tráfico, una determinada VCN necesitaría un gateway de internet y direcciones IP públicas para las instancias que tienen que comunicarse con otra VCN.
Consulte Límites de gateway y Solicitud de aumento del límite de servicio para obtener información relacionada con los límites.
Para obtener más información, consulte Acceso a otras VCN: intercambio de tráfico.
Resumen de los componentes de Networking para el intercambio de tráfico mediante un LPG
En general, los componentes del servicio de Networking necesarios para un intercambio de tráfico local incluyen lo siguiente:
- Dos VCN con CIDR no superpuestos, en la misma región.
- Un gateway de intercambio de tráfico local (LPG) en cada VCN de la relación de intercambio de tráfico.
- Una conexión entre estos dos LPG.
- Soporte de reglas de ruta para permitir que el tráfico fluya por la conexión y solo desde y hacia determinadas subredes de las respectivas VCN (si se desea).
- Admitir reglas de seguridad para controlar los tipos de tráfico permitidos entre las instancias de las subredes que deben comunicarse con la otra VCN.
En el diagrama siguiente se ilustran los componentes.
Una determinada VCN puede usar los LPG que intercambian tráfico para alcanzar estos recursos:
- VNIC en la otra VCN
- Una red local asociada a otra VCN, si se ha configurado un escenario de enrutamiento avanzado llamado enrutamiento en tránsito para las VCN
Una VCN no puede utilizar su VCN que intercambia tráfico para alcanzar otros destinos fuera de las VCN (como internet). Por ejemplo, si la VCN 1 del diagrama anterior tuviera un gateway de internet, las instancias de la VCN 2 no podrían usarlo para enviar tráfico a puntos finales en internet. Sin embargo, la VCN-2 podría recibir tráfico de internet mediante VCN-1. Para obtener más información, consulte Implicaciones importantes del intercambio de tráfico de VCN.
Acuerdo explícito necesario por ambas partes
El intercambio de tráfico implica dos VCN que pueden ser propiedad de la misma parte o de dos diferentes. Las dos partes pueden estar en su compañía, pero en diferentes departamentos. O bien las dos partes podrían estar en compañías completamente diferentes (por ejemplo, en un modelo de proveedor de servicios).
El intercambio de tráfico entre dos VCN requiere un acuerdo explícito entre ambas partes, en forma de políticas de Oracle Cloud Infrastructure Identity and Access Management que cada parte implementa para su propio compartimiento o arrendamiento de VNC. Si las VCN están en diferentes arrendamientos, cada administrador debe proporcionar su OCID del arrendamiento y poner en marcha sentencias de políticas especiales para activar el intercambio de tráfico.
Escenario avanzado: enrutamiento en tránsito
El escenario de enrutamiento avanzado denominado enrutamiento en tránsito permite la comunicación entre una red local y varias redes virtuales en la nube a través de una única Oracle Cloud Infrastructure FastConnect o una VPN de sitio a sitio. Las VCN deben estar en la misma región e intercambiar tráfico localmente en un diseño de hub y radios. Como parte del escenario, la VCN que actúa como hub tiene una tabla de rutas asociadas a cada LPG (normalmente, las tablas de rutas están asociadas a las subredes de una VCN).
Al crear un LPG, puede asociarle una tabla de rutas de manera opcional. O, si ya tiene un LPG existente sin una tabla de rutas, puede asociarle una tabla de rutas. La tabla de rutas debe pertenecer a la VCN del LPG. Una tabla de rutas asociada a un LPG solo puede contener reglas que utilicen el DRG asociado de la VCN como destino. También puede soportar rutas de siguiente salto de IP privada a una instancia de la VCN.
Puede existir un LPG sin una tabla de rutas asociada. Sin embargo, después de asociar una tabla de rutas a un LPG, siempre debe tener una tabla de rutas asociada. Sin embargo, puede asociar una tabla de rutas diferente. También puede editar reglas de la tabla, o suprimir todas las reglas o algunas de ellas.
Conceptos importantes del intercambio de tráfico local
Los siguientes conceptos ayudan a comprender los conceptos básicos del intercambio de tráfico de VCN y cómo establecer un intercambio de tráfico local.
- INTERCAMBIO DE TRÁFICO
- Un intercambio de tráfico es una única relación de intercambio de tráfico entre dos VCN. Ejemplo: si hay peers de la VCN-1 con otras tres VCN, hay tres peers. La parte local del intercambio de tráfico local indica que las VCN están en la misma región. Una VCN específica puede tener un máximo de 10 intercambios locales a la vez.
- ADMINISTRADORES DE VCN
- En general, el intercambio de tráfico de VCN solo se puede producir si ambos administradores de VCN están de acuerdo. En la práctica, esto significa que los dos administradores deben:
- ACEPTANTE Y SOLICITANTE
- Para implementar las políticas de IAM necesarias para el intercambio de tráfico, los dos administradores de VCN deben asignar un administrador para que sea el solicitante y el otro como aceptante. El solicitante debe ser el que inicie la solicitud para conectar los dos LPG. A su vez, el aceptante debe crear una política de IAM concreta que proporcione al solicitante permiso para conectarse a los LPG del compartimiento del aceptante. Sin esa política, se produce un error en la solicitud del solicitante de conexión.
- GATEWAY DE INTERCAMBIO DE TRÁFICO LOCAL (LPG)
- Un gateway de intercambio de tráfico local (LPG) es un componente de una VCN para enrutar el tráfico a una VCN con intercambio de tráfico local. Como parte de la configuración de las VCN, cada administrador debe crear un LPG para su VCN. Una determinada VCN debe tener un LPG independiente por cada intercambio de tráfico local que establezca (como máximo, 10 LPG por VCN). Para continuar con el ejemplo anterior: la VCN-1 tendría tres LPG para intercambiar tráfico con otras tres VCN. En la API, un LocalPeeringGateway es un objeto que contiene información sobre el intercambio de tráfico. No puede reutilizar un LPG para establecer más adelante otro intercambio de tráfico.
- CONEXIÓN DE INTERCAMBIO DE TRÁFICO
- Cuando el solicitante inicia la solicitud de intercambio de tráfico (en la consola o la API), está pidiendo realmente conectar los dos LPG. El solicitante debe tener información para identificar cada LPG (como el compartimiento y el nombre del LPG o el OCID del LPG). Cada administrador debe implementar las políticas de IAM necesarias para su compartimiento o arrendamiento.
- ENRUTAMIENTO AL LPG
- Como parte de la configuración de las VCN, cada administrador debe actualizar el enrutamiento de la VCN para permitir que el tráfico fluya entre las VCN. En la práctica, es como el enrutamiento configurado para cualquier gateway (como un gateway de internet o un gateway de enrutamiento dinámico). Para cada subred que necesite comunicarse con la otro VCN, actualice la tabla de rutas de la subred. La regla de ruta especifica el CIDR del tráfico de destino y el LPG como destino. El LPG enruta el tráfico que coincide con la regla con el otro LPG, que a su vez, enruta el tráfico al siguiente salto en la otra VCN.
-
Referencia 1: Tabla de rutas de la subred A CIDR de destino Destino de ruta 0.0.0.0/0 Gateway de internet 172.16.0.0/12 DRG 192.168.0.0/16 LPG-1 Referencia 2: Tabla de rutas de la subred X CIDR de destino Destino de ruta 10.0.0.0/16 LPG-2 - REGLAS DE SEGURIDAD
- Cada subred de una VCN tiene una o varias listas de seguridad que controlan el tráfico de entrada y salida de las VNIC de la subred en el nivel de paquetes. Puede utilizar listas de seguridad para controlar el tipo de tráfico permitido con la otra VCN. Como parte de la configuración de las VCN, cada administrador debe elegir qué subredes de su propia VCN deben comunicarse con las VNIC de la otra VCN y actualizar las listas de seguridad de su subred para que coincidan.
Implicaciones importantes del intercambio de tráfico de VCN
Si aún no lo ha hecho, lea las Implicaciones importantes del intercambio de tráfico para comprender las importantes implicaciones de control de acceso, seguridad y rendimiento para las VCN de intercambio de tráfico.
Configuración de un intercambio de tráfico local
Este es el proceso general para configurar un intercambio de tráfico entre dos VCN de la misma región:
- Crear los LPG: cada administrador de VCN crea un LPG para su propio VCN.
- Compartir información: los administradores comparten la información básica necesaria.
- Configurar las políticas de IAM necesarias para la conexión: los administradores configuran las políticas de IAM para permitir que se establezca la conexión.
- Establecer la conexión: el solicitante conecta los dos LPG.
- Actualizar las tablas de rutas: cada administrador actualiza las tablas de rutas de sus VCN para permitir el tráfico entre las VCN con intercambio de tráfico como desee.
- Actualizar reglas de seguridad: cada administrador actualiza las reglas de seguridad de sus VCN para permitir el tráfico entre las VCN con intercambio de tráfico como desee.
Si se desea, los administradores pueden realizar las tareas E y F antes de establecer la conexión. En ese caso, cada administrador debe saber el bloque CIDR o las subredes específicas de la VCN del otro y compartirlo en la tarea B. Una vez establecida la conexión, también puede obtener el bloque CIDR de la otra VCN viendo los detalles de su propio LPG en la consola. Busque CIDR anunciado de peer. Si está utilizando la API, consulte el parámetro peerAdvertisedCidr.
También deberá preconfigurar algunos valores de IAM, como los grupos, antes de realizar el proceso paso a paso.
Consulte las instrucciones en Creación de un gateway de intercambio de tráfico local.
Si ambas redes virtuales en la nube están en el mismo arrendamiento, utilice la política del intercambio de tráfico local mediante un LPG (VCNas en el mismo arrendamiento).
Si las redes virtuales en la nube están en distintos arrendamientos, utilice la política en Intercambio de tráfico local mediante un LPG (VCNas en distintos arrendamientos).
Consulte las instrucciones en Connecting to Another LPG.
Configure las tablas de rutas para utilizar la información de la otra VCN proporcionada en la Tarea B: compartir información, mediante las instrucciones de Configuración de tablas de rutas de VCN para utilizar un LPG.
Configure las reglas de seguridad para utilizar la información de la otra VCN proporcionada en la Tarea B: compartir información, mediante las instrucciones de Configuración de reglas de seguridad para utilizar un LPG.