Esta página ha sido traducida por una máquina.

Documentación de Oracle Cloud Infrastructure
Probar cuenta gratuita

Escenario C: subredes públicas y privadas con una VPN

En este tema, se explica cómo configurar el escenario C, que es un ejemplo sencillo de una configuración de varios niveles. Consta de una red virtual en la nube (VCN) con una subred pública regional para contener servidores públicos (como servidores web) y una subred privada regional para mantener servidores privados (como servidores de base de datos). Los servidores están en dominios de disponibilidad independientes para la redundancia.

La VCN tiene un gateway de enrutamiento dinámico (DRG) y una VPN de sitio a sitio para conectarse a la red local. Las instancias de la subred pública tienen acceso directo a internet por medio de un gateway de internet. Las instancias de la subred privada pueden iniciar conexiones a Internet por medio de un gateway de NAT (por ejemplo, para obtener actualizaciones de software), pero no pueden recibir conexiones entrantes de Internet a través de ese gateway.

Cada subred utiliza la lista de seguridad por defecto, que tiene reglas predeterminadas diseñadas para que sea fácil de empezar a utilizar Oracle Cloud Infrastructure. Las reglas permiten el acceso necesario típico (por ejemplo, conexiones SSH entrantes y cualquier tipo de conexión saliente). Recuerde que las reglas de la lista de seguridad solo permiten tráfico. Se rechaza cualquier tráfico que no esté cubierto explícitamente por una regla de la lista de seguridad.

Consejo

Las listas de seguridad son una forma de controlar el tráfico que entra y sale de los recursos de la VCN. También puede utilizar grupos de seguridad de red

Este escenario puede utilizar un DRG heredado o actualizado.

Cada subred también tiene su propia lista de seguridad personalizada y tabla de rutas personalizada con reglas específicas a las necesidades de las instancias de la subred. En este caso, no se utiliza la tabla de rutas por defecto de la VCN (que siempre está vacía para empezar).

Consulte la siguiente figura.

Esta imagen muestra el escenario C: una VCN con una subred pública y privada, un gateway de internet, un gateway de NAT y una conexión VPN de IPSec.
Referencia 1: Tabla de rutas de subred privada regional
CIDR de destino Destino de ruta
0.0.0.0/0 Gateway de NAT
10.0.0.0/16 DRG
Referencia 2: Tabla de rutas de subred pública regional
CIDR de destino Destino de ruta
0.0.0.0/0 Gateway de internet
Consejo

El escenario utiliza la VPN de sitio a sitio para la conectividad. Sin embargo, en su lugar, se podría utilizar Oracle Cloud Infrastructure FastConnect.

Requisitos

Para configurar la VPN en este escenario, necesita obtener la siguiente información de un administrador de red:

  • La dirección IP pública del equipo local de cliente  (CPE) de su extremo de la VPN
  • Rutas estáticas para su red local (este escenario utiliza el enrutamiento estático para los túneles de la VPN, pero en su lugar puede utilizar el enrutamiento dinámico BGP)

Debe proporcionar a Oracle esta información y, a cambio, recibirá la información que el administrador de red necesita para configurar el enrutador local en su extremo de la VPN.

Política de IAM necesaria

Para utilizar Oracle Cloud Infrastructure, un administrador debe ser miembro de un grupo al que un administrador de arrendamiento haya otorgado acceso de seguridad en una política . Este acceso es necesario tanto si utiliza la Consola como la API de REST con un SDK, una CLI u otra herramienta. Si recibe un mensaje que indica que no tiene permiso o no está autorizado, verifique con el administrador del arrendamiento el tipo de acceso que tiene y en qué compartimento trabaja el acceso.

Si es miembro del grupo Administradores, ya tiene el acceso necesario para implantar el escenario C. De lo contrario, deberá acceder a Networking y necesitará la capacidad de iniciar instancias. Consulte Políticas de IAM para Networking.

Configuración del escenario C

La configuración resulta sencilla en la consola. También puede utilizar la API de Oracle Cloud Infrastructure, que le permite implementar las operaciones individuales por sí mismo.

Importante

La mayor parte de este proceso implica trabajar con la consola o la API (la que elija) durante un período corto para configurar los componentes de Networking necesarios. También hay un paso crítico que requiere que un administrador de red de la organización tome la información que usted reciba durante la configuración de los componentes y la utilice para configurar el enrutador local en su extremo de la VPN. Por lo tanto, no puede completar este proceso en una sesión breve. Realice una pausa mientras el administrador de la red completa la configuración y, a continuación, confirme la comunicación con sus instancias a través de la VPN.

Uso de la consola

Uso de la API

Para obtener más información sobre el uso de la API y la firma de solicitudes, consulte la documentación de la API de REST y Credenciales de seguridad. Para obtener información sobre los SDK, consulte Los SDK y la CLI.

Utilice las siguientes operaciones:

  • CreateVcn: incluya siempre una etiqueta DNS si desea que la VCN utilice el solucionador de la VCN (consulte DNS en su red virtual en la nube).
  • CreateInternetGateway
  • CreateNatGateway
  • CreateRouteTable: utilícela para crear la tabla de rutas de subred pública. Para activar la comunicación mediante el gateway de internet, agregue una regla de ruta con el destino = 0.0.0.0/0 y el destino final = el gateway de internet que creó anteriormente.
  • CreateRouteTable: utilícela para crear la tabla de rutas de subred privada. Para activar la comunicación mediante el gateway de NAT, agregue una regla de ruta con el destino = 0.0.0.0/0 y el destino final = el gateway de NAT que creó anteriormente.

  • Primero llame a GetSecurityList para obtener la lista de seguridad por defecto y, a continuación, llame a UpdateSecurityList:

    • Cambie las reglas de entrada con estado existentes para utilizar el CIDR de la red local como el CIDR de origen, en lugar de 0.0.0.0/0.
    • Si tiene previsto iniciar instancias de Windows, agregue esta regla de entrada con estado: tipo de origen = CIDR, CIDR de origen = la red local en TCP, puerto de origen = todo, puerto de destino = 3389 (para RDP).

  • CreateSecurityList: utilícela para crear la lista de seguridad de subred pública con estas reglas:

    • Entrada con estado: tipo de origen = CIDR, origen 0.0.0.0/0 en TCP, puerto de origen = todo, puerto de destino = 80 (HTTP)
    • Entrada con estado: tipo de origen = CIDR, origen 0.0.0.0/0 en TCP, puerto de origen = todo, puerto de destino = 443 (HTTPS)
    • Salida con estado: tipo de destino = CIDR, bloques CIDR de destino de subredes privadas en TCP, puerto de origen = todo, puerto de destino = 1521 (para bases de datos Oracle)

  • CreateSecurityList: utilícela para crear la lista de seguridad de subred privada con estas reglas:

    • Entrada con estado: tipo de origen = CIDR, bloques CIDR de origen de subredes públicas en TCP, puerto de origen = todo, puerto de destino = 1521 (para bases de datos Oracle)
    • Entrada con estado: tipo de origen = CIDR, bloques CIDR de origen de subredes privadas en TCP, puerto de origen = todo, puerto de destino = 1521 (para bases de datos Oracle)
    • Salida con estado: tipo de destino = CIDR, bloques CIDR de destino de subredes privadas en TCP, puerto de origen = todo, puerto de destino = 1521 (para bases de datos Oracle)
  • CreateSubnet: utilícela para crear una subred pública regional. Incluya una etiqueta DNS para la subred si desea que el solucionador de VCN resuelva los nombres de host de las VNIC en la subred. Utilice la tabla de rutas de subred pública que creó anteriormente. Utilice la lista de seguridad por defecto y la lista de seguridad de subred pública que creó anteriormente. Utilice el conjunto predeterminado de opciones de DHCP.
  • CreateSubnet: utilícela para crear la subred privada regional. Incluya una etiqueta DNS para la subred si desea que el solucionador de VCN resuelva los nombres de host de las VNIC en la subred. Utilice la tabla de rutas de subred privada que creó anteriormente. Utilice la lista de seguridad por defecto y la lista de seguridad de subred privada que creó anteriormente. Utilice el conjunto predeterminado de opciones de DHCP.
  • CreateDrg: crea un gateway de enrutamiento dinámico (DRG).
  • CreateDrgAttachment: asocia el DRG a la VCN.
  • CreateCpe: aquí proporcionará la dirección IP del enrutador al final de la VPN (consulte Previos necesarios).
  • CreateIPSecConnection: aquí proporcionará las rutas estáticas para la red local (consulte Previos necesarios). A cambio, recibirá la información de configuración que el administrador de red necesita para configurar el enrutador. Si necesita esa información más adelante, puede obtenerla con GetIPSecConnectionDeviceConfig. Para obtener más información sobre la configuración, consulte Configuración de CPE.
  • Primero llame a GetRouteTable para obtener la tabla de rutas de subred privada. A continuación, utilice UpdateRouteTable para agregar una regla de ruta con el destino = el CIDR de la red local (10.0.0.0/16 en este ejemplo) y el destino final = el DRG que creó anteriormente.
  • LaunchInstance: inicia al menos una instancia en cada subred. De manera predeterminada, a las instancias de las subredes públicas se les asignan direcciones IP públicas. Para obtener más información, consulte Creación de una instancia.

Ahora puede comunicarse desde la red local con las instancias en la subred pública a través del gateway de internet.

Importante

Aunque puede iniciar instancias en subredes privadas, no puede comunicarse con ellas desde la red local hasta que el administrador de red configure el enrutador local (consulte Configuración de CPE). Después, la conexión de IPSec estará activa y en ejecución. Puede confirmar su estado mediante GetIPSecConnectionDeviceStatus. También puede confirmar que la conexión de IPSec está activa conectándose a las instancias desde su red local.

¿Le ha resultado útil este artículo?