Acceso privado a los servicios de Oracle

• Puede configurar una VCN para que la red local tenga acceso privado a los servicios de Oracle en Oracle Services Network mediante la VCN. Los hosts de la red local se comunican con sus direcciones IP privadas.
• La VCN utiliza un gateway de enrutamiento dinámico (DRG) para comunicarse con la red local. El acceso a los servicios de Oracle se realiza mediante un gateway de servicio en la VCN. El tráfico de la VCN al servicio de Oracle viaja por el tejido de red de Oracle y nunca atraviesa la red pública de internet.
• El gateway de servicio es regional y permite el acceso solo a los servicios de Oracle admitidos en la misma región que la VCN.
• Los servicios de Oracle admitidos son Oracle Cloud Infrastructure Object Storage y otros incluidos en Oracle Services Network. Para obtener una lista, consulte Gateway de servicio: servicios en la nube admitidos en Oracle Services Network.
• El gateway de servicio utiliza el concepto de etiqueta CIDR de servicio, que es una cadena que representa todos los rangos de direcciones IP públicas regionales para el servicio o el grupo de servicios de interés (por ejemplo, OCI PHX Object Storage es la cadena para Object Storage en el Oeste de EE. UU. (Phoenix)). Puede usar esa etiqueta CIDR de servicio al configurar el gateway de servicio y las reglas de ruta relacionadas para controlar el tráfico al servicio. También puede utilizarlo al configurar reglas de seguridad. Si las direcciones IP públicas del servicio cambian en el futuro, no tiene que ajustar esas reglas.
• Para activar el tráfico deseado desde la red local mediante la VCN a los servicios de Oracle, implante reglas de ruta para la asociación de DRG y el gateway de servicio de la VCN.
• Si lo desea, puede configurar el enrutamiento en tránsito mediante una IP privada en la VCN. Por ejemplo, puede que desee filtrar o inspeccionar el tráfico entre la red local y el servicio de Oracle. En ese caso, enrute el tráfico a una IP privada de una instancia en la VCN para inspección y el tráfico resultante continúa hasta su destino. En este tema, se tratan ambas situaciones: enrutamiento en tránsito directamente entre gateways de la VCN y enrutamiento en tránsito mediante una IP privada.

Oracle Services Network es una red conceptual que forma parte de Oracle Cloud Infrastructure y solo pueden utilizarla los servicios de Oracle. Estos servicios tienen direcciones IP públicas que normalmente acceden a través de la red pública de internet. Sin embargo, puede acceder a Oracle Services Network sin el tráfico que pasa por la red pública de internet. Existen varias formas, según cuál sea el acceso de los hosts:

• Hosts en la red local:

  • Acceso privado mediante una VCN con intercambio de tráfico privado de FastConnect o una VPN de sitio a sitio: este escenario se trata en este tema. Los hosts locales utilizan direcciones IP privadas y acceden a Oracle Services Network a través de la VCN y el gateway de servicio de la VCN.
  • Acceso público con intercambio de tráfico público de FastConnect: los hosts locales utilizan direcciones IP públicas.
• Hosts en la VCN:
  • Acceso privado mediante un gateway de servicio: los hosts de la VCN utilizan direcciones IP privadas.

En el siguiente diagrama, se ilustra el diseño básico para proporcionar a la red local acceso privado a los servicios de Oracle.

La red local se conecta a la VCN mediante un circuito virtual privado de FastConnect o una VPN de sitio a sitio. Cada uno de estos tipos de conexiones termina en un gateway de enrutamiento dinámico (DRG) conectado a la VCN. La VCN también tiene un gateway de servicio, que proporciona a la VCN acceso a Oracle Services Network. El tráfico de la red local se realiza a través de la VCN, a través del gateway de servicio y al servicio de interés de Oracle. Las respuestas devueltas a través del gateway de servicio y de la VCN a la red local.

Cuando configure un gateway de servicio, active una etiqueta CIDR de servicio, que es una cadena que representa todos los rangos de direcciones IP públicas regionales para el servicio o grupo de servicios al que desea acceder a través del gateway de servicio. Por ejemplo, todos los servicios de PHX en Oracle Services Network son la etiqueta CIDR de servicio para los servicios de Oracle disponibles en el Oeste de EE. UU. (Phoenix) a través de un gateway de servicio. Oracle utiliza el protocolo de gateway fronterizo (BGP) en el DRG para anunciar dichos rangos de direcciones IP públicas regionales en el dispositivo perimetral (también denominado equipo local de cliente o CPE) en la red local. Para obtener una lista de los rangos disponibles en el gateway de servicio, consulte Direcciones IP públicas para las VCN y Oracle Services Network.

Varias VCN con acceso privado a los servicios de Oracle

Su organización puede utilizar varias VCN, cada una con un gateway de servicio para dar acceso a los recursos de la VCN a los servicios de Oracle. Por ejemplo, puede tener una VCN diferente para cada departamento de la organización.

Si también desea configurar la red local con acceso privado a los servicios de Oracle mediante una VCN con un gateway de servicio, en esta sección se describen dos diseños de red que puede utilizar.

En el primer diseño, puede configurar un único DRG, con las VCN en un diseño de hub y radios, como se muestra en el siguiente diagrama. La VCN que actúa como hub está dedicada a proporcionar a la red local acceso privado a los servicios de Oracle. Las otras VCN intercambian el tráfico localmente con la VCN de hub. Solo puede configurar la VCN de hub según las instrucciones de Configuración de acceso privado a los servicios de Oracle. Este diseño de hub y radios se recomienda y se describe con más detalle en Enrutamiento de tránsito dentro de una VCN de hub.

En el segundo diseño, hay un DRG independiente para cada VCN, con un circuito virtual privado de FastConnect independiente o una VPN de sitio a sitio desde la red local a cada DRG. Debe dedicar un DRG y una VCN para proporcionar a la red local acceso privado a los servicios de Oracle. En el siguiente diagrama, la VCN está en el centro. Para configurar esa VCN, siga las instrucciones de Configuración de acceso privado a los servicios de Oracle.

Tenga en cuenta que en ambos diseños, la red local puede acceder a los servicios de Oracle solo mediante un único gateway de servicio de la VCN (el específico para este propósito) y no mediante los gateways de servicio de las otras VCN. En el caso de otras VCN, solo los recursos de las VCN pueden acceder a los servicios de Oracle a través del gateway de servicio de la VCN.

Independientemente del diseño que elija, puede crear una política de IAM para restringir el acceso a un bloque de Object Storage de forma que solo se permitan las solicitudes que lleguen a un gateway de servicio de la VCN específico para ese bloque. Con cualquiera de estos diseños, puede que desee crear la política para permitir solicitudes de varias VCN. Para restringir el acceso a VCN específicas, cree un origen de red para especificar la VCN permitida y, a continuación, escriba la política que restringe el acceso solo al origen de red. Un origen de red puede especificar varias VCN, o bien usted puede crear un origen de red para cada VCN. Para obtener información sobre la creación de orígenes de redes, consulte Gestión de orígenes de red.

En la siguiente política de ejemplo se asume que configura un origen de red para cada una de sus VCN. La política permite que los recursos del grupo ObjectBackup del ejemplo escriban objetos en un cubo existente denominado db-backup que reside en un compartimento denominado ABC. Al escribir una política como esta, puede especificar uno o varios orígenes de red. Este ejemplo muestra tres.

Allow group ObjectBackup to read buckets in compartment ABC

Allow group ObjectBackup to manage objects in compartment ABC where
   all {target.bucket.name='db-backup', 
        any {request.networkSource.name='<hub_VCN_network_source>', request.networkSource.name='<spoke_1_VCN_network_source>', request.networkSource.name='<spoke_2_VCN_network_source>'},
        any {request.permission='OBJECT_CREATE', request.permission='OBJECT_INSPECT'}}

Para obtener más información, consulte Configuración de un gateway de servicio en la consola en el procedimiento para configurar un gateway de servicio.

Existen dos opciones de enrutamiento a través de la VCN para el acceso privado a los servicios de Oracle:

• Enrutamiento en tránsito directamente a través de gateways: el tráfico se dirige directamente a través de la VCN, desde un gateway hacia el otro.
• Enrutamiento en tránsito mediante una IP privada: puede configurar una instancia en la VCN para filtrar o inspeccionar el tráfico entre la red local y Oracle Services Network, y enrutar el tráfico mediante una IP privada en la instancia.

Los ejemplos que se muestran en las siguientes secciones suponen que la VCN no contiene cargas de trabajo que necesiten acceder a la red local o a Oracle Services Network. La VCN se está utilizando solo para el enrutamiento en tránsito del tráfico a través de la VCN.

Si es miembro del grupo Administradores, ya tiene el acceso necesario para configurar el enrutamiento en tránsito. De lo contrario, necesita acceder al servicio de Networking y necesitará la capacidad de iniciar instancias. Consulte Políticas de IAM para Networking.

En esta sección, se muestra cómo utilizar la consola para configurar el enrutamiento en tránsito con una VCN para proporcionar a la red local acceso privado a los servicios de Oracle.

Para desactivar el enrutamiento en tránsito, elimine las reglas de:

• La tabla de rutas asociada al DRG.
• La tabla de rutas asociada al gateway de servicio.

Una tabla de rutas se puede asociar a un recurso, pero no tiene reglas. Sin al menos una regla, la tabla de rutas no hace nada.

Puede existir una asociación o gateway de servicio de DRG sin una tabla de rutas asociada a ello. Sin embargo, después de asociar una tabla de rutas a una asociación o gateway de servicio de DRG, siempre debe haber una tabla de rutas asociada a ello. Sin embargo, puede asociar una tabla de rutas diferente. También puede editar reglas de la tabla, o suprimir todas las reglas o algunas de ellas.