Connexion de réseaux cloud virtuels via une passerelle d'appairage local

Sur Compute Cloud@Customer, vous pouvez configurer des passerelles d'appairage locales. L'appairage VCN est le processus de connexion de plusieurs réseaux cloud virtuels afin que les ressources puissent communiquer à l'aide d'adresses IP privées.

Vous pouvez utiliser l'appairage VCN pour diviser votre réseau en plusieurs réseaux cloud virtuels, par exemple, en fonction des services ou des secteurs d'activité, chaque VCN ayant un accès privé direct aux autres. Vous pouvez également placer des ressources partagées dans un même réseau cloud virtuel auquel tous les autres réseaux cloud virtuels peuvent accéder de manière privée. Deux réseaux cloud virtuels appairés peuvent se trouver dans la même location ou dans des locations différentes.

Stratégies

L'appairage entre deux réseaux cloud virtuels nécessite un accord explicite des deux parties sous la forme de stratégies IAM que chaque partie implémente pour son propre compartiment ou location VCN. Si les réseaux Cloud virtuels se trouvent dans des locations différentes, chaque administrateur doit fournir l'OCID de location et mettre en place des instructions de stratégie coordonnées spéciales pour permettre l'appairage.

Pour implémenter les stratégies IAM requises pour l'appairage, les deux administrateurs VCN doivent désigner un administrateur en tant que demandeur et l'autre en tant qu'accepteur. Le demandeurs doit être chargé de lancer la demande de connexion des deux passerelles d'appairage local. L'accepteur doit ensuite créer une stratégie IAM particulière qui autorise le demandeurs à se connecter aux passerelles d'appairage locaux de son compartiment. Sans cette stratégie, la demande de connexion au demandeur échoue. L'administrateur VCN peut supprimer une connexion d'appairage en supprimant sa passerelle d'appairage local.

Routage et contrôle du trafic

Dans le cadre de la configuration des réseaux cloud virtuels, chaque administrateur doit mettre à jour le routage VCN pour permettre au trafic de circuler entre les réseaux cloud virtuels. En pratique, cela ressemble au routage configuré pour n'importe quelle passerelle, telle qu'une passerelle Internet ou une passerelle de routage dynamique. Pour chaque sous-réseau devant communiquer avec l'autre VCN, vous mettez à jour la table d'acheminement du sous-réseau. La règle de routage spécifie le CIDR du trafic de destination et votre passerelle d'appairage local en tant que cible. La passerelle d'appairage local achemine le trafic correspondant à cette règle vers l'autre passerelle d'appairage local, qui l'achemine ensuite vers le saut suivant de l'autre réseau cloud virtuel.

Vous pouvez contrôler le flux de paquets sur la connexion d'appairage avec les tables de routage dans votre VCN. Par exemple, vous pouvez limiter le trafic uniquement à des sous-réseaux spécifiques de l'autre réseau cloud virtuel. Sans supprimer l'appairage, vous pouvez arrêter le flux de trafic vers l'autre VCN en supprimant les règles de routage qui dirigent le trafic de votre VCN vers l'autre VCN. Vous pouvez également arrêter le trafic en enlevant toute règle de liste de sécurité qui autorise le trafic entrant ou sortant avec l'autre réseau cloud virtuel. Cela n'arrête pas la circulation du trafic sur la connexion d'appairage, mais arrête celui au niveau de la carte d'interface réseau virtuelle.

Règles de sécurité

Chaque administrateur VCN doit s'assurer que tout le trafic sortant et entrant avec l'autre VCN est prévu, attendu et bien défini. En pratique, cela signifie mettre en oeuvre des règles de liste de sécurité qui indiquent explicitement les types de trafic que votre réseau cloud virtuel peut envoyer à l'autre et accepter de l'autre. Si vos sous-réseaux utilisent la liste de sécurité par défaut, il existe deux règles autorisant le trafic entrant SSH et ICMP de n'importe où, donc aussi l'autre VCN. Evaluez ces règles et déterminez si vous voulez les conserver ou les mettre à jour.

Outre les listes de sécurité et les pare-feu, évaluez d'autres configurations basées sur le système d'exploitation sur les instances de votre VCN. Certaines configurations par défaut ne s'appliquent pas à votre propre CIDR VCN, mais s'appliquent par inadvertance à l'autre CIDR VCN.