リモート・オンランプ

概要

このシナリオでは、VCNとオンプレミス・ネットワーク間の接続は確立されますが、VCN間は確立されません。このルーティング・ポリシーは、動的ルーティング・ゲートウェイ(DRG)のルーティング表を構成することで実装されます。それ以外では、このシナリオはリモート・ピアリングに似ています。

このシナリオは、アップグレードされたDRGでのみ使用できます。

シングル・オンランプのネットワーキング・コンポーネントのサマリー

シングル・オンランプに必要なネットワーキング・サービス・コンポーネントの概要は次のとおりです:

• 重複しないCIDRを含む異なるリージョン内の2つのVCN。

  ノート
  
  

  VCN CIDRは重複できません

  ピアリング関係にある2つのVCNは、重複するCIDRを持つことができません。また、ある特定のVCNが複数のピアリング関係を持つ場合、他のVCN間で重複するCIDRがないことも必要です。たとえば、VCN-1がVCN-2とピアリングされ、さらにVCN-3ともピアリングされている場合、VCN-2とVCN-3に重複するCIDRがない必要があります。

  このシナリオを構成する場合は、計画ステージでこの要件を満たす必要があります。CIDRが重複している場合にルーティングの問題が発生する可能性がありますが、コンソールまたはAPI操作によって、問題の原因となる構成を作成できなくなることはありません。

• ピアリング関係にある各VCNにアタッチされたDynamic Routing Gateway (DRG)。サイト間VPNまたはOracle Cloud Infrastructure FastConnectプライベート仮想回線を使用している場合、VCNにはすでにDRGがあります。
• 2つのカスタムDRGルート表: VCNへの1つのルーティング・トラフィックと、オンプレミス・ネットワークへの1つのルーティング・トラフィック。構成の完了後、デフォルトのDRGルート表(1つはローカルVCNアタッチメント用で、もう1つはその他すべてのアタッチメント用)は使用されません。
• ピアリング関係にある各DRG上のリモート・ピアリング接続(RPC)。
• これらの2つのRPC間に確立されたリモート・ピアリング接続。
• トラフィックがその接続を介して、また(必要な場合は)各VCN内の選択サブネットとの間でのみ流れることを可能にする、サポート・ルート・ルール。
• 他のVCNと通信する必要があるサブネット内のインスタンス間で許可されるトラフィックのタイプを制御する、サポート・セキュリティ・ルール。

次の図は、これらのコンポーネントを示しています。主要な目的がVCN-2にアクセスすることである場合、VCN-1はオプションです。トラフィックの有効化には、各VCNでルート表およびセキュリティ・ルールのサポートが必要です。

ピアリングの重要な意味

まだ参照していない場合は、ピアリングの重要な意味を読んで、ピアリングされたVCNのアクセス制御、セキュリティおよびパフォーマンスに対する重要な影響を理解してください。

異なるテナンシのVCNのピアリングには、両方のテナンシで解決する必要がある権限の問題がいくつかあります。必要な権限の詳細は、VCN間のルーティングのIAMポリシーを参照してください。

リモート・ピアリングの重要な概念

次の概念は、VCNピアリングの基本およびリモート・ピアリングの確立方法を理解するのに役立ちます。

ピアリング

ピアリングは、2つのVCN間の単一のピアリング関係です。例: VCN-1が他の2つのVCNとピアリングしている場合、2つのピアリングが存在します。リモート・ピアリングのリモートという部分は、VCNが異なるリージョンに存在することを示します。このリモート・ピアリング方法では、VCNは同じテナンシに存在することも、異なるテナンシに存在することもできます。

VCN管理者

通常、VCNピアリングは、両方のVCN管理者が同意している場合にのみ実行できます。実際には、2人の管理者が次を行う必要があります:

• 一定の基本情報を相互に共有します。
• ピアリングを有効にするために必要なOracle Cloud Infrastructure Identity and Access Managementポリシーを設定するように調整します。
• ピアリング用にVCNを構成します。

状況によっては、一方の管理者が両方のVCNおよび関連ポリシーを担当します。VCNは同じテナンシに存在することも、異なるテナンシに存在することもできます。

必要なポリシーおよびVCN構成の詳細は、VCN間のルーティングのためのIAMポリシーを参照してください。

アクセプタおよびリクエスタ

ピアリングに必要なIAMポリシーを実装するには、2人のVCN管理者が1人の管理者をリクエスタとして、もう1人をアクセプタとして指定する必要があります。リクエスタは、2つのRPCを接続するリクエストを開始する必要があります。一方、アクセプタは、アクセプタのコンパートメント内のRPCに接続するためのリクエスタ権限を付与する特定のIAMポリシーを作成する必要があります。このポリシーがないと、リクエスタの接続リクエストは失敗します。

リージョン・サブスクリプション

別のリージョン内のVCNとピアリングするには、テナンシがそのリージョンにサブスクライブされている必要があります。サブスクライブの詳細は、リージョンの管理を参照してください。

リモート・ピアリング接続(RPC)

リモート・ピアリング接続(RPC)は、VCNにアタッチされたDRG上に作成するコンポーネントです。RPCの役割は、リモートにピアリングされたVCNの接続ポイントとなることです。VCNの構成の一部として、各管理者はVCN上にDRGのRPCを作成する必要があります。指定したDRGでは、VCNに対して確立されるリモート・ピアリングごとに、個別のRPCが必要です。前の例から続行する場合: VCN-1のDRGには、他の2つのVCNとピアリングするための2つのRPCがあります。APIでは、RemotePeeringConnectionはピアリングに関する情報を含むオブジェクトです。後で別のピアリングを確立するためにRPCを再利用することはできません。

2つのRPC間の接続

(コンソールまたはAPIで)リクエスタがピアリングのリクエストを開始するとき、実際には2つのRPCの接続を要求することになります。リクエスタは各RPCを特定する情報(RPCのリージョンやOCIDなど)を持っている必要があります。

どちらのVCN管理者も、自分のRPCを削除することでピアリングを終了できます。その場合、もう一方のRPCのステータスがREVOKEDに切り替わります。また、管理者は、接続でのトラフィック・フローを可能にするルート・ルールを削除することで、接続を無効化できます(次の項を参照)。

DRGへのルーティング

VCN構成の一環として、各管理者は、VCN間のトラフィック・フローを可能にするようにVCNのルーティングを更新する必要があります。オンプレミス・ネットワークと通信する必要があるサブネットごとに、サブネットのルート表を更新します。ルート・ルールでは、宛先トラフィックのCIDRとDRGをターゲットとして指定します。DRGは、そのルールに一致するトラフィックを他のDRGにルーティングし、さらにそこから他のVCN内のネクスト・ホップにトラフィックをルーティングします。

セキュリティ・ルール

VCNの各サブネットには、パケット・レベルでサブネットのVNIC内外のトラフィックを制御する1つ以上のセキュリティ・リストがあります。セキュリティ・リストを使用して、他のVCNで許可されるトラフィックのタイプを制御できます。VCN構成の一環として、各管理者は、自分のVCN内のどのサブネットが他のVCN内のVNICと通信する必要があるかを判断し、それに応じてサブネットのセキュリティ・リストを更新する必要があります。

ネットワーク・セキュリティ・グループ(NSG)を使用してセキュリティ・ルールを実装する場合、トラフィックのソースまたは宛先として別のNSGを指定するNSG用セキュリティ・ルールを記述できることに注意してください。ただし、2つのNSGは同じVCNに属している必要があります。

シングル・オンランプの設定

このシナリオを実装する前に、次を確認してください:

1. VCN-1は、DRGへのVCNのアタッチのステップに従って、リージョン1のDRG-1にアタッチされています。
2. VCN-2は、DRGへのVCNのアタッチのステップに従って、リージョン2のDRG-2にアタッチされています。
3. VCN-2は、アップグレードされたDRGを介したリモートVCNピアリングのステップに従ってVCN-1にピアリングされます
4. 他の方法では両方のDRGは変更されていません。
5. FastConnect仮想回線1はリージョン1にあり、FastConnectのドキュメントに記載されているように、仮想回線(Oracleパートナ、Oracleコロケーション、サードパーティ・プロバイダ)のソースに応じて適切な方法に従ってDRG-1に接続されています。

次の図は、このシナリオを実装する前の開始状態を示しています。VCN-1とVCN-2はピアリングされています。サブネットA (10.0.0.15)のインスタンスからのトラフィックのうち、VCN-2 (192.168.0.15)のインスタンスに対して送信されるものは、サブネットAのルート表にあるルールに基づいてDRG-1にルーティングされます。トラフィックは、そこからRPCを介してDRG-2にルーティングされ、さらにサブネットX内の宛先にルーティングされます。オンプレミス・ネットワークは、VCN-1のリソースには対処できますが、VCN-2には対処できません。

次の図で説明する実装されたオンランプ・シナリオでは、VCNはトラフィックを相互にルーティングできません。VCN-1とVCN-2はピアリングされています。ネットワーク(172.16.0.10)のオンプレミス・リソースからのトラフィックのうち、VCN-2 (192.168.0.15)のインスタンスに対して送信されるものは、IPSEC_TUNNELアタッチメント・ルート表To-on-premisesにあるルールに基づいてDRG-1にルーティングされます。トラフィックは、そこからRPCアタッチメントを介してDRG-2にルーティングされ、さらにサブネットX内の宛先にルーティングされます。

ステップ

これらのステップは、すべてDRG-1で実行されます: