FastConnect Seguridad

IPSec en FastConnect necesita un DRG actualizado, que puede tener asociaciones con los siguientes tipos:

• VCN
• VIRTUAL_CIRCUIT
• IPSEC_TUNNEL
• REMOTE_PEERING_CONNECTION
• LOOPBACK

Una asociación de bucle de retorno permite que el tráfico cifrado fluya entre una asociación de circuito virtual y una asociación de túnel IPSec, proporcionando el lado de Oracle de la dirección IP privada del túnel al DRG. Sin la asociación de bucle de retorno, no se permite el tráfico directamente entre una asociación de circuito virtual y una asociación de túnel IPSec. Cuando el tráfico vuelve a realizar un bucle a través de la asociación de túnel IPSec, se descifra y, a continuación, se envía al DRG. Solo las asociaciones de circuito virtual y las asociaciones de túnel IPSec pueden enrutarse a una asociación de bucle de retorno. Oracle gestiona todo el enrutamiento desde o hacia una asociación de bucle de retorno y los administradores de su arrendamiento no pueden gestionarlo.

IPSec en FastConnect implica un circuito virtual y un túnel IPSec, y esas conexiones deben terminar en una asociación de DRG con el tipo correspondiente. Como se muestra en el siguiente diagrama simplificado para el tráfico entrante, con IPSec en FastConnect, el túnel IPSec se origina en el CPE (referencia 1). El circuito virtual se origina en un enrutador perimetral local (referencia 2) y termina en una asociación VIRTUAL_CIRCUIT (referencia 3). A continuación, el tráfico del túnel IPSec pasa a una conexión LOOPBACK (referencia 4) y termina en una conexión IPSEC_TUNNEL (referencia 5). El tráfico no cifrado pasa a continuación por una asociación de VCN (referencia 6) y sale a la dirección IP de destino final de la VCN. El tráfico puede enrutar alternativamente a una asociación REMOTE_PEERING_CONNECTION enlazada a otro DRG en la misma región u otra región, pero eso no se muestra en el diagrama.

IPSec a través de FastConnect permite a un circuito virtual FastConnect actuar como medio de transporte para el tráfico cifrado en un túnel IPSec privado, lo que permite la conectividad de una red local a la VCN tanto para el tráfico seguro como no seguro.

Si desea una estrategia de seguridad estricta que solo permita el tráfico cifrado a través de los circuitos virtuales, defina el indicador de modo transportOnly en el circuito virtual y la asociación de DRG del circuito virtual (en la consola, defina la opción IPSec solo sobre el tráfico FastConnect, ya sea al crear el circuito virtual o posteriormente).

Antes de intentar definir el indicador de modo transportOnly:

1. Elimine todas las reglas estáticas de la tabla de rutas "Tabla de rutas de Drg generada automáticamente para asociaciones RPC, VC y IPSec", o la tabla de rutas que sea actualmente la predeterminada para asociaciones de circuito virtual. Por defecto, la distribución de rutas de importación asociada a la tabla de rutas generada automáticamente es "Distribución de rutas de importación generada automáticamente para rutas de VCN".
2. Elimine todas las sentencias de distribución de rutas de "Distribución de rutas de importación generada automáticamente para rutas de VCN" (o la distribución de rutas de importación creada manualmente asociada a una tabla de rutas personalizada para circuitos virtuales) que tengan un valor de "Coincidencia de tipo de asociación de circuito virtual" o "Coincidencia de TODOS".

Si intenta activar el modo transportOnly en un DRG que no cumple estos requisitos, debe obtener un mensaje de error detallado que describa qué configuración se debe ajustar. Después de realizar los cambios necesarios en el DRG, podrá definir el circuito virtual y su asociación en modo transportOnly. Después de definir el indicador de modo transportOnly, Oracle aplica los siguientes comportamientos en las tablas de rutas de DRG e importa las distribuciones de rutas:

1. La tabla de rutas de la asociación de circuito virtual solo permite una única ruta hacia cada una de sus asociaciones de bucle de retorno asociadas y ninguna otra ruta.
2. La tabla de rutas de la asociación de circuito virtual no puede tener rutas estáticas.
3. La distribución de rutas de importación de la tabla de rutas asociada a la asociación de circuito virtual solo puede importar rutas de las asociaciones de DRG en bucle de retorno.
4. Ninguna de las asociaciones del DRG puede importar rutas de la asociación de circuito virtual, excepto la asociación de bucle de retorno. Esto significa que ninguna distribución de rutas de importación para ninguna otra asociación puede tener una configuración genérica "Coincidir TODO" o "Coincidir tipo de asociación - Circuito virtual".

Cualquier otro cambio en la distribución de rutas de importación o en las reglas de rutas estáticas de este DRG se validará para aplicar los comportamientos de enrutamiento necesarios.