Tables de routage de réseau cloud virtuel

Utilisation des tables et des règles de routage

Chaque réseau cloud virtuel est automatiquement accompagné d'une table de routage par défaut qui comporte des règles implicites incluant les routages des CIDR de réseau cloud virtuel. A moins d'indication contraire, chaque sous-réseau utilise la table de routage par défaut du réseau cloud virtuel. Lorsque vous ajoutez des règles de routage à votre réseau cloud virtuel, vous pouvez simplement les ajouter à la table par défaut. Toutefois, vous pouvez créer des tables de routage personnalisées pour chaque sous-réseau si nécessaire. Par exemple, si vous disposez d'un sous-réseau public et d'un sous-réseau privé dans votre réseau cloud virtuel (afin d'obtenir un exemple, reportez-vous à Scénario C : sous-réseaux public et privé avec un VPN), vous devez utiliser pour ceux-ci différentes tables de routage, les règles de routage des sous-réseaux ne devant pas être les mêmes.

Chaque sous-réseau d'un réseau cloud virtuel utilise une seule table de routage. Lorsque vous créez le sous-réseau, vous spécifiez celle à utiliser. Vous pouvez modifier la table de routage utilisée par le sous-réseau à tout moment. Vous pouvez également modifier les règles d'une table de routage, ou enlever toutes les règles.

Vous pouvez éventuellement affecter un nom descriptif à une table de routage personnalisée lors de sa création. Ce nom ne doit pas nécessairement être unique et peut être modifié ultérieurement. Oracle affecte automatiquement à la table de routage un identificateur unique appelé OCID (Oracle Cloud ID). Pour plus d'informations, reportez-vous à Identificateurs de ressource.

Une règle de routage spécifie un bloc CIDR de destination et la cible (le saut suivant) pour tout trafic correspondant à ce CIDR. Voici les types de cible autorisés pour une règle de routage :

• Passerelle de routage dynamique : pour les sous-réseaux nécessitant un accès privé aux réseaux connectés à votre réseau cloud virtuel (par exemple, votre réseau sur site connecté via un VPN site à site ou FastConnect, un réseau cloud virtuel appairé de la même région ou un réseau cloud virtuel appairé d'une autre région).
• Passerelle Internet : pour les sous-réseaux publics qui ont besoin d'un accès direct à Internet.
• Passerelle NAT : pour les sous-réseaux dotés d'instances ne disposant pas d'adresse IP publique mais nécessitant un accès sortant vers Internet.
• Passerelle de service : pour les sous-réseaux nécessitant un accès privé aux services Oracle tels qu'Object Storage.
• Passerelle d'appairage local : pour les sous-réseaux nécessitant un accès privé à un réseau cloud virtuel appairé de la même région.
• Adresse IP privée : pour les sous-réseaux qui doivent acheminer du trafic vers une instance du réseau cloud virtuel. Pour plus d'informations, reportez-vous à Utilisation d'une adresse IP privée comme cible de routage. Reportez-vous également à Présentation du routage du réseau cloud virtuel.

Lorsque vous ajoutez une règle de routage à une table de routage, vous indiquez le bloc CIDR de destination et la cible (ainsi que le compartiment  où réside la cible). Exception : si la cible est une passerelle de service , au lieu d'un bloc CIDR de destination, vous indiquez une chaîne fournie par Oracle qui représente les adresses publiques du service qui vous intéresse. De cette manière, vous n'avez pas besoin de connaître tous les blocs CIDR du service, qui peuvent changer au fil du temps.

Si vous configurez une règle de manière incorrecte (par exemple, saisie d'un bloc CIDR de destination incorrect), le trafic réseau que vous avez prévu d'acheminer peut être supprimé (perdu dans un trou noir) ou envoyé à une cible inattendue.

Vous pouvez déplacer des tables de routage d'un compartiment vers un autre. Le déplacement d'une table de routage n'a aucune incidence sur son attachement aux réseaux cloud virtuels ou aux sous-réseaux. Lorsque vous déplacez une table de routage vers un nouveau compartiment, les stratégies inhérentes s'appliquent immédiatement et influent sur l'accès à la table de routage. Pour plus d'informations, reportez-vous à Contrôle d'accès.

Vous ne pouvez pas supprimer la table de routage par défaut d'un réseau cloud virtuel. Une table de routage personnalisée ne peut être supprimée que si elle n'est pas associée à un sous-réseau ou à une passerelle (de routage dynamique, d'appairage local, Internet, NAT ou de service).

Reportez-vous aux limites de service pour obtenir la liste des limites applicables et des instructions de demande d'augmentation de limite.

Routage intra-réseau cloud virtuel

Le routage intra-réseau cloud virtuel vous permet de remplacer les décisions de routage par défaut appliquées au trafic destiné aux adresses IP contenues dans le bloc CIDR de réseau cloud virtuel. Le routage intra-réseau cloud virtuel offre les fonctionnalités suivantes :

• Routages par défaut : chaque table de routage de réseau cloud virtuel dispose d'un routage local implicite pour le CIDR de réseau cloud virtuel. Il est utilisé dans le routage direct local vers des destinations du réseau cloud virtuel. De même que les routages personnalisés de la table de routage, ce routage local implicite est utilisé dans le cadre de la sélection du meilleur routage.
• Routages intra-réseau cloud virtuel personnalisés : règles de routage que vous créez dans la table de routage pour le trafic intra-réseau cloud virtuel. Tous les routages personnalisés ont une cible (passerelle de routage dynamique, passerelle d'appairage local, adresse IP privée dans le réseau cloud virtuel) et le type de routage statique.
• Sélection de routage : la correspondance de préfixe la plus longue (ou le routage le plus spécifique) est sélectionnée. S'il existe plusieurs routages pour le même préfixe, le meilleur routage est sélectionné en fonction de la priorité de type de routage suivante :
  1. Statique (défini par l'utilisateur)
  2. Routages locaux implicites (créés automatiquement par OCI)
• IPv6 : OCI prend en charge le routage intra-réseau cloud virtuel pour les préfixes de réseau cloud virtuel IPv6.

Routage entrant de passerelle

Utilisation du routage intra-réseau cloud virtuel

L'image suivante présente un exemple de routage interne :

Stratégie IAM requise

Cas d'emploi généraux

OCI utilise la table de routage d'un sous-réseau donné pour acheminer le trafic vers une adresse IP de destination qui se trouve en dehors du sous-réseau. Si la destination se trouve en dehors du réseau cloud virtuel, vous configurez généralement une règle de routage pour acheminer le trafic vers une passerelle sur le réseau cloud virtuel (par exemple, une passerelle de routage dynamique connectée au réseau sur site ou à un autre réseau cloud virtuel, ou une passerelle Internet connectée à Internet). Si la destination se trouve dans un autre sous-réseau du réseau cloud virtuel, le trafic est acheminé par défaut à l'aide du routage local du CIDR de réseau cloud virtuel. Toutefois, vous pouvez souhaiter acheminer dans un premier temps ce trafic via une instance du réseau cloud virtuel. Dans ce cas, vous pouvez utiliser une adresse IP privée du réseau cloud virtuel comme cible au lieu d'une passerelle se trouvant dans celui-ci. Voici quelques cas où vous êtes susceptible de procéder ainsi :

• Pour implémenter une appliance virtuelle réseau telle qu'un pare-feu ou un système de détection des intrusions qui filtre le trafic sortant des instances.
• Pour gérer un réseau superposé sur le réseau cloud virtuel, ce qui vous permet d'exécuter des charges globales d'orchestration de conteneurs.
• Pour implémenter NAT (Network Address Translation) dans le réseau cloud virtuel. Oracle recommande d'utiliser une passerelle NAT avec le réseau cloud virtuel. En général, NAT permet aux instances qui ne disposent pas d'une connectivité Internet directe de bénéficier d'un accès Internet sortant.

Pour implémenter ces cas d'emploi, acheminer le trafic vers l'instance ne suffit pas. Une configuration est également requise sur l'instance elle-même.

Exigences relatives à l'utilisation d'une adresse IP privée comme cible

• L'adresse IP privée doit être dans le même réseau cloud virtuel que la table de routage.
• Afin de pouvoir transmettre du trafic, la carte d'interface réseau virtuelle de l'adresse IP privée doit être configurée de manière à ignorer la vérification de source/destination. Par défaut, les cartes d'interface réseau virtuelles sont configurées pour effectuer la vérification. Pour plus d'informations, reportez-vous à Présentation des cartes d'interface réseau virtuelles et des cartes d'interface réseau physiques.
• Vous devez configurer l'instance pour qu'elle transfère des paquets.

• La règle de routage doit indiquer l'OCID de l'adresse IP privée en tant que cible, et non l'adresse IP proprement dite. Exception : si vous utilisez la console, vous pouvez directement indiquer l'adresse IP privée comme cible. La console détermine l'OCID correspondant et l'emploie dans la règle.

  Important
  
  

  Une règle de routage avec une cible d'adresse IP privée peut entraîner une perte dans un trou noir dans les cas suivants :

  • L'instance à laquelle l'adresse IP privée est affectée est arrêtée ou prend fin
  • La carte d'interface réseau virtuelle à laquelle l'adresse IP privée est affectée est mise à jour afin d'activer la vérification de source/destination, ou supprimée
  • L'affectation de l'adresse IP privée à la carte d'interface réseau virtuelle est annulée

  Lorsqu'une adresse IP privée cible prend fin, dans la console, la règle de routage affiche une remarque indiquant que l'OCID cible n'existe plus.

  Pour le basculement en cas d'incident : si l'instance cible prend fin avant que vous ne puissiez déplacer l'adresse IP privée secondaire vers une instance de secours, vous devez mettre à jour la règle de routage de façon à utiliser l'OCID de la nouvelle adresse IP privée cible sur l'instance de secours. La règle utilise l'OCID de la cible et non l'adresse IP privée elle-même.

Processus de configuration général

1. Déterminez quelle instance va recevoir et transmettre le trafic.
2. Choisissez une adresse IP privée sur l'instance (peut se trouver sur la carte d'interface réseau virtuelle principale de l'instance ou sur une carte secondaire). Si vous souhaitez implémenter le basculement, configurez une adresse IP privée secondaire sur l'une des cartes d'interface réseau virtuelles de l'instance.
3. Désactivez la vérification de source/destination sur la carte d'interface réseau virtuelle de l'adresse IP privée. Reportez-vous à Présentation des cartes d'interface réseau virtuelles et des cartes d'interface réseau physiques.
4. Obtenez l'OCID de l'adresse IP privée. Si vous utilisez la console, vous pouvez obtenir l'OCID ou l'adresse IP privée elle-même, avec le nom du compartiment de cette dernière.
5. Affichez la table de routage du sous-réseau qui doit acheminer le trafic vers l'adresse IP privée. Si elle comporte déjà une règle avec le même CIDR de destination mais avec une autre cible, supprimez cette règle.

6. Ajoutez une règle de routage avec les éléments suivants :

   • Type de cible : reportez-vous à la liste des types de cible dans Présentation du routage du réseau cloud virtuel. Si le type de cible est une passerelle de routage dynamique, la passerelle de routage dynamique attachée du réseau cloud virtuel est automatiquement sélectionnée en tant que cible. Vous n'avez pas besoin d'indiquer de cible. Si la cible est un objet IP privé, vous devez, avant de la spécifier, désactiver la vérification de source/destination sur la carte d'interface réseau virtuelle qui l'utilise. Pour plus d'informations, reportez-vous à Utilisation d'une adresse IP privée comme cible de routage.
   • Bloc CIDR de destination : disponible uniquement si la cible n'est pas une passerelle de service. La valeur correspond au bloc CIDR de destination du trafic. Vous pouvez fournir un bloc CIDR de destination spécifique ou utiliser 0.0.0.0/0 si l'ensemble du trafic quittant le sous-réseau doit être acheminé vers la cible indiquée dans la règle.
   • Service de destination : disponible uniquement si la cible est une passerelle de service. La valeur correspond au libellé CIDR de service qui vous intéresse.
   • Compartiment : compartiment dans lequel se trouve la cible.
   • Cible : cible. Si la cible est un objet IP privé, entrez son OCID. Vous pouvez également entrer l'adresse IP privée, auquel cas la console détermine l'OCID correspondant et l'utilise en tant que cible pour la règle de routage.
   • Description : description facultative de la règle.

Comme mentionné précédemment, vous devez configurer l'instance pour qu'elle transfère des paquets.