Pareamento Remoto de VCN usando um DRG Legado
Este tópico trata do pareamento remoto de VCNs. Nesse caso, remoto significa que as VCNs residem em regiões distintas. Se as VCNs que você deseja conectar estiverem na mesma região, consulte Pareamento de VCN Local usando LPGs (Local Peering Gateways).
Este artigo se refere especificamente ao uso de um DRG legado. As informações em Pareamento Remoto de VCN por meio de um DRG Submetido a Upgrade usando um DRG submetido a upgrade são a recomendação atual da Oracle. Consulte Versões do DRG para obter um detalhamento das possíveis versões do DRG.
Visão Geral do Pareamento Remoto de VCNs
Pareamento remoto de VCNs é o processo de conexão de duas VCNs em regiões diferentes (mas na mesma tenancy ). O pareamento permite que os recursos da VCNs se comuniquem usando endereços IP privados sem rotear o tráfego pela internet ou por meio da sua rede local. Sem pareamento, uma VCN precisa de um gateway de internet e de endereços IP públicos para as instâncias que precisam se comunicar com outra VCN em outra região.
Resumo dos Componentes do serviço Networking para Pareamento Remoto
De forma geral, os componentes do serviço Networking necessários para um pareamento local incluem:
-
Duas VCNs com CIDRs que não se sobreponham em regiões distintas que suportam pareamento remoto.
Observação
Não Deve Haver Sobreposição entre Todos os CIDRs da VCN
As duas VCNs na relacionamento de pareamento não devem ter CIDRs que se sobreponham. Além disso, se uma VCN específica tiver vários relacionamentos de pareamento, as outras VCNs não deverão ter CIDRs que se sobreponham entre si. Por exemplo, se a VCN-1 for pareada com a VCN-2 e também com a VCN-3, a VCN-2 e a VCN-3 não deverão ter CIDRs que se sobreponham.
- Um DRG (gateway de roteamento dinâmico) anexado a cada VCN no relacionamento de pareamento. Sua VCN já terá um DRG se você estiver usando um túnel IPSec de VPN Site a Site ou um circuito virtual privado FastConnect do Oracle Cloud Infrastructure.
- Uma conexão de pareamento remoto (RPC) em cada DRG no relacionamento de pareamento.
- Uma conexão entre essas duas RPCs.
- Suporte a regras de roteamento para permitir que o tráfego flua pela conexão e somente entre sub-redes selecionadas nas respectivas VCNs (se desejado).
- Suporte a regras de segurança para controlar os tipos de tráfego permitidos entre as instâncias nas sub-redes que precisam se comunicar com a outra VCN.
O diagrama a seguir ilustra os componentes.
Uma determinada VCN pode usar as RPCs conectadas para só acessar VNICs na outra VCN ou na sua rede on-premises e não destinos fora das VCNs, como a internet. Por exemplo, se a VCN-1 no diagrama anterior tivesse um gateway de internet, as instâncias na VCN-2 NÃO poderiam usá-la para enviar o tráfego a pontos finais na internet. Para obter mais informações, consulte Implicações Importantes do Pareamento.
Spoke para Spoke: Pareamento Remoto com Roteamento de Trânsito
O cenário que esta seção menciona ainda é suportado, mas está obsoleto. A Oracle recomenda que você use o método de roteamento de Trânsito do DRG descrito em Roteando o tráfego por meio de um appliance virtual de rede central.
Imagine que, em cada região, você tenha várias VCNs em um layout de hub e spoke, conforme mostrado no diagrama a seguir. Esse tipo de layout dentro de uma região é abordado com detalhes em Roteamento de Trânsito dentro de uma VCN hub. As VCNs spokes de uma região são imediatamente pareadas com a VCN hub na mesma região, usando gateways de pareamento local.
Você pode configurar o pareamento remoto entre as duas VCNs hubs. Você então poderá configurar também o roteamento de trânsito do DRG e de LPGs da VCN hub, conforme descrito em Roteamento de Trânsito dentro de uma VCN hub. Essa configuração permite que uma VCN spoke em uma região se comunique com uma ou mais VCNs spokes na outra região sem precisar de uma conexão de pareamento remoto direta entre essas VCNs.
Por exemplo, você pode configurar o roteamento de forma que os recursos na VCN-1-A possam se comunicar com recursos na VCN-2-A e na VCN-2-B por meio das VCNs hubs. Dessa forma, a VCN 1-A não precisa ter um pareamento remoto separado com cada VCN spoke da outra região. Você também pode configurar o roteamento para que a VCN-1-B possa se comunicar com as VCNs spoke na região 2, sem precisar de pareamentos remotos específicos para eles.
Acordo Explícito Obrigatório dos Dois Lados
O pareamento entre duas VCNs exige um acordo explícito de ambas as partes na forma de políticas do Oracle Cloud Infrastructure Identity and Access Management, que são implementadas para o compartimento da respectiva VCN de cada uma delas.
Conceitos Importantes sobre Pareamento Remoto
Os conceitos a seguir ajudam a entender os conceitos básicos de pareamento e como estabelecer um pareamento remoto.
- PEERING
- Um pareamento é um relacionamento de pareamento único entre duas VCNs. Exemplo: se a VCN-1 for pareada com outras duas VCNs, haverá dois pareamentos. A palavra remoto no termo pareamento remoto indica que as VCNs estão em diferentes regiões.
- VCN ADMINISTRATORS
- Em geral, o pareamento de VCNs só poderá ocorrer se os dois administradores das VCNs estiverem de acordo com esse pareamento. Na prática, isso significa que os dois administradores devem:
- ACCEPTOR AND REQUESTOR
- Para implementar as políticas do IAM necessárias para pareamento, os dois administradores das VCNs devem designar um administrador como solicitante e outro como aceitador. O solicitante deve ser quem inicia a solicitação para conectar os duas RPCs. Por sua vez, o aceitador deve criar uma política do IAM específica que permita ao solicitante estabelecer conexão com RPCs no compartimento do aceitador. Sem essa política, a solicitação do solicitante para conexão falhará.
- REGION SUBSCRIPTION
- Para fazer um pareamento com uma VCN em outra região, primeiro a sua tenancy deverá estar inscrita nessa região. Para obter informações sobre inscrições em regiões, consulte Gerenciando Regiões.
- CONEXÃO DE PAREAMENTO REMOTO (RPC)
- Uma conexão de pareamento remoto (RPC) é um componente que você cria no DRG anexado à sua VCN. O trabalho da RPC é atuar como um ponto de conexão para uma VCN remotamente pareada. Como parte da configuração de VCNs, cada administrador deve criar uma RPC para o DRG de sua respectiva VCN. Um DRG deve ter uma RPC separada para cada pareamento remoto estabelecido com a VCN. Para continuar o exemplo anterior: o DRG na VCN-1 teria duas RPCs para parear com outras duas VCNs. Na API, uma RemotePeeringConnection é um objeto que contém informações sobre o pareamento. Não é possível reutilizar uma RPC para estabelecer outro pareamento posteriormente.
- CONNECTION BETWEEN TWO RPCS
- Quando o solicitante inicia a solicitação de pareamento (na Console ou na API), ele está pedindo efetivamente para estabelecer conexão com as duas RPCs. Isso significa que o solicitante deve ter informações para identificar cada RPC (como a região e o OCID da RPC).
- ROUTING TO THE DRG
- Como parte da configuração das VCNs, cada administrador deve atualizar o roteamento da VCN para permitir que o tráfego flua entre as VCNs. Para cada sub-rede que precisa se comunicar com a outra VCN, você atualiza a tabela de roteamento da sub-rede. A regra de roteamento especifica o CIDR do tráfego de destino e o seu DRG como alvo. O seu DRG roteia o tráfego correspondente à regra para o outro DRG, que, por sua vez, encaminha o tráfego para o próximo salto na outra VCN.
-
Callout 3: Tabela de Roteamento da Sub-rede A CIDR de Destino Destino da Rota 0.0.0.0/0 Gateway de Internet 192.168.0.0/16 DRG-1 172.16.0.0/12 DRG-1 Callout 4: Tabela de Roteamento da Sub-rede X CIDR de Destino Destino da Rota 10.0.0.0/16 DRG-2 - REGRAS DE SEGURANÇA
- Cada sub-rede em uma VCN tem uma ou mais listas de segurança que controlam o tráfego de entrada e de saída das VNICs da sub-rede no nível do pacote. Você pode usar listas de segurança para controlar o tipo de tráfego permitido com a outra VCN. Como parte da configuração das VCNs, cada administrador deve determinar quais sub-redes de suas próprias VCNs precisam se comunicar com VNICs na outra VCN e deve atualizar as listas de segurança da sub-rede de forma adequada.
Implicações Importantes do Pareamento
Se você ainda não tiver feito, leia Implicações Importantes do Pareamento para entender o controle de acesso, a segurança e as implicações de desempenho das VCNs pareadas.
Configurando um Pareamento Remoto
Essa seção abrange o processo geral para configurar um pareamento entre duas VCNs em diferentes regiões.
O seguinte procedimento pressupõe que:
- A sua tenancy está inscrita na outra região da VCN. Caso contrário, consulte Gerenciando Regiões.
- Você já deverá ter um DRG anexado à sua VCN. Caso contrário, consulte Gateways de roteamento dinâmico.
- Crie os RPCs: cada administrador de RPC cria um LPG para o DRG de sua própria VCN.
- Compartilhe informações: os administradores compartilham as informações básicas necessárias.
- Configure as políticas do IAM necessárias para a conexão: os administradores configuram as políticas do IAM para ativar a conexão a ser estabelecida.
- Estabeleça a conexão: O solicitante conecta as duas RPCs (consulte Conceitos Importantes sobre Pareamento Remoto para obter a definição de solicitante e aceitador).
- Atualize as tabelas de roteamento: cada administrador atualiza as tabelas de roteamento de sua VCN para permitir o tráfego entre as VCNs com pareamento, conforme desejado.
- Atualize as regras de segurança: cada administrador atualiza as regras de segurança de sua VCN para permitir o tráfego entre as VCNs pareadas, conforme desejado.
Se necessário, os administradores poderão executar as tarefas E e F antes de estabelecer a conexão. Cada administrador deverá conhecer o bloco IDR ou as sub-redes específicas da VCN do outro administrador e compartilhar essas informações na tarefa B.
Cada administrador cria uma RPC para sua própria VCN. "Você" no procedimento a seguir significa um administrador (o aceitador ou o solicitante).
Política Obrigatória do IAM para Criar RPCs
Se os administradores já tiverem amplas permissões de administrador de rede (consulte Permitir que os administradores de rede gerenciem uma rede na nuvem), eles terão permissão para criar, atualizar e excluir RPCs. Caso contrário, veja a seguir um exemplo de política que fornece as permissões necessárias a um grupo chamado RPCAdmins. A segunda instrução é necessária porque a criação de uma RPC afeta o DRG ao qual ela pertence; portanto, o administrador deve ter permissão para gerenciar DRGs.
Allow group RPCAdmins to manage remote-peering-connections in tenancy
Allow group RPCAdmins to manage drgs in tenancy
- Na Console, confirme que você está exibindo o compartimento que contém o DRG ao qual deseja adicionar o LPG. Para obter informações sobre compartimentos e controle de acesso, consulte Controle de Acesso.
-
- Clique no DRG no qual você está interessado.
- Em Recursos, clique em Conexões de Pareamento Remoto.
- Clique em Criar Conexão de Pareamento Remoto.
-
Informe o seguinte:
- Nome: um nome amigável para a RPC. Esse nome não precisa ser exclusivo e não pode ser alterado posteriormente na Console (mas você pode alterá-lo com a API). Evite inserir informações confidenciais.
- Criar no compartimento: o compartimento no qual você deseja criar a RPC, se for diferente do compartimento no qual você está trabalhando no momento.
-
Clique em Criar Conexão de Pareamento Remoto.
Em seguida, a RPC é criada e exibida na página Conexões de Pareamento Remoto no compartimento escolhido.
- Se você for o aceitador, anote a região e o OCID da RPC para fornecê-los posteriormente ao solicitante.
Quando ambas as VCNs estiverem na mesma tenancy, mas em regiões diferentes, use as políticas fornecidas em Pareamento Remoto com um DRG Legado.
Se ambas as VCNs estiverem em tenancies diferentes, mas na mesma região, use as políticas fornecidas em Anexando a VCNs em Outras Tenancies.
O solicitante deve executar esta tarefa.
Pré-requisito: o solicitante deve ter:
- A região em que a VCN do aceitador está (a tenancy do solicitante deverá estar inscrita na região).
- O OCID da RPC do aceitador.
- Na Console, verifique os detalhes da RPC do solicitante que deseja conectar à RPC do aceitador.
- Clique em Estabelecer Conexão.
-
Informe o seguinte:
- Região: a região que contém a VCN do aceitador. A lista drop-down inclui apenas as regiões que suportam pareamento remoto de VCNs e nas quais a sua tenancy está inscrita.
- OCID da Conexão de Pareamento Remoto: o OCID da RPC do aceitador.
-
Clique em Estabelecer Conexão.
A conexão é estabelecida, e o estado da RPC passa para PEERED.
Como mencionado anteriormente, cada administrador pode executar essa tarefa antes ou depois de a conexão ser estabelecida.
Pré-requisito: cada administrador deve ter o bloco CIDR ou as sub-redes específicas da outra VCN.
Para a sua própria VCN:
- Determine quais sub-redes da sua VCN precisam se comunicar com a outra VCN.
-
Atualize a tabela de roteamento em relação a cada uma dessas sub-redes de modo a incluir uma nova regra que direcione para o seu DRG o tráfego destinado à outra VCN:
- Abra o menu de navegação, clique em Networking e depois clique em Redes virtuais na nuvem.
- Clique na VCN em que você está interessado.
- Em Recursos, clique em Tabelas de Roteamento.
- Clique na tabela de roteamento na qual você está interessado.
-
Clique em Adicionar Regra de Roteamento e informe o seguinte:
- Tipo de Destino: Gateway de Roteamento Dinâmico. O DRG anexado à VCN é selecionado automaticamente como alvo e você não precisa especificar o alvo.
- Bloco CIDR de Destino: o bloco CIDR da outra VCN. Se quiser, você poderá especificar uma sub-rede ou um subconjunto específico do CIDR da VCN pareada.
- Descrição: Uma descrição opcional da regra.
- Clique em Adicionar Regra de Roteamento.
Qualquer tráfego de sub-rede com um destino que corresponda à regra será roteado para o seu DRG. Para obter mais informações sobre a configuração de regras de roteamento, consulte Tabelas de Roteamento da VCN.
Sem o roteamento necessário, o tráfego não flui entre os DRGs pareados. Se ocorrer uma situação em que você precise interromper temporariamente o pareamento, simplesmente remova as regras de roteamento que permitem o tráfego. Não é necessário excluir as RPCs.
Como mencionado anteriormente, cada administrador pode executar essa tarefa antes ou depois de a conexão ser estabelecida.
Pré-requisito: cada administrador deve ter o bloco CIDR ou as sub-redes específicas da outra VCN. Em geral, você deve usar o mesmo bloco CIDR usado na regra de tabela de roteamento do procedimento Tarefa E: Configurar as tabelas de roteamento.
Quais regras você deve adicionar?
- Regras de entrada para os tipos de tráfego proveniente da outra VCN que você deseja permitir, especificamente do CIDR da VCN ou de sub-redes específicas.
- Uma regra de saída para permitir o tráfego de saída da sua VCN para a outra VNC. Se a sub-rede já tiver uma regra de saída ampla para todos os tipos de protocolos a todos os destinos (0.0.0.0/0), não será necessário adicionar uma especial para a outra VCN.
O procedimento a seguir usa listas de segurança, mas você pode, em vez disso, implementar as regras de segurança de um grupo de segurança de rede e criar todos os recursos da sub-rede nesse NSG.
Para a sua própria VCN:
- Determine quais sub-redes da sua VCN precisam se comunicar com a outra VCN.
-
Atualize a lista de segurança em relação a cada uma dessas sub-redes para incluir regras que permitam o tráfego de saída ou de entrada desejado especificamente com o bloco CIDR ou com uma sub-rede da outra VCN:
- Na Console, ao verificar a VCN na qual você está interessado, clique em Listas de Segurança.
- Clique na lista de segurança na qual você está interessado.
- Em Recursos, clique em Regras de Entrada ou Regras de Saída dependendo do tipo de regra com a qual você deseja trabalhar.
-
Se quiser adicionar uma nova regra, clique em Adicionar Regra de Entrada (ou Adicionar Regra de Saída).
- Se quiser excluir uma regra existente, clique no menu Ações (
) e depois clique em Remover. - Se quiser editar uma regra existente, clique no menu Ações () e depois clique em Editar.
Para obter mais informações sobre regras de segurança, consulte Regras de Segurança.
Digamos que você deseja adicionar uma regra com monitoramento de estado que permita o tráfego HTTPS de entrada (porta 443) proveniente do CIDR da outra VCN. Estas são as etapas básicas que você executa ao adicionar uma regra:
- Na seção Permitir Regras para Entrada, clique em +Adicionar Regra.
- Deixe a caixa de seleção Sem Estado desmarcada.
- Tipo de Origem: deixe como CIDR.
- CIDR de Origem: insira o mesmo bloco CIDR que as regras de roteamento utilizam (consulte Tarefa E: Configurar tabelas de roteamento).
- Protocolo IP: deixe como TCP.
- Intervalo de Portas de Origem: deixe como Todos.
- Intervalo de Portas de Destino: insira 443.
- Descrição: Uma descrição opcional da regra.
Usando a Console
Consulte as instruções em Tarefa A: Criar as RPCs.
A exclusão de uma RPC encerra o pareamento. A RPC do outro lado do pareamento muda para o estado REVOKED.
-
- Clique no DRG no qual você está interessado.
- Em Recursos, clique em Conexões de Pareamento Remoto.
- Clique na RPC na qual você está interessado.
- Clique em Encerrar.
- Confirme quando solicitado.
Após excluir uma RPC (e, portanto, encerrar um pareamento), é recomendável revisar as suas tabelas e roteamento e as regras de segurança para remover as regras que permitiam o tráfego com a outra VCN.