Acesso Privado aos Oracle Services

• Você pode configurar uma VCN de modo que a sua rede local tenha acesso privado aos serviços Oracle da Oracle Services Network por meio da VCN. Os hosts da sua rede local se comunicam com seus respectivos endereços IP privados.
• A VCN usa um gateway de roteamento dinâmico (DRG) para estabelecer comunicação com a rede local. O acesso aos serviços Oracle acontece por meio de um gateway de serviço na VCN. O tráfego proveniente da VCN e direcionado ao serviço Oracle percorre a malha de rede da Oracle e nunca passa pela internet pública.
• O gateway de serviço é regional e permite acessar apenas os serviços Oracle suportados na mesma região que a VCN.
• Os serviços Oracle suportados são o Oracle Cloud Infrastructure Object Storage e outros na Oracle Services Network. Para obter uma lista, consulte Gateway de Serviço: Serviços de Nuvem Suportados na Oracle Services Network.
• O gateway de serviço usa o conceito de label CIDR de serviço. Trata-se de uma string que representa todas as faixas de endereços IP públicos regionais do serviço ou do grupo de serviços em questão (por exemplo, OCI PHX Object Storage é a string para Object Storage no Oeste dos EUA (Phoenix)). Você usa esse label CIDR de serviço ao configurar o gateway de serviço e as regras de roteamento relacionadas para controlar o tráfego direcionado ao serviço. Opcionalmente, você pode usar o gateway de serviço ao configurar regras de segurança. Se os endereços IP públicos do serviço mudarem no futuro, não será necessário ajustar essas regras.
• Para permitir o tráfego desejado entre a rede local e os serviços Oracle por meio da VCN, implemente regras de roteamento para o gateway de serviço e o anexo do DRG da VCN.
• Se quiser, você poderá configurar o roteamento de trânsito por meio de um IP privado na VCN. Por exemplo, talvez você queira filtrar ou inspecionar o tráfego entre a rede local e o serviço Oracle. Nesse caso, você roteia o tráfego em direção a um IP privado em uma instância na VCN para inspeção, e o tráfego resultante continua até o destino. Este tópico trata de ambas as situações: roteamento de trânsito direto entre gateways na VCN e roteamento de trânsito por meio de um IP privado.

A Oracle Services Network é uma rede conceitual no Oracle Cloud Infrastructure reservada para os serviços Oracle. Esses serviços têm endereços IP públicos que você geralmente acessa pela internet pública. No entanto, você pode acessar a Oracle Services Network sem passar pelo tráfego da internet pública. Há diferentes maneiras de fazer isso, dependendo de quais os seus hosts precisam de acesso:

• Hosts da sua rede local:

  • Acesso privado por meio de uma VCN com pareamento privado FastConnect ou VPN Site a Site: Esse cenário é abordado neste tópico. Os hosts locais usam endereços IP privados e acessam a Oracle Services Network por meio da VCN e do gateway de serviço da VCN.
  • Acesso público com pareamento público do FastConnect: os hosts locais usam endereços IP públicos.
• Hosts na sua VCN:
  • Acesso privado por meio de um gateway de serviço: os hosts da VCN usam endereços IP privados.

O diagrama a seguir ilustra o layout básico para permitir que a rede local tenha acesso privado aos serviços Oracle.

A sua rede on-premises se conecta à VCN por meio de um circuito virtual privado FastConnect ou da VPN Site a Site. Cada um desses tipos de conexões termina em um gateway de roteamento dinâmico (DRG) anexado à VCN. A VCN também tem um gateway de serviço para permitir que a VCN acesse a Oracle Services Network. O tráfego da sua rede local passa pela VCN e pelo gateway de serviço até chegar ao serviço Oracle do seu interesse. As respostas retornam por meio do gateway de serviço e da VCN à sua rede local.

Ao configurar um gateway de serviço, você ativa um label CIDR de serviço. Trata-se de uma string que representa todos os intervalos de endereços IP públicos regionais do serviço ou do grupo de serviços que você deseja acessar por meio do gateway de serviço. Por exemplo, All PHX Services in Oracle Services Network é o label CIDR de serviço para os serviços Oracle disponíveis no Oeste dos EUA (Phoenix) por meio de um gateway de serviço. O sistema Oracle usa BGP (Border Gateway Protocol) no DRG a fim de propagar esses intervalos de endereços IP públicos regionais para o dispositivo de borda (também chamado de CPE ou Customer-Premises Equipment) na sua rede local. Para obter uma lista desses intervalos disponíveis por meio do gateway de serviço, consulte Endereços IP Públicos para VCNs e a Oracle Services Network.

Várias VCNs com Acesso Privado aos Serviços Oracle

A sua organização pode optar por usar várias VCNs, cada uma com um gateway de serviço para permitir que os recursos da VCN acessem os serviços Oracle. Por exemplo, você pode ter uma VCN específica para cada departamento da sua organização.

Se você também quiser configurar a sua rede local com acesso privado aos serviços Oracle por meio de uma VCN com um gateway de serviço, essa seção descreverá dois layouts de rede distintos que poderão ser usados.

No primeiro layout, você configura um DRG único, com as VCNs em um layout hub e spoke, conforme mostrado no diagrama a seguir. A VCN que atua como hub é dedicada a permitir que a rede local tenha acesso privado aos serviços Oracle. As outras VCNs são localmente pareadas com a VCN hub. Você configura apenas a VCN hub de acordo com as instruções em Configurando o Acesso Privado aos Serviços Oracle. Esse layout de hub e spoke é recomendado e descrito com mais detalhes em Roteamento de Trânsito dentro de uma VCN hub.

No segundo layout, há um DRG distinto para cada VCN, com outro circuito virtual privado FastConnect ou VPN Site a Site da sua rede on-premises para cada DRG. Você utiliza um DRG e uma VCN para permitir que a sua rede local tenha acesso privado a serviços Oracle. No diagrama a seguir, trata-se da VCN no centro. Para configurar essa VCN, siga as instruções em Configurando o Acesso Privado aos Serviços Oracle.

Observe que, em ambos os layouts, a rede local só pode acessar os serviços Oracle por meio de um único gateway de serviço da VCN (o dedicado a essa finalidade) e não por meio dos gateways de serviço das outras VCNs. Para essas outras VCNs, apenas os recursos internos dessas VCNs podem acessar os serviços Oracle por meio do gateway de serviço da VCN.

Independentemente do layout escolhido, você pode criar uma política do IAM para restringir o acesso a um bucket do Object Storage de modo que apenas as solicitações que passam por um gateway de serviço específico da VCN sejam permitidas para esse bucket. Com ambos esses layouts, você pode criar uma política para permitir solicitações provenientes de várias VCNs. Para restringir o acesso a VCNs específicas, crie uma origem de rede para especificar a VCN permitida e, em seguida, grave a política que restringe o acesso apenas à origem de rede. Uma origem de rede pode especificar diversas VCNs ou você pode criar uma origem de rede para cada VCN. Para obter informações sobre como criar origens de redes, consulte Gerenciando Origens de Rede.

O exemplo de política a seguir supõe que você configure uma origem de rede para cada uma das suas VCNs. A política permite que recursos do grupo de exemplo ObjectBackup gravem objetos no bucket db-backup que reside no compartimento ABC. Ao criar uma política como essa, você pode especificar uma ou mais origens de rede. Esse exemplo mostra três.

Allow group ObjectBackup to read buckets in compartment ABC

Allow group ObjectBackup to manage objects in compartment ABC where
   all {target.bucket.name='db-backup', 
        any {request.networkSource.name='<hub_VCN_network_source>', request.networkSource.name='<spoke_1_VCN_network_source>', request.networkSource.name='<spoke_2_VCN_network_source>'},
        any {request.permission='OBJECT_CREATE', request.permission='OBJECT_INSPECT'}}

Para obter mais informações, consulte Configurando um Gateway de Serviço na Console no procedimento para configurar um gateway de serviço.

Há duas opções para roteamento por meio da VCN para acesso privado aos serviços Oracle:

• Roteamento de trânsito direto por meio de gateways: você roteia o tráfego diretamente por meio da VCN, de um gateway para o outro.
• Roteamento de trânsito por meio de um IP privado: você configura uma instância na VCN para filtrar ou inspecionar o tráfego entre a rede local e a Oracle Services Network, e roteia o tráfego por meio de um IP privado na instância.

Os exemplos mostrados nas seções a seguir pressupõem que a VCN não contém cargas de trabalho que precisem acessar a rede local ou a Oracle Services Network. A VCN está sendo usada somente para rotear o tráfego por meio da VCN.

Se você for membro do grupo Administradores, já terá o acesso necessário para configurar o roteamento de trânsito. Caso contrário, você precisará de acesso ao serviço Networking e precisará ter a capacidade de iniciar instâncias. Consulte Políticas do IAM para Redes

Esta seção mostra como usar a Console para configurar o roteamento de trânsito com uma VCN para permitir que a sua rede local tenha acesso privado aos serviços Oracle.

Para desativar o roteamento de trânsito, remova as regras:

• Da tabela de roteamento associada ao anexo DRG.
• A tabela de roteamento associada ao gateway de serviço.

Uma tabela de roteamento pode ser associada a um recurso, mas não tem regras. Sem pelo menos uma regra, uma tabela de roteamento não pode funcionar.

Um anexo DRG ou um gateway de serviço pode existir sem uma tabela de roteamento associada a ele. Entretanto, após você associar uma tabela de roteamento a um anexo DRG ou a gateway de serviço, sempre deverá haver uma tabela de roteamento associada a ele. Mas você pode associar outra tabela de roteamento. Você também pode editar as regras da tabela ou excluir algumas ou todas as regras.