La tenda ha bisogno di ottenere HTTPS da internet, mantenere le sue applicazioni chiuse e consentire a quelle applicazioni di leggere gli oggetti e scaricare gli aggiornamenti. Ogni percorso richiede una decisione diversa.
Concetti Chiave
Uno. Virtual Cloud Network (VCN) E' una rete virtuale regionale. Il tuo blocco CIDR definisce una gamma di indirizzi. Per esempio, 10.0.0.0/16 può contenere una subnet 10.0.1.0/24 e un altro 10.0.2.0/24. Il prefisso più grande descrive una porzione più piccola di spazio. Gamma Piano senza sovrapposizione se si sta per collegare reti.
The Sottorete regionali può coprire l'AD della regione. La sottorete pubblica A consente agli indirizzi IP pubblici di accedere al loro VNIC. A persona privata li vieta. VNIC È l'interfaccia virtuale che collega un'istanza alla rete. Essere pubblici non significa che tutte le connessioni sono consentite: sono necessarie indicazioni, percorsi e regole adeguate.
La creazione assistente VCN può costruire sottorete, gateway e regole iniziali. Ispezionare il risultante risorse Utilizzando un assistente non rimuove la necessità di comprenderli. DNS permette di risolvere il nome agli indirizzi, ma non fornisce connettività o accesso.
Strade, gateway e sicurezza
Uno. tavolo rotondo decide la prossima destinazione di traffico che corrisponde a una regola. sentiero A 0.0.0.0/0 Si abbina a qualsiasi IPv4 che non ha un percorso più specifico. La connettività locale di VCN ha percorsi impliciti. Ci sono anche percorsi configurabili all'interno dello VCN per scenari avanzati. Non ricordate che tabelle può condurre solo il traffico al di fuori di esso. Query Tavoli di percorso VCN.
| Destinazione o necessità | Pezzo che devi riconoscere |
|---|---|
| Internet da risorse con IP pubblico | Internet Gateway, più percorsi e regole |
| Uscita di Internet da luoghi privati senza connessioni intermittenti avviate da internet | NAT Gateway |
| Oracle ha supportato services nella stessa regione senza attraversare internet | Service Gateway |
| On-premises e connessione tra VCN | Dynamic Rounding Gateway (DRG) come per design |
| Connessione cicpado por internet su on-premises | VPN sul sito |
| Connettività privata dedicata a OCI | FastConnect |
The Elenchi di sicurezza applicare le regole a VNIC di una sottorete; e Gruppi di sicurezza di rete (NSG) VNIC o risorse sono supportati dalla funzione. Entrambi definiscono le regole di entrata e di uscita. Regola A stato tracciare la connessione e consentire la sua risposta. con stateless è necessario consentire esplicitamente entrambi i sensi. Controllare anche il firewall del sistema operativo. Il sentiero indica dove andare. La sicurezza decide cosa il traffico può superare.
Equilibri e salute di Applicazione
A riceve Traffico retiro da un elenco e distribuirlo a server di un backend setutilizzare una politica e Controllo sanitario. A backend che non supera il controllo sanitario non dovrebbe ottenere nuovo traffico come uno sano. Per vedere un VM in stato Running non dimostra che la sua applicazione ha risposto.
Equilibrio del carico incorpora funzionalità di cappuccio 7 per HTTP / HTTPS e supporta anche TCP. Equilibrio del carico di rete Si propone di bilanciamento ad alte prestazioni di strati 3/4, tra cui TCP, UDP e ICMP come elencato. Il confronto "L7 versus L4" serve come orientamento ma non significa che il bilanciamento del carico manca di TCP.
Macchina di bilanciamento A pubblico accettare il traffico attraverso un indirizzo pubblico. Uno. Privato serve clienti con connettività privata. Entrambi richiedono percorsi e controlli adeguati. Le politiche di carico Balancer includono Robin rotonda, connessioni al minimo e IP Hash; può essere assegnato pesos A backends. Con i pesi 1 e 3, Weighted Round Robin distribuire circa uno su ogni quattro richieste al primo, e non la metà. Vedi politiche di bilanciamento.
Esempio guidato
- Utilizzare una VCN con sottorete pubblica per la fatturazione e privata per due server d'ordine.
- Configurare HTTPS nell'elenco con il certificato. Consente solo i porti necessari dai nostri clienti.
- Consente allo scooter di raggiungere la porta di applicazione e la porta di controllo della salute backend. A funzione NSG rende più facile esprimere questo relazione.
- Testare la salute di entrambi i server prima di consentire il traffico del cliente. Se si perde, controllare la porta e il processo e le regole.
- Fornisce alla subnetwork privata un percorso a NAT per gli aggiornamenti e un altro a Service Gateway per il supporto Oracle services.
Per riprodurre la dimostrazione di un segnapunti privato, sostituire il client internet con una connettività VCN privata. Per cambiare la visibilità del volto cambia chi può raggiungerlo. non cambia la necessità di backend e controlli sanitari.
Errori comuni
- "Ho aperto il porto a una Security List, quindi c'è un percorso." Controllare le rotte e la destinazione così come le regole.
- "NAT pubblica il mio server privato." Ritirare le connessioni e le loro risposte non crea un ingresso pubblico per i clienti.
- "Service Gateway si connette con tutti i siti web." Fornisce l'accesso privato a Oracle compatibile services, ma non a Internet nel suo complesso.
Esercizio di pensionamento
A privato VM leggere le foto di Object Storage e scaricare i pacchetti da un repository pubblico. Non deve accettare nuove connessioni da Internet. Quali due gateway sceglieresti? A elenco di percorsi che è abbastanza buono per farli lavorare?
Soluzione
Service Gateway per Object Storage dalla stessa regione e NAT Gateway per il repository pubblico. Configurare i percorsi appropriati e consentire l'output necessario, la risoluzione DNS e le risposte. Per leggere gli oggetti è necessario anche autorizzazioni IAM. Il Roadtable non sostituisce questi controlli.
Fonti e recensioni
Query VCN, Strade, NSG, Equilibrio del carico y Equilibrio del carico di rete. Senza cercare: confrontare NSG e Security List, spiegare NAT versus DRG e garantire un controllo sanitario.