Oracle Public Cloud ネットワーク機能詳細

Copyright © 2016, Oracle and/or its affiliates. All rights reserved. |

Oracle Public Cloudネットワーク機能詳細 v2.0

2017年2月日本オラクル株式会社クラウド・プラットフォーム事業推進室丸川祐考


はじめに

• 本ドキュメントは、Oracle Cloud Platform を構成するクラウド・サービスのうち、Oracle Compute Cloud およびその上に構築されている PaaS サービスのネットワーク機能についての解説資料です。Oracle Bare Metal Cloud、Oracle Ravello Cloud を含むその他のクラウド・サービスについては対象外となります。

– 本ドキュメントの対象となるクラウド・サービス

• 本ドキュメントは執筆時点のサービス内容に基づいて記載いるため、現在のサービス内容や価格と異なる場合があります。最新の情報については、Oracle Cloudの公式ウェブサイト(http://cloud.oracle.com) にてご確認ください。

Oracle Confidential – Internal 2

• Oracle Compute Cloud Service• Oracle Database Cloud Service – Database as a Service• Oracle MySQL Cloud Service• Oracle Big Data Cloud Service – Compute Edition• Oracle Java Cloud Service

• Oracle Java Cloud Service – SaaS Extension• Oracle Application Container Cloud Service• Oracle SOA Cloud Service• Oracle GoldenGate Cloud Service

http://cloud.oracle.com/


Safe Harbor Statement

以下の事項は、弊社の一般的な製品の方向性に関する概要を説明するものです。また、情報提供を唯一の目的とするものであり、いかなる契約にも組み込むことはできません。以下の事項は、マテリアルやコード、機能を提供することをコミットメント（確約）するものではないため、購買決定を行う際の判断材料になさらないで下さい。オラクル製品に関して記載されている機能の開発、リリースおよび時期については、弊社の裁量により決定されます。

Oracle Confidential – Internal/Restricted/Highly Restricted 3


もくじ


1. 新機能 : SDN 機能(IPネットワーク)

2. Oracle Public Cloud ネットワークの概要

3. Oracle Public Cloud へのネットワーク接続

4. ネットワークのセキュリティ

5. ネットワーク構成パターン


新機能 : Oracle Public Cloud の SDN 機能 (IPネットワーク)

•そもそも SDN って?

– SDN = Software Defined Network、コンピュータネットワークを構成する通信機器を単一のソフトウェアによって集中的に制御し、ネットワークの構造や構成、設定などを柔軟に、動的に変更することを可能とする技術の総称出典 : http://e-words.jp/w/SDN.html

• Oracle Public Cloud で SDN が実装されたということは・・・?

– Oracle Public Cloud の中に、サービスを利用する顧客がネットワークの設定を柔軟に、動的に変更できるようなソフトウェアの機能(GUI、REST API)が実装された、ということです

– Oracle Public Cloud ではSDN機能は「IPネットワーク」という名称になります

5

http://e-words.jp/w/SDN.html



Copyright © 2016, Oracle and/or its affiliates. All rights reserved. | 6

Oracle Public Cloud の SDN 機能 (IPネットワーク)


これまでのOPCネットワーク

• すべてのインスタンスはOracle Cloud全体共有の1つのネットワークのみに所属

• インスタンスを起動すると、Oracleが提供する共通のプライベートIPアドレスのプールからIPアドレスが都度割り振られ、停止したらプールに返還される

• 各インスタンスはそれぞれネットマスク30bitの独立したセグメントに所属

• 全てのインスタンス間通信はL3スイッチを介して伝達

7

単一の共有ネットワーク

Instance1

eth0

Instance2 Instance3 Instance4

eth0 eth0 eth0

共有ネットワーク : 10.32.1.0/24

Instance5

eth0

internet

.22/30 .42/30

Identity Domain 1 Identity Domain 2

.50/30 .134/30 .6/30

NAT

129.152.148.131(グローバルIP)

129.152.148.130(グローバルIP)


• 顧客が自由にサブネット(=IPネットワーク)を構築できる

– サブネットの大きさ、アドレス範囲を自由に設定可能

• インスタンスをIPネットワークに所属させると、仮想NICが追加されサブネット内のIPアドレスが割り当てられる

• 旧来のネットワークは存続(共有ネットワーク)、インターネットへのゲートウェイはこのネットワークを利用

8

Instance1

eth0 eth1

IPネットワーク : 192.168.3.0/24

IPネットワーク : 192.168.2.0/24

IPネットワーク : 192.168.2.0/24

Instance2 Instance3 Instance4

eth1 eth2 eth1 eth2 eth0 eth1

共有ネットワーク : 10.32.1.0/24

Instance5

eth1 eth1

internet

.21 .42.2 .3

Identity Domain 1 Identity Domain 2

.4.2 .3 .2 .3

129.152.148.130(グローバルIP)

129.152.148.131(グローバルIP)

2016年10月以降のOPCネットワーク加えて複数のプライベート・ネットワークが構築可能に

NAT


SDNになると何がうれしいのか?

具体的にはこんなことができるようになります…

1. クラウド上に自由にプライベート・サブネットを構築できる

2. インスタンスのプライベートIPアドレスが固定できる(注) 2016年12月現在REST APIからのみ設定可能

3. インスタンスが複数のネットワーク・インターフェース(vNIC)を持てる

4. VPN(Corente Gateway Services)と組み合わせてオンプレミスとのWANが構成に設定できる(GREトンネル不要)

5. ネットワーク設定と別個にインスタンスの追加/削除ができる(スケールアウト/インに便利)

6. vNICに対してMACアドレスを指定できる(ソフトウェアのライセンスなどでMACアドレスの指定が必要な場合に便利)

9

オンプレミスのようなネットワーク構成がクラウドで実現できる


オフィス

10

オンプレミスで構築したシステムの例

データセンター

Webサーバー

アプリケーションサーバー

データベースサーバー

VPNルーター

VPNルーター

ユーザー

システム管理者

オフィスからVPNで接続

役割でレイヤーを分離

外部からのアクセス用の領域


オフィス

11

Oracle Cloud上にオンプレミスのようなネットワークを仮想的に構築

Oracle Public Cloud

VPN-GW(CorenteServices

Gateway)

VPN-GW

ユーザー

システム管理者

役割でレイヤーを分離

外部からのアクセス用の領域

オフィスからVPNで接続

Web(Compute Cloud Service)

アプリケーション(Java Cloud Service*)

データベース(Database Cloud Service*)

* 2017年1月時点ではJava Cloud Service/Database Cloud ServiceはSDNに未対応です、将来の対応を予定しています


もくじ








Oracle Public Cloud ネットワークの構成要素

• IPネットワーク

• IPネットワーク交換

• 仮想NIC

• VPNゲートウェイ

• 仮想NICセットとルート

•共有ネットワーク

• IP予約(IPリザベーション)

14


IPネットワーク

15

IPネットワーク1192.168.1.0/24

IPネットワーク2192.168.2.0/24

.2 .3 .2 .3


• L2ネットワークを構成

– 最大16bitのサブネットマスクまで(例 : 10.0.0.0 – 10.0.255.255)

– 任意のIPアドレス範囲を設定可(通常はプライベートIPを設定)

– アドレス空間が重複するネットワークを複数設定可

• インスタンスは最大7つまでのIPネットワークに所属できる

– 所属させるとアドレス空間の中からIPアドレスが振られる

– インスタンス作成時(=起動時)のみ可、変更は不可


IPネットワーク交換

16

IPネットワーク1192.168.1.0/24

IPネットワーク2192.168.2.0/24


.2 .3 .2 .3


• IPアドレス空間が重複しないIPネットワーク間のルーティングを構成

• IPネットワーク交換:IPネットワーク = 1:多


仮想NIC

17

インスタンス

eth0

共有ネットワーク : 10.32.1.0/24

.21

eth1 eth2 eth3 eth7

IPネットワーク : 192.168.1.0/24

192.168.2.0/24

192.168.3.0/24

192.168.7.0/24

.2 .2 .2 .2

仮想NIC

• インスタンスあたり最大8つまで

• 同じネットワークには1仮想NICのみ

• インスタンス作成時(=起動時)のみアタッチ可


VPNゲートウェイ

18

インスタンス

eth0

.3

インスタンス

eth0

.4

IPネットワーク(192.168.1.0/24)


eth0

eth1

.2


• Oracle Public Cloud内ネットワークと外部ネットワークとの間で Site-to-site VPN接続を行うためのクラウド側ゲートウェイ

• Corente Services Gateway という仮想アプライアンス・インスタンスが起動

• 複数のゲートウェイを設置した冗長化も可能

internet


仮想NICセットとルート

19

インスタンス

eth0

.3

インスタンス

eth0

.4

IPネットワーク1(192.168.1.0/24)

IPネットワーク2(192.168.2.0/24)



eth0 eth0

eth1 eth1

eth1

.3

eth1

.4

.2 .2

仮想NICセット• 仮想NICをグループ化したもの(一つでもOK)

• 別インスタンスの仮想NICでもOK

• ルートと併せて使用、経路の冗長化

internet192.168.101.0/24

ルート• IPネットワーク/IPネットワーク交換から外部の特定ネットワークに出る経路

• 目標とする外部ネットワーク・アドレス範囲と、そこに到達するための入り口(次ホップ)となる仮想NICセットを定義

• 同ネットワークへの複数ルートを定義した場合に優先順位を定義可、同じ優先順位の場合はECMPが構成される

社内LAN


共有ネットワーク

20

Instance1

eth0 eth1


Instance2

eth1

Data Center 1


Instance3

eth0

Data Center 2


WAN

internet


• データセンターのバックエンドのプライベート・ネットワーク

• 別データセンターのインスタンスへの通信や、IPネットワークの中に入らないクラウド・サービス(Oracle Storage Cloud Serviceなどの非インスタンスのサービス)との通信には利用が必須

• インターネットへの/からのアクセスの際にも後述のIP予約と併せて利用が必須Storage Cloud


IP予約(IPリザベーション) と NAT

21

Instance1

eth0 eth1


Instance2

eth1


internet

IP予約(IPリザベーション)

• インスタンスへのインターネットアクセスのためのグローバルIP、NAT経由で共有ネットワークに接続するインスタンスに届く

• インスタンスにアタッチされていない状態のIP予約に関しては課金対象となる

• Database Cloud Service 等の PaaS サービスの場合はインスタンス作成時に1つのIP予約が生成されインスタンス削除まで保持される

IPNAT

NAT

• IP予約(グローバルIP)をインスタンスに紐付けると設定され、共有ネットワークのプライベートIPアドレスとの1対1変換を行う


Oracle Public Cloud ネットワークの特徴・注意点

• インスタンスに設定するIPネットワークのプライベートIPは、固定(静的)IPアドレス、変動(動的)IPアドレスどちらでも設定可能

– 固定IPアドレスを設定するには、2016年12月現在REST APIを利用する必要がある (GUIには未対応)

– 変動IPアドレスの場合は、インスタンス再起動する度にDHCPサーバーから空きアドレスが割り振られるため、IPアドレスが変わる可能性がある

• 共有ネットワークのプライベートIPは、変動(動的)IPアドレスのみ可能

– インスタンス再起動の度に変わるので、ホスト名による接続を推奨(共有ネットワーク上のDNSにエントリーが設定済)

• サイトを跨るIPネットワークを構築するには、site-to-site VPNをサイト間で構築する



もくじ








Oracle Public Cloud のインスタンスへの接続

• 基本 = パブリック・インターネット接続

– インターネット向けに公開するシステムを作る場合、小規模クラウド利用の場合はこの形

– SSL、SSH(鍵認証)、IPホワイトリスト、SAMLによるID連携などでセキュリティを確保

• VPNや専用線接続を構成

– システムをプライベート・ネットワークに組み込む必要がある場合、大規模利用の場合

– 最初はVPNで開始、利用規模やトラフィックが大きくなれば専用線を検討

– 【注意】一部のサービス(下記)はインターネット接続限定• Oracle Cloudのポータル( https://cloud.oracle.com) 、マイ・サービス、マイ・アカウントなどでの管理作業

• 操作のためのREST API のエンドポイント (https://dbaas.oraclecloud.comなど)

• Oracle Storage Cloud Service / Oracle Database Backup Cloud Service

25

基本的な考え方

https://cloud.oracle.com/

https://dbaas.oraclecloud.com/


SSH トンネリング設定方法（ポートフォワード）

sshにはポートフォワード(port forward)という機能があるsshポート（22番ポート）を経由して、セキュアにリモートサーバの他のポートと接続可能sshなので、通信も暗号化されており、セキュリティの面でも優れている

ローカルPC

DBクライアン

ト

任意のポート（例：18443)

SSHポート（22番ポート)

Cloudインスタンス

OracleDatabase

SSHポート（22番ポート)

OracleDB（例：1521ポート)

①

②

③

④⑤

①：ローカルPC側の空いているポートへアクセス②：ローカルPC側の空いているポートから SSHポート22番へフォワード③：Cloudインスタンス側へはSSH22番ポートで通信注：このポートで常時セッション接続状態にしておく④：SSHポートからDB接続用ポートへフォワード⑤：1521ポートでDatabaseへ接続

①～⑤までの設定はPutty等を使って設定可能

何が出来るか１．SQLDeveloperを使って、SSHトンネリングを利用したDB接続２．SQLDeveloperを使って、Puttyの設定を介してSSHトンネリングを利用したDB接続３．EMを使って、Puttyの設定を介してSSHトンネリングを利用したhttpsでのDB Control接続４．Webアプリを使って Puttyの設定を介してSSHトンネリングを利用したhttpでの接続 (要クラウド側のポート設定)５．SSHポートを直接使った、リモートバッチJOBの実行


Oracle Net のネットワーク経路のセキュア化

1. SSHトンネリング機能の利用 –設定方法

• SQL Developer でのSSHトンネリングの設定例

27

SQL Developer では、接続プロパティの「Advanced」メニューより、SSHトンネリングを直接設定することができます


SSHアクセスの確認

• 作成した Oracle Database Cloud Service インスタンスは、デフォルトで22番ポートが空いており、SSHおよび SFTP でのアクセスができます

• SSH、SFTPアクセスにあたっては、DBCSインスタンス作成時に指定した公開鍵に対応する秘密鍵と、(鍵作成時に設定していた場合には)パスフレーズが必要になります

• OSユーザは以下の2つが用意されています

– opc : SUDO でROOTになることのできるユーザー

– oracle : ORACLEのインストールユーザー

• SSHアクセスにあたっては、以下のドキュメントなどを参考に設定してください

– http://youtu.be/dg6KsEsswpk

– http://docs.oracle.com/cloud/latest/dbcs_dbaas/CSDBI/GUID-6929CE39-6CD7-46C9-8022-929A9844B1C5.htm#CSDBI3437

28

http://youtu.be/dg6KsEsswpk

http://docs.oracle.com/cloud/latest/dbcs_dbaas/CSDBI/GUID-6929CE39-6CD7-46C9-8022-929A9844B1C5.htm












他ポートへの直接アクセスの設定(1/2)

• デフォルトでブロックされているOracle Database Cloud Serviceの各ポートに対しては、Oracle Compute Cloud Service で「セキュリティ・ルール」を設定することにより、直接アクセスすることができるようになります

• DCSインスタンスを作成した際に、以下のセキュリティ・ルールがデフォルトで作成されていますが、SSH以外は無効化されています

29

Oracle Compute Cloud Service コンソールからネットワークボタンを押し下げます

ルール名称ポート使用サービスデフォルト

ora_p2_dbconsole 1158 EM 11g DB Control 無効

ora_p2_dbexpress 5500 EM DB Express 12c 無効

ora_p2_dblistener 1521 SQL*Net 無効

ora_p2_http 80 HTTP 無効

ora_p2_httpadmin 4848 Oracle GlassFIsh Server 無効

ora_p2_httpssl 443 HTTPS(REST, APEX,DBMonitor) 無効

ora_p2_ssh 22 SSH, SFTP 有効


他ポートへの直接アクセスの設定(2/2)

• デフォルト作成のルールを有効化することで、そのポートへのアクセスを許可できます

30

アクセス許可をしたいポートのルールのメニューから「更新」を選択し、ステータスを「Enabled」に変更しますこの例では、1521番ポートへのアクセスを有効化しています

• または、新たにセキュリティ・ルールを作成することで、他のポートへのアクセスを許可したり、アクセスを許可するインスタンスを限定したりといった、細かな設定をすることができます


社内ネットワークからOracle Public CloudへのSSHアクセス

• 通常SSH接続はクライアントから直接サーバへ接続できる環境で行いますが、社内LANなど「インターネットとの接続は必ずプロキシ経由としている」という環境から接続する場合、プロキシ及びファイアウォールが許可しているポート番号を使って、SSHでリモートログインする必要があります

• プロキシやファイアウォールによっては、インターネットゾーンに対する22番ポートのアウトバウンド通信を許可していない場合があります。そのような場合には、ネットワーク管理者に依頼して、Oracle Cloud への22番ポート経由のアクセスを許可してもらう必要があります

31

インターネット

クライアント Oracle Database Cloudインスタンス

22アプリSSH

Proxy / Firewallproxy.mycompany.com

80/443 22

プロキシサーバーからの22番ポートのアウトバウンド通信が許可されている必要があります


プロキシ経由のSSH接続方法の例(1/2)

32

※プロキシサーバーおよびファイアウォールの設定により、本方法ではうまく接続できない場合もあります。その場合には、ネットワーク管理者に、社外のサーバーにSSHアクセスする方法についてお問い合わせください

例えば、WindowsからPuTTYで接続する場合には、接続→プロキシの設定画面にて、プロキシサーバーの• タイプ• ホスト名• ポート番号

を適切に設定する必要があります

PuTTYでのプロキシ設定例


プロキシ経由のSSH接続方法の例(2/2)

33

WinSCPでのプロキシ設定例

~/.ssh/configに以下を追記

Host <任意のエイリアス> User oracle HostName <DCSインスタンスのホスト名> Port 22 ProxyCommand nc -X connect -x <プロキシホスト名>:<ポート> %h %p IdentityFile <秘密鍵ファイル>

Linux クライアントでのプロキシ設定例


プロキシサーバーが22番ポートのアウトバウンド通信を許可しない場合の回避策(案その1)

34

• 接続先のIPアドレスを限定することで、22番ポートでのアウトバウンド通信を許可してもらえる場合

– DBCS/JCSインスタンスを作成した際に割り当てられるパブリックIP(グローバルIP)に対して、22番ポートの開通許可を、社内ネットワーク管理者に申請してください

– 開通許可は、基本的にインスタンス作成毎に必要になります


クライアントインスタンス

アプリSSH


80/443 22 22

sshd

パブリックIPxxx.xxx.xxx.xxx

接続先IPアドレスを限定して22番ポートを開けてもらう



35

• 80番または443番以外に、アウトバウンド通信が許可されているポートがある場合

– DBCSインスタンス(VM)のsshdのリッスンポートに、許可されているポートを追加する(下記例では50001番)

– Compute Cloud のネットワーク設定を行い、DBCSインスタンスの該当ポートを開通させる

– ただし、インスタンス作成後、初回のみはsshd設定のために22番ポートでのSSH接続が必要ですので、社外ネットワークから作業を実施してください



アプリ

SSH


80/443 22

50001

22

50001 sshd

sshdのリッスンポートを追加する



36

• 80番または 443番のみしかアウトバウンド通信を許可していない場合

– Computeインスタンスを別途1つ用意し、そこをssh踏み台(Bastion)インスタンスとする

– 踏み台インスタンスの分の課金が発生します(約12円/時)

– 初回のみはsshd設定のために22番ポートでの接続が必要ですので、ダイヤルアップルーターなど、制限のない回線から実施してください

– (注) 本方式が、社内のネットワーク・アクセス・ポリシーに適合しているかどうかについて、ネットワーク管理者と十分に協議してください



アプリ

SSH


80/443 22

443

22

SSH踏み台インスタンス

443

sshd22

インスタンス

22 sshd


Oracle Cloud との間のSite-to-site VPNの構成例

• クラウド側ゲートウェイ

– Corente Services Gateway• コンピュート・インスタンス上にイメージを展開

• ローカル側ゲートウェイ

方法1. Corente Software Gateway(*1)

• 物理サーバー

• または仮想サーバー

– Oracle VM, VMware, Hyper-V, etc

方法2. ハードウェア機器(*2)

• Cisco 2921 / Cisco ASA5505


(+1) Setting Up VPN from a Corente Services Gateway to an IP Network in Oracle Cloud - https://docs.oracle.com/cloud/latest/stcomputecs/CGIPV/GUID-E434EFA5-BBEC-4647-8A27-F0743C6D203B.htm(*2) Setting Up VPN from a Third-Party Gateway to an IP Network in Oracle Cloud - https://docs.oracle.com/cloud/latest/stcomputecs/TPIPV/GUID-4163901B-514E-4328-8AA1-CE1FE27086DB.htm

方法1 Corente Services Gateway同士でSite-to-site VPNを構築する場合

https://docs.oracle.com/cloud/latest/stcomputecs/CGIPV/GUID-E434EFA5-BBEC-4647-8A27-F0743C6D203B.htm



https://docs.oracle.com/cloud/latest/stcomputecs/TPIPV/GUID-4163901B-514E-4328-8AA1-CE1FE27086DB.htm

























Corente Services Gateway の対向側機器の選択

• 1. 対向側もCorente Services Gatewayを利用する場合

– 仮想アプライアンス・イメージをダウンロードして利用

• VMWare、Xen、Oracle VM

– Corente のソフトウェアをダウンロードし、サーバーにインストールして利用

• 2. 対向側にはIPsecに対応する機器を利用する

– マニュアルに記載されている「サーティファイされるコンフィグレーション(Certified Configuration)」を満たしているIPsec機器であれば、Corente Services Gatewayの対向側機器として利用可能

– 一部の機種については、My Oracle Support に機器側の設定手順が掲載

• Cisco ASA 5505 (Doc ID 2153452.1)

• SonicWall TZ190 (Doc ID 2153603.1)

• Juniper JuneOS15 (Doc ID 2164001.1)

Oracle Confidential – Internal/Restricted/Highly Restricted 38

http://docs.oracle.com/cloud/latest/stcomputecs/CTVPN/GUID-8BD62D32-0D74-48C2-8CF6-53E1D2709454.htm

http://docs.oracle.com/cloud/latest/stcomputecs/CTVPN/GUID-8BD62D32-0D74-48C2-8CF6-53E1D2709454.htm

https://support.oracle.com/epmos/faces/DocumentDisplay?id=2153452.1




VPN 構成別のセットアップ方法とドキュメント

39

※ 2017年2月現在、Database Cloud Service、Java Cloud Service 等のPaaSサービスはIPネットワークに未対応です。PaaSサービスを含むインスタンス群に対して Site-to-site VPN を用いたプライベート・ネットワークを構成するには、GRE Tunnel の設定が必要となります。

接続先サービス

クラウド側プライベートNW

対向側機器ゲートウェイの

冗長化クラウド側GW

セットアップ方法ドキュメント

Compute Cloud

ServiceのみIPネットワーク

Corente 冗長化なし OrchestrationSetting Up VPN from a Corente Services Gateway to an IP Network in Oracle Cloud

IPsec機器冗長化なし

コンソール Using Oracle Compute Cloud Service (IaaS) - Setting Up VPN

OrchestrationSetting Up VPN from a Third-Party Gateway to an IP Network in Oracle Cloud

Active-Active HA Orchestration Configuring Active-Active HA

PaaSサービスを含む

GREトンネル※

Corente 冗長化なし OrchestrationSetting Up VPN from Corente Services Gateway On-Premises to the Shared Network

IPsec機器冗長化なし

コンソール Using Oracle Compute Cloud Service (IaaS) - Setting Up VPN

OrchestrationSetting Up VPN from a Third-Party Gateway On-Premises to the Shared Network

Active-Active HA Orchestration Configuring Active-Active HA

http://docs.oracle.com/cloud/latest/stcomputecs/CGIPV/toc.htm





https://docs.oracle.com/cloud/latest/stcomputecs/STCSG/GUID-07FAD4A9-DDE4-4391-BB9C-EA4784552EDA.htm








http://docs.oracle.com/cloud/latest/stcomputecs/TPIPV/toc.htm




https://docs.oracle.com/cloud/latest/stcomputecs/TPIPV/GUID-ED24A26C-90FA-40CA-A7B0-F8E09A8CA80B.htm




http://docs.oracle.com/cloud/latest/stcomputecs/MCVPN/toc.htm















http://docs.oracle.com/cloud/latest/stcomputecs/CTVPN/toc.htm











もくじ








Oracle Public Cloud 上のインスタンスへの接続の制御

41

• Oracle Pulbic Cloudの共有ネットワーク上には、オンプレミス<->クラウドあるいはクラウド<->クラウドの通信を制御するためのソフトウェア・ファイアウォール機能が付属しています

• GUIやREST APIを使い、インスタンスのグループ(ネットワーク・セグメントに相当)や、疎通ポート、外部IPのホワイトリストなどを、セキュリティ・ルールとして設定することができます

セキュリティIPリスト

セキュリティIPリスト

Oracle Cloud (アイデンティティ・ドメイン)

セキュリテイ・リストBセキュリティ・リストA

Javaインスタンス 1160.34.xxx.xxx

Java インスタンス 2160.34.xxx.xxy

DBインスタンス 1160.34.xxx.xxz

DBインスタンス 2160.34.xxx.xyx

セキュリティ・ルール設定例

80

4431521 22

全てのGlobal IP0.0.0.0/0

特定のIP範囲138.99.xxx.0/26

0

http/https ssh


Oracle Public Cloud ネットワークの設定方法

42

1. クリック2. クリック

• ソフトウェア・ファイアウォールなどのネットワークの設定をGUIで操作する際は、Compute Cloud Service のサービス・コンソールから行います

1. マイ・サービスから、Compute Cloud Service を選択

2. ネットワークタブをクリック


Oracle Public Cloudネットワークセキュリティ設定のトポロジ

43

②セキュリティ・リスト8

1

③セキュリティ・ルール

n

n n

④セキュリティ・アプリケーション

1

⑤セキュリティIPリスト

1

①インスタンスn

①インスタンスOracle Cloud(PaaS / IaaS) が稼働する仮想マシン

②セキュリティ・リスト通信の許可/拒否設定を行う単位、インスタンスはこのセキュリティ・リストに所属することを通じてファイアウォール設定が有効になる

同じセキュリティ・リストに所属するインスタンス間では、基本的にすべての通信が許可される

③セキュリティ・ルールファイアウォールを定義する中核の設定セキュリティ・リストに対し通信の許可/拒否を設定するもの

④セキュリティ・アプリケーション通信プロトコルとポート範囲を定義するもの、主要なものは事前定義済

⑤セキュリティIPリストIP範囲に名称をつけて定義するもので、クラウド内外いずれも指定できる。例えば顧客の社内ネットワークのゲートウェイIPを指定することで、特定のネットワークを識別することができる。


セキュリティ・リストとインスタンス

Ins 1 Ins 2 Ins 3 Ins 4

セキュリティ・リストA セキュリティ・リストB

外部からセキュリティ・リスト内への通信

インバウンド・ポリシーに従う(デフォルトはDENY = 全て拒否)

セキュリティ・リスト内から外部への通信

アウトバウンド・ポリシーに従う(デフォルトはPERMIT = 全て許可

セキュリティ・リスト内は通信可能


セキュリティ・リスト作成画面

拒否（Deny）接続を許可せず応答も返さない

却下（Reject）接続を許可しないが応答は返す

許可（Permit）接続を許可(アウトバンド・ポリシーのみ設定可能)


セキュリティ・ルール

セキュリティ・アプリケーション通信プロトコルとポート範囲何について

どこから

どこへ

•セキュリティ・リスト•セキュリティIPリスト

•セキュリティ・リスト•セキュリティIPリスト

セキュリティIPリストIP範囲に名称をつけて定義クラウド内外いずれも指定可能

有効 / 無効を切り替える


IP Secのケース

セキュリティ・アプリケーション


セキュリティ・アプリケーション

PPTPでVPNするケース


セキュリティ・リスト関連の注意事項

• セキュリティ・リストの事後設定の注意

–インスタンスに対してあとから設定したセキュリティ・リストはインスタンス停止→開始時にクリアされる

–インスタンス作成時に定義するのが推奨

• マルチサイト環境での注意

–サイトごとにセキュリティ設定が必要（サイトをまたがれない）

–あるサイトで定義されているセキュリティ・リストを別のサイトで参照できない

–サイトをまたがる構成はセキュリティIPリストを作成し、予約IPを指定する

49


もくじ








ネットワーク構成パターン

• 社内ネットーワークとOracle CloudをインターネットVPNで接続

• インターネットからのアクセス経路はなし

• Oracle Cloud内は単一のIPネットワークを構成

1. シンプルなプライベート・ネットワークの例

Instance1

eth0

IPネットワーク : 192.168.1.0/24

Instance2 Instance3 VPN

eth1 eth2 eth0eth1

共有ネットワーク : 10.32.1.0/24

internet

.42.3 .4 .5 .2

129.152.148.131

NAT

社内

社内

Oracle Cloud

凡例

インスタンス

VPN接続

共有ネットワークルート

IPネットワークIPネットワーク交換

51


ネットワーク構成パターン

• インターネットからアクセスするWebアプリケーション・システム

• フロントエンド(Webサーバー)とバックエンド(AP,DBサーバー)でサブネットを分離

• 社内ネットーワークとOracle CloudをインターネットVPNで接続(SSH踏み台サーバーでも可)

2. インターネット・アプリケーションの例

Web

eth1

IPNetwork: 192.168.1.0/24

AP* DB* VPN

eth0 eth0eth1.42.3 .26 .2

129.152.148.131

社内

社内

Oracle Cloud

eth0.22

internet

129.152.18.16

Webユーザー

凡例

インスタンス

VPN接続

共有ネットワークルート

IPネットワークIPネットワーク交換

52

eth1.4

eth0.126

共有ネットワーク : 10.32.1.0/24 NATNAT


Data & Analytics

Oracle Public Cloud ネットワーク機能詳細