Oracle Cloud Infrastructure上のAlkiraでクラウドネットワークの接続とセキュリティポスチャを最適化 (2022/03/31)
Oracle Cloud Infrastructure上のAlkiraでクラウドネットワークの接続とセキュリティポスチャを最適化 (2022/03/31)
投稿者：Arun Poonia | Principal Solutions Architect
Ken Guo | Technical Marketing Engineer
オラクルはAlkiraと提携し、マルチクラウドネットワークの導入を大幅に簡素化し、Oracle Cloud Infrastructure（OCI）のワークロードの接続性と安全性を提供します。このブログでは、OCIとAlkira Cloud Service Exchange（CSX）の統合の概要を説明します。これにより、企業は仮想クラウドネットワーク（VCN）を搭載し、ワークロードとアプリケーションを、CSXが提供するシンプルさ、拡張性、および均一なセキュリティで接続できるようになります。
ソリューション概要
Alkira Cloud Services Exchangeは、業界初のCNaaS（Cloud Networking as-a-Service）ソリューションです。Alkira CSXは、グローバルに相互接続されたAlkira Cloud Exchange Point（CXP）、フルルーティングスタックとネットワークサービス機能を備えた仮想マルチクラウドポイント、およびAlkira CSXポータルからなる高可用性と耐障害性に優れたネットワークで構成されています。
この統合により、OCI VCNをAlkira CXPのクラウドコネクターとして追加するプロセスが自動化され、VCNが企業のオンプレミスおよびマルチクラウドネットワークに接続されます。これにより、VCNはAlkira CXPを使用して、VCN間の東西トラフィック、VCNからオンプレミスへの南北トラフィック、およびワークロードからのインターネット向けトラフィックを自動ルーティングできるようになります。
Alkiraのソリューションには、以下のような機能があります。
- NATポリシーの設定により、Alkiraプラットフォームに接続されたVCN間のIPアドレス範囲の重複を解消
- ルーティングポリシーを設定し、ブラウンフィールド統合のためのルーティング情報の配布を制御
- エンド・ツー・エンドのセグメンテーションを適用して、OCIワークロードを分離し、セキュリティ攻撃対象領域を縮小
- Alkira CXP内にデプロイされたファイアウォールによるトラフィックを検査するためのサービスチェイニングを追加
統合アーキテクチャ
OCIからAlkiraへのデータプレーン接続を実現するための主なコンポーネントは、Alkira CXPをOCI内のダイナミックルーティングゲートウェイ（DRG）に接続することです。Alkira CXPは、ハイパースケールのパブリッククラウドインフラを活用して世界中に分散している仮想のマルチクラウドプレゼンスポイントです。DRGはOCIの仮想ルーターで、ローカルVCN、IPSec VPNトンネル、仮想サーキットを接続できる地域的なスコープを持っています。
アルキラでは、以下のアーキテクチャ図に示すように、顧客のOCIアカウント内のDRGを、リージョンのCXPとOracle VCN間の接続に使用しています。DRGは、リージョンのVCNを接続し、最低でもCXPへのデュアルIPSec VPNトンネルを確立するために使用されます。また、各アタッチメントに合わせた複数のルーティングテーブルを作成し、要件に応じてトラフィックフローを変更するために使用することも可能です。
このアーキテクチャにより、以下のような成果が得られる。
- Alkira CXP は DRG と BGP（Border Gateway Protocol）を用いて経路交換を行い、VCN の経路を学習します。同様に、DRG は CXP からオンプレミスネットワークや他のクラウドネット ワークを学習します。
- ローカル VCN は DRG のアタッチメントを使用して、Alkira CXP が広告するネットワークに到達します。
- DRGは、CXPからのVPNアタッチメント用と、必要に応じてVCN用を含む複数のルーティングテーブルを使用します。そして、ルートインポートは、ルートテーブル間で相互に選択的にルートを再分配します。
図1：統合アーキテクチャ
統合の2つ目の要素は、OCI APIを使用して、DRG、添付ファイル、およびルートインポートの配布のプロビジョニングを自動化することです。管理者がAlkira CSXポータル内でAPIクレデンシャルを安全に提供した後、数回クリックするだけでVCNを搭載することができます。Alkiraはこのクレデンシャルを使用して、必要なインフラ構成ステップをすべて舞台裏で実現します。同時に、Alkiraのコントロールプレーンは、VCNに関連するグローバルポリシーをシームレスに適用し、必要に応じてルーティングコントロールを動的に伝播させます。
デプロイメントユースケース
Alkira CNaaSソリューションは、OCI環境内にデプロイされたVCNにネットワークとセキュリティを提供し、他のクラウドプロバイダやオンプレミス環境で動作するワークロードに接続するタスクを簡素化します。組織は、統合の概要で説明したように、Alkiraソリューションを使用して多くのユースケースを作成することができます。このユースケースでは、製品をよりよく理解するために、2つの異なるOCIリージョンにVCNを展開し、それに応じてトラフィックをルーティングしています。
前提条件
- Oracle Cloudのアカウント。アカウントをお持ちでない場合は、Oracle Cloud Free Tierアカウントにサインアップ
- virtual-network-familyを管理するために必要な権限
- Alkira CSXプラットフォームのアカウント
トポロジー
図2：ネットワークトポロジー
コンフィギュレーション
このセクションでは、導入に必要な要件の概要を説明します。
Alkira CSX プラットフォームの既存の OCI クレデンシャルをオンボード OCI に追加するために、必要なパラメータを追加します。
図3：AlkiraポータルでのOCI認証情報の追加
Alkira CXPごとに、対応するリージョンのVCNを 「OCIコネクタ」として追加します。
図4：OCIコネクタの追加
使用する認証情報と一致するOCIリージョンを選択します。
図5：OCIリージョンの選択
AlkiraにオンボードするVCNを選択します。
図6：搭載するVCNを選択
サブネットとルーティングの環境設定
最後に、搭載するサブネットやAPIでプログラムするルートテーブルなど、ネットワークに関するパラメータを設定します。変更した内容をプロビジョニングして完了です。
図7：ネットワーク・パラメーターの設定
検証
Alkira CSXのプロビジョニングが完了したら、Alkiraが作成したDRGと相互のVCNルートテーブルを確認することで、VCNが適切に統合されていることを検証できます。
以下のスクリーンショットでは、VPNトンネルを添付して作成されたDRGと、統合されたVCNが添付されていることが確認できます。VCNアタッチメントは別のコンパートメントにデプロイされているため、表示されていません。
図8：DRGのアタッチメントを検証する
同様に、統合VCN内のサブネットが使用するルートテーブルを検証すると、DRGがネクストホップとして設定された対応ルートが確認できます。オンボーディングプロセスでは、スクリーンショットに示したデフォルトルート以外のオプションを選択することができます。
図9：VCNルートテーブルの検証
まとめ
この記事では、OCI を Alkira クラウドネットワーク as-a-service プラットフォームに統合し、Alkira を通じて VCN へのマルチクラウド接続を可能にするアーキテクチャを説明します。Oracle Cloud Infrastructure向けのAlkira cloud network as-a-serviceソリューションの詳細について知りたいですか？今すぐAlkiraとOracle Cloud Marketplaceをご確認ください。
コメント
コメントを投稿