このオプションは、概念実証または開発作業を行うときに役立ちます。

インターネット・ゲートウェイをVCNとともに使用する場合、またはパブリック・ネットワークのみで実行され、データベースへのアクセスが必要なサービスがある場合は、この設定を本番で使用できます。次の図および説明を参照してください。

次を設定します:

• サブネット:

  • パブリック・クライアント・サブネット(パブリックとは、サブネット内のリソースが任意でパブリックIPアドレスを持つことができることを意味します)。
  • プライベート・バックアップ・サブネット(プライベートとは、サブネット内のリソースがパブリックIPアドレスを持つことができず、インターネットからの着信接続を受信できないことを意味します)。

• VCNのゲートウェイ:

  • インターネット・ゲートウェイ(クライアント・サブネットで使用)。
  • サービス・ゲートウェイ(バックアップ・サブネットで使用)。オプション1: バックアップ・サブネットのOCIサービスへのサービス・ゲートウェイ・アクセスも参照。

• ルート表:

  • 0.0.0.0/0およびターゲット = インターネット・ゲートウェイのルートを含むパブリック・クライアント・サブネットのカスタム・ルート表。
  • サービスCIDRラベル(CIDRラベルについては、サービス・ゲートウェイの概要および使用可能なサービスCIDRラベルを参照)、およびターゲット = サービス・ゲートウェイのルート・ルールを含むプライベート・バックアップ・サブネットの個別のカスタム・ルート表。オプション1: バックアップ・サブネット用のOCIサービスへのサービス・ゲートウェイ・アクセスも参照。
• Exadata仮想マシンのコンピュート・ノードとの間で必要なトラフィックを有効化するセキュリティ・ルール。Oracle Exadata Database Service on Dedicated Infrastructureのセキュリティ・ルールを参照してください。
• Exadata Cloud Serviceインスタンスのコンピュート・ノード上のオブジェクト・ストレージへのノード・アクセス: 静的ルート(バックアップ・サブネットを介したOCIサービスへのアクセスを有効にするため)。

本番システムにはプライベート・サブネットをお薦めします。

どちらのサブネットもプライベートであるため、インターネットからはアクセスできません。次の図および説明を参照してください。

次を設定します:

• サブネット:
  • プライベート・クライアント・サブネット。
  • プライベート・バックアップ・サブネット。
• VCNのゲートウェイ:
  • FastConnectまたはIPSec VPNでオンプレミス・ネットワークに接続する動的ルーティング・ゲートウェイ(DRG) (クライアント・サブネットで使用)。
  • サービス・ゲートウェイバックアップ用のオブジェクト・ストレージ、OS更新用のYUM、IAM (Identity Access Management)およびOCI Vault (KMS統合)などのOCIサービスへのアクセスにバックアップ・サブネットおよびクライアント・サブセットで使用するオプション2: クライアント・サブネットとバックアップ・サブネットの両方に対するOCIサービスへのサービス・ゲートウェイ・アクセスも参照してください。
  • NATゲートウェイ(オプション)。クライアント・サブネットで使用して、サービス・ゲートウェイでサポートされていないパブリック・エンドポイントにアクセスします。
• ルート表:
  • 次のルールを含む、プライベート・クライアント・サブネットのカスタム・ルート表:
    • オンプレミス・ネットワークのCIDRおよびtarget = DRGのルール。
    • All <region> Services in Oracle Services Networkおよびtarget = the service gatewayというサービスCIDRラベルのルール。Oracle Services Networkは、Oracleサービス用に予約されているOracle Cloud Infrastructureの概念的なネットワークです。このルールによって、クライアント・サブネットがOSの更新のためにリージョンのOracle YUMリポジトリにアクセスできるようになります。また、オプション2: オブジェクト・ストレージとYUMリポジトリの両方へのサービス・ゲートウェイ・アクセスも参照してください。
    • オプションで、0.0.0.0/0、およびtarget = NAT gatewayのルール。
  • 1つのルールを含む、プライベート・バックアップ・サブネットの別のカスタム・ルート表:
    • クライアント・サブネット用と同じルール: サービスCIDRラベルがAll <region> Services in Oracle Services Networkおよびtarget = the service gatewayです。このルールは、バックアップ・サブネットがバックアップのためにリージョンのオブジェクト・ストレージにアクセスできるようにします。
• Exadataノードとの間で必要なトラフィックを有効化するセキュリティ・ルール。Exadata Cloud Serviceインスタンスのセキュリティ・ルールを参照してください。
• オプションで、他のOCIサービス(VMクラスタ、仮想マシン)へのコンピュート・ノード上の静的ルートを追加し、サービスが、NATゲートウェイを使用するなどのクライアント・サブネットを介してではなく、バックアップ・サブネット上でのみ到達可能な場合、アクセスを可能にします。

IPアドレスは、特にExadata Cloud Infrastructure VMクラスタ(つまり、SCN)が複数のリージョンにある場合、重複してはいけません。

複数のリージョンでExadata Cloud Infrastructure VMクラスタ(つまり、VCN)を設定する場合は、VCNのIPアドレス空間が重複しないようにしてください。これは、Oracle Data Guardでディザスタ・リカバリを設定する場合に重要です。

Exadata X8以下の場合、Exadata Cloud Infrastructure VMクラスタ用に作成する2つのサブネットは、192.168.128.0/20と重複しないようにする必要があります。

Exadata X8M、X9MおよびX11Mの場合、IPアドレス100.64.0.0/10はインターコネクト用に予約されているため、クライアントまたはバックアップVCNsおよびデータベース・クライアントには使用しないでください。

次の表に、各VMクラスタ・サイズのExadata VMインフラストラクチャに応じて、最小限必要なサブネット・サイズを示します。クライアント・サブネットでは、各ノードが4つのIPアドレスを必要とし、さらに、3つのアドレスが単一クライアント・アクセス名(SCAN)用に予約されています。バックアップ・サブネットでは、各ノードに3つのアドレスが必要です。

手順については、オブジェクト・ストレージへのノード・アクセス: 静的ルートを参照してください。

DNSを使用すると、IPアドレスのかわりにホスト名を使用してExadata Cloud Infrastructureインスタンスと通信できます。

仮想クラウド・ネットワークのDNSで説明されているように、Internet and VCN Resolver (VCNに組み込まれたDNS機能)を使用できます。クライアント・サブネットのDNS名前解決にはVCN Resolverを使用することをお薦めします。Exadataインスタンスでのデータベースのバックアップ、クラウド・ツールのパッチ適用および更新に必要なSwiftエンドポイントが自動的に解決されます。

インターネットおよびVCNリゾルバにより、データベースのSCANのラウンドロビン解決が有効になります。Exadata Cloud Infrastructureインスタンスでのデータベースのバックアップ、クラウド・ツールのパッチ適用および更新に必要な重要なサービス・エンドポイントの解決も行えます。Internet and VCN Resolverは、VCN内のDNSに対するVCNのデフォルトの選択肢です。詳細は、仮想クラウド・ネットワークのDNSおよびDHCPオプションを参照してください。

VCN、サブネットおよびExadataを作成する場合、VCNのDNSに関連して次の識別子を慎重に設定する必要があります:

• VCNドメイン・ラベル
• サブネット・ドメイン・ラベル
• Exadata Cloud InfrastructureインスタンスのクラウドVMクラスタ・リソースのホスト名接頭辞

これらの値は、ノードの完全修飾ドメイン名(FQDN)を構成します:

<hostname_prefix>-######.<subnet_domain_label>.<vcn_domain_label>.oraclevcn.com

例:

exacs-abcde1.clientpvtad1.acmevcniad.oraclevcn.com

この例では、クラウドVMクラスタの作成時に、ホスト側の接頭辞としてexacsを割り当てます。データベース・サービスによって、ハイフンと、5文字の文字列、末尾のノード番号が自動的に追加されます。例:

• ノード1: exacs-abcde1.clientpvtad1.acmevcniad.oraclevcn.com
• ノード2: exacs-abcde2.clientpvtad1.acmevcniad.oraclevcn.com
• ノード3: exacs-abcde3.clientpvtad1.acmevcniad.oraclevcn.com
• など

ホスト名の接頭辞の要件:

• 推奨最大文字数: 12文字。詳細は、「VCNおよびサブネット・ドメイン・ラベルの要件」の例を参照してください。
• 文字列localhostにすることはできません

VCNおよびサブネット・ドメイン・ラベルの要件:

• 推奨最大文字数: それぞれ14文字。基礎となる実際の要件は、両方のドメイン・ラベルで合計28文字です(ラベル間のピリオドは除く)。たとえば、subnetad1.verylongvcnphxまたはverylongsubnetad1.vcnphxのどちらも使用できます。簡単にするために、推奨はそれぞれ14文字です。
• ハイフンまたはアンダースコアは使用できません。

• 推奨: VCNのドメイン・ラベルにリージョン名を含め、サブネットのドメイン・ラベルに可用性ドメイン名を含めます。

• 一般に、FQDNの最大合計制限は63文字です。安全な一般ルールを次に示します:

  <12_chars_max>-######.<14_chars_max>.<14_chars_max>.oraclevcn.com

VCNおよびサブネットの作成時、前述の最大値は強制されません。ただし、ラベルが最大を超えると、Exadataデプロイメントは失敗します。

オンプレミス・ホストとVCNリソースが相互に通信するときにホスト名を使用できるように、プライベートDNSリゾルバを使用することをお薦めします。

プライベート・リゾルバの作成および使用の詳細は、プライベートDNSリゾルバを参照してください。リファレンス・アーキテクチャについては、Oracle Architecture CenterのVCNでのプライベートDNSの使用を参照してください。

プライベートDNSを使用するために必要な前提条件。

• VMクラスタ・プロビジョニングを起動する前に、プライベート・ビューおよびプライベート・ゾーンを作成する必要があります。詳細は、プライベートDNSリゾルバを参照してください。
• 別のDNSサーバーへの転送は、事前にDNSコンソールで設定する必要があります。これを行うには、VCNのリゾルバに移動し、エンドポイントを作成してからルールを作成します。詳細は、Virtual Cloud NetworkのDNSを参照してください。
• プライベートゾーンの名前は4つを超えるラベルを持つことはできません。たとえば、a.b.c.dは許可されますが、a.b.c.d.eは許可されません。
• VCNのリゾルバにプライベート・ビューを追加する必要もあります。詳細は、「リゾルバへのプライベート・ビューの追加」を参照してください。
• プライベートDNS機能を使用してExadata VMクラスタをプロビジョニングする場合、ExadataはExadata VMクラスタのコンパートメントにリバースDNSゾーンを作成する必要があります。コンパートメントにタグまたはタグのデフォルトが定義されている場合は、タグの管理に関連する追加のポリシーが必要です。詳細は、次を参照してください:
  • 定義済タグの作業に必要な権限
  • タグのデフォルトの作業に必要な権限

このトピックでは、VCNのホストに不可欠な接続性を有効にする、いくつかの一般ルールを示します。

セキュリティ・リストを使用してセキュリティ・ルールを実装する場合、デフォルトで次のルールがデフォルトのセキュリティ・リストに含まれることに注意してください。リストを更新または置換して、特定のセキュリティ・ニーズを満たします。Oracle Cloud Infrastructure環境内でネットワーク・トラフィックが適切に機能するには、2つのICMPルール(一般イングレス・ルール2および3)が必要です。一般イングレス・ルール1 (SSHルール)と一般エグレス・ルール1を調整して、VCNのリソースと通信する必要があるホスト間のみでトラフィックを許可します。

• 一般イングレス・ルール1: 任意の場所からのSSHトラフィックを許可する
  
• 一般イングレス・ルール2: Path MTU Discovery断片化メッセージを許可する
  
• 一般イングレス・ルール3: VCN内の接続エラー・メッセージを許可する
  このルールにより、VCN内のホストは相互に接続エラー・メッセージを受信できるようになります。
• 一般エグレス・ルール1: すべてのエグレス・トラフィックを許可する
  

クライアント・ネットワークには、次のセキュリティ・ルールが重要です。

• クライアント・イングレス・ルール1: クライアント・サブネット内からのONSおよびFANトラフィックを許可する
  最初のルールが推奨され、Oracle Notification Services (ONS)で高速アプリケーション通知(FAN)イベントについて通信できるようになります。
• クライアント・イングレス・ルール2: クライアント・サブネット内からのSQL*NETトラフィックを許可する
  これは、SQL*NETトラフィックに関するルールであり、次の場合に必要です:
• クライアント・エグレス・ルール1: クライアント・サブネット内のすべてのTCPトラフィックを許可する
  このルールは、SQL*NETトラフィックに対するものです。
• クライアント・エグレス・ルール2: すべてのエグレス・トラフィックを許可する(Oracle YUMリポジトリへの接続の許可)
  クライアント・エグレス・ルール3は、Oracle YUMリポジトリへの接続を許可するため重要です。

次のセキュリティ・ルールは、VMクラスタがサービス・ゲートウェイを介してオブジェクト・ストレージと(また、クライアント・ネットワークにアクセス権がない場合にはオプションでOracle YUMリポジトリと)通信できるようにするため、バックアップ・ネットワークにとって重要です。

これは、一般的なエグレス・ルール1: すべてのエグレス・トラフィックを許可と重複します。これはオプションですが、一般エグレス・ルール(またはデフォルトのセキュリティ・リスト)が誤って変更された場合に備えて推奨されます。

• バックアップ・エグレス・ルール: オブジェクト・ストレージへのアクセスを許可する
  

コンピュート・インスタンス・メトリックをイベント・サービスに送信できるようにするには、コンピュート・インスタンスにパブリックIPアドレスまたはサービス・ゲートウェイが必要です。

コンピュート・インスタンスがコンピュート・インスタンス・メトリックをイベント・サービスに送信できるようにするには、デフォルトのエグレス・ルールで十分です。

インスタンスにパブリックIPアドレスがない場合は、仮想クラウド・ネットワーク(VCN)上にサービス・ゲートウェイを設定します。サービス・ゲートウェイにより、インスタンスは、トラフィックがインターネットを経由することなく、コンピュート・インスタンス・メトリックをイベント・サービスに送信できます。イベント・サービスにアクセスするためのサービス・ゲートウェイの設定に関する特別な注意事項を次に示します:

• サービス・ゲートウェイを作成する場合は、「Oracle Services Networkのすべての<region>サービス」というサービス・ラベルを有効にします。これには、イベント・サービスが含まれます。

• インスタンスが含まれるサブネットのルーティングを設定するときに、「ターゲット・タイプ」を「サービス・ゲートウェイ」に、「宛先サービス」を「Oracle Services Networkのすべての<region>サービス」に設定して、ルート・ルールを設定します。

  詳細な手順は、Oracle Servicesへのアクセス: サービス・ゲートウェイを参照してください。

コンピュート・インスタンス・メトリックをモニタリング・サービスに送信できるようにするには、コンピュート・インスタンスにパブリックIPアドレスまたはサービス・ゲートウェイが必要です。

コンピュート・インスタンスがコンピュート・インスタンス・メトリックをモニタリング・サービスに送信できるようにするには、デフォルトのエグレス・ルールで十分です。

インスタンスにパブリックIPアドレスがない場合は、仮想クラウド・ネットワーク(VCN)上にサービス・ゲートウェイを設定します。サービス・ゲートウェイにより、インスタンスは、トラフィックがインターネットを経由することなく、コンピュート・インスタンス・メトリックをモニタリング・サービスに送信できます。モニタリング・サービスにアクセスするためのサービス・ゲートウェイの設定に関する特別な注意事項を次に示します:

• サービス・ゲートウェイを作成する場合は、「Oracle Services Networkのすべての<region>サービス」というサービス・ラベルを有効にします。これには、モニタリング・サービスが含まれています。

• インスタンスが含まれるサブネットのルーティングを設定するときに、「ターゲット・タイプ」を「サービス・ゲートウェイ」に、「宛先サービス」を「Oracle Services Networkのすべての<region>サービス」に設定して、ルート・ルールを設定します。

  詳細な手順は、Oracle Servicesへのアクセス: サービス・ゲートウェイを参照してください。

OCIコンソールで、オブジェクト・ストレージへのサービス・ゲートウェイを作成します。サービス・ゲートウェイは、自動化の更新および構成メタデータに必要です。