在甲骨文云OCI云上部署Oracle Siebel和Palo Alto VM系列防火墙：实现企业级安全与高效业务协同

使用Palo Alto Networks VM系列防火墙在Oracle云基础设施中保护和隔离您的Oracle Siebel工作负载，预防高级威胁，并提高应用程序可见性。

Palo Alto VM系列是Palo Alto Networks下一代防火墙的虚拟化形态，它能帮助您实现以下目标：

• 减少攻击面并引入威胁预防。
• 网络安全自动化，确保安全和按需扩展。
• 跨不同部署一致管理网络安全。

架构

此架构展示了在Oracle云基础设施（OCI）中使用Palo Alto Networks VM系列防火墙的Oracle Siebel部署。

Palo Alto Networks（PAN）VM可以直接从OCI控制台的市场部署。使用此参考架构作为指导，直接与Palo Alto Networks合作验证您的设计至关重要。Palo Alto Networks和多个OCI VCN部署，如架构图所示，允许您控制南北和东西向流量：

• 南北向流量：Palo Alto Networks VM确保来自不受信任源的云网络进入的流量，或您的云网络到达不受信任源的流量的安全。
• 东西向流量：Palo Alto Networks VM确保在云环境内部的虚拟云网络（VCNs）之间移动的流量的安全。 尽管Palo Alto Networks建议使用中心枢纽和辐射拓扑来分割网络，其中流量通过中心枢纽路由并连接到多个不同的网络（辐射），但在下面的架构中，所有南北向和东西向流量都被认为是通过PAN VM系列防火墙进行额外安全处理。这取决于公司的安全标准和要求。

所有Oracle Siebel内部和外部流量都应通过Palo Alto Networks VM。没有在VCNs之间设置本地对等连接，这意味着Siebel应用程序子网和Siebel数据库子网之间的任何流量都应通过Palo Alto Networks VM进行更高级和增强的安全处理。

以下图表说明了这一参考架构。

该架构包含以下组件：

地域

• Oracle云基础设施地域是包含一个或多个数据中心的本地化地理区域，这些数据中心称为可用性域。地域彼此独立，它们之间可以相隔很远的距离（跨越国家甚至大陆）。

隔离区

• 隔离区是Oracle云基础设施租户内的跨地域逻辑分区。使用隔离区来组织您在Oracle云中的资源，控制对资源的访问，并设置使用配额。为了控制对给定隔离区中资源的访问，您需要定义策略，指定谁可以访问资源以及他们可以执行的操作。

可用性域

• 可用性域是地域内独立的、独立运行的数据中心。每个可用性域中的物理资源与其他可用性域中的资源隔离，提供故障容忍。可用性域不共享基础设施，如电力或冷却系统，或内部可用性域网络。因此，一个可用性域的故障不太可能影响该地域中的其他可用性域。

故障域

• 故障域是一个可用性域内的硬件和基础设施分组。每个可用性域有三个具有独立电源和硬件的故障域。当您将资源分布在多个故障域中时，您的应用程序可以承受物理服务器故障、系统维护和故障域内的电力故障。

虚拟云网络（VCN）和子网

• VCN是您在Oracle云基础设施地域中设置的可定制的、软件定义的网络。就像传统的数据中心网络一样，VCN让您完全控制您的网络环境。VCN可以有多个不重叠的CIDR块，您可以在创建VCN后更改它们。您可以将VCN划分为子网，这些子网可以被限定在一个地域或一个可用性域内。每个子网由不与VCN中其他子网重叠的连续地址范围组成。您可以在创建后更改子网的大小。子网可以是公共的或私有的。
• 为了在OCI中部署VM系列防火墙，您的VCN必须至少有三个虚拟网络接口卡（VNICs），用于管理接口和两个数据接口。

PAN VM系列防火墙

• Palo Alto Networks VM系列防火墙是Palo Alto Networks下一代防火墙的虚拟化形式。它适用于虚拟化或云环境中，可以保护和确保东西向和南北向流量的安全。

负载均衡器

• Oracle云基础设施负载均衡服务提供了从一个入口点到您的VCN中可达的多个服务器的自动流量分配。该服务提供了一个具有公共或私有IP地址的负载均衡器，并提供预配带宽。负载均衡器提高资源利用率，促进扩展，并帮助确保高可用性。您可以配置多个负载均衡策略和特定于应用的健康检查，以确保负载均衡器仅将流量引导到健康实例。负载均衡器可以通过在您将其从服务中移除进行维护之前从不健康的应用服务器中排出流量，减少您的维护窗口。负载均衡服务使您能够在VCN内创建公共或私有负载均衡器。公共负载均衡器具有从互联网可访问的公共IP地址。私有负载均衡器具有来自托管子网的IP地址，仅在您的VCN内可见。将为未来需求创建私有或公共负载均衡器的专用子网。针对任何面向互联网的Web应用程序或基于HTTP的API，将考虑与Oracle云基础设施Web应用程序防火墙（WAF）结合使用的OCI公共负载均衡器。

应用层

• 应用层包括用于Oracle Siebel 2021应用程序的计算实例。在此设计中，应用程序部署在虚拟机中，应用层中的所有计算实例都连接到一个私有子网。因此，应用程序在网络层面上与拓扑中的所有其他资源隔离，并且免受未授权网络访问的影响。NAT网关使应用层中的私有计算实例能够访问云外的主机（例如，下载应用程序补丁或进行任何外部集成）。通过NAT网关，私有子网中的计算实例可以启动连接到互联网并接收响应，但不会接收来自互联网上主机的任何入站连接。服务网关使应用层中的私有计算实例能够在该地域内访问Yum服务器以获取操作系统更新和额外的软件包。服务网关还使您能够在不经过公共互联网的情况下将应用程序备份到该地域内的Oracle云基础设施对象存储。应用层中的组件可以访问共享的Oracle云基础设施文件存储，用于存储Oracle Siebel应用程序生成的共享二进制文件和数据。

数据库层

• 数据库层包含Oracle云基础设施数据库实例。根据数据库需求，可以使用VM数据库/IaaS机器或Oracle数据库Exadata云服务。服务网关使您能够在不经过公共互联网的情况下将数据库备份到该地域内的Oracle云基础设施对象存储。

安全列表

• 对于每个子网，您可以创建安全规则，指定必须允许进出子网的流量的来源、目的地和类型。

网络地址转换（NAT）网关

• NAT网关使VCN中的私有资源能够访问互联网上的主机，而不会暴露这些资源于互联网的入站连接。

服务网关

• 服务网关提供从VCN到其他服务（如Oracle云基础设施对象存储）的访问。从VCN到Oracle服务的流量通过Oracle网络结构传输，不会穿越互联网。

Cloud Guard

• 您可以使用Oracle Cloud Guard来监控和维护Oracle云基础设施中资源的安全性。Cloud Guard使用您可以定义的检测器配方检查资源的安全弱点，并监控操作者和用户的高风险活动。当检测到任何配置错误或不安全活动时，Cloud Guard会推荐纠正措施，并协助采取这些措施，这是基于您可以定义的响应者配方。

安全区域

• 安全区域从一开始就确保了Oracle的安全最佳实践，通过强制执行诸如加密数据和阻止对网络的公共访问等策略，适用于整个隔离区。安全区域与同名的隔离区相关联，并包括适用于该隔离区及其子隔离区的安全区域策略或“配方”。您不能将标准隔离区添加或移动到安全区域隔离区。
• Oracle最高安全区域是Oracle最严格的配方，强制执行严格的政策。

网关服务集群和网关注册服务

• Oracle Siebel网关提供了Siebel服务器和服务器组件的动态地址注册表，以及Siebel应用程序接口和其他模块。Siebel应用程序接口和Siebel网关共同提供了Siebel服务器的负载均衡。Siebel网关还包括用于Siebel服务器、Siebel应用程序接口和其他可安装组件配置信息的注册表中的持久存储。
• Oracle Siebel CRM支持一个可选的本地集群特性，用于Siebel网关，为Siebel CRM客户提供高可用性优势。这一特性在软件层面上运作，是集群Siebel网关的首选和推荐方法。集群特性支持Siebel网关服务（应用容器）和Siebel网关注册表。

建议

以下建议可作为起点。您的需求可能与此处描述的架构不同。

VCN

• 创建VCN时，确定所需CIDR块的数量及每个块的大小，这取决于您计划连接到VCN子网的资源数量。使用标准私有IP地址空间内的CIDR块。
• 选择不与任何其他网络重叠的CIDR块（在Oracle云基础设施、您的本地数据中心或其他云提供商），以便您打算建立私有连接。
• 创建VCN后，您可以更改、添加和删除其CIDR块。
• 设计子网时，考虑您的流量流向和安全需求。将特定层或角色内的所有资源连接到同一子网，这可以作为一个安全边界。
• 使用区域子网。
• 推荐私有子网具有各自的路由表，以控制VCN内部和外部的流量流向。

安全

• 使用Oracle Cloud Guard主动监控和维护您在Oracle云基础设施中资源的安全。Cloud Guard使用您可以定义的检测器配方来检查资源的安全弱点，并监控操作者和用户的高风险活动。当检测到任何配置错误或不安全活动时，Cloud Guard会推荐纠正措施，并协助采取这些措施，这是基于您可以定义的响应者配方。
• 对于需要最大安全级别的资源，Oracle建议您使用安全区域。安全区域是与基于最佳实践的Oracle定义的安全策略配方相关联的隔离区。例如，安全区域内的资源不得从公共互联网访问，并且必须使用客户管理的密钥进行加密。在安全区域中创建和更新资源时，Oracle云基础设施会根据安全区域配方中的策略验证操作，并拒绝违反任何策略的操作。

Cloud Guard

• 克隆并自定义Oracle提供的默认配方，以创建自定义检测器和响应者配方。这些配方使您能够指定哪种类型的安全违规会生成警告，以及允许对其执行哪些操作。例如，您可能希望检测将可见性设置为公开的对象存储桶。
• 在租户级别应用Cloud Guard，以覆盖最广泛的范围，并减少维护多种配置的管理负担。
• 您还可以使用托管列表功能将特定配置应用于检测器。

安全区域

• 对于需要最大安全级别的资源，Oracle建议您使用安全区域。安全区域是与基于最佳实践的Oracle定义的安全策略配方相关联的隔离区。例如，安全区域内的资源不得从公共互联网访问，并且必须使用客户管理的密钥进行加密。在安全区域中创建和更新资源时，Oracle云基础设施会根据安全区域配方中的策略验证操作，并拒绝违反任何策略的操作。

网络安全组（NSGs）

• 您可以使用NSGs定义一组适用于特定VNIC的入站和出站规则。我们建议使用NSGs而不是安全列表，因为NSGs使您能够将VCN的子网架构与应用程序的安全需求分离。

负载均衡器带宽

• 创建负载均衡器时，您可以选择预定义的形状，提供固定带宽，或指定自定义（灵活）形状，您可以设置带宽范围并让服务根据流量模式自动扩展带宽。无论采用哪种方法，您都可以在创建负载均衡器后随时更改形状。

考虑因素

在Oracle云基础设施（OCI）中部署Oracle Siebel CRM和Palo Alto Networks VM系列防火墙时，请考虑以下因素。

VCN

• VCN为您提供对网络环境的完全控制。这包括分配您自己的私有IP地址空间、创建子网、创建路由表和配置有状态防火墙。它与传统网络非常相似，具有防火墙规则和您可以选择使用的特定类型的通信网关。
• 在OCI中部署VM系列防火墙时，您的VCN必须至少有三个虚拟网络接口卡（VNICs），用于管理接口和两个数据接口。确保VCN CIDR块不与Oracle云基础设施（相同或不同地区）中的其他VCN或您的组织的私有IP网络范围重叠。VCN的CIDR块不得与您连接的任何其他网络的CIDR重叠。确保不要一次分配VCN或子网内的所有IP地址，而是计划保留一些IP地址以供将来使用。具有类似路由需求的主机可以在多个可用性域中使用相同的路由表。例如，公共主机、私有主机和NAT实例。确保使用安全列表作为防火墙来管理南北向（进出VCN的流量）和东西向（VCN内多个子网间的内部流量）的连接性，并在子网级别应用。该子网内的所有实例都继承该SL中的所有安全规则。必须排除供Oracle使用的IP地址（169.254.0.0/16）。VCN覆盖您选择的单个、连续的IPv4 CIDR块。在VCN内部，可以为集群主机部署单独的IPv4子网。每个子网的访问受安全列表的控制。附加安全性由主机级别的防火墙控制。子网是在VCN中定义的细分。每个子网由不与VCN中其他子网重叠的连续IP地址范围组成。您可以指定子网存在于单个可用性域或整个地区中。子网在VCN中充当配置单元：给定子网中的所有VNIC使用相同的路由表、安全列表和DHCP选项。您可以在创建时指定子网是公共还是私有。私有意味着子网中的VNIC不能有公共IP地址。公共意味着子网中的VNIC可以根据您的判断拥有公共IP地址。为了控制网络访问，将使用分层子网策略用于VCN。一个常见的设计模式是具有以下子网层：公共子网，用于外部可访问的主机和虚拟防火墙设备。私有子网，用于内部主机，如数据库、应用服务器和私有负载均衡器。DMZ子网，用于公共负载均衡器。OCI使用一系列路由表将流量从VCN发送出去，每个子网添加一个路由表。子网是VCN的一个分区。如果您没有指定路由表，子网将使用VCN的默认路由表。每个路由表规则指定一个目的CIDR块和流量匹配该CIDR的下一跳（目标）。只有当目的IP地址位于VCN指定的CIDR块之外时，OCI才使用子网的路由表；在VCN内部的流量不需要路由规则。如果流量有重叠规则，OCI使用路由表中最具体的规则来路由流量。

性能

• 选择合适的实例大小，由计算形状决定，决定最大可用吞吐量、CPU、RAM和接口数量。
• 考虑为FastConnect或VPN服务添加专用接口。
• 考虑使用大型计算形状以获得更高的吞吐量和访问更多网络接口。
• 根据数据量，您可以使用Oracle云基础设施FastConnect或IPSec VPN来管理成本。为了更快的访问，您可以将需要频繁访问的文件存储在Oracle云基础设施对象存储标准层中。

安全

• 在OCI中部署Palo Alto Networks VM系列防火墙允许集中配置和监控所有物理和虚拟Palo Alto Networks VM系列实例的安全策略。

可用性

• 为了获得最大的冗余性，将您的架构部署到不同的地理区域。
• 配置与相关组织网络的站点到站点VPN，以实现与本地网络的冗余连接。
• 考虑Oracle高可用性最佳实践。

成本

• Palo Alto Networks VM系列防火墙在Oracle云市场提供携带自己许可证（BYOL）和按需付费许可证模型，适用于包1和包2。包1包括VM系列容量许可证、威胁预防许可证和高级支持权利。包2包括VM系列容量许可证和完整套件许可证，包括威胁预防、WildFire、URL过滤、DNS安全、GlobalProtect和高级支持权利。

部署

• 您可以通过Oracle云市场在Oracle云基础设施（OCI）上部署VM系列防火墙。您也可以从GitHub下载代码，并根据您的具体业务需求进行定制。Oracle建议从Oracle云市场部署架构。
• 通过Oracle云市场中的堆栈部署：按照架构图所示设置所需的网络基础设施。参见示例，设置中心枢纽和辐射网络拓扑。在您的环境中部署应用程序，如Oracle Siebel。Oracle云市场有多个不同配置和许可要求的列表。例如，以下列表提供携带自己许可证（BYOL）或付费选项。对于您选择的每个列表，点击“获取应用”并按照屏幕上的提示操作：Palo Alto Networks VM系列防火墙 BYOLPalo Alto Networks VM系列防火墙列表
• 使用GitHub中的Terraform代码部署：访问GitHub。克隆或下载代码库到您的本地计算机。按照README文档中的说明操作。

开启您的Oracle云之旅：Agilewing - 您的智能云服务伙伴

作为Oracle的高级合作伙伴，Agilewing正重新定义企业体验Oracle云服务的方式。借助于其简化的开户流程和一流的技术支持，Agilewing将复杂的开户和操作流程转化为一种轻松、直观的体验。通过我们的一站式服务，您可以迅速开启并享受Oracle云的全方位服务，从而无缝融入云端世界。

Agilewing的AgileCDN服务，结合了OCI的云基础服务，提供了一流的全球内容加速解决方案。超过2800个全球POP节点和7000个直连点的强大网络，确保了无论您的业务扩展到全球哪个角落，都能保持高效稳定的运行。

利用Oracle云的先进技术，Agilewing致力于简化云服务搭建、云迁移和业务出海的过程。我们的合作模式为客户带来经济高效的解决方案，使他们能够更加专注于核心业务，同时享受Oracle云的高性能和安全保障。

Oracle云服务，作为一个充满潜力的领域，以其高性能、安全性和全球统一的服务标准，为各类企业开启了新的机遇之门。通过Agilewing的专业服务，无论是个人用户还是企业，都能轻松步入这个充满技术革新和高效能的新时代。现在，就让Agilewing引领您开始探索Oracle云服务，打开一个全新的世界大门。