欢迎访问深圳敏捷云计算科技有限公司！
甲骨文云基础设施（OCI）提供一流的安全技术和运营流程来保护其企业云服务。然而，云中的安全是基于共享责任模型的。甲骨文负责底层基础设施的安全，如数据中心设施、硬件以及管理云操作和服务的软件。客户负责保护他们的工作负载并安全配置他们的服务和应用程序，以满足他们的合规义务。
企业正在转向甲骨文的第二代云基础设施，以构建新应用程序、扩展内部数据中心，并最终利用公共云的弹性。同样的企业也在转向Fortinet，以帮助保护他们在OCI中的应用程序和数据。
Fortinet自适应云安全解决方案在本地数据中心和云环境中保护工作负载和应用程序，为基于云的应用程序提供多层次安全。Fortinet安全织物跨越数据中心和云，提供安全姿态的统一视图、策略管理和治理报告的单一控制台，以及事件监控，无论是物理的、虚拟的还是云基础设施，覆盖私有云、公共云和混合云。
Fortinet解决方案在甲骨文云市场上以按需和自带许可（BYOL）的列表形式提供。
架构
这一参考架构展示了组织如何使用FortiGate防火墙在OCI中保护甲骨文应用程序，如甲骨文E-Business Suite和PeopleSoft，并通过动态路由网关（DRG）简化设计。
为了保护这些流量，Fortinet建议使用中心枢纽和辐射式拓扑分段网络，其中流量通过中心枢纽路由并连接到多个不同的网络（辐射网）。确保您部署了高可用性的FortiGate集群。无论是来自互联网的流量，来自本地的流量，还是到甲骨文服务网络的流量，所有辐射网之间的流量都通过枢纽路由，并通过Fortinet的FortiGate防火墙进行检查，该防火墙为各种规模的组织提供下一代防火墙功能，具有作为下一代防火墙、内部分段防火墙或虚拟私人网络（VPN）网关部署的灵活性。它通过高性能、安全效能和深入可见性来防护网络威胁。
在自己的虚拟云网络（VCN）中部署应用程序的每一个层级，这些VCN充当辐射网。枢纽VCN包含一个FortiGate主动-被动的高可用集群、甲骨文互联网网关、DRG和甲骨文服务网关。
这种架构可以提供一种高度可扩展和模块化的设计，用于连接多个辐射网，其中每个辐射网代表一个应用程序的层，如Web、应用程序和数据库。它适用于一个环境，如生产、测试和开发，以及不同的基础设施，如区域、本地数据中心和多云环境。
枢纽VCN通过DRG连接到辐射网VCN。所有辐射网流量使用路由表规则通过DRG到枢纽VCN入口路由表到FortiGate防火墙进行检查。
您还可以使用FortiManager管理FortiGate防火墙。FortiManager的单一管理面提供了围绕Fortinet的安全织物构建的集中管理和配置策略，紧密集成组织的网络基础设施和安全架构，以应用访问控制、分段和对设备、应用程序和用户的一致保护。
下图展示了这一参考架构。
对于每个流量流，请确保在FortiGate防火墙上设置了安全策略、网络地址转换（NAT）和路由。
• 南北向入站流量
• 下图展示了南北向入站流量如何从互联网和远程数据中心访问Web应用层。
南北向出站流量
下图展示了从Web应用层和数据库层到互联网的出站连接如何提供软件更新和访问外部Web服务。
东西向流量（Web到数据库）
下图展示了流量如何从Web应用层移动到数据库层。
东西向流量（数据库到Web）
下图展示了流量如何从数据库层移动到Web应用层。
东西向流量（Web应用到甲骨文服务网络）
下图展示了流量如何从Web应用层移动到甲骨文服务网络。
东西向流量（甲骨文服务网络到Web应用）
下图展示了流量如何从甲骨文服务网络移动到Web应用层。
架构包含以下组件：
Fortinet FortiGate下一代防火墙
• 提供网络和安全服务，如威胁防护、SSL检查和超低延迟，用于保护内部分段和关键任务环境。支持直接单根输入/输出虚拟化（SR-IOV）以增强性能。FortiGate可以直接从甲骨文云市场部署。
Fortinet FortiManager
• 提供网络的单一管理窗格，并提供对网络活动的实时和历史视图。
甲骨文E-Business Suite或PeopleSoft应用层
• 由甲骨文E-Business Suite或PeopleSoft应用服务器和文件系统组成。
甲骨文E-Business Suite或PeopleSoft数据库层
• 由甲骨文数据库服务组成，但不限于甲骨文Exadata数据库云服务或甲骨文数据库。
区域
• OCI区域是包含一个或多个数据中心的地理区域，称为可用性域。各区域相互独立，彼此之间可能相隔很远（跨越国家甚至洲际）。
可用性域
• 可用性域是区域内独立的数据中心。每个可用性域中的物理资源与其他可用性域中的资源隔离，提供故障容忍能力。可用性域不共享基础设施，如电力或冷却系统，或内部可用性域网络。因此，一个可用性域的故障不太可能影响该区域内其他可用性域。
故障域
• 故障域是可用性域内的硬件和基础设施分组。每个可用性域有三个故障域，具有独立的电力和硬件。当您将资源分布在多个故障域时，您的应用程序可以容忍物理服务器故障、系统维护和故障域内的电力故障。
虚拟云网络（VCN）和子网
• VCN是您在OCI区域中设置的可定制、软件定义的网络。与传统数据中心网络一样，VCN让您完全控制网络环境。VCN可以有多个不重叠的CIDR块，您可以在创建VCN后更改。您可以将VCN划分为子网，范围可以是区域或可用性域。每个子网包含一系列不与VCN中其他子网重叠的地址。您可以在创建后更改子网的大小。子网可以是公共的或私有的。
枢纽VCN
• 枢纽VCN是一个集中式网络，部署了Fortinet FortiGate防火墙实例。它为所有辐射网VCN、OCI服务、公共端点和客户端以及本地数据中心网络提供安全连接。
应用层辐射网VCN
• 应用层辐射网VCN包含一个私有子网，用于托管甲骨文E-Business Suite或PeopleSoft组件。
数据库层辐射网VCN
• 数据库层辐射网VCN包含一个私有子网，用于托管甲骨文数据库。
负载均衡器
• OCI负载均衡服务提供从单一入口点到后端多个服务器的自动流量分配。
安全列表
• 对于每个子网，您可以创建安全规则，指定必须允许进出子网的流量的来源、目的地和类型。
路由表
• 虚拟路由表包含将流量从子网路由到VCN外部目的地的规则，通常通过网关。在枢纽VCN中，您有以下路由表：
￮ 附加到管理子网的管理路由表，其中包含连接到互联网网关的默认路由
￮ 附加到不信任子网或默认VCN的不信任路由表，用于将流量从枢纽VCN路由到互联网或本地目标。这个路由表还包括通过动态路由网关的每个辐射网VCN的CIDR块路由
￮ 附加到信任子网的信任路由表，指向通过动态路由网关的辐射网VCN的CIDR块
￮ 附加到高可用性子网的高可用性路由表，指向您希望发送流量的CIDR块
￮ 枢纽VCN入口路由表附加到枢纽VCN，用于将来自辐射网VCN的任何入站流量通过动态路由网关发送到FortiGate防火墙信任接口浮动IP
￮ 对于通过动态路由网关附加到枢纽的每个辐射网，定义了一个独特的路由表，并附加到相关子网。该路由表将关联辐射网VCN的所有流量（0.0.0.0/0）通过FortiGate防火墙信任接口浮动IP转发到动态路由网关
￮ 附加到甲骨文服务网关的甲骨文服务网关路由表，用于甲骨文服务网络通信。该路由将所有流量（0.0.0.0/0）转发到FortiGate防火墙信任接口浮动IP
• 为了维持流量对称性，还在每个FortiGate防火墙上添加了路由，将辐射网VCN流量的CIDR块指向信任子网的默认网关IP（枢纽VCN上信任子网的第一个IP）和默认CIDR块（0.0.0.0/0）指向不信任子网的默认网关IP（枢纽VCN上不信任子网的第一个IP）。
互联网网关
• 互联网网关允许VCN中的公共子网与公共互联网之间的流量通信。
NAT网关
• NAT网关使VCN中的私有资源能够访问互联网上的主机，而无需将这些资源暴露给传入的互联网连接。
动态路由网关（DRG）
• DRG是一种虚拟路由器，为VCN与区域外网络之间的私有网络流量提供路径，例如另一个OCI区域中的VCN、本地网络或其他云提供商的网络。
服务网关
• 服务网关提供从VCN到其他服务（如OCI对象存储）的访问。从VCN到甲骨文服务的流量通过甲骨文网络织物进行传输，不穿越互联网。
FastConnect
• OCI FastConnect提供了一种简单的方式来创建您的数据中心与OCI之间的专用、私有连接。与基于互联网的连接相比，FastConnect提供更高的带宽选项和更可靠的网络体验。
虚拟网络接口卡（VNIC）
• OCI数据中心的服务有物理网络接口卡（NIC）。虚拟机（VM）实例使用与物理NIC相关联的虚拟NIC（VNIC）进行通信。每个实例都有一个在启动时自动创建并附加的主VNIC，并在实例的整个生命周期内可用。DHCP仅提供给主VNIC。您可以在实例启动后添加次级VNIC。为每个接口设置静态IP。
私有IP
• 私有IPv4地址及定位实例的相关信息。每个VNIC都有一个主要私有IP，您可以添加和移除次级私有IP。实例上的主要私有IP地址在实例启动时附加，并在实例的整个生命周期内不会改变。次级IP也属于VNIC子网的同一CIDR。次级IP用作浮动IP，因为它可以在同一子网中的不同实例的不同VNIC之间移动。您还可以将其用作托管不同服务的不同端点。
公共IP
• 网络服务定义了由甲骨文选择的映射到私有IP的公共IPv4地址。公共IP有以下类型：临时：此地址是临时的，存在于实例的生命周期内。保留：此地址超出实例的生命周期。它可以被取消分配并重新分配给另一个实例。
源和目的地检查
• 每个VNIC对其网络流量执行源和目的地检查。禁用此标志允许Fortinet FortiGate防火墙处理非针对防火墙的网络流量。
计算形状
• 计算实例的形状指定分配给实例的CPU数量和内存量。计算形状还决定了计算实例的VNIC数量和最大带宽。
建议
以下建议可作为使用Fortinet FortiGate防火墙在OCI上保护甲骨文E-Business Suite或PeopleSoft工作负载的起点。您的需求可能与此处描述的架构不同。
VCN
• 创建VCN时，根据您计划连接到VCN子网中的资源数量，确定所需CIDR块的数量和每个块的大小。使用标准私有IP地址空间内的CIDR块。
• 选择不与任何其他网络（在甲骨文云基础设施、您的本地数据中心或其他云提供商中）重叠的CIDR块，以便您打算建立私有连接。
• 创建VCN后，您可以更改、添加和移除其CIDR块。
• 在设计子网时，考虑您的流量流向和安全需求。将特定层或角色内的所有资源连接到同一子网，这可以作为安全边界。
• 使用区域子网。根据需要附加您的辐射网VCN，以便将流量发送到枢纽VCN的FortiGate防火墙。定义每个动态路由网关的VCN附加到防火墙的去和来路由表。
Fortinet FortiGate防火墙
• 部署一个主动-被动集群，并根据需要添加更多实例。
• 尽可能在不同的故障域或不同的可用性域中部署。
• 确保在所有VNIC上设置MTU为9000。
• 使用虚拟功能I/O（VFIO）接口。
Fortinet FortiGate防火墙管理
• 如果您在OCI中创建部署，请为管理创建一个专用子网。
• 使用安全列表或NSGs来限制来自互联网的端口443和22的入站访问，用于管理安全策略以及查看日志和事件。
防火墙策略
• 有关所需安全策略、端口和协议的最新信息，请参考“更多探索”部分的防火墙文档。保持最新确保您已配置所需的网络地址转换策略/安全策略，并在Fortinet FortiGate防火墙实例上启用。
考虑因素
在使用Fortinet FortiGate防火墙在OCI上保护甲骨文E-Business Suite或PeopleSoft工作负载时，请考虑以下因素：
性能
• 选择适当的实例大小，由计算形状决定，这决定了最大可用吞吐量、CPU、RAM和接口数量。
• 组织需要了解哪些类型的流量穿越环境，确定适当的风险水平，并根据需要应用适当的安全控制。启用不同安全控制组合会影响性能。
• 考虑为FastConnect或VPN服务添加专用接口。考虑使用大型计算形状以获得更高的吞吐量和访问更多网络接口。
• 进行性能测试以验证设计能够维持所需的性能和吞吐量。
安全
• 在OCI中部署Fortinet FortiManager，可以实现所有物理和虚拟Fortinet FortiGate防火墙的集中安全策略配置和监控。
可用性
• 将架构部署到不同的地理区域以获得最大冗余。配置与相关组织网络的站点到站点VPN，以实现与本地网络的冗余连接。
成本
• Fortinet FortiGate在甲骨文云市场提供按需付费或自带许可（BYOL）列表，而FortiManager在甲骨文云市场提供BYOL列表。
部署
您可以通过使用甲骨文云市场在OCI上部署FortiGate防火墙。您也可以从GitHub下载代码，并根据您的具体业务需求进行定制，以部署此架构。甲骨文建议从甲骨文云市场部署架构。您也可以从GitHub下载代码，并根据您的具体业务需求进行定制。
• 使用甲骨文云市场中的堆栈进行部署：
a. 设置所需的网络基础设施，如架构图所示。
b. 在您的环境中部署应用程序（甲骨文E-Business Suite或PeopleSoft）。
c. 甲骨文云市场提供多个不同配置和许可要求的列表。例如，以下列表提供自带许可（BYOL）。对于您选择的每个列表，点击“获取应用”并按照屏幕上的提示操作：
▪ Fortinet FortiGate BYOL列表
▪ FortiManager集中式安全管理（BYOL）
▪ Fortinet市场列表
• 使用GitHub中的Terraform代码进行部署：
a. 访问GitHub。
b. 克隆或下载仓库到您的本地计算机。
c. 按照README文档中的指示操作。
开启您的Oracle云之旅：Agilewing - 您的智能云服务伙伴
作为Oracle的高级合作伙伴，Agilewing正重新定义企业体验Oracle云服务的方式。借助于其简化的开户流程和一流的技术支持，Agilewing将复杂的开户和操作流程转化为一种轻松、直观的体验。通过我们的一站式服务，您可以迅速开启并享受Oracle云的全方位服务，从而无缝融入云端世界。
Agilewing的AgileCDN服务，结合了OCI的云基础服务，提供了一流的全球内容加速解决方案。超过2800个全球POP节点和7000个直连点的强大网络，确保了无论您的业务扩展到全球哪个角落，都能保持高效稳定的运行。
利用Oracle云的先进技术，Agilewing致力于简化云服务搭建、云迁移和业务出海的过程。我们的合作模式为客户带来经济高效的解决方案，使他们能够更加专注于核心业务，同时享受Oracle云的高性能和安全保障。
Oracle云服务，作为一个充满潜力的领域，以其高性能、安全性和全球统一的服务标准，为各类企业开启了新的机遇之门。通过Agilewing的专业服务，无论是个人用户还是企业，都能轻松步入这个充满技术革新和高效能的新时代。现在，就让Agilewing引领您开始探索Oracle云服务，打开一个全新的世界大门。
