云安全基于共享责任模型。甲骨文负责底层基础设施的安全，如数据中心设施、硬件以及管理云操作和服务的软件。客户则负责保护他们的工作负载，并安全配置他们的服务和应用程序，以满足他们的合规义务。
甲骨文云基础设施（OCI）提供行业领先的安全技术和运营流程，以保障其企业云服务的安全。VM系列防火墙针对OCI提供一致的威胁预防和内联网络安全，帮助网络安全团队重新获得对云网络流量的可见性和控制。作为帕洛阿尔托网络ML驱动的下一代防火墙（NGFW）家族的一部分，VM系列提供与帕洛阿尔托业界领先的硬件防火墙相同的功能，但形式为虚拟机，使其高度可扩展——这是云环境的先决条件。
VM系列通过无缝集成到帕洛阿尔托网络的云交付安全订阅（如帕洛阿尔托网络其他下一代防火墙CN系列容器防火墙和PA系列物理防火墙）以及Prisma Access，扩展了第7层防火墙功能。这些云交付安全订阅协调智能能力，并在所有攻击向量中提供保护。这种安全消除了由不同网络安全工具产生的覆盖范围差距，并提供了一致的平台体验，以保护您的组织免受最先进和难以捕捉的威胁。
这一参考架构展示了您如何使用VM系列防火墙来保护您的工作负载，并提供了一个基于Terraform的模板来部署架构。
架构
这一参考架构展示了组织如何使用帕洛阿尔托网络VM系列防火墙来保护甲骨文应用程序，如甲骨文E-Business Suite、PeopleSoft以及部署在OCI中的应用程序，结合灵活的网络负载均衡器，并通过动态路由网关（DRGs）简化设计。
为了保护这些流量，帕洛阿尔托网络建议使用中心枢纽和辐射式拓扑进行网络分段，其中流量通过中心枢纽路由并连接到多个不同的网络（辐射网）。确保您在灵活的网络负载均衡器之间部署了多个VM系列实例，这被认为是夹心拓扑。无论是来自互联网的流量，来自本地的流量，还是到甲骨文服务网络的流量，所有辐射网之间的流量都通过枢纽路由，并通过帕洛阿尔托网络VM系列防火墙的多层威胁预防技术进行检查。
在自己的虚拟云网络（VCN）中部署应用程序的每一个层级，这些VCN充当辐射网。枢纽VCN包含一个帕洛阿尔托网络VM系列防火墙主动-主动集群、甲骨文互联网网关、DRG、甲骨文服务网关，以及内部和外部灵活的网络负载均衡器。
枢纽VCN通过DRG连接到辐射网VCN。每个VCN都有一个附加到DRG的连接，允许它们相互通信。所有辐射网流量都使用路由表规则通过DRG路由到枢纽，使用灵活的网络负载均衡器由帕洛阿尔托网络VM系列防火墙集群检查。
您可以本地配置和管理帕洛阿尔托网络防火墙，或者使用Panorama，帕洛阿尔托网络的集中式安全管理系统，进行集中管理。Panorama帮助客户减少管理配置、策略、软件和动态内容更新的复杂性和管理开销。通过在Panorama上使用设备组和模板，您可以在防火墙上有效管理特定于防火墙的配置，并在所有防火墙或设备组上执行共享策略。
下图展示了这一参考架构。
每个流量流都确保在VM系列防火墙上开启了网络地址转换（NAT）和安全策略。目前支持的灵活网络负载均衡器使用案例要求您在流量离开的防火墙上启用源NAT。
南北向入站互联网流量
下图展示了南北向入站流量如何从互联网访问Web应用层。
南北向出站互联网流量
下图展示了从Web应用层和数据库层到互联网的出站连接如何提供软件更新和访问外部Web服务。
东西向流量（Web到数据库）
下图展示了流量如何从Web应用层移动到数据库层。
东西向流量（数据库到Web）
下图展示了流量如何从数据库层移动到Web应用层。
东西向流量（Web应用到甲骨文服务网络）
下图展示了流量如何从Web应用层移动到甲骨文服务网络。
东西向流量（甲骨文服务网络到Web应用）
下图展示了流量如何从甲骨文服务网络移动到Web应用层。
架构包含以下组件：
帕洛阿尔托网络VM系列防火墙
- 提供了物理下一代防火墙在虚拟机（VM）形式中的所有能力，提供内联网络安全和威胁预防，以持续保护公共和私有云。
甲骨文E-Business Suite或PeopleSoft应用层
- 由甲骨文E-Business Suite或PeopleSoft应用服务器和文件系统组成。
甲骨文E-Business Suite或PeopleSoft数据库层
- 由甲骨文数据库组成，不限于甲骨文Exadata数据库云服务或甲骨文数据库服务。
区域
- OCI区域是包含一个或多个数据中心的地理区域，称为可用性域。各区域相互独立，彼此之间可能相隔很远（跨越国家甚至洲际）。
可用性域
- 可用性域是区域内独立的数据中心。每个可用性域中的物理资源与其他可用性域中的资源隔离，提供故障容忍能力。可用性域不共享基础设施，如电力或冷却系统，或内部可用性域网络。因此，一个可用性域的故障不太可能影响该区域内其他可用性域。
故障域
- 故障域是可用性域内的硬件和基础设施分组。每个可用性域有三个故障域，具有独立的电力和硬件。当您将资源分布在多个故障域时，您的应用可以容忍物理服务器故障、系统维护和故障域内的电力故障。
虚拟云网络（VCN）和子网
- VCN是您在OCI区域中设置的可定制、软件定义的网络。就像传统数据中心网络一样，VCN让您完全控制网络环境。VCN可以有多个不重叠的CIDR块，您可以在创建VCN后更改。您可以将VCN划分为子网，范围可覆盖区域或可用性域。每个子网包含一系列不与VCN中其他子网重叠的地址。您可以在创建后更改子网的大小。子网可以是公共的或私有的。
枢纽VCN
- 枢纽VCN是一个集中式网络，部署了帕洛阿尔托网络VM系列防火墙。它为所有辐射网VCN、OCI服务、公共端点和客户端以及本地数据中心网络提供安全连接。应用层辐射网VCN应用层辐射网VCN包含一个私有子网，用于托管甲骨文E-Business Suite或PeopleSoft组件。
数据库层辐射网VCN
- 数据库层辐射网VCN包含一个私有子网，用于托管甲骨文数据库。
负载均衡器
- OCI负载均衡服务从单一入口点自动分配流量到后端的多个服务器。
灵活网络负载均衡器
- OCI的灵活网络负载均衡器从一个入口点自动分配流量到您VCN中的多个后端服务器。它在连接层操作，将传入的客户端连接基于第3层或第4层（IP协议）数据负载均衡到健康的后端服务器。
安全列表
- 对于每个子网，您可以创建安全规则，指定必须允许进出子网的流量的源、目的地和类型。
路由表
- 虚拟路由表包含将流量从子网路由到VCN外部目的地的规则，通常通过网关。在枢纽VCN中，您有以下路由表：附加到管理子网的管理路由表，有一个默认路由连接到互联网网关。附加到不信任子网或默认VCN的不信任路由表，用于通过DRG将流量从枢纽VCN路由到互联网或本地辐射网VCN目标。这个路由表还有每个辐射网VCN的CIDR块通过DRG的条目。附加到信任子网的信任路由表，指向通过DRG的辐射网VCN的CIDR块。附加到网络负载均衡器（NLB）子网的NLB路由表，指向通过DRG的辐射网VCN的CIDR块。对于通过DRG附加到枢纽的每个辐射网，定义了一个独特的路由表，路由目标被用作DRG。该路由表将辐射网VCN的所有流量（0.0.0.0/0）通过内部灵活网络负载均衡器转发到DRG，或者您也可以在更细致的层面上定义。附加到甲骨文服务网关的甲骨文服务网关路由表，用于甲骨文服务网络通信。该路由将所有流量（0.0.0.0/0）转发到内部私有网络负载均衡器VIP IP。为了维持流量对称性，还在每个帕洛阿尔托网络VM系列防火墙上添加了路由，将辐射网流量的CIDR块指向信任（内部）子网的默认网关IP和默认CIDR块（0.0.0.0/0）指向不信任子网的默认网关IP。信任子网的默认网关IP在枢纽VCN中可用。
互联网网关
- 互联网网关允许VCN中的公共子网与公共互联网之间的流量通信。
NAT网关
- NAT网关使VCN中的私有资源能够访问互联网上的主机，而无需将这些资源暴露给传入的互联网连接。
动态路由网关（DRG）
- DRG是一种虚拟路由器，为VCN与区域外网络之间的私有网络流量提供路径，如另一个OCI区域中的VCN、本地网络或其他云提供商的网络。
服务网关
- 服务网关提供从VCN到其他服务（如OCI对象存储）的访问。从VCN到甲骨文服务的流量通过甲骨文网络织物进行传输，不穿越互联网。
FastConnect
- OCI FastConnect提供一种简单的方式，用于创建您的数据中心与OCI之间的专用、私有连接。与基于互联网的连接相比，FastConnect提供更高的带宽选项和更可靠的网络体验。
虚拟网络接口卡（VNIC）
- OCI数据中心的服务有物理网络接口卡（NIC）。VM实例使用与物理NIC相关联的虚拟NIC（VNIC）进行通信。每个实例都有一个在部署期间自动创建并附加的主要VNIC，并在实例的整个生命周期内可用。DHCP仅提供给主VNIC。您可以在实例部署后添加次级VNIC。为每个接口设置静态IP。
私有IP
- 用于定位实例的私有IPv4地址及相关信息。每个VNIC都有一个主要私有IP，您可以添加和移除次级私有IP。实例上的主要私有IP地址在实例部署期间附加，且在实例的整个生命周期内不会改变。次级IP也属于VNIC子网的同一CIDR。次级IP用作浮动IP，因为它可以在同一子网中的不同实例的不同VNIC之间移动。您还可以将其用作托管不同服务的不同端点。
公共IP
- 网络服务定义了由甲骨文选择的公共IPv4地址，映射到私有IP。公共IP有以下类型：临时：此地址是临时的，存在于实例的生命周期内。保留：此地址超出实例的生命周期。它可以被取消分配并重新分配给另一个实例。
源和目的地检查
- 每个VNIC对其网络流量执行源和目的地检查。禁用此标志允许帕洛阿尔托网络VM系列防火墙处理非针对防火墙的网络流量。
计算形状
- 计算实例的形状指定分配给实例的CPU数量和内存量。计算形状还决定了计算实例的VNIC数量和最大带宽。
建议
- 以下建议可作为使用帕洛阿尔托网络VM系列防火墙在OCI上保护甲骨文E-Business Suite或PeopleSoft工作负载的起点。您的需求可能与此处描述的架构不同。
VCN
- 创建VCN时，根据您计划连接到VCN子网中的资源数量，确定所需CIDR块的数量和每个块的大小。使用标准私有IP地址空间内的CIDR块。
- 选择不与任何其他网络（在甲骨文云基础设施、您的本地数据中心或其他云提供商中）重叠的CIDR块，以便您打算建立私有连接。
- 创建VCN后，您可以更改、添加和移除其CIDR块。
- 在设计子网时，考虑您的流量流向和安全需求。将特定层或角色内的所有资源连接到同一子网，这可以作为安全边界。
- 如果您想检查整个辐射网VCN的流量，请使用区域子网并确保辐射网VCN的CIDR完全关联到辐射子网。
帕洛阿尔托网络VM系列防火墙
- 部署主动-主动集群并添加必要的实例。
- 尽可能在不同的故障域或不同的可用性域中部署。
- 确保在所有VNIC上设置MTU为9000。使用VFIO接口。
帕洛阿尔托网络VM系列防火墙管理
- 如果您在OCI中创建部署，请为管理创建一个专用子网。
- 使用安全列表或网络服务网关限制来自互联网的端口443和22的入站访问，用于管理安全策略以及查看日志和事件。
帕洛阿尔托网络VM系列防火墙策略
- 参考“探索更多”部分的防火墙文档，获取有关所需安全策略、端口和协议的最新信息。确保您已配置所需的网络地址转换策略并在VM系列防火墙实例上启用。
考虑因素
- 在使用帕洛阿尔托网络VM系列防火墙在OCI上保护甲骨文E-Business Suite或PeopleSoft工作负载时，请考虑以下因素：
性能
- 选择适当的实例大小，由计算形状决定，决定了最大可用吞吐量、CPU、RAM和接口数量。
- 组织需要了解哪些类型的流量穿越环境，确定适当的风险水平，并根据需要应用适当的安全控制。启用不同安全控制组合会影响性能。
- 考虑为FastConnect或VPN服务添加专用接口。
- 考虑使用大型计算形状以获得更高的吞吐量和访问更多网络接口。
- 进行性能测试以验证设计能够维持所需的性能和吞吐量。
安全
- 在OCI中部署帕洛阿尔托网络VM系列防火墙允许对所有物理和虚拟帕洛阿尔托网络VM系列实例的安全策略配置和监控进行集中管理。
可用性
- 将架构部署到不同的地理区域以获得最大冗余。
- 配置与相关组织网络的站点到站点VPN，以实现与本地网络的冗余连接。
成本
- 帕洛阿尔托网络VM系列防火墙在甲骨文云市场提供自带许可（BYOL）和按使用付费许可模型，适用于套餐1和套餐2。套餐1包括VM系列容量许可、威胁预防许可和高级支持权益。套餐2包括VM系列容量许可和完整的许可套件，包括威胁预防、WildFire、URL过滤、DNS安全、GlobalProtect和高级支持权益。
部署
- 您可以使用甲骨文云市场在OCI上部署VM系列防火墙。您也可以从GitHub下载代码，并根据您的具体业务需求进行定制。甲骨文建议从甲骨文云市场部署架构。
使用甲骨文云市场中的堆栈进行部署：
- 设置所需的网络基础设施，如架构图所示。参见示例，设置中心枢纽和辐射式网络拓扑。
- 在您的环境中部署应用程序（甲骨文E-Business Suite或PeopleSoft或应用程序）。
- 甲骨文云市场有多个列表适用于不同配置和许可需求。例如，以下列表提供自带许可（BYOL）或付费选项。对于您选择的每个列表，点击“获取应用”并按照屏幕上的提示操作：帕洛阿尔托网络VM系列防火墙 BYOL帕洛阿尔托网络VM系列防火墙列表
使用GitHub中的Terraform代码进行部署：
- 访问GitHub。
- 克隆或下载仓库到您的本地计算机。
- 按照README文档中的指示操作。
开启您的Oracle云之旅：Agilewing - 您的智能云服务伙伴
作为Oracle的高级合作伙伴，Agilewing正重新定义企业体验Oracle云服务的方式。借助于其简化的开户流程和一流的技术支持，Agilewing将复杂的开户和操作流程转化为一种轻松、直观的体验。通过我们的一站式服务，您可以迅速开启并享受Oracle云的全方位服务，从而无缝融入云端世界。
Agilewing的AgileCDN服务，结合了OCI的云基础服务，提供了一流的全球内容加速解决方案。超过2800个全球POP节点和7000个直连点的强大网络，确保了无论您的业务扩展到全球哪个角落，都能保持高效稳定的运行。
利用Oracle云的先进技术，Agilewing致力于简化云服务搭建、云迁移和业务出海的过程。我们的合作模式为客户带来经济高效的解决方案，使他们能够更加专注于核心业务，同时享受Oracle云的高性能和安全保障。
Oracle云服务，作为一个充满潜力的领域，以其高性能、安全性和全球统一的服务标准，为各类企业开启了新的机遇之门。通过Agilewing的专业服务，无论是个人用户还是企业，都能轻松步入这个充满技术革新和高效能的新时代。现在，就让Agilewing引领您开始探索Oracle云服务，打开一个全新的世界大门
