ネットワークのファイアウォール

この図は、OCI Network Firewallの4つの一般的なユースケースを示しています。

1. ネイティブのマネージド・ネットワーク・ファイアウォール・サービスを使用
2. オンプレミス環境とOCI間のトラフィックを保護
3. OCIとインターネット間のトラフィックを保護
4. 仮想クラウド・ネットワーク間のトラフィックを保護

ネイティブのマネージド・ネットワーク・ファイアウォール・サービスを使用
この1つ目のユースケースでは、仮想クラウド・ネットワーク内のネットワーク・ファイアウォールを、仮想マシンやオブジェクト・ストレージなどの他のクラウドネイティブ・サービスとともに示しています。

OCI Network Firewallは、Oracle Cloud Infrastructureに完全に統合されたクラウドネイティブのマネージド・サービスです。

オンプレミス環境とOCI間のトラフィックを保護
2つ目のユースケースでは、仮想クラウド・ネットワークが顧客のオンプレミス環境に論理的に接続されています。仮想クラウド・ネットワークにあるネットワーク・ファイアウォールでは、オンプレミス環境からのネットワーク・トラフィックが論理的に流入した後、仮想クラウド・ネットワーク内のリソース（仮想マシンとして図示）に到達できます。

ネットワーク・ファイアウォールは、オンプレミス環境との間で送受信されるすべてのトラフィックを検査します。これにより、オンプレミス環境でのアクションやトラフィックから、OCI内のリソースを保護します。

OCIとインターネット間のトラフィックを保護
3つ目のユースケースでは、仮想クラウド・ネットワークがインターネットに論理的に接続されています。仮想クラウド・ネットワークにあるネットワーク・ファイアウォールでは、インターネットからのネットワーク・トラフィックが論理的に流入します。

この仮想クラウド・ネットワークはさらに、リソース（ここでは仮想マシンとして図示）のある別の仮想クラウド・ネットワークに論理的に接続しています。

ネットワーク・ファイアウォールは、インターネットとの間で送受信されるすべてのトラフィックを検査します。これにより、インターネットから仮想クラウド・ネットワーク内のリソースの機能にアクセスしようとするアクションやトラフィックから、OCIのリソースを保護します。

仮想クラウド・ネットワーク間のトラフィックを保護
4つ目のユースケースでは、3つの仮想クラウド・ネットワークがあります。1つ目と3つ目の仮想クラウド・ネットワークは、どちらも2つ目の仮想クラウド・ネットワークに論理的に接続されています。1つ目と3つ目の仮想クラウド・ネットワークにはリソース（ここでは仮想マシンとして図示）があります。

1つ目と3つ目の仮想クラウド・ネットワークにあるリソース間で流れるトラフィックはすべて、ネットワーク・ファイアウォールのある2つ目の仮想クラウド・ネットワークを通過する必要があります。

ネットワーク・ファイアウォールは、1つ目と3つ目の仮想クラウド・ネットワーク間を流れるすべてのトラフィックを検査し、一方の仮想クラウド・ネットワークにあるリソースを他方の悪意のあるアクティビティから保護します。

この図に示すリソースと接続の論理レイアウトは、OCI Network Firewallを導入してネットワーク・トラフィックを検査し保護できることを示しています。

単一の仮想クラウド・ネットワークが含まれている、一般的なOCIリージョンを示しています。仮想クラウド・ネットワーク内には3つのサブネットがあります。1つ目のサブネットには、仮想クラウド・ネットワークの外部からアクセスでき、ネットワーク・ファイアウォールが含まれています。ネットワーク・ファイアウォールのIPアドレスは192.168.0.10です。

このサブネットにはリソースもあり、ここでは仮想マシンとして示されています。仮想マシンのIPアドレスは192.168.0.97です。

2つ目のサブネットはプライベートです。これにはフレキシブル・ロード・バランサーが含まれており、ネットワーク・ファイアウォールのあるサブネットと双方向に接続されています。フレキシブル・ロード・バランサーのIPアドレスは192.168.1.15です。

3つ目のサブネットはプライベートで、リソース（ここでは2つの仮想マシンとして図示）が含まれています。仮想マシンのIPアドレスは、192.168.20.1と192.168.20.2です。このサブネットは2つ目のサブネットに双方向に接続されています。

1つ目のサブネットにあるネットワーク・ファイアウォールはインターネット・ゲートウェイと動的ルーティング・ゲートウェイに接続されており、どちらも仮想クラウド・ネットワークで使用できます。

インターネット・ゲートウェイはインターネットに双方向に接続されています。

動的ルーティング・ゲートウェイはオンプレミス環境内の顧客構内機器に双方向に接続されています。

インターネットからのトラフィックは、最初にインターネット・ゲートウェイを通過し、次にネットワーク・ファイアウォールに到達します。トラフィックはネットワーク・ファイアウォールによって検査されます。トラフィックの通過が許可された場合は、同じサブネット内のリソースに渡すことも、2つ目のサブネット内のロード・バランサーに渡すこともできます。その後、トラフィックは3つ目のサブネット内のリソースに転送されます。

一方、オンプレミス環境からのトラフィックは、最初に動的ルーティング・ゲートウェイを通過し、次にネットワーク・ファイアウォールに到達します。トラフィックはネットワーク・ファイアウォールによって検査されます。トラフィックの通過が許可された場合は、同じサブネット内のリソースに渡すことも、2つ目のサブネット内のロード・バランサーに渡すこともできます。その後、トラフィックは3つ目のサブネット内のリソースに転送されます。