Oracle Cloud Infrastructureでトラフィックミラーリングを構成する

手順

1. https://www.oracle.com/cloud/sign-in.htmlに移動してOracle Cloud Infrastructureにサインインしてください。
2. ミラートラフィックをVirtual Network Sensorに送信するためのネットワークロードバランサーを作成します。
   現在のOracle Cloud Infrastructureの制限により、ミラーリングされたトラフィックはネットワークロードバランサーからVirtual Network Sensorにのみ送信できます。詳細については、VTAPのソースとターゲットを参照してください。
   1. 左上のナビゲーションメニューアイコン () をクリックし、[ネットワーキング] → [Network load balancer]に移動します。
   2. [Create network load balancer]をクリックします。
   3. ネットワークロードバランサーの名前を指定します。
   4. コンパートメントを選択してください。
      管理の簡素化と容易さのために、ネットワークロードバランサーをVirtual Network Sensorインスタンスと同じコンパートメントに保持してください。
   5. 可視性タイプを選択するには[Private]を選択してください。
   6. [Header preservation]で[Source/destination header (IP, port) preservation (network load balancer)]を有効にします。
   7. [Enable symmetric hashing]をオンにする。
   8. [Choose networking]で、仮想クラウドネットワークとネットワークロードバランサーが存在するコンパートメントを選択します。
      簡単で管理しやすくするために、ネットワークロードバランサーをVirtual Network Sensorインスタンスと同じコンパートメントおよび仮想クラウドネットワークに保持してください。
   9. ネットワークロードバランサーが存在するサブネットとコンパートメントを選択してください。
      Virtual Network Sensorのデータポートで使用されるサブネットを選択してください。
   10. [Use network security groups to control traffic]を有効にし、Virtual Network Sensorデータポートのコンパートメントとネットワークセキュリティグループを選択します。
   11. 必要に応じてセキュリティ属性とタグを追加し、[次へ]をクリックしてください。
   12. リスナーの名前を指定してください。
   13. [UDP/TCP/ICMP]を選択して、リスナーが処理するトラフィックのタイプを指定し、[次へ]をクリックします。
   14. ネットワークロードバランサーのバックエンドを追加します。
       1. バックエンドセットの名前を指定します。
       2. [Add backends]をクリックします。
       3. バックエンドタイプには[Compute instances]を選択してください。
       4. Virtual Network Sensorインスタンスが存在するコンパートメントを選択し、Virtual Network Sensorインスタンスを選択してください。
       5. 以前に記録されたVirtual Network SensorインスタンスのIPアドレスを指定します。
       6. [Add backends]をクリックします。
   15. [Specify health check policy]の下で、プロトコルに[TCP]を選択し、ポートに[14789]を指定します。
   16. [Fail open]を有効にする。
   17. [次へ]をクリックし、設定を確認して[Create network load balancer]をクリックします。
       作成が完了すると、ネットワークロードバランサーの詳細画面が表示されます。

       注意 現在、Virtual Network Sensorインスタンスはネットワークロードバランサーからのヘルスチェックに応答しておらず、そのためバックエンドセットのステータスが[重大]として表示されます。このステータスは無視しても問題ありません。[Fail open]が有効であれば、ネットワークロードバランサーは引き続きVirtual Network Sensorにトラフィックを移動させて監視することができます。

   18. [詳細]タブに[IPアドレス]を記録して、後の設定に備えます。
       これはネットワークロードバランサーのIPアドレスです。
3. ネットワークロードバランサーにトラフィックをミラーリングするための仮想テストアクセスポイント (VTAP) を作成します。
   1. 左上のナビゲーションメニューアイコン () をクリックし、[ネットワーキング] → [VTAPs] に移動します。
   2. [Create VTAP]をクリックします。
   3. VTAPの名前を指定してください。
   4. コンパートメントを選択してください。
      管理の簡素化と容易さのために、VTAPをVirtual Network Sensorインスタンスと同じコンパートメントに保持してください。
   5. Virtual Network Sensorインスタンスが存在するVCNを選択してください。
   6. [送信元]セクションで、トラフィックミラーリングのソースを選択します。

      注意 VTAPでキャプチャされたパケットの切り捨てを避けるために、ソースインスタンスのインターフェースのMTUをIPv4の場合は8950以下、IPv6の場合は8930以下に設定してください。詳細については、Oracle Cloud Infrastructureのドキュメントを参照してください。

   7. [対象]セクションで、サブネットと手順2で作成したネットワークロードバランサーをトラフィックミラーリングのターゲットとして選択します。
   8. [Select a capture filter] ボタンをクリックして [Create new capture filter] を選択します。
   9. キャプチャフィルターの名前を指定してください。
   10. コンパートメントを選択してください。
       管理の簡素化と容易さのために、キャプチャフィルターをVirtual Network Sensorインスタンスと同じコンパートメントに保持してください。
   11. 受信トラフィックのルールを作成します。
       • トラフィックの方向: [Ingress]
       • 含める/除外する: [含む]
       • 送信元IPv4 CIDRまたはIPv6プレフィックス: [0.0.0.0/0]
       • 宛先IPv4 CIDRまたはIPv6プレフィックス: [0.0.0.0/0]
       • IPプロトコル: [すべて]
   12. [+Another rule]をクリックして、送信トラフィックのルールを作成します。
       • トラフィックの方向: [Egress]
       • 含める/除外する: [含む]
       • 送信元IPv4 CIDRまたはIPv6プレフィックス: [0.0.0.0/0]
       • 宛先IPv4 CIDRまたはIPv6プレフィックス: [0.0.0.0/0]
       • IPプロトコル: [すべて]
   13. [Create capture filter]をクリックします。
   14. [Create VTAP]をクリックします。
       VTAPの詳細画面が表示されます。
   15. [開始] をクリックしてVTAPを開始します。
4. Virtual Network Sensorを構成して、ネットワークロードバランサーからの健康チェックトラフィックを受け入れるようにします。
   1. 左上のナビゲーションメニューアイコン () をクリックし、[ネットワーキング] → [Virtual cloud networks]に移動します。
   2. Virtual Network SensorインスタンスをデプロイしたVCNをクリックしてください。
   3. 詳細ページで、表示されるオプションに応じて次のいずれかの操作を実行してください。
      • [セキュリティ] タブの [Network Security Groups] セクションに移動します。
      • [Resources] で [Network Security Groups] を選択します。
   4. Virtual Network Sensorの管理ポート用に作成したネットワークセキュリティグループをクリックします。
   5. [Security rules]タブをクリックし、次に[ルールを追加]をクリックして、ネットワークロードバランサーからのトラフィックを受け入れるルールを追加します。

      方向	ソースの種類	ソースCIDR	IPプロトコル	送信元ポート範囲	送信先ポート範囲	目的
      インバウンド	CIDR	手順2で作成したNLBのIPアドレスをCIDR表記で指定してください。	TCP	すべて	14789	NLB健康チェックに応答するため