AWS 의 VPC 와 대응 되는 네트워크의 기본이라고 볼수 있다.
OCI의 경우 공용(Public) IP 를 부여된 경우 정상적인 사용이 가능하다.
다만 사설 (Private) IP 만 부여 된 경우 dnf(yum) 설치 조차 되지 않는다. (외부 통신(in/out) 완벽 차단 =_=aa)
보통 망분리를 생각 한 경우 서버내 프로그램 업데이트 등을 위해 Inbound 트래픽을 막고 Outbound 트래픽은 열어 두어야 한다.
해결 방법은 사설망 서브넷(subnet)을 추가 하고 NAT 게이트웨이 연결 해준뒤 그 서브넷 아래에 서버를 생성 해야 한다.
(생성된 인스턴스의 서브넷 변경 방법을 찾을수 없다. 한개의 서브넷엔 인터넷 게이트웨이와 NAT 게이트웨이가 공존할 수 없다.)
이해를 돕기 위해 네트워크 쪽에 가면 아래 그림과 같이 마법사를 통해 설명을 볼 수 있다.
네트워크 무지성 + 환상적인 발번역 의 결과로 매우 이해하기 어렵지만 다음과 같이 생각 하면 된다.
(사설망은 오라클 기본 사설망 대역인 10.0.x.x 기준 설명이 지만 192.168.x.x 대역이나 172.16.x.x 대역 지정도 가능.)
- 공용 서브넷 = 퍼블릭 대역 (10.0.0.1 ~ 10.0.0.255)
- 전용 서브넷 = 사설망 대역 (10.0.1.1 ~ 10.0.1.255)
OCI 아이디를 생성 후 최초 기본 상태에서는 위의 사설망용 전용 서브넷(10.0.1.1 ~ 10.0.1.255)은 기본 개설 되어 있지 않다.
아래 순서대로 사설망 추가를 진행한다.
- 먼저 보안 목록(SecurityList-enteroa-private)을 생성 한다.
- NAT, 서비스 게이트웨이를 생성 한다. (NatGateway-enteroa, ServiceGateway-enteroa)
- 경로테이블 디폴트 외에 추가 생성(Private Route Table for vcn-enteroa)을 한다.
- 경로테이블에 상세로 들어가서 (NatGateway-enteroa, ServiceGateway-enteroa) 을 추가 한다.
- 서브넷(subnet-enteroa-private)을 생성한다. (생성할때 사용할 보안 목록, 경로테이블을 설정한다.)
- 신규 서버를 생성할때 서브넷을 프라이빗 서브넷을 선택하여 생성 한다. (기존 인스턴스의 서브넷 변경은 아직 기능이 없는듯…)
위와 같은 과정으로 VCN 네트워크 구성 목표는 아래 그림과 같이 구성되도록 한다.
서버중 WAS 또한 Private 쪽에 있는것이 보안에는 좀더 유리 하다.
위와 같은 구조를 선택한 이유는 mariaDB 에 ssh 또는 mysql_con 접속을 위해서 web 또는 was 를 경유 해서 접속 했을때 ssh 속도 저하가 심해서
사양이 좋은 ARM64 서버 중 WAS 서버를 ssh 접속 경유지로 사용 하기 위해서 이다.
참고로 OCI 에서 일반적인 네트워크 초기 세팅 진행 순서는 아래와 같다.
- VCN 생성
vcn-enteroa (172.16.0.0./16) - 보안목록 2개 생성
SecurityList-enteroa-private
SecurityList-enteroa-public - 경로테이블 추가 생성 (vcn 생성시 디폴트가 생성됨)
Private Route Table for vcn-enteroa - 서브넷 생성
subnet0enteroa (172.16.0.0/24)
subnet1enteroa (172.16.1.0/24) - 인터넷 게이트웨이 생성
InternetGateway-enteroa - NAT 게이트웨이 생성
NatGateway-enteroa - 서비스 게이트웨이 생성(OCI PaaS 서비스와 연계가 필요할경우 진행)
ServiceGateway-enteroa - 경로테이블 설정
Default Route Table for vcn-enteroa – 인터넷 게이트웨이 연결 (InternetGateway-enteroa)
Private Route Table for vcn-enteroa – Nat, 서비스 게이트웨이 연결 (NatGateway-enteroa, ServiceGateway-enteroa)