Oracle VCN, Subnetze und Network Security Groups auf STACKIT

Eine Security List und ein öffentliches Subnetz, bewertet

Ein kleines Netzwerk, für diese Seite geschrieben und am 4. November 2026 von StackToIT bewertet. Links die Eingabe, Zeilen 48 bis 75 der main.tf. Rechts das Ergebnis für dieselben zwei Ressourcen, ein Auszug aus assessment.json mit den Werten, wie der Lauf sie geschrieben hat. Da assessment.json in einer einzigen Zeile geschrieben ist, zeigt der Ausschnitt ausgewählte Felder jeder Einheit, eingerückt und so verschachtelt wie in der Datei, mit unveränderten Werten.

resource "oci_core_security_list" "public" {
  compartment_id = var.compartment_id
  vcn_id         = oci_core_vcn.main.id
  display_name   = "public-web"

  ingress_security_rules {
    protocol = "6"
    source   = "0.0.0.0/0"

    tcp_options {
      min = 443
      max = 443
    }
  }

  egress_security_rules {
    protocol    = "all"
    destination = "0.0.0.0/0"
  }
}

resource "oci_core_subnet" "public" {
  compartment_id    = var.compartment_id
  vcn_id            = oci_core_vcn.main.id
  cidr_block        = "10.40.0.0/24"
  display_name      = "public"
  security_list_ids = [oci_core_security_list.public.id]
}

[
  {
    "id": "oci_core_security_list.public",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "MEDIUM",
      "target": {
        "service": "STACKIT security groups"
      },
      "reason": "A security list applies to a whole subnet, while a STACKIT security group attaches to a server. Its rules are rewritten and attached to the workloads of that subnet."
    }
  },
  {
    "id": "oci_core_subnet.public",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "MEDIUM",
      "target": {
        "service": "STACKIT network"
      },
      "reason": "A subnet becomes a STACKIT network with its own address range. Review the public or private role of the subnet and the workloads on it."
    }
  }
]

• Die Firewall wandert zu den Workloads

  In Oracle Cloud schützt die Security List ein ganzes Subnetz. Eine STACKIT Security Group hängt an Netzwerkschnittstellen; die neu geschriebenen Regeln werden daher den Workloads zugeordnet, die in diesem Subnetz lagen.

• Mittlere Konfidenz, mit Begründung

  Beide Einheiten sind MEDIUM. Zuerst prüfen Sie das Subnetz: Der Lauf verlangt, die öffentliche oder private Rolle und die Workloads darauf zu kontrollieren, denn STACKIT entscheidet Erreichbarkeit anders.

• Dafür wird nichts entworfen

  Für eine Oracle-Umgebung schreibt dieser Build keinen STACKIT-Ressourcenblock. Liefergegenstand sind die Bewertung, der Architektenbericht und die Arbeitspakete; das Terraform schreibt Ihr Team.

So wird die VCN-Umgebung zugeordnet

Die Umgebung hat neun Ressourcen und acht Einheiten: Die Sicherheitsregel wird zusammen mit ihrer Gruppe gelesen. Fünf Einheiten sind RECONFIGURE, drei MANUAL_REVIEW. Sechs von acht tragen LOW-Konfidenz, darunter das VCN und das private Subnetz, weil beide mit der Route Table verknüpft sind, die der Lauf nicht kennt.

Privates Subnetz und NSG, mit dem, was offen bleibt

Das private Subnetz verweist auf eine Route Table, und die Gruppe hat eine Regel, die Port 8080 aus dem öffentlichen Subnetz öffnet. Beide Ressourcen werden zugeordnet, und der Lauf sagt, was er nicht gelesen hat. Da assessment.json in einer einzigen Zeile geschrieben ist, zeigt der Ausschnitt ausgewählte Felder jeder Einheit, eingerückt und so verschachtelt wie in der Datei, mit unveränderten Werten.

resource "oci_core_subnet" "private" {
  compartment_id             = var.compartment_id
  vcn_id                     = oci_core_vcn.main.id
  cidr_block                 = "10.40.10.0/24"
  display_name               = "private-app"
  prohibit_public_ip_on_vnic = true
  route_table_id             = oci_core_route_table.private.id
}

resource "oci_core_network_security_group" "app" {
  compartment_id = var.compartment_id
  vcn_id         = oci_core_vcn.main.id
  display_name   = "app"
}

[
  {
    "id": "oci_core_subnet.private",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "LOW",
      "target": {
        "service": "STACKIT network"
      },
      "reason": "A subnet becomes a STACKIT network with its own address range. Review the public or private role of the subnet and the workloads on it."
    }
  },
  {
    "id": "oci_core_network_security_group.app",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "LOW",
      "target": {
        "service": "STACKIT security groups"
      },
      "reason": "A network security group becomes a STACKIT security group. Its rules are rewritten, and STACKIT rules only allow traffic."
    }
  }
]

• Die Regel schreiben Sie neu

  Die Gruppe wird zu einer STACKIT Security Group, und ihre Regeln werden neu geschrieben. Die einzige Ingress-Regel auf 8080 ist der Startpunkt; der Lauf führt sie als verknüpftes, nicht zugeordnetes Element, statt eine Übersetzung zu erfinden.

• LOW ist eine Information

  Das private Subnetz ist LOW, weil es eine Route Table nennt, die der Lauf nicht bewerten kann. Die Konfidenz steigt, wenn diese Frage geklärt ist, nicht durch Änderungen am Subnetz.

Gateways und die Route Table

Das Internet Gateway, das NAT Gateway und die Route Table, die privaten Verkehr dorthin leitet. Der Lauf ordnet sie nicht eins zu eins zu und sagt das auch. Da assessment.json in einer einzigen Zeile geschrieben ist, zeigt der Ausschnitt ausgewählte Felder jeder Einheit, eingerückt und so verschachtelt wie in der Datei, mit unveränderten Werten.

resource "oci_core_internet_gateway" "edge" {
  compartment_id = var.compartment_id
  vcn_id         = oci_core_vcn.main.id
  display_name   = "edge"
  enabled        = true
}

resource "oci_core_nat_gateway" "egress" {
  compartment_id = var.compartment_id
  vcn_id         = oci_core_vcn.main.id
  display_name   = "egress"
}

resource "oci_core_route_table" "private" {
  compartment_id = var.compartment_id
  vcn_id         = oci_core_vcn.main.id
  display_name   = "private"

  route_rules {
    destination       = "0.0.0.0/0"
    destination_type  = "CIDR_BLOCK"
    network_entity_id = oci_core_nat_gateway.egress.id
  }
}

[
  {
    "id": "oci_core_internet_gateway.edge",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "Gateways do not carry over one to one. Whether the egress needs a STACKIT network with a public address or a NAT design is a decision for the network owner."
    }
  },
  {
    "id": "oci_core_nat_gateway.egress",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "Gateways do not carry over one to one. Whether the egress needs a STACKIT network with a public address or a NAT design is a decision for the network owner."
    }
  },
  {
    "id": "oci_core_route_table.private",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "oci_core_route_table is not in the knowledge base catalogue; an architect has to decide the target. Nothing of this resource is assessed or drafted (unknown source type)."
    }
  }
]

• Gateways sind eine Designfrage

  Ob der Ausgang ein STACKIT-Netzwerk mit öffentlicher Adresse oder ein NAT-Design braucht, entscheiden die Netzwerkverantwortlichen. Genau das sagt die Klasse MANUAL_REVIEW.

• Die Route Table ist dem Lauf unbekannt

  Der Typ der Route Table steht nicht im Katalog; deshalb wird nichts davon bewertet oder entworfen. Behandeln Sie ihre Regeln als Prüfpunkt: Jedes Ziel und jeder Next Hop muss durch ein Design nachgebildet werden.

Konfigurationsunterschiede, die Folgen haben

Die Angaben stammen aus den am Ende genannten Seiten der Oracle- und der STACKIT-Dokumentation. Es sind die Stellen, an denen eine wörtliche Übernahme der Regeln das Verhalten ändert.

• Geltungsbereich der Firewall

  Oracle Security Lists werden auf Subnetz-Ebene konfiguriert; daher gelten sie für alle VNICs eines Subnetzes. Eine Network Security Group gilt nur für die VNICs, die ihr zugeordnet sind, und ein VNIC kann in bis zu fünf Gruppen sein. Eine STACKIT Security Group hängt an Netzwerkschnittstellen, und eine Schnittstelle kann mehrere Gruppen tragen.

• Standardmäßig gesperrt, auf beiden Seiten

  Eine neue Oracle Network Security Group ist leer und hat keine Standardregeln. Bei STACKIT ist eingehender Verkehr standardmäßig gesperrt, außer von Mitgliedern derselben Gruppe; ausgehender Verkehr ist standardmäßig erlaubt. Eine ausdrückliche Allow-all-Egress-Regel einer Security List entspricht damit dem STACKIT-Standard.

• Zustandslose Regeln genauer ansehen

  Beide Seiten erlauben nur Verkehr, und keine wertet Regeln in fester Reihenfolge aus. Der Unterschied liegt im Zustand: Oracle erlaubt es, einzelne Regeln als zustandslos zu markieren, während STACKIT Security Groups zustandsbehaftet arbeiten können, sodass die Antwort auf eine erlaubte Verbindung automatisch durchgelassen wird. Ein Paar zustandsloser Oracle-Regeln für Anfrage und Antwort wird als eine Absicht gelesen und nicht Regel für Regel kopiert.

• Gruppen als Quelle

  Eine Oracle-NSG-Regel kann eine andere NSG als Quelle oder Ziel nennen. Die STACKIT-Konzeptseite beschreibt Regeln über IP oder CIDR; prüfen Sie je Regel, ob ein adressbasiertes Gegenstück akzeptabel ist.

• „Öffentlich“ heißt etwas anderes

  Oracle braucht ein öffentliches Subnetz, ein aktives Internet Gateway, eine Routenregel, eine öffentliche IP und offene Regeln zugleich. Bei STACKIT erreicht ein Netzwerk das Internet ausgehend über Source NAT; für eingehende Erreichbarkeit braucht es eine eigene Public IP an einer Netzwerkschnittstelle oder einem Load Balancer.

• Adressbereiche

  Ein Oracle-VCN erlaubt /16 bis /30. Ein STACKIT-Netzwerk reicht von /29 bis /8. In einer Network Area wird der Bereich eines neuen Netzwerks aus den Bereichen der Area geschnitten; planen Sie den Adressraum daher einmal für alle Projekte.

Die vorgeschlagene Reihenfolge

Die Wellen folgen den Abhängigkeiten der Eingabe. Einheiten einer Welle können parallel umziehen; eine Einheit wartet auf alles, wovon sie abhängt.

1. 01

   Welle 1

   Das VCN: Sein Adressplan ist der Rahmen, aus dem die STACKIT-Netzwerke geschnitten werden.

2. 02

   Welle 2

   Internet Gateway, NAT Gateway, Network Security Group und Security List.

3. 03

   Welle 3

   Die Route Table und das öffentliche Subnetz.

4. 04

   Welle 4

   Das private Subnetz, zuletzt, weil es von der Route Table und damit vom NAT Gateway abhängt.

Fragen von Netzwerkteams

Quellen

• Oracle Cloud Infrastructure: Überblick über Networking
• Oracle Cloud Infrastructure: Network Security Groups
• Oracle Cloud Infrastructure: Security Lists
• STACKIT: Security Groups, Konzepte
• STACKIT: Network Area, Konzepte
• STACKIT: Virtual Network, Konzepte