Oracle VCN, subnets en network security groups op STACKIT

Een security list en een publiek subnet, beoordeeld

Een klein netwerk, voor deze pagina opgesteld en op 4 november 2026 door StackToIT beoordeeld. Links: de invoer, regels 48 tot 75 van main.tf. Rechts: het resultaat voor dezelfde twee resources, een fragment van assessment.json met de waarden zoals de run ze schreef. assessment.json staat op één regel, dus het venster toont geselecteerde velden van elke eenheid, ingesprongen en genest zoals in het bestand, met ongewijzigde waarden.

resource "oci_core_security_list" "public" {
  compartment_id = var.compartment_id
  vcn_id         = oci_core_vcn.main.id
  display_name   = "public-web"

  ingress_security_rules {
    protocol = "6"
    source   = "0.0.0.0/0"

    tcp_options {
      min = 443
      max = 443
    }
  }

  egress_security_rules {
    protocol    = "all"
    destination = "0.0.0.0/0"
  }
}

resource "oci_core_subnet" "public" {
  compartment_id    = var.compartment_id
  vcn_id            = oci_core_vcn.main.id
  cidr_block        = "10.40.0.0/24"
  display_name      = "public"
  security_list_ids = [oci_core_security_list.public.id]
}

[
  {
    "id": "oci_core_security_list.public",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "MEDIUM",
      "target": {
        "service": "STACKIT security groups"
      },
      "reason": "A security list applies to a whole subnet, while a STACKIT security group attaches to a server. Its rules are rewritten and attached to the workloads of that subnet."
    }
  },
  {
    "id": "oci_core_subnet.public",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "MEDIUM",
      "target": {
        "service": "STACKIT network"
      },
      "reason": "A subnet becomes a STACKIT network with its own address range. Review the public or private role of the subnet and the workloads on it."
    }
  }
]

• De firewall verhuist naar de workloads

  De security list beschermt in Oracle Cloud een heel subnet. Een STACKIT security group wordt aan netwerkinterfaces gekoppeld, dus de herschreven regels worden toegewezen aan de workloads die voorheen in dat subnet zaten.

• Zekerheidsniveau MEDIUM, met een reden

  Beide eenheden zijn MEDIUM. Het subnet beoordeelt u als eerste: de run vraagt u de publieke of privé-rol ervan en de workloads erop te controleren, omdat STACKIT bereikbaarheid anders bepaalt.

• Een concept om te beoordelen

  StackToIT schrijft een STACKIT-Terraform-concept voor uw architecten om te beoordelen. Het assessment, het architectenrapport en de werkpakketten horen erbij.

Hoe de VCN-omgeving wordt gekoppeld

De omgeving heeft negen resources en acht eenheden: de beveiligingsregel wordt samen met de bijbehorende groep gelezen. Vijf eenheden zijn RECONFIGURE en drie zijn MANUAL_REVIEW. Zes van de acht hebben zekerheidsniveau LOW, waaronder het VCN en het privé-subnet, omdat beide verwijzen naar de routetabel die de run niet kent.

Privé-subnet en NSG, met wat openblijft

Het privé-subnet verwijst naar een routetabel en de groep heeft één regel die poort 8080 opent vanuit het publieke subnet. Beide resources zijn gekoppeld en de run vermeldt wat de run niet heeft gelezen. assessment.json staat op één regel, dus het venster toont geselecteerde velden van elke eenheid, ingesprongen en genest zoals in het bestand, met ongewijzigde waarden.

resource "oci_core_subnet" "private" {
  compartment_id             = var.compartment_id
  vcn_id                     = oci_core_vcn.main.id
  cidr_block                 = "10.40.10.0/24"
  display_name               = "private-app"
  prohibit_public_ip_on_vnic = true
  route_table_id             = oci_core_route_table.private.id
}

resource "oci_core_network_security_group" "app" {
  compartment_id = var.compartment_id
  vcn_id         = oci_core_vcn.main.id
  display_name   = "app"
}

[
  {
    "id": "oci_core_subnet.private",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "LOW",
      "target": {
        "service": "STACKIT network"
      },
      "reason": "A subnet becomes a STACKIT network with its own address range. Review the public or private role of the subnet and the workloads on it."
    }
  },
  {
    "id": "oci_core_network_security_group.app",
    "result": {
      "class": "RECONFIGURE",
      "confidence": "LOW",
      "target": {
        "service": "STACKIT security groups"
      },
      "reason": "A network security group becomes a STACKIT security group. Its rules are rewritten, and STACKIT rules only allow traffic."
    }
  }
]

• De regel schrijft u zelf om

  De groep wordt een STACKIT security group en de regels worden herschreven. De ene ingress-regel op 8080 is waar u begint; de run legt die vast als gekoppeld item zonder doel in plaats van een vertaling te verzinnen.

• LOW is informatie

  Het privé-subnet heeft LOW omdat het een routetabel noemt die de run niet kan beoordelen. Het zekerheidsniveau stijgt door die vraag te beantwoorden, niet door het subnet zelf aan te passen.

Gateways en de routetabel

De internetgateway, de NAT-gateway en de routetabel die privéverkeer ernaartoe stuurt. De run koppelt ze niet één-op-één en zegt dat ook. assessment.json staat op één regel, dus het venster toont geselecteerde velden van elke eenheid, ingesprongen en genest zoals in het bestand, met ongewijzigde waarden.

resource "oci_core_internet_gateway" "edge" {
  compartment_id = var.compartment_id
  vcn_id         = oci_core_vcn.main.id
  display_name   = "edge"
  enabled        = true
}

resource "oci_core_nat_gateway" "egress" {
  compartment_id = var.compartment_id
  vcn_id         = oci_core_vcn.main.id
  display_name   = "egress"
}

resource "oci_core_route_table" "private" {
  compartment_id = var.compartment_id
  vcn_id         = oci_core_vcn.main.id
  display_name   = "private"

  route_rules {
    destination       = "0.0.0.0/0"
    destination_type  = "CIDR_BLOCK"
    network_entity_id = oci_core_nat_gateway.egress.id
  }
}

[
  {
    "id": "oci_core_internet_gateway.edge",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "Gateways do not carry over one to one. Whether the egress needs a STACKIT network with a public address or a NAT design is a decision for the network owner."
    }
  },
  {
    "id": "oci_core_nat_gateway.egress",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "Gateways do not carry over one to one. Whether the egress needs a STACKIT network with a public address or a NAT design is a decision for the network owner."
    }
  },
  {
    "id": "oci_core_route_table.private",
    "result": {
      "class": "MANUAL_REVIEW",
      "confidence": "LOW",
      "reason": "oci_core_route_table is not in the knowledge base catalogue; an architect has to decide the target. Nothing of this resource is assessed or drafted (unknown source type)."
    }
  }
]

• Gateways zijn een ontwerpvraag

  Of egress een STACKIT-netwerk met een publiek adres nodig heeft of een NAT-ontwerp, is een beslissing voor de netwerkeigenaar. De klasse MANUAL_REVIEW zegt precies dat.

• De routetabel is onbekend voor de run

  Het type routetabel staat niet in de catalogus, dus er wordt niets van beoordeeld of als concept opgesteld. Behandel de regels als een checklistpunt: elke bestemming en next hop moet door een ontwerp worden nagebouwd.

Configuratieverschillen die ertoe doen

De feiten hieronder komen uit de Oracle- en STACKIT-documentatiepagina's die aan het eind staan. Het zijn de plekken waar een letterlijke kopie van de regels het gedrag verandert.

• Reikwijdte van de firewall

  Oracle security lists worden op subnetniveau geconfigureerd, dus alle VNIC's van een subnet delen ze. Een network security group geldt alleen voor de VNIC's die erin zijn geplaatst, en een VNIC kan in maximaal vijf groepen zitten. Een STACKIT security group wordt aan netwerkinterfaces gekoppeld en één interface kan meerdere groepen dragen.

• Weigeren is op beide de standaard

  Een nieuwe Oracle network security group is leeg en heeft geen standaardregels. Op STACKIT wordt standaard al het inkomende verkeer geblokkeerd, behalve verkeer van leden van dezelfde groep, en uitgaand verkeer is standaard toegestaan. Een expliciete allow-all-egressregel in een security list komt daarom overeen met de STACKIT-standaard.

• Stateless regels verdienen een tweede blik

  Beide kanten staan alleen verkeer toe en geen van beide evalueert regels in een vaste volgorde. Het verschil is de state: Oracle laat u afzonderlijke regels als stateless markeren, terwijl STACKIT security groups stateful kunnen zijn, zodat het antwoord op een toegestane verbinding automatisch wordt toegelaten. Een paar stateless Oracle-regels voor verzoek en antwoord wordt opnieuw gelezen als één bedoeling, niet regel voor regel gekopieerd.

• Groepen als bron

  Een Oracle NSG-regel kan een andere NSG als bron of bestemming noemen. De conceptenpagina van STACKIT beschrijft regels op basis van IP of CIDR, dus controleer per zo'n regel of een adresgebaseerd equivalent acceptabel is.

• Publiek betekent iets anders

  Oracle vereist samen een publiek subnet, een ingeschakelde internetgateway, een routeregel, een publiek IP-adres en open regels. Op STACKIT bereikt een netwerk het internet uitgaand via source NAT en voor inkomende bereikbaarheid is een apart publiek IP-adres nodig dat aan een netwerkinterface of een load balancer is gekoppeld.

• Adresbereiken

  Een Oracle VCN accepteert bereiken van /16 tot /30. Een STACKIT-netwerk loopt van /29 tot /8. In een Network Area wordt het bereik van een nieuw netwerk afgesplitst van de bereiken van de Network Area, dus plan de adresruimte eenmalig voor alle projecten.

De volgorde die de run voorstelt

Golven volgen de afhankelijkheden in de invoer. Eenheden in een golf kunnen parallel overgaan; een eenheid wacht op alles waarvan die afhankelijk is.

1. 01

   Golf 1

   Het VCN: het adresplan is het kader waaruit de STACKIT-netwerken worden afgesplitst.

2. 02

   Golf 2

   De internetgateway, de NAT-gateway, de network security group en de security list.

3. 03

   Golf 3

   De routetabel en het publieke subnet.

4. 04

   Golf 4

   Het privé-subnet, als laatste omdat het afhangt van de routetabel en daarmee van de NAT-gateway.

Vragen van netwerkteams

Bronnen

• Oracle Cloud Infrastructure: Networking overview
• Oracle Cloud Infrastructure: Network security groups
• Oracle Cloud Infrastructure: Security lists
• STACKIT: Security groups, concepts
• STACKIT: Network Area, concepts
• STACKIT: Virtual Network, concepts