增强型动态路由网关(DRG)的基本使用场景介绍

大型企业上云通常会面临很多复杂的网络场景，比如本地到云的互联互通，多个区域之间的互联互通，对特定云服务的私有访问等，在OCI中实现这些场景需要使用到动态路由网关DRG，为了更好的支撑客户复杂的网路场景，OCI推出了增强版的DRG，本文将探讨增强版动态路由网关(DRG)的一些新特性和功能。

DRG是一个虚拟的路由器，可把流量路由到以下位置：

• 通过IPSec Tunnel连接的本地网络

• 通过FastConnect连接的本地网络

• 其他OCI Region的VCN

• DRG所在的本地OCI Region的VCN

• OCI的服务网络

• 其他云厂商的网络

1. VCN Attachment限制

旧版的DRG只能和其所在的Region内的单个VCN进行绑定，如果客户需要同一个Region里面的多个VCN进行互联互通，那么需要使用本地对等连接(LPG)，最能使用10个LPG。

2. FastConnect和Site-to-Site Virtual Private Network连接的限制

本地网络通过FastConnect 或 IPSec 隧道连接旧版的DRG , 只能访问该DRG所在Region中的资源。如果希望本地网络连接另一个Region中的资源, 客户需要在该Region创建一个新的DRG, 然后配置单独的 FastConnect 或 IPSec 隧道到该区域。

3. 旧版的DRG路由表

旧版 DRG 包含一个路由表，默认情况下该路由表路由本地网络和它所连接的 VCN 之间所有流量，且无法修改该行为。

1. VCN Attachment增强

增强型DRG可以同时绑定同一个Region里面的多个VCN，同一个Region里面VCN到VCN只需要通过该DRG就可以连通，不再需要配置LPG，目前一个DRG可以绑定300个VCN，大大增强了VCN连通性。

2.  FastConnect和Site-to-Site Virtual Private Network连接的增强

本地网络通过FastConnect 或 IPSec 隧道连接到增强型DRG后，既可以访问该DRG所在Region中的资源，也可以通过该DRG访问其他Region的资源，通过DRG访问其他Region资源需要该DRG和其他Region的DRG建立远程对等连接 (RPC)连接。

3. 路由表增强
可以为每个DRG Attachment分配一个路由表，从而使客户能够更精细地控制路由并满足更复杂的路由要求。

• VCN Attachments

• RPC Attachments

• IPSec Tunnel Attachments

• Virtual Circuit (VC) Attachments
  

  
  

可以这些DRG Attachmen视为插入传统物理路由器的接口。流量通过接口进入DRG虚拟路由器转发到DRG 连接到的不同网络。

该场景中本地网络(192.168.0.0/16)和OCI的私有子网(10.0.0.0/24)通过Virtual Private Network或者FastConnect创建一个基本连接，自动生成的路由表以最小的配置实现这种连接，在创建IPSec Virtual Private Network或 FastConnect Attachments之前，必须先创建DRG，当创建并配置IPSec Virtual Private Network或FastConnect Attachments，IPSec Virtual Private Network或FastConnect会自动连接到DRG，同时自动生成的路由表，导入和导出路由也适用该Attachments，由于DRG不会自动附加到VCN， 所以需要在DRG里面单击Virtual Cloud Network Attachments资源下的Create Virtual Cloud Network Attachment并选择您的VCN，不要忘记在子网路由表中添加路由规则，添加本地网络路由目标是DRG的规则，并修改任何安全列表或网络安全组以允许流量。

首先说明下，有很多OCI的云服务不依赖VCN，比如对象存储，我们这些云服务所在的网络叫服务网络，如果想不通过互联网访问这些云服务，就需要通过Service Gateway，本场景构建在场景一上，我们把上面那个VCN做为中转网络把流量路由到OCI的服务网络，这样流量就不会暴露在互联网上既安全，性能又好。

在上面的场景一中，我们利用Ashburn的Virtual Private Network或FastConnect连接到Ashburn Region的 VCN， 旧版 DRG的限制之一是本地网络通过FastConnect或IPSec隧道连接旧版的DRG，只能访问该DRG所在Region中的资源。

如果希望本地网络连接另一个Region中的资源， 客户需要在该Region创建一个新的DRG，然后配置单独的FastConnect或IPSec隧道到该Region，在场景三中，我们将使用来场景一的相同Virtual Private Network或FastConnect和新增强DRG功能。

在该场景中使用RPC，通过它连接不同的Region的DRG，本地网络数据包先路由到DRG然后通过RPC路由到另一个Region的DRG，然后路由到目标VCN。
希望通过该文章让大家了解到OCI增强型的DRG功能和基本使用场景。