Oracle Cloud: Internet 経由せずプライベートに FastConnect 通じて OCIコンソール接続できるようにしてみてみた

オンプレミス側のInternet経由せずOCIコンソールに接続するために、オンプレミスと Oracle Cloud Infrastructure (OCI) を FastConnect接続して VCN へ 配置した DNS とProxy 経由で OCIコンソール へ アクセスしてみてみます。

インターネット・アクセスを制限するために コンソールのみへのアクセスを許可するには、プロキシ・サーバーの許可リストに次のドキュメントに記載ある URL を追加します。
・参考: [ネットワークからのコンソールへのアクセスの許可](https://docs.oracle.com/ja-jp/iaas/Content/GSG/Concepts/console_topic-Allowlist.htm)

```:許可リスト
*.oracle.com
*.oraclecloud.com
*.oracleinfinity.io
oracle.112.2o7.net
consent.trustarc.com (Console cookie preferences)
```

また、次の機能を使用することでOCIコンソール接続をよりセキュアにすることができます。
　・[ネットワーク・ソース制限](https://docs.oracle.com/ja-jp/iaas/Content/Identity/Tasks/managingpasswordrules.htm): Whitelist IPのみ接続制限
　・[マルチファクタ認証(MFA)](https://docs.oracle.com/ja-jp/iaas/Content/Identity/Tasks/usingmfa.htm): ワンタイム・パスワード(TOTP), 登録済モバイル・デバイス認証などの多要素認証
　・[Authenticator APP](https://docs.oracle.com/ja-jp/iaas/Content/Identity/Tasks/usingmfa.htm): Oracle Mobile Authenticatorや Google Authenticatorをモバイルにインストールしてセキュア・トークン認証

・参考: [IPアドレス制限と多要素認証でコンソール・アクセス制御してみてみた](https://qiita.com/shirok/items/bd79c8ef60400aa77619)



# ■ 構成
![構成.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/109087/2571bb5a-f219-f11d-833f-e4db3d6110f8.png)



# ■ 手順
## ● 構成作成
前回作成した内容を使用して構成します。

**・ 参考**
　- [Cloudに配置したProxy経由でオンプレミスからInternet接続してみてみた](https://qiita.com/shirok/items/f3249da60f4b5d03af4f)
　- [Firewallの Whitelist登録でWebコンソール接続できるようにしてみてみた](https://qiita.com/shirok/items/964906469e54c274d5a3)　


## ● 設定確認
・On-PremisesとVCN Subnet間 Route Roule追加
オンプレミスと VCN Subnetが DRG通るように Route Roule追加


# ■ OCIコンソール接続設定

## ● Proxy接続設定
Mac Bookへ OCIの DNSと Proxyサーバーを設定

1) システム環境設定 画面
ネットワークをクリック
![06_MacBookーNW設定00.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/109087/c8eb2f7e-7aca-d5d3-a4d8-baf38380eadb.png)



2) DNS 画面
ProxyサーバーのIPアドレスを設定
![06_MacBookーNW設定01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/109087/e09e873e-f1bb-b1ac-ecc2-bcd79e67c283.png)



3) プロキシ画面
HTTPSをチェックし、
保護されたWebプロキシサーバー: ProxyサーバーのIPアドレス, Port番号3128を設定
![06_MacBookーNW設定02.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/109087/713fa122-08ba-8022-57c2-4e8df50d5b89.png)



## ● Proxy Server接続確認

```shell
[mac-book: ~]# ping 10.0.0.2 -c 3
	PING 10.0.0.2 (10.0.0.2): 56 data bytes
	64 bytes from 10.0.0.2: icmp_seq=0 ttl=62 time=8.027 ms
	64 bytes from 10.0.0.2: icmp_seq=1 ttl=62 time=60.485 ms
	64 bytes from 10.0.0.2: icmp_seq=2 ttl=62 time=8.567 ms

	--- 10.0.0.2 ping statistics ---
	3 packets transmitted, 3 packets received, 0.0% packet loss
	round-trip min/avg/max/stddev = 8.027/25.693/60.485/24.603 ms
```


## ● OCI Private DNS接続確認
**1) nslookup確認**
Serverが Proxy Serverアドレスでgoogle.comなどへ名前解決できることを確認

```shell
[mac-book: ~]# nslookup google.com
	Server:		10.0.1.254
	Address:	10.0.1.254#53

	Non-authoritative answer:
	Name:	google.com
	Address: 216.58.197.174
```




# ■ OCIコンソール Proxy接続確認
 
## ● oracle.com 以外接続不可能確認
Safariブラウザで、google.com などへ接続できず、"プロキシサーバーに接続できません" と表示されることを確認
![08_Browserアクセス05.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/109087/dad6dc90-159b-9ece-0c2d-2c6e9e2ff1b1.png)




## ● コンソール接続
OCIコンソールの URLは、次となります
　http://console.{Home_Region_Identifier}.oraclecloud.com

Home Region が Tokyoリージョンの場合は、次となります
　https://console.ap-tokyo-1.oraclecloud.com/

各リージョンの region_identifier(リージョン識別子)は次を参考に設定
・参考:[リージョン識別子(region_identifier)](https://einstein.oracle.com/apex/f?p=300000:Q:8007423878094::::QUESTION:connection-console-connection-url-for-fatconnect-public-pee-3538)


**1) コンソール接続**
　https://console.ap-tokyo-1.oraclecloud.com/ へブラウザアクセス
![00.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/109087/84144af7-7a04-97f1-fd9a-69f90489714e.png)



**2) Cloud Tenant画面**
Tenantを設定し、[Continue]をクリック
![01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/109087/c203138e-2179-7f4a-cbe9-fccba9648a77.png)


**3) Sign In 画面**
User Name , Passwordを入力し、[Sign In]をクリック
![02.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/109087/fb169c8b-9f0b-8e24-a417-53fedcf7cb99.png)


**4) Login完了**
![04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/109087/30415843-41e8-760f-e3c4-05e4daa9331c.png)


# ■ 参考
　・OCI Documents: [ネットワークからのコンソールへのアクセスの許可](https://docs.oracle.com/ja-jp/iaas/Content/GSG/Concepts/console.htm)
　・[FastConnectパブリック・ピアリングの通知ルート](https://docs.oracle.com/ja-jp/iaas/Content/Network/Concepts/fastconnectpublicpeeringaddressranges.htm)
　・[ネットワーク・ソース制限](https://docs.oracle.com/ja-jp/iaas/Content/Identity/Tasks/managingpasswordrules.htm)
　・[MULTI-FACTOR AUTHENTICATION (MFA)](https://docs.oracle.com/ja-jp/iaas/Content/Identity/Tasks/usingmfa.htm)
　・[AUTHENTICATOR APP](https://docs.oracle.com/ja-jp/iaas/Content/Identity/Tasks/usingmfa.htm)
　・[Cloudに配置したProxy経由でオンプレミスからInternet接続してみてみた](https://qiita.com/shirok/items/f3249da60f4b5d03af4f)
　・[Oracle Cloud: Firewallの Whitelist登録でWebコンソール接続できるようにしてみてみた](https://qiita.com/shirok/items/964906469e54c274d5a3)　
　・[Oracle Cloud : コマンド・ライン・インタフェース(CLI) をインストールしてみた](https://qiita.com/shirok/items/e63be9a22158fef10ba9)