Oracle FastConnect : relier vos cartes SIM à Oracle Cloud sans Internet, à Paris ou à Marseille

Par Aurélie, M2M Network.

En bref : Oracle FastConnect est l’entrée privée d’Oracle Cloud Infrastructure (OCI) : une connexion dédiée entre votre réseau et OCI qui emprunte un réseau physique privé au lieu d’Internet. Elle se commande selon trois modèles (partenaire FastConnect, fournisseur tiers, colocation avec Oracle) et porte des circuits virtuels, en peering privé vers un réseau cloud virtuel (VCN) ou en peering public vers les services publics d’OCI. En France, Oracle publie deux sites FastConnect : Telehouse Voltaire à Paris (région eu-paris-1) et Digital Realty MRS2 à Marseille (région eu-marseille-1). Pour relier des objets connectés à Oracle Cloud sans Internet, le trafic des cartes SIM passe par un APN dédié, un pare-feu, puis une liaison privée jusqu’au site FastConnect ; il n’est chiffré que si l’on active IPSec over FastConnect ou MACsec.

Le principe commun à tous les clouds (APN dédié, pare-feu administré par le client, liaison privée par un fournisseur d’interconnexion) est expliqué dans notre guide de l’interconnexion cloud privée pour l’IoT. Cette page, écrite pour les architectes cloud, responsables réseau et RSSI, détaille ce qui est propre à Oracle.

Ce qu’est Oracle FastConnect : sites, circuits virtuels, sessions BGP

Oracle définit FastConnect comme une connexion à OCI sur un réseau physique privé plutôt que sur Internet, avec des débits plus élevés et une expérience réseau plus fiable et plus régulière qu’une connexion par Internet. Quatre notions structurent sa documentation :

• Le site FastConnect (FastConnect location) : le centre de données où l’on se raccorde à OCI. Les sites d’une même zone métropolitaine sont reliés aux mêmes domaines de disponibilité.
• Le cross-connect : le câble physique entre votre réseau et Oracle dans le site, dans les modèles fournisseur tiers et colocation. Jusqu’à huit cross-connects s’agrègent en un groupe (cross-connect group).
• Le circuit virtuel : un chemin isolé, porté par une ou plusieurs connexions physiques, qui forme une connexion logique unique entre votre réseau et OCI. Oracle cite l’exemple de circuits privés séparés pour isoler 10.0.1.0/24 et 172.16.0.0/16.
• La session BGP : sans elle, aucun trafic ne passe, même si les liens physiques fonctionnent. La détection BFD (Bidirectional Forwarding Detection) repère une panne plus vite que les temporisations de BGP.

Pour un parc de cartes SIM, un circuit virtuel par usage peut séparer les flux jusque dans OCI, comme l’APN les sépare dans le réseau mobile.

Les trois modèles de connexion FastConnect

Les trois modèles exigent BGP, acceptent IPSec over FastConnect, et Oracle y recommande partout une connectivité redondante. Ce qui change, c’est qui pose le lien jusqu’au site :

Critère	Avec un partenaire FastConnect	Avec un fournisseur tiers	En colocation avec Oracle
Qui c’est	Un opérateur déjà raccordé à Oracle, inscrit sur la liste des partenaires	Un opérateur de votre choix, hors liste, qui rejoint Oracle en fibre monomode	Vos équipements, installés dans le site FastConnect
Lien jusqu’à Oracle	Celui du partenaire	Un cross-connect posé par le fournisseur pour votre compte	Votre cross-connect
Débits de port publiés	Paliers de 1, 10 ou 100 Gbit/s	1, 10, 100 ou 400 Gbit/s par cross-connect	1, 10, 100 ou 400 Gbit/s par cross-connect
Lettre d’autorisation (LOA) d’Oracle	Sans objet	Oui, à transmettre au fournisseur	Oui
Début de la facturation OCI	À l’établissement du circuit virtuel	À l’activation du cross-connect, ou 30 jours après la LOA si c’est plus tôt	Comme pour le fournisseur tiers
MACsec	Non décrit par Oracle pour ce modèle	Si le fournisseur le prend en charge sur son circuit	Oui, sur un port de 10 Gbit/s ou plus

Avec un partenaire, vous créez le circuit virtuel dans la console OCI et transmettez son identifiant (OCID) au partenaire ; le circuit reste à l’état PENDING PARTNER tant que celui-ci n’a pas fait sa part. Avec un fournisseur tiers, vous créez le cross-connect pour obtenir la LOA, valable 60 jours et prolongeable de 30 ; Oracle prévient qu’une commande passée sans elle, avec la seule adresse du bâtiment, doit le plus souvent être refaite depuis le début. En colocation, les limites de cross-connects d’un compte sont à zéro par défaut, et leur augmentation prend quelques jours ouvrés.

Peering privé ou peering public : où arrive le trafic

Chaque circuit virtuel est privé ou public. Oracle part du principe que l’on utilise le peering privé, et éventuellement le peering public sur un autre circuit.

Le peering privé prolonge votre réseau dans un VCN, en adresses IPv4 privées (en général celles de la RFC 1918). Il passe obligatoirement par une passerelle de routage dynamique (Dynamic Routing Gateway, DRG), un routeur virtuel qu’Oracle présente comme le point d’entrée unique du trafic privé dans le VCN. Une fois la DRG attachée, il faut une règle vers elle dans la table de routage du VCN, sans quoi aucun trafic ne circule. Une DRG accepte plusieurs VCN, mais un VCN ne s’attache qu’à une DRG. Un circuit privé accepte jusqu’à 2 000 préfixes IPv4 et 500 préfixes IPv6.

Le peering public donne accès sans Internet aux services publics d’OCI (Object Storage, console et API, répartiteurs de charge publics d’un VCN), en adresses publiques. Il exige un ASN public et des préfixes dont Oracle vérifie la titularité, ce qui peut prendre jusqu’à trois jours ouvrés. Oracle demande de le traiter comme une interface non fiable, protégée par pare-feu comme toute interface reliée à Internet.

Pour des objets adressés en privé, l’accès privé aux services Oracle évite le peering public : le trafic suit le circuit privé, traverse un VCN puis une passerelle de service (service gateway) jusqu’au service, Object Storage par exemple, et les hôtes gardent leurs adresses privées. Cette passerelle est régionale : elle ne sert que les services de la région du VCN.

FastConnect Paris et FastConnect Marseille : ce qu’Oracle publie

Oracle publie deux régions en France, chacune avec un domaine de disponibilité et son propre site FastConnect :

Région OCI	Identifiant	Site FastConnect	Ports des cross-connects	Partenaires listés
France Central (Paris)	eu-paris-1	Telehouse Voltaire, Paris	1, 10, 100 Gbit/s ; 400 Gbit/s sous réserve de disponibilité	8
France South (Marseille)	eu-marseille-1	Digital Realty MRS2, Marseille	1, 10, 100 Gbit/s ; 400 Gbit/s sous réserve de disponibilité	5

Les partenaires listés sont des opérateurs et des plateformes d’interconnexion (Colt, Console Connect, DE-CIX, Equinix Fabric, Megaport ou Orange Business Services, par exemple). La liste dit qui est référencé, pas qui livrera votre circuit, à quel débit ni dans quel délai.

Conséquence pratique : chaque région française n’a qu’un site FastConnect. La diversité d’équipement s’obtient dans ce site, qui compte toujours au moins deux routeurs Oracle ; pour la diversité de site, Oracle conseille de répéter le montage dans une région voisine avec une copie des ressources cloud, ce qui revient en France à associer Paris et Marseille. Chez AWS Direct Connect, le rôle du circuit virtuel revient aux interfaces virtuelles (privée vers un VPC, publique vers des services comme Amazon S3), montage détaillé dans l’article carte SIM et AWS Direct Connect.

Redondance : ce qu’Oracle recommande selon le modèle

• Partenaire de niveau 2 (la session BGP va de votre routeur jusqu’à Oracle) : deux circuits virtuels, créés avec l’option « Redundant virtual circuits », chacun sur une connexion physique différente du partenaire. Oracle rend le second obligatoire.
• Partenaire de niveau 3 (la session BGP s’arrête chez le partenaire) : un seul circuit est redondant par construction entre le partenaire et Oracle, avec deux sessions BGP sur deux connexions physiques ; le tronçon entre le partenaire et votre réseau reste à doubler.
• Fournisseur tiers ou colocation : la redondance physique vous revient. Deux connexions, sur deux routeurs Oracle ou dans deux sites, un circuit virtuel sur chacune, et des débits augmentés à l’identique par groupes de cross-connects.

Oracle recommande aussi un VPN Site-to-Site de secours, routé par BGP, avec des préférences qui favorisent FastConnect (AS_PATH prepend, local preference). Pour des cartes SIM, ce secours sort du réseau privé : les tunnels sont chiffrés, mais ils passent par Internet. La BFD d’Oracle attend en face un intervalle minimal de 300 ms et un multiplicateur de 3 ; ses temporisations BGP par défaut sont de 10 secondes (keep-alive) et 30 secondes (hold-time).

Chiffrer FastConnect : IPSec over FastConnect ou MACsec

Privé ne veut pas dire chiffré. Oracle présente deux méthodes de chiffrement, à activer, et précise qu’un même circuit virtuel peut porter à la fois du trafic chiffré et du trafic non chiffré. La question se pose aussi en amont, dans le réseau mobile : voir les limites de l’APN privé, du pare-feu au chiffrement.

IPSec over FastConnect monte des tunnels IPSec de VPN Site-to-Site sur un circuit virtuel privé, au niveau 3, dans les trois modèles. Plusieurs tunnels peuvent partager un circuit et s’agréger en ECMP ; même en adresses publiques, leurs extrémités ne sont pas joignables depuis Internet, puisque le transport reste privé. Il faut une DRG mise à niveau et un objet CPE (votre équipement, vu par OCI) créé d’emblée avec l’option ; Oracle recommande le routage BGP. L’option « IPSec over FastConnect traffic only » n’accepte plus que du trafic chiffré sur le circuit.

MACsec (norme IEEE 802.1AE) chiffre au niveau 2 en AES (suites aes128-gcm-xpn ou aes256-gcm-xpn), les clés étant conservées dans OCI Vault. Oracle le décrit sur les cross-connects des modèles fournisseur tiers et colocation, avec un port de 10 Gbit/s ou plus, un cross-connect marqué « Capable » et un équipement client compatible ; tous les fournisseurs tiers ne le prennent pas en charge. Oracle recommande le mode must-secure (« Fail Close »), et l’ajout de MACsec sur un cross-connect existant redémarre la session BGP.

Cartes SIM vers un VCN Oracle sans Internet : le schéma

Le chemin d’un paquet, de l’objet jusqu’à l’application dans OCI :

Objet et sa carte SIM → APN dédié → pare-feu administré par le client → réseau du fournisseur d’interconnexion → site FastConnect (Paris ou Marseille) → circuit virtuel privé → DRG → VCN

• APN dédié. Seules les cartes SIM du client entrent dans cet APN privé dédié du réseau mobile.
• Pare-feu. Le client y écrit lui-même les règles (quels blocs de l’APN joignent quels sous-réseaux du VCN, sur quels ports) et peut y isoler un objet suspect avant qu’il n’atteigne Oracle ; voir les flux de cartes SIM administrables par pare-feu.
• Fournisseur d’interconnexion. Un service de type Network as a Service (NaaS) transporte le trafic jusqu’au site FastConnect. Pour Oracle, il est partenaire FastConnect ou fournisseur tiers, ce qui fixe le modèle de connexion.
• Circuit virtuel privé, DRG, VCN. La DRG route vers le ou les VCN attachés, dont les listes de sécurité filtrent une seconde fois.

Côté adressage, les blocs des APN restent distincts des CIDR des VCN, et chaque circuit privé demande sa paire d’adresses BGP (masque de /28 à /31), avec une adresse différente sur votre routeur pour chaque circuit qui aboutit à la même DRG. L’ASN d’Oracle est 31898 pour le cloud commercial ; le vôtre peut être privé, de 64512 à 65533, sauf 65534 qu’Oracle n’accepte pas.

Les informations à réunir avant de demander un circuit

1. Région et site : eu-paris-1 (Telehouse Voltaire) ou eu-marseille-1 (Digital Realty MRS2), plus la seconde région si vous visez la diversité de site.
2. Modèle : partenaire, fournisseur tiers ou colocation ; avec un partenaire, niveau 2 ou niveau 3.
3. Type de circuit : privé, public, ou les deux sur deux circuits ; pour le public, vos préfixes et un ASN public.
4. DRG et VCN : DRG existante ou à créer (mise à niveau pour IPSec over FastConnect), VCN à attacher, règles de routage, listes de sécurité.
5. Adressage BGP : blocs des APN, CIDR des VCN, paire d’adresses par circuit privé, ASN, clé MD5 éventuelle (Oracle accepte jusqu’à 128 bits).
6. Débit : débit provisionné de chaque circuit virtuel, modifiable ensuite, et vitesse des ports s’il y a un cross-connect.
7. Chiffrement : IPSec over FastConnect (objet CPE créé avec l’option, trafic chiffré seul ou mixte) ou MACsec (10 Gbit/s ou plus, clés dans OCI Vault).
8. Redondance : deux circuits, deux connexions, deux routeurs ou deux sites, et le choix d’un secours VPN par Internet.
9. Droits dans OCI : une politique IAM pour gérer circuits virtuels et DRG (et cross-connects hors partenaire) ; en colocation, la demande d’augmentation de limite.

Ce que propose M2M Network

Chez M2M Network, les cartes SIM de chaque client vivent dans un APN dédié, et leurs flux traversent un pare-feu dont le client gère lui-même les règles. Le trafic reste ensuite dans un VPN, un MPLS ou un VPLS jusqu’aux sites du client, ou il est relivré directement dans son environnement cloud par interconnexion cloud privée, sans passer par Internet. Pour Oracle Cloud Infrastructure, la région, le modèle FastConnect, le débit et le chiffrement (IPSec dans le circuit, ou MACsec là où Oracle le permet) se fixent lors de l’étude du raccordement : contactez l’équipe M2M Network. L’APN privé classique reste disponible, et le groupe MUONA héberge aussi en France avec Guardis, sur une infrastructure certifiée ISO 27001 et HDS.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

• Google Cloud Interconnect : relier un parc de cartes SIM à votre VPC par Partner Interconnect, sans Internet

Questions fréquentes

Sources

• Oracle, FastConnect Overview : https://docs.oracle.com/en-us/iaas/Content/Network/Concepts/fastconnectoverview.htm
• Oracle, FastConnect Security : https://docs.oracle.com/en-us/iaas/Content/Network/Concepts/fastconnectsecurity.htm
• Oracle, FastConnect Redundancy Best Practices : https://docs.oracle.com/en-us/iaas/Content/Network/Concepts/fastconnectresiliency.htm
• Oracle, FastConnect Requirements : https://docs.oracle.com/en-us/iaas/Content/Network/Concepts/fastconnectrequirements.htm
• Oracle, FastConnect: With an Oracle Partner : https://docs.oracle.com/en-us/iaas/Content/Network/Concepts/fastconnectprovider.htm
• Oracle, FastConnect: With a Third-Party Provider : https://docs.oracle.com/en-us/iaas/Content/Network/Concepts/fastconnectthirdpartyprovider.htm
• Oracle, FastConnect: Colocation with Oracle : https://docs.oracle.com/en-us/iaas/Content/Network/Concepts/fastconnectcolocate.htm
• Oracle, Dynamic Routing Gateways : https://docs.oracle.com/en-us/iaas/Content/Network/Tasks/managingDRGs.htm
• Oracle, Private Access to Oracle Services : https://docs.oracle.com/en-us/iaas/Content/Network/Tasks/transitroutingoracleservices.htm
• Oracle, FastConnect Partners by Region : https://www.oracle.com/cloud/networking/fastconnect/providers/
• Oracle, Regions and Availability Domains : https://docs.oracle.com/en-us/iaas/Content/General/Concepts/regions.htm
• AWS, What is Direct Connect? : https://docs.aws.amazon.com/directconnect/latest/UserGuide/Welcome.html