As práticas recomendadas a seguir podem ajudar no planejamento e configuração do Cloud VPN.
Usar projetos separados Google Cloud para recursos de rede
Para facilitar a configuração dos papéis e das permissões do Identity and Access Management (IAM) mais fácil, sempre que possível, mantenha os recursos do Cloud VPN e do Cloud Router em um projeto separado dos outros Google Cloud recursos.
Roteamento e failover
Escolher o roteamento dinâmico
Escolha um gateway do Cloud VPN que use roteamento dinâmico e o Border Gateway Protocol (BGP). O Google recomenda o uso da VPN de alta disponibilidade e a implantação de dispositivos locais que ofereçam suporte ao BGP.
Maximizar a disponibilidade do Cloud VPN
Para alta disponibilidade e melhor SLA, use a VPN de alta disponibilidade com BGP. Se a configuração exigir rotas estáticas, use a VPN clássica.
Para mais informações, consulte tipos de VPN na visão geral do Cloud VPN.
Como configurar o gateway de VPN de peering do Cloud VPN
Recomendamos o uso dos valores padrão dos modelos de configuração fornecidos por Google Cloud. Esses modelos geralmente especificam tempos de vida útil da IKE mais curtos do que os Google Cloud padrões para garantir a máxima compatibilidade entre fornecedores de VPN de terceiros.
Para evitar quedas de conectividade ou instabilidade do túnel, não altere os valores de vida útil gerados, a menos que o fornecedor de terceiros recomende explicitamente uma configuração diferente.
| Prática recomendada | Ação recomendada | Descrição |
|---|---|---|
| Alinhamento do tempo de vida útil da SA | Se você estiver configurando túneis manualmente usando a API, a Google Cloud CLI,
ou o Terraform, defina a Fase 1 como 36000
segundos e a Fase 2 como 10800 segundos.
Para mais informações, consulte a tabela Criptografias IKE aceitas. |
Tempos de vida útil da SA incompatíveis causam quedas de conexão intermitentes e perda de pacotes durante a rotação de chaves. |
| Uso de modelos | Se você estiver usando um modelo de peering para download do console, use os valores de vida útil exatos definidos nesse modelo. | Os modelos baixados são otimizados para compatibilidade específica do fornecedor, mas os dois endpoints precisam corresponder. |
Escolher a configuração de túnel apropriada
Escolha a configuração de túnel apropriada com base no número de túneis de VPN de alta disponibilidade:
Se você tiver dois túneis de VPN de alta disponibilidade, use uma configuração de túnel ativa/passiva.
Se você tiver mais de dois túneis de VPN de alta disponibilidade, use uma configuração de túnel ativa/ativa.
Para mais informações, consulte as seguintes seções na visão geral do Cloud VPN:
- Opções de roteamento ativo/ativo e ativo/passivo para VPN de alta disponibilidade
- Opção de roteamento recomendada
Confiabilidade
As práticas recomendadas a seguir podem ajudar a melhorar a confiabilidade da configuração do Cloud VPN.
Usar painéis predefinidos para monitoramento proativo de túneis de VPN do Cloud VPN
Recomendamos que você use os painéis predefinidos no console do Cloud VPN para monitorar os túneis de VPN do Cloud VPN e a integridade geral do projeto em uma única visualização.
Essa é a maneira mais rápida de detectar problemas de desempenho em todo o projeto.
Visibilidade em todo o projeto: na guia Observabilidade, verifique a integridade geral de todos os túneis.
Visibilidade específica do túnel: na guia Monitoramento , consulte os registros integrados de túnel de VPN do Cloud VPN e os registros do gateway do Cloud VPN para um diagnóstico rápido e específico do túnel.
Para mais informações, consulte Visualizar painéis do Monitoring.
Configurar o gateway de VPN de peering com apenas uma criptografia para cada papel de criptografia
O Cloud VPN pode atuar como um iniciador ou participante de solicitações do IKE, dependendo da origem do tráfego quando uma nova associação de segurança é necessária.
Quando o Cloud VPN inicia uma conexão VPN, ele propõe os algoritmos de criptografia configurados no túnel de VPN do Cloud VPN. Se você não tiver configurado os algoritmos de criptografia, o túnel de VPN do Cloud VPN vai propor os algoritmos de criptografia na ordem mostrada nas tabelas de criptografia aceitas para cada papel de criptografia. O par que recebe a proposta seleciona um algoritmo.
Se o peering iniciar a conexão, o Cloud VPN selecionará uma criptografia da proposta usando a mesma ordem configurada ou mostrada na tabela para cada papel de criptografia.
Dependendo do lado que é o iniciador ou o participante, a criptografia selecionada pode ser diferente. Por exemplo, a criptografia selecionada pode até mesmo mudar ao longo do tempo, à medida que novas associações de segurança (SAs) são criadas durante a rotação de chaves. Como uma mudança na seleção de criptografia pode afetar as características importantes do túnel, como o desempenho ou a MTU, use uma seleção de criptografia estável. Para ver mais informações sobre MTU, consulte Considerações sobre MTU.
Para evitar alterações frequentes na seleção de criptografia, configure o gateway da VPN de peer e o túnel de VPN do Cloud VPN para propor e aceitar apenas uma criptografia para cada papel de criptografia. Essa criptografia precisa ser aceita pelo Cloud VPN e pelo seu gateway de VPN de peering. Não forneça uma lista de criptografias para cada papel de criptografia. Essa prática recomendada garante que os dois lados do túnel de VPN do Cloud VPN sempre selecionem a mesma criptografia da IKE durante a negociação da IKE.
O Cloud Location Finder ajuda a identificar as regiões e zonas Google Cloud mais próximas dos seus locais físicos em todo o mundo. Ao usar o Cloud Location Finder, você pode tomar decisões informadas sobre em qual Google Cloud região implantar os gateways do Cloud VPN, otimizando potencialmente a latência, a localização geográfica e o uso de energia de carbono. Para mais informações, consulte a documentação do Cloud Location Finder.
Para pares de túneis de VPN de alta disponibilidade, configure os dois túneis de VPN de alta disponibilidade no gateway de VPN de peering para usar os mesmos valores de vida útil de criptografia e fase IKE 2.
Segurança
Configurar regras de firewall para os gateways de VPN
Crie regras de firewall seguras para o tráfego transmitido pelo Cloud VPN. Para mais informações, consulte a visão geral das regras de firewall da VPC.
Usar chaves pré-compartilhadas fortes
Recomendamos gerar uma chave pré-compartilhada forte para os túneis do Cloud VPN.
Restringir endereços IP para os gateways de VPN de peering
Ao restringir quais endereços IP podem ser especificados para um gateway de VPN de peering, é possível impedir a criação de túneis VPN não autorizados.
Para mais informações, consulte Restringir endereços IP para gateways de VPN de peering.
Configurar a criptografia mais forte no gateway de VPN de peering
Ao configurar o gateway de VPN de peering, escolha a criptografia mais forte para cada papel de criptografia compatível com o gateway de VPN de peering e com o Cloud VPN.
A ordem da proposta listada para o Cloud VPN não é determinada pela força.
Para ver uma lista das criptografias IKE aceitas, consulte Criptografias IKE compatíveis.
A seguir
- Para usar cenários de alta disponibilidade e alta capacidade ou vários cenários de sub-rede, consulte Configurações avançadas.
- Para ajudar a resolver problemas comuns que você pode encontrar ao usar o Cloud VPN, consulte Solução de problemas.