規劃及設定 Cloud VPN 時，下列最佳做法或許能派上用場。
針對網路資源使用不同的 Google Cloud 專案
為簡化 Identity and Access Management (IAM) 角色和權限的設定，請盡可能將 Cloud VPN 和 Cloud Router 資源，與其他 Google Cloud 資源分開存放在不同專案。
路由和容錯移轉
選擇動態轉送
選擇使用動態路由和邊界閘道通訊協定 (BGP) 的 Cloud VPN 閘道。Google 建議使用高可用性 VPN，並部署支援 BGP 的地端部署裝置。
盡量提高 Cloud VPN 可用性
如要提高可用性並享有更優質的服務水準協議，請搭配 BGP 使用高可用性 VPN。如果設定需要靜態路徑，請使用傳統版 VPN。
詳情請參閱 Cloud VPN 總覽中的「VPN 類型」一節。
設定對等互連 Cloud VPN 閘道
建議使用 Google Cloud提供的設定範本預設值。這些範本指定的 IKE 效期通常比 Google Cloud 預設值短，以確保與第三方 VPN 供應商達到最高相容性。
為避免連線中斷或通道不穩定，請勿變更產生的生命週期值，除非第三方供應商明確建議採用其他設定。
| 最佳做法 | 建議做法 | 說明 |
|---|---|---|
| SA 存留期一致性 | 如果您使用 API、Google Cloud CLI 或 Terraform 手動設定通道，請將「階段 1」設為 36000 秒，並將「階段 2」設為 10800 秒。詳情請參閱「支援的 IKE 密碼表」。 |
SA 存留時間不相符會導致連線間歇性中斷，以及金鑰輪替期間封包遺失。 |
| 範本使用方式 | 如果您使用控制台提供的 可下載對等互連範本，請使用該範本中定義的確切生命週期值。 | 下載的範本已針對特定供應商的相容性進行最佳化，但兩個端點必須相符。 |
選擇適當的通道設定
請根據高可用性 VPN 通道數量，選擇適當的通道設定：
如果您有兩個高可用性 VPN 通道，請使用主動/被動通道設定。
如果您有超過兩個高可用性 VPN 通道，請使用主動/主動通道設定。
詳情請參閱 Cloud VPN 總覽中的下列章節：
可靠性
下列最佳做法有助於提升 Cloud VPN 設定的可靠性。
使用預先定義的資訊主頁，主動監控 Cloud VPN 通道
建議您使用 Cloud VPN 控制台中的預先定義的資訊主頁，在單一檢視畫面中監控 Cloud VPN 通道和整體專案健康狀態。
這是偵測專案層級效能問題最快的方法。
專案範圍的能見度：在「Observability」(可觀測性) 分頁中，查看所有通道的整體健康狀態。
通道專屬瀏覽權限：在「Monitoring」(監控) 分頁中，查看整合式 Cloud VPN 通道記錄和 Cloud VPN 閘道記錄，快速診斷特定通道。
詳情請參閱「查看 Monitoring 資訊主頁」。
設定對等互連 VPN 閘道時，每個加密角色只能使用一個加密
需要新的安全關聯時，Cloud VPN 可根據流量來源，做為 IKE 要求的發起者或回應者。
Cloud VPN 啟動 VPN 連線時，會提議使用在 Cloud VPN 通道中設定的加密演算法。如果尚未設定密碼演算法，Cloud VPN 通道會依據各密碼角色支援的密碼表所示順序，提議密碼演算法。接收提案的對等端會選取演算法。
如果對等端啟動連線，Cloud VPN 會從提案中選取密碼，選取順序與每個密碼角色在表格中設定或顯示的順序相同。
視哪一方是發起端或回應端而定，所選的加密方式可能不同。舉例來說，在金鑰輪替期間建立新的安全性關聯 (SA) 時，所選加密方式甚至可能會隨著時間變更。因為變更加密方式可能會影響重要的通道特性，例如效能或 MTU，請使用穩定的加密方式。如要進一步瞭解 MTU，請參閱「MTU 考量事項」。
為避免密碼選取項目頻繁變更，請設定對等互連 VPN 閘道和 Cloud VPN 通道，只為每個密碼角色提議及接受一個密碼。Cloud VPN 和對等互連 VPN 閘道都必須支援這個加密。請勿為每個密碼角色提供密碼清單。這項最佳做法可確保 Cloud VPN 通道兩端在 IKE 協商期間，一律選取相同的 IKE 密碼。
Cloud Location Finder 可協助您找出全球實體位置最近的 Google Cloud 區域和可用區。使用 Cloud Location Finder，您就能做出明智決策，決定要在哪個 Google Cloud 區域部署 Cloud VPN 閘道，進而盡可能縮短延遲時間、最佳化地理位置和碳能源用量。詳情請參閱 Cloud Location Finder 說明文件。
如果是高可用性 VPN 通道配對，請在對等互連 VPN 閘道上，將兩個高可用性 VPN 通道設定為使用相同的密碼和 IKE 第 2 階段存留時間值。
安全性
為 VPN 閘道設定防火牆規則
為透過 Cloud VPN 傳輸的流量建立安全的防火牆規則。詳情請參閱「虛擬私有雲防火牆規則總覽」。
使用高強度預先共用金鑰
Google 建議您為 Cloud VPN 通道產生高強度預先共用金鑰。
限制對等互連 VPN 閘道的 IP 位址
限制可為對等互連 VPN 閘道指定的 IP 位址，即可防止建立未經授權的 VPN 通道。
詳情請參閱「限制對等互連 VPN 閘道 IP 位址」。
在對等互連 VPN 閘道上設定最強的加密方式
設定對等互連 VPN 閘道時，請為對等互連 VPN 閘道和 Cloud VPN 支援的每個加密角色，選擇最強的加密方式。
列出的 Cloud VPN 提案順序並非依強度排序。
如需支援的 IKE 加密演算法清單，請參閱「支援的 IKE 加密演算法」。