Cloud VPN supporta le seguenti cifrature e parametri di configurazione per i servizi VPN o i dispositivi VPN peer. Cloud VPN negozia automaticamente la connessione, a condizione che il lato peer utilizzi un'impostazione di crittografia Internet Key Exchange (IKE) supportata.
Per le istruzioni di configurazione, consulta Configura il gateway VPN peer.
Cloud VPN funziona in modalità tunnel ESP IPsec.
Le seguenti crittografie IKE sono supportate per la VPN classica e VPN ad alta disponibilità affidabilità.
Il supporto degli indirizzi IPv6 per le interfacce dei gateway VPN ad alta disponibilità affidabilità è in Anteprima.
Ordine di proposta
Cloud VPN può agire come iniziatore o risponditore alle richieste IKE a seconda dell'origine del traffico quando è necessaria una nuova associazione di sicurezza.
Quando Cloud VPN avvia una connessione VPN, propone gli algoritmi di crittografia configurati nel tunnel Cloud VPN. Se non hai configurato gli algoritmi di crittografia, il tunnel Cloud VPN propone gli algoritmi di crittografia nell'ordine mostrato nelle tabelle di crittografia supportate per ogni ruolo di crittografia. La parte peer che riceve la proposta seleziona un algoritmo.
Se la parte peer avvia la connessione, Cloud VPN seleziona una cifra dalla proposta utilizzando lo stesso ordine configurato o mostrato nella tabella per ogni ruolo di cifra.
A seconda di quale lato è l'iniziatore o il risponditore, la crittografia selezionata può essere diversa. Ad esempio, la crittografia selezionata potrebbe persino cambiare nel tempo man mano che vengono create nuove associazioni di sicurezza (SA) durante rotazione della chiave. Poiché una modifica alla selezione della crittografia può influire su caratteristiche importanti del tunnel, come le prestazioni o l'MTU, utilizza una selezione della crittografia stabile. Per ulteriori informazioni sulla MTU, consulta Considerazioni sulla MTU.
Per evitare frequenti modifiche alla selezione della crittografia, configura il gateway VPN peer e il tunnel Cloud VPN in modo che propongano e accettino una sola crittografia per ogni ruolo di crittografia. Questa crittografia deve essere supportata sia da Cloud VPN sia dal gateway VPN peer. Non fornire un elenco di cifrari per ogni ruolo di cifrario. Questa best practice garantisce che entrambe le parti del tunnel Cloud VPN selezionino sempre la stessa crittografia IKE durante la negoziazione IKE.
Cloud Location Finder ti aiuta a identificare le regioni e le zone Google Cloud più vicine alle tue sedi fisiche in tutto il mondo. Utilizzando Cloud Location Finder, puoi prendere decisioni informate su quale regione Google Cloud eseguire il deployment dei gateway Cloud VPN, ottimizzando potenzialmente la latenza, la posizione geografica e l'utilizzo di energia a emissioni di CO2. Per saperne di più, consulta la documentazione di Cloud Location Finder.
Per le coppie di tunnel VPN ad alta affidabilità, configura entrambi i tunnel VPN ad alta disponibilità ad alta affidabilità sul gateway VPN peer in modo che utilizzino gli stessi valori di crittografia e durata della fase 2 di IKE.
Frammentazione IKE
Cloud VPN supporta la frammentazione IKE come descritto dal protocollo di frammentazione IKEv2 (RFC 7383).
Per risultati ottimali, Google consiglia di attivare la frammentazione IKE, se non è già attiva, sul dispositivo VPN peer.
Se la frammentazione IKE non è abilitata, i pacchetti IKE da Google Cloud al dispositivo VPN peer più grandi dell'MTU del gateway vengono eliminati.
Alcuni messaggi IKE non possono essere frammentati, tra cui:
IKE_SA_INITIKE_SESSION_RESUME
Per saperne di più, consulta la sezione Limitazioni della RFC 7383.
Tabelle di crittografia supportate
Le sezioni seguenti elencano le crittografie supportate per Cloud VPN.
Crittografie IKEv2 che utilizzano AEAD
Le seguenti crittografie utilizzano la crittografia autenticata con dati associati (AEAD).
Fase 1
| Ruolo di crittografia | Nome della crittografia | Valore di configurazione (sensibile alle maiuscole) |
Note |
|---|---|---|---|
| Crittografia e integrità |
|
|
In questo elenco, il primo numero è la dimensione del parametro ICV in byte (ottetti), mentre il secondo è la lunghezza della chiave in bit. In alcuni documenti, il parametro ICV (il primo numero) potrebbe essere espresso in bit (8 diventa 64, 12 diventa 96 e 16 diventa 128). |
| Pseudo-Random Function (PRF) |
|
|
Molti dispositivi non richiedono un'impostazione PRF esplicita. |
| Diffie-Hellman (DH) |
|
|
La crittografia modp_8192 non è supportata per i gateway VPN ad alta disponibilità affidabilità con interfacce IPv6 (gatewayIpVersion=IPv6). |
| Durata della fase 1 | 36.000 secondi (10 ore) | Quando generi un modello di configurazione per un dispositivo VPN peer, il modello potrebbe utilizzare durate più brevi, ad esempio 28.800 secondi, per la fase 1 per una migliore compatibilità con le impostazioni predefinite della maggior parte dei fornitori di VPN di terze parti. Come best practice, non modificare i valori del modello generato, a meno che il fornitore di terze parti non consigli esplicitamente una configurazione diversa. |
Fase 2
| Ruolo di cifratura | Nome della crittografia | Valore di configurazione (sensibile alle maiuscole) |
Note |
|---|---|---|---|
| Crittografia e integrità |
|
|
Il primo numero di ogni algoritmo è la dimensione del parametro ICV in byte (ottetti), mentre il secondo è la lunghezza della chiave in bit. In alcuni documenti, il parametro ICV (il primo numero) potrebbe essere espresso in bit (8 diventa 64, 12 diventa 96, 16 diventa 128). |
| Algoritmo PFS (obbligatorio) |
|
|
La crittografia modp_8192 non è supportata per i gateway VPN ad alta disponibilità affidabilità con interfacce IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Fai riferimento alla Fase 1. | Fai riferimento alla Fase 1. | Se il gateway VPN richiede impostazioni DH per la Fase 2, utilizza le stesse impostazioni utilizzate per la Fase 1. |
| Durata della fase 2 | 10.800 secondi (3 ore) | Quando generi un modello di configurazione per un dispositivo VPN peer, il modello potrebbe utilizzare durate più brevi, ad esempio 3600 secondi per la Fase 2,per una migliore compatibilità con le impostazioni predefinite della maggior parte dei fornitori di VPN di terze parti. Come best practice, non modificare i valori del modello generato a meno che il fornitore di terze parti non consigli esplicitamente una configurazione diversa. |
Crittografie IKEv2 che non utilizzano AEAD
Fase 1
| Ruolo di crittografia | Nome della crittografia | Valore di configurazione (sensibile alle maiuscole) |
Note |
|---|---|---|---|
| Crittografia |
|
|
|
| Integrità |
|
|
La documentazione del gateway VPN on-premise potrebbe utilizzare un nome leggermente diverso per l'algoritmo. Ad esempio,
|
| Pseudo-Random Function (PRF) |
|
|
Molti dispositivi non richiedono un'impostazione PRF esplicita. |
| Diffie-Hellman (DH) |
|
|
La crittografia modp_8192 non è supportata per i gateway VPN ad alta disponibilità affidabilità con interfacce IPv6 (gatewayIpVersion=IPv6). |
| Durata della fase 1 | 36.000 secondi (10 ore) |
Fase 2
| Ruolo di cifratura | Nome della crittografia | Valore di configurazione (sensibile alle maiuscole) |
Note |
|---|---|---|---|
| Crittografia |
|
|
|
| Integrità |
|
|
La documentazione del gateway VPN on-premise potrebbe utilizzare un nome leggermente
diverso per l'algoritmo. Ad esempio,
|
| Algoritmo PFS (obbligatorio) |
|
|
La crittografia modp_8192 non è supportata per i gateway VPN ad alta disponibilità affidabilità con interfacce IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Fai riferimento alla Fase 1. | Fai riferimento alla Fase 1. | Se il gateway VPN richiede impostazioni DH per la Fase 2, utilizza le stesse impostazioni utilizzate per la Fase 1. |
| Durata fase 2 | 10.800 secondi (3 ore) |
Crittografie IKEv1
Fase 1
| Ruolo di cifratura | Cipher |
|---|---|
| Crittografia | AES-CBC-128 |
| Integrità | HMAC-SHA1-96 |
| Pseudo-Random Function (PRF)1 | PRF-SHA1-96 |
| Diffie-Hellman (DH) | modp_1024 (Gruppo 2) |
| Durata della fase 1 | 36.600 secondi (10 ore e 10 minuti) |
1Per saperne di più sulla PRF in IKEv1, consulta RFC 2409.
Fase 2
| Ruolo di crittografia | Cipher |
|---|---|
| Crittografia | AES-CBC-128 |
| Integrità | HMAC-SHA1-96 |
| Algoritmo PFS (obbligatorio) | modp_1024 (Gruppo 2) |
| Diffie-Hellman (DH) | Se devi specificare DH per il gateway VPN, utilizza la stessa impostazione che hai utilizzato per la fase 1. |
| Durata fase 2 | 10.800 secondi (3 ore) |
Durate delle associazioni di sicurezza IKE e IPsec
Per stabilire un tunnel VPN criptato, Cloud VPN e il gateway VPN peer negoziano associazioni di sicurezza (SA) con durate definite.
I modelli di configurazione del dispositivo VPN peer sono file di configurazione scaricabili disponibili nella console Google Cloud . Contengono comandi di configurazione specifici del fornitore, ad esempio per Cisco, Palo Alto Networks o Juniper, per semplificare la configurazione del gateway peer.
A seconda del fornitore del dispositivo peer, i modelli scaricabili potrebbero generare valori di durata inferiori rispetto a quelli predefiniti di Cloud VPN per corrispondere agli standard consigliati dal fornitore.
Utilizza la tabella seguente per sincronizzare le impostazioni di durata. Assicurati che i valori di durata configurati sul gateway VPN peer corrispondano esattamente ai valori di Cloud VPN per evitare interruzioni del tunnel.
| Fase Security Association (SA) | Google Cloud VPN predefinita | Valore del template di configurazione della UI | Best practice |
|---|---|---|---|
| Durata fase 1 (IKE SA) | 36000 secondi (10 ore) |
28800 o 36000 secondi (a seconda del fornitore) |
Assicurati che il valore del gateway peer corrisponda esattamente a Cloud VPN. Per maggiori dettagli, consulta le best practice per la VPN. |
| Durata della fase 2 (IPsec/Child SA) | 10800 secondi (3 ore) |
3600 o 10800 secondi (a seconda del fornitore) |
Assicurati che il valore del gateway peer corrisponda esattamente al valore di Cloud VPN. Per saperne di più, consulta le best practice per le VPN. |
Passaggi successivi
- Per scoprire i concetti di base di Cloud VPN, consulta la panoramica di Cloud VPN.
- Per aiutarti a risolvere i problemi comuni che potresti riscontrare durante l'utilizzo di Cloud VPN, consulta la pagina Risoluzione dei problemi.