Questa pagina descrive i passaggi per completare la configurazione VPN.
Per completare la configurazione, configura le seguenti risorse sul gateway VPN peer:
- Tunnel VPN corrispondenti a Cloud VPN
- Sessioni Border Gateway Protocol (BGP) se utilizzi il routing dinamico con router Cloudr
- Regole firewall
- Impostazioni IKE
Per le best practice per la configurazione del gateway peer, consulta la documentazione o il produttore del gateway peer. Per le guide che descrivono alcuni servizi e dispositivi VPN di terze parti supportati, consulta Utilizzare VPN di terze parti. Inoltre, alcuni modelli di configurazione di dispositivi di terze parti sono disponibili per il download dalla console Google Cloud . Per ulteriori informazioni, consulta la sezione Scaricare un modello di configurazione VPN peer.
Per ulteriori informazioni su Cloud VPN, consulta le seguenti risorse:
Per le best practice da considerare prima di configurare Cloud VPN, consulta Best practice.
Per ulteriori informazioni su Cloud VPN, consulta la panoramica di Cloud VPN.
Per le definizioni dei termini utilizzati in questa pagina, consulta la sezione Termini chiave.
Configura le risorse gateway VPN peer esterno per la VPN ad alta disponibilità
Per VPN ad alta affidabilità, configuri una risorsa gateway VPN peer esterno che rappresenta il gateway peer fisico in Google Cloud. Puoi anche creare questa risorsa come risorsa autonoma e utilizzarla in un secondo momento.
Per creare una risorsa gateway VPN peer esterno, devi disporre dei seguenti valori del gateway peer fisico, che può essere anche un gateway basato su software di terze parti. Affinché la VPN venga stabilita, i valori della risorsa gateway VPN peer esterno devono corrispondere alla configurazione del gateway peer fisico:
- Il numero di interfacce sul gateway VPN fisico
- Indirizzo o indirizzi IP esterni per uno o più gateway o interfacce peer
- Indirizzo o indirizzi IP endpoint BGP
- La chiave precondivisa IKE (segreto condiviso)
- Numero ASN
Quando configuri le sessioni BGP per VPN ad alta disponibilità affidabilità e abiliti IPv6, hai la possibilità di configurare gli indirizzi hop successivo IPv6. Se non li configuri manualmente, Google Cloud assegna automaticamente questi indirizzi dell'hop successivo IPv6.
Per consentire il traffico IPv4 e IPv6 (dual-stack) nei tunnel VPN ad alta disponibilità, devi ottenere l'indirizzo hop successivo IPv6 assegnato al peer BGP. Poi, devi configurare l'indirizzo hop successivo IPv6 quando configuri i tunnel VPN sul dispositivo VPN peer. Sebbene tu configuri gli indirizzi IPv6 sulle interfacce del tunnel di ogni dispositivo, gli indirizzi IPv6 vengono utilizzati esclusivamente per la configurazione dell'hop successivo IPv6. Le route IPv6 vengono annunciate tramite NLRI IPv6 sul peering BGP IPv4. Per esempi di configurazioni dell'indirizzo di hop successivo IPv6, vedi Configurare VPN di terze parti per il traffico IPv4 e IPv6.
Per creare una risorsa gateway VPN peer esterno autonoma, completa i seguenti passaggi.
Console
Nella console Google Cloud , vai alla pagina VPN.
Fai clic su Crea gateway VPN peer.
Assegna un nome al gateway peer.
Seleziona il numero di interfacce del gateway peer fisico:
one,twoofour.Aggiungi l'indirizzo IP dell'interfaccia per ogni interfaccia sul gateway VPN fisico.
Fai clic su Crea.
gcloud
Quando esegui il comando seguente, inserisci l'ID interfaccia e l'indirizzo IP per il gateway VPN fisico. Puoi inserire 1, 2 o 4 interfacce.
gcloud compute external-vpn-gateways create mygateway \ --interfaces 0=35.254.128.120,1=35.254.128.121
L'output comando dovrebbe essere simile all'esempio seguente:
Creating external VPN gateway...done. NAME REDUNDANCY_TYPE mygateway TWO_IPS_REDUNDANCY
API
Per questo comando, puoi utilizzare questo elenco di tipi di ridondanza del gateway.
Invia una richiesta POST utilizzando il metodo externalVpnGateways.insert.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways
{
"name": "mygateway",
"interfaces": [
{
"id": 0,
"ipAddress": "35.254.128.120"
},
{
"id": 1,
"ipAddress": "35.254.128.121"
},
],
"redundancyType": "TWO_IPS_REDUNDANCY"
}
Configura i tunnel VPN
Per creare i tunnel corrispondenti per ogni tunnel Cloud VPN creato, consulta la documentazione del gateway VPN peer.
Per VPN ad alta affidabilità, configura due tunnel sul gateway peer.
Un tunnel sul gateway peer deve corrispondere al tunnel Cloud VPN su interface 0. Un altro tunnel sul gateway peer deve corrispondere
al tunnel Cloud VPN su interface 1.
Ogni tunnel sul gateway peer deve utilizzare anche un indirizzo IP esterno univoco da utilizzare per il gateway VPN ad alta disponibilità.
Configura sessioni BGP per il routing dinamico
Solo per il routing dinamico, configura il gateway VPN peer in modo che supporti le sessioni BGP per le subnet peer che vuoi annunciare al router Cloud.
Per configurare il gateway peer, utilizza gli ASN e gli indirizzi IP del router Cloud e le informazioni del gateway Cloud VPN. Per ottenere l'ASN di Google, gli ASN della rete peer configurati e gli indirizzi IP BGP, utilizza le informazioni di riepilogo del router Cloud.
Se configuri VPN ad alta disponibilità affidabilità per consentire il traffico IPv4 e IPv6 (dual-stack), devi configurare il gateway peer con l'indirizzo hop successivo IPv6 assegnato al peer BGP.
Per VPN ad alta affidabilità, l'ASN di Google, ovvero l'ASN peer dal punto di vista del gateway VPN peer, è la stessa per entrambi i tunnel.
Se vuoi, puoi configurare le sessioni BGP per utilizzare l'autenticazione MD5.
Configura le regole firewall
Per le connessioni VPN ad alta affidabilità che utilizzano IPv6, devi configurare i firewall in modo da consentire il traffico IPv6.
Per istruzioni sulla configurazione delle regole firewall per la rete peer, consulta Configurare le regole firewall.
Configura IKE
Puoi configurare IKE sul gateway VPN peer per il routing dinamico, basato su route e basato su policy.
I tunnel VPN ad alta affidabilità devono utilizzare IKE v2 per supportare il traffico IPv6.
Per configurare il gateway VPN peer e il tunnel per IKE, utilizza i parametri nella tabella seguente.
Per informazioni sulla connessione di Cloud VPN ad alcune soluzioni VPN di terze parti, consulta Utilizzo di VPN di terze parti con Cloud VPN. Per informazioni sulle impostazioni di autenticazione e crittografia IPsec, vedi Cifrari IKE supportati.
Per IKEv1 e IKEv2
| Impostazione | Valore |
|---|---|
| Modalità IPsec | Modalità tunnel ESP+Auth (da sito a sito) |
| Protocollo di autenticazione | psk |
| Shared Secret | Nota anche come chiave precondivisa IKE. Scegli una password efficace seguendo queste linee guida. La chiave precondivisa è sensibile perché consente l'accesso alla tua rete. |
| Inizia | auto (se il dispositivo peer si disconnette, la connessione dovrebbe riavviarsi
automaticamente) |
| PFS (Perfect Forward Secrecy) | on |
| DPD (Dead Peer Detection) | Consigliato: Aggressive. DPD rileva quando la VPN<0xx0A> viene riavviata e utilizza tunnel alternativi per instradare il traffico. |
| INITIAL_CONTACT (a volte chiamato uniqueids) |
Consigliato: on (a volte chiamato restart).
Scopo: rilevare i riavvii più rapidamente in modo da ridurre i tempi di inattività percepiti. |
| TSi (Traffic Selector - Initiator) | Reti subnet:gli intervalli specificati dal flag Reti precedenti:l'intervallo della rete. |
| TSr (Traffic Selector - Responder) | IKEv2:gli intervalli di destinazione di tutte le route che hanno
IKEv1:arbitrariamente, l'intervallo di destinazione di una delle route che
ha |
| MTU | L'unità massima di trasmissione (MTU) del dispositivo VPN peer non deve superare i 1460 byte. Attiva la pre-frammentazione sul tuo dispositivo in modo che i pacchetti vengano prima frammentati e poi incapsulati. Per saperne di più, consulta Considerazioni sulla MTU. |
Parametri aggiuntivi solo per IKEv1
| Impostazione | Valore |
|---|---|
| IKE/ISAKMP | aes128-sha1-modp1024 |
| ESP | aes128-sha1 |
| Algoritmo PFS | Gruppo 2 (MODP_1024) |
Configurazione dei selettori di traffico
Per supportare il traffico IPv4 e IPv6, imposta i selettori di traffico sul gateway VPN peer su 0.0.0.0/0,::/0.
Per supportare solo il traffico IPv4, imposta i selettori di traffico sul gateway VPN peer su 0.0.0.0/0.
Passaggi successivi
- Per scaricare un modello di configurazione per il tuo dispositivo VPN peer, consulta Scaricare un modello di configurazione VPN peer.
- Per configurare le regole firewall per la rete peer, consulta Configurare le regole firewall.
- Per utilizzare scenari di alta disponibilità e throughput elevato o più scenari di subnet, consulta Configurazioni avanzate.
- Per aiutarti a risolvere i problemi comuni che potresti riscontrare durante l'utilizzo di Cloud VPN, consulta la pagina Risoluzione dei problemi.