Die folgenden Best Practices können bei der Planung und Konfiguration von Cloud VPN hilfreich sein.
Separate Google Cloud Projekte für Netzwerkressourcen verwenden
Um die Konfiguration von IAM-Rollen (Identity and Access Management) und -Berechtigungen zu vereinfachen, sollten Sie Ihre Cloud VPN- und Cloud Router Ressourcen nach Möglichkeit in einem separaten Projekt von Ihren anderen Google Cloud Ressourcen aufbewahren.
Routing und Failover
Dynamisches Routing auswählen
Wählen Sie ein Cloud VPN-Gateway aus, das dynamisches Routing und das Border Gateway Protocol (BGP) verwendet. Google empfiehlt die Verwendung von HA VPN und das Bereitstellen von lokalen Geräten, die BGP unterstützen.
Verfügbarkeit von Cloud VPN maximieren
Für Hochverfügbarkeit und eine bessere SLA verwenden Sie HA VPN mit BGP. Wenn für Ihre Einrichtung statische Routen erforderlich sind, verwenden Sie Klassisches VPN.
Weitere Informationen finden Sie unter VPN-Typen in der Cloud VPN-Übersicht.
Peer-Cloud VPN-Gateway konfigurieren
Wir empfehlen, die Standardwerte aus den von bereitgestellten Konfigurationsvorlagen Google Cloudzu verwenden. In diesen Vorlagen werden oft kürzere IKE Lebensdauern als die Google Cloud Standardwerte angegeben, um maximale Kompatibilität mit VPN-Anbietern von Drittanbietern zu gewährleisten.
Ändern Sie die generierten Lebensdauerwerte nicht, es sei denn, Ihr Drittanbieter empfiehlt ausdrücklich eine andere Konfiguration, um Verbindungsabbrüche oder Tunnelinstabilität zu vermeiden.
| Best Practice | Empfohlene Maßnahmen | Beschreibung |
|---|---|---|
| Abstimmung der Lebensdauer von Sicherheitsverknüpfungen | Wenn Sie Tunnel manuell mit der API, der Google Cloud CLI,
oder Terraform konfigurieren, legen Sie Phase 1 auf 36000
Sekunden und Phase 2 auf 10800 Sekunden fest.
Weitere Informationen finden Sie in der Tabelle Unterstützte IKE-Chiffren. |
Nicht übereinstimmende Lebensdauern von Sicherheitsverknüpfungen führen zu zeitweiligen Verbindungsabbrüchen und Paket verlusten während der Schlüsselrotation. |
| Vorlagenverwendung | Wenn Sie eine herunterladbare Peer-Vorlage aus der Console verwenden, verwenden Sie die in dieser Vorlage definierten Lifetime-Werte. | Heruntergeladene Vorlagen sind für die anbieterspezifische Kompatibilität optimiert, aber beide Endpunkte müssen übereinstimmen. |
Geeignete Tunnelkonfiguration auswählen
Wählen Sie anhand der Anzahl der HA VPN-Tunnels die entsprechende Tunnelkonfiguration aus:
Wenn Sie zwei HA VPN-Tunnel haben, verwenden Sie eine Aktiv/Passiv-Tunnelkonfiguration.
Wenn Sie mehr als zwei HA VPN-Tunnel haben, verwenden Sie eine Aktiv/Aktiv-Tunnelkonfiguration.
Weitere Informationen finden Sie in den folgenden Abschnitten der Cloud VPN-Übersicht:
Zuverlässigkeit
Die folgenden Best Practices können dazu beitragen, die Zuverlässigkeit Ihrer Cloud VPN-Einrichtung zu verbessern.
Vordefinierte Dashboards für die proaktive Überwachung von Cloud VPN-Tunnels verwenden
Wir empfehlen, die vordefinierten Dashboards in der Cloud VPN Console zu verwenden, um Cloud VPN-Tunnel und den allgemeinen Projektstatus in einer einzigen Ansicht zu überwachen.
So lassen sich projektweite Leistungsprobleme am schnellsten erkennen.
Projektweite Sichtbarkeit: Auf dem Tab Beobachtbarkeit können Sie den allgemeinen Status aller Ihrer Tunnel prüfen.
Tunnelspezifische Sichtbarkeit: Auf dem Tab Monitoring können Sie integrierte Cloud VPN-Tunnel-Logs und Cloud VPN-Gateway-Logs für eine schnelle, tunnelspezifische Diagnose aufrufen.
Weitere Informationen finden Sie unter Monitoring-Dashboards aufrufen.
Peer-VPN-Gateway mit nur einer Chiffre für jede Chiffrerolle konfigurieren
Cloud VPN kann je nach Ursprung des Traffics als Initiator oder Antwortdienst für IKE-Anfragen fungieren, wenn eine neue Sicherheitsverknüpfung benötigt wird.
Wenn Cloud VPN eine VPN-Verbindung initiiert, schlägt Cloud VPN die Chiffre-Algorithmen im Cloud VPN-Tunnel konfigurierten vor. Wenn Sie die Chiffre-Algorithmen nicht konfiguriert haben, schlägt der Cloud VPN-Tunnel die Chiffre-Algorithmen für jede Chiffrerolle in der Reihenfolge vor, die in den unterstützten Chiffre tabellen angezeigt wird. Die Peer-Seite, die das Angebot empfängt, wählt einen Algorithmus aus.
Wenn die Peer-Seite die Verbindung initiiert, wählt Cloud VPN eine Chiffre aus dem Vorschlag aus. Dazu verwendet sie für jede Chiffrerolle die gleiche Reihenfolge wie konfiguriert oder in der Tabelle angezeigt.
Je nachdem, welche Seite Initiator oder Antwortender ist, kann die gewählte Chiffre unterschiedlich sein. Beispielsweise kann sich die ausgewählte Chiffre im Laufe der Zeit ändern, wenn neue Sicherheitsverknüpfungen (Security Associations, SAs) während der Schlüsselrotation erstellt werden. Da eine Änderung der Chiffreauswahl Auswirkungen auf wichtige Tunneleigenschaften wie Leistung oder MTU haben kann, sollten Sie eine stabile Chiffreauswahl verwenden. Weitere Informationen zu MTU finden Sie unter Überlegungen: MTU.
Um häufige Änderungen bei der Chiffreauswahl zu verhindern, konfigurieren Sie Ihr Peer-VPN-Gateway und den Cloud VPN-Tunnel so, dass nur eine Chiffre für jede Chiffrerolle vorgeschlagen und akzeptiert wird. Diese Chiffre muss von Cloud VPN und Ihrem Peer-VPN-Gateway unterstützt werden. Geben Sie nicht für jede Chiffrerolle eine Liste von Chiffren an. Mit dieser Best Practice wird sichergestellt, dass beide Seiten Ihres Cloud VPN-Tunnels während der IKE-Verhandlung immer dieselbe IKE-Chiffre auswählen.
Mit Cloud Location Finder können Sie die Regionen und Zonen ermitteln, die Ihren physischen Standorten weltweit am nächsten Google Cloud sind. Mit Cloud Location Finder können Sie fundierte Entscheidungen darüber treffen, in welcher Google Cloud Region Sie Ihre Cloud VPN-Gateways bereitstellen möchten, und so möglicherweise die Latenz, den geografischen Standort und den CO2-Energieverbrauch optimieren. Weitere Informationen finden Sie in der Cloud Location Finder Dokumentation.
Konfigurieren Sie für HA VPN-Tunnelpaare beide HA VPN-Tunnel auf Ihrem Peer-VPN-Gateway so, dass dieselben Lebensdauerwerte und IKE-Phase 2-Werte verwendet werden.
Sicherheit
Firewallregeln für Ihre VPN-Gateways einrichten
Erstellen Sie sichere Firewallregeln für Traffic, der über Cloud VPN übertragen wird. Weitere Informationen finden Sie unter VPC-Firewallregeln.
Starke vorinstallierte Schlüssel verwenden
Google empfiehlt, für Ihre Cloud VPN-Tunnel einen starken vorinstallierten Schlüssel zu generieren.
IP-Adressen für Peer-VPN-Gateways einschränken
Durch Beschränkung der IP-Adressen, die für ein Peer-VPN-Gateway angegeben werden können, können Sie verhindern, dass nicht autorisierte VPN-Tunnel erstellt werden.
Weitere Informationen finden Sie unter IP-Adressen für Peer-VPN-Gateways einschränken.
Starke Chiffre auf Ihrem Peer-VPN-Gateway konfigurieren
Wählen Sie beim Konfigurieren des Peer-VPN-Gateways die stärkste Chiffre für jede Chiffrerolle aus, die sowohl von Ihrem Peer-VPN-Gateway als auch von Cloud VPN unterstützt wird.
Die aufgeführte Angebotsreihenfolge für Cloud VPN ist nicht nach Gewichtung sortiert.
Eine Liste der unterstützten IKE-Chiffren finden Sie unter Unterstützte IKE-Chiffren.
Nächste Schritte
- Unter Erweiterte Konfigurationen finden Sie Szenarien mit Hochverfügbarkeit und hohem Durchsatz bzw. Szenarien mit mehreren Subnetzen.
- Informationen zur Behebung häufiger Probleme bei der Verwendung von Cloud VPN finden Sie unter Fehlerbehebung.