Prácticas recomendadas para Cloud VPN

Las siguientes prácticas recomendadas pueden ser útiles cuando se planifica y configura Cloud VPN.

Usa proyectos separados Google Cloud para los recursos de red

Para facilitar la configuración de los roles y permisos de Identity and Access Management (IAM) más fácil, siempre que sea posible, mantén tus recursos de Cloud VPN y Cloud Router en un proyecto separado de tus otros Google Cloud recursos.

Enrutamiento y conmutación por error

Elige enrutamiento dinámico

Elige una puerta de enlace de Cloud VPN que use enrutamiento dinámico y el Protocolo de puerta de enlace fronteriza (BGP). Google recomienda usar VPN con alta disponibilidad y, luego, implementar dispositivos locales compatibles con BGP.

Maximiza la disponibilidad de Cloud VPN

Para obtener alta disponibilidad y un mejor ANS, usa VPN con alta disponibilidad con BGP. Si tu configuración requiere rutas estáticas, usa la VPN clásica.

Para obtener más información, consulta los tipos de VPN en la descripción general de Cloud VPN.

Configura la puerta de enlace de Cloud VPN de intercambio de tráfico

Recomendamos usar los valores predeterminados de las plantillas de configuración proporcionadas por Google Cloud. Estas plantillas suelen especificar períodos de vida útil de IKE más cortos que los valores predeterminados Google Cloud para garantizar la máxima compatibilidad entre los proveedores de VPN de terceros.

Para evitar caídas de conectividad o inestabilidad del túnel, no cambies los valores de vida útil generados, a menos que tu proveedor externo recomiende explícitamente una configuración diferente.

Práctica recomendada Acción recomendada Descripción
Alineación del período de vida útil de SA Si configuras túneles de forma manual con la API, Google Cloud CLI, o Terraform, configura la fase 1 en 36000 segundos y la fase 2 en 10800 segundos. Para obtener más información, consulta la tabla Algoritmos de cifrado de IKE admitidos. Los períodos de vida útil de SA que no coinciden causan caídas de conexión intermitentes y pérdida de paquetes durante la rotación de claves.
Uso de plantillas Si usas una plantilla de intercambio de tráfico descargable desde la consola, usa los valores de vida útil exactos definidos en esa plantilla. Las plantillas descargadas están optimizadas para la compatibilidad específica del proveedor, pero ambos extremos deben coincidir.

Elige la configuración del túnel adecuada

Elige la configuración de túnel adecuada en función de la cantidad de túneles VPN con alta disponibilidad:

  • Si tienes dos túneles VPN con alta disponibilidad, usa una configuración de túnel activa/pasiva.

  • Si tienes más de dos túneles VPN con alta disponibilidad, usa una configuración de túnel activa/activa.

Para obtener más información, consulta las siguientes secciones en la descripción general de Cloud VPN:

Confiabilidad

Las siguientes prácticas recomendadas pueden ayudar a mejorar la confiabilidad de tu configuración de Cloud VPN.

Usa paneles predefinidos para la supervisión proactiva de los túneles de Cloud VPN

Te recomendamos que uses los paneles predefinidos en la consola de Cloud VPN para supervisar los túneles de Cloud VPN y el estado general del proyecto en una sola vista.

Esta es la forma más rápida de detectar problemas de rendimiento en todo el proyecto.

  • Visibilidad en todo el proyecto: En la pestaña Observabilidad, verifica el estado general de todos tus túneles.

  • Visibilidad específica del túnel: En la pestaña Supervisión , consulta los registros integrados de túneles VPN de Cloud y los registros de puertas de enlace de Cloud VPN para obtener un diagnóstico rápido y específico del túnel.

Para obtener más información, consulta Visualiza los paneles de Monitoring.

Configura la puerta de enlace de VPN de intercambio de tráfico con solo un algoritmo de cifrado para cada rol de algoritmo de cifrado

Cloud VPN puede actuar como iniciador o como respuesta a las solicitudes de IKE, según el origen del tráfico cuando se necesita una nueva asociación de seguridad.

Cuando Cloud VPN inicia una conexión de VPN, Cloud VPN propone los algoritmos de cifrado configurados en el túnel VPN de Cloud VPN. Si no configuraste los algoritmos de cifrado, el túnel VPN de Cloud VPN propone los algoritmos de cifrado en el orden que se muestra en las tablas de algoritmos de cifrado admitidos para cada rol de algoritmo de cifrado. El lado del intercambio de tráfico que recibe la propuesta selecciona un algoritmo.

Si el lado del intercambio de tráfico inicia la conexión, Cloud VPN selecciona un cifrado de la propuesta mediante el mismo orden que se configuró o se muestra en la tabla para cada rol de cifrado.

Según el lado con el que inicie o que haya iniciado la respuesta, el algoritmo de cifrado seleccionado puede ser diferente. Por ejemplo, el algoritmo de cifrado seleccionado puede cambiar con el tiempo a medida que se crean asociaciones de seguridad (SA) nuevas durante la rotación de claves. Debido a que un cambio en la selección de cifrado puede afectar las características importantes del túnel, como el rendimiento o la MTU, usa una selección de cifrado estable. Para obtener más información sobre la MTU, consulta Consideraciones de la MTU.

Evita cambios frecuentes en la selección de cifrado mediante la configuración de la puerta de enlace de VPN de intercambio de tráfico y el túnel de Cloud VPN para proponer y aceptar solo un cifrado en cada rol de cifrado. Este algoritmo de cifrado debe ser compatible con Cloud VPN y tu puerta de enlace de VPN de intercambio de tráfico. No proporciones una lista de algoritmos de cifrado para cada rol de cifrado. Esta práctica recomendada garantiza que ambos lados de tu túnel de Cloud VPN siempre seleccionen el mismo cifrado de IKE durante la negociación de IKE.

Cloud Location Finder te ayuda a identificar las regiones y zonas más cercanas Google Cloud a tus ubicaciones físicas en todo el mundo. Con Cloud Location Finder, puedes tomar decisiones fundamentadas sobre en qué Google Cloud región implementar tus puertas de enlace de Cloud VPN, lo que podría optimizar la latencia, la ubicación geográfica y el uso de energía de carbono. Para obtener más información, consulta la documentación de Cloud Location Finder.

Para pares de túneles VPN con alta disponibilidad, configura ambos túneles VPN con alta disponibilidad en tu puerta de enlace de VPN de intercambio de tráfico para usar el mismo algoritmo de cifrado y los mismos valores de vida útil de la fase 2.

Seguridad

Configura reglas de firewall para las puertas de enlace de VPN

Crea reglas de firewall seguras para el tráfico que viaja a través de Cloud VPN. Para obtener más información, consulta la Descripción general de las reglas de firewall de VPC.

Usa claves precompartidas seguras

Google recomienda generar una clave precompartida segura para tus túneles de Cloud VPN.

Restringe direcciones IP para puertas de enlace de VPN de intercambio de tráfico

Si restringes las direcciones IP que se pueden especificar para una puerta de enlace de VPN de intercambio de tráfico, puedes evitar que se creen túneles VPN no autorizados.

Si deseas obtener más información, consulta Restringe las direcciones IP para las puertas de enlace de VPN de intercambio de tráfico.

Configura el algoritmo de cifrado más sólido en tu puerta de enlace de VPN de intercambio de tráfico

Cuando configures tu puerta de enlace de VPN de intercambio de tráfico, elige el algoritmo de cifrado más sólido para cada rol de cifrado que admita tu puerta de enlace de VPN de intercambio de tráfico y Cloud VPN.

El orden de propuesta propuesto para Cloud VPN no se ordena según su fuerza.

Para obtener una lista de algoritmos de cifrado de IKE admitidos, consulta Algoritmos de cifrado de IKE admitidos.

¿Qué sigue?

  • Para usar situaciones de alta disponibilidad y alta capacidad de procesamiento o situaciones de varias subredes, consulta Configuración avanzada.
  • Para ayudarte a resolver problemas comunes que podrías encontrar cuando uses Cloud VPN, consulta Solución de problemas.