Bonnes pratiques pour Cloud VPN

Les bonnes pratiques présentées ci-dessous peuvent être utiles pour la planification et la configuration de Cloud VPN.

Utiliser des projets Google Cloud distincts pour les ressources réseau

Pour simplifier la configuration des rôles et des autorisations IAM (Identity and Access Management) plus facile, dans la mesure du possible, conservez vos ressources Cloud VPN et Cloud Router ressources dans un projet distinct de vos autres Google Cloud ressources.

Routage et basculement

Choisir le routage dynamique

Choisissez une passerelle Cloud VPN qui utilise le routage dynamique et le protocole BGP (Border Gateway Protocol). Nous vous recommandons d'utiliser un VPN haute disponibilité et de déployer des appareils sur site compatibles avec BGP.

Maximiser la disponibilité de Cloud VPN

Pour une haute disponibilité et un meilleur contrat de niveau de service, utilisez un VPN haute disponibilité avec BGP. Si votre configuration nécessite des routes statiques, utilisez un VPN classique.

Pour en savoir plus, consultez la section Types de VPN dans la présentation de Cloud VPN.

Configurer la passerelle Cloud VPN de pairs

Nous vous recommandons d'utiliser les valeurs par défaut des modèles de configuration fournis par Google Cloud. Ces modèles spécifient souvent des durées de vie IKE plus courtes que les Google Cloud valeurs par défaut pour garantir une compatibilité maximale entre les fournisseurs de VPN tiers.

Pour éviter les pertes de connectivité ou l'instabilité des tunnels, ne modifiez pas les valeurs de durée de vie générées, sauf si votre fournisseur tiers recommande explicitement une configuration différente.

Bonne pratique Action recommandée Description
Alignement de la durée de vie des SA Si vous configurez des tunnels manuellement à l'aide de l'API, de Google Cloud CLI, ou de Terraform, définissez Phase 1 sur 36000 secondes et Phase 2 sur 10800 secondes. Pour en savoir plus, consultez le tableau Algorithmes de chiffrement IKE compatibles. Des durées de vie de SA non concordantes entraînent des pertes de connexion intermittentes et une perte de paquets lors de la rotation des clés.
Utilisation de modèles Si vous utilisez un modèle de pairs téléchargeable à partir de la console, utilisez les valeurs de durée de vie exactes définies dans ce modèle. Les modèles téléchargés sont optimisés pour la compatibilité spécifique au fournisseur, mais les deux points de terminaison doivent correspondre.

Choisir la configuration de tunnel appropriée

Choisissez la configuration de tunnel appropriée en fonction du nombre de tunnels VPN haute disponibilité :

  • Si vous disposez de deux tunnels VPN haute disponibilité, utilisez une configuration de tunnel actif/passif.

  • Si vous disposez de plus de deux tunnels VPN haute disponibilité, utilisez une configuration de tunnel actif/actif.

Pour plus d'informations, consultez les sections suivantes de la présentation de Cloud VPN :

Fiabilité

Les bonnes pratiques suivantes peuvent vous aider à améliorer la fiabilité de votre configuration Cloud VPN.

Utiliser des tableaux de bord prédéfinis pour la surveillance proactive des tunnels Cloud VPN

Nous vous recommandons d'utiliser les tableaux de bord prédéfinis de la console Cloud VPN pour surveiller les tunnels VPN Cloud VPN et l'état général du projet dans une seule vue.

Il s'agit du moyen le plus rapide de détecter les problèmes de performances à l'échelle du projet.

  • Visibilité à l'échelle du projet : dans l'onglet Observabilité, vérifiez l'état général de tous vos tunnels.

  • Visibilité spécifique aux tunnels : dans l'onglet Surveillance , affichez les journaux de tunnel Cloud VPN intégrés et les journaux de passerelle Cloud VPN pour un diagnostic rapide et spécifique aux tunnels.

Pour en savoir plus, consultez la page Afficher les tableaux de bord Monitoring.

Configurer votre passerelle VPN de pairs avec un seul algorithme de chiffrement pour chaque rôle de chiffrement

Cloud VPN peut agir en tant qu'initiateur ou répondeur pour les requêtes IKE en fonction de l'origine du trafic lorsqu'une nouvelle association de sécurité est nécessaire.

Lorsqu'il établit une connexion VPN, Cloud VPN propose les algorithmes de chiffrement configurés dans le tunnel Cloud VPN. Si vous n'avez pas configuré les algorithmes de chiffrement, le tunnel Cloud VPN propose les algorithmes de chiffrement dans l' ordre indiqué dans les tables d'algorithmes de chiffrement compatibles pour chaque rôle de chiffrement. Le côté pair recevant la proposition sélectionne un algorithme.

Si le côté pair initialise la connexion, Cloud VPN sélectionne un algorithme de chiffrement de la proposition en utilisant le même ordre que celui configuré ou affiché dans le tableau pour chaque rôle de chiffrement.

Selon l'initiateur ou le répondeur, l'algorithme de chiffrement sélectionné peut être différent. Par exemple, l'algorithme de chiffrement sélectionné peut même changer au fil du temps, à mesure que de nouvelles associations de sécurité (SA) sont créées lors de la rotation des clés. Étant donné qu'une modification de la sélection de chiffrement peut avoir un impact sur les caractéristiques importantes du tunnel, comme les performances ou la MTU, utilisez une sélection de chiffrement stable. Pour en savoir plus sur les MTU, consultez la section Considérations concernant les MTU.

Pour éviter les modifications fréquentes dans le processus de sélection d'algorithmes de chiffrement, configurez votre passerelle VPN de pairs et le tunnel Cloud VPN de sorte qu'ils ne proposent qu'un algorithme de chiffrement pour chaque rôle de chiffrement. Cet algorithme de chiffrement doit être compatible avec Cloud VPN et avec votre passerelle VPN de pairs. Ne fournissez pas de liste d'algorithmes de chiffrement pour chaque rôle de chiffrement. Cette bonne pratique garantit que les deux côtés de votre tunnel Cloud VPN sélectionnent toujours le même algorithme de chiffrement IKE lors de la négociation IKE.

Cloud Location Finder vous aide à identifier les régions et les zones les plus Google Cloud proches de vos emplacements physiques dans le monde entier. En utilisant Cloud Location Finder, vous pouvez prendre des décisions éclairées sur la Google Cloud région dans laquelle déployer vos passerelles Cloud VPN, ce qui vous permet de potentiellement optimiser la latence, l'emplacement géographique et la consommation d'énergie carbone. Pour en savoir plus, consultez la documentation Cloud Location Finder.

Pour les paires de tunnels VPN haute disponibilité, configurez les deux tunnels VPN haute disponibilité sur votre passerelle VPN de pairs pour qu'ils utilisent les mêmes valeurs de chiffrement IKE et de phase 2.

Sécurité

Configurer des règles de pare-feu pour vos passerelles VPN

Créez des règles de pare-feu sécurisées pour le trafic qui transite par Cloud VPN. Pour en savoir plus, consultez la page Présentation des règles de pare-feu VPC.

Utiliser des clés pré-partagées sécurisées

Nous vous recommandons de générer une clé pré-partagée sécurisée pour vos tunnels Cloud VPN.

Limiter les adresses IP pour les passerelles VPN de pairs

En limitant les adresses IP qui peuvent être spécifiées pour une passerelle VPN de pairs, vous pouvez empêcher la création de tunnels VPN non autorisés.

Pour en savoir plus, consultez la page Limiter les adresses IP pour les passerelles VPN de pairs.

Configurer l'algorithme de chiffrement le plus puissant sur votre passerelle VPN de pairs

Lorsque vous configurez votre passerelle VPN de pairs, choisissez l'algorithme de chiffrement le plus puissant pour chaque rôle de chiffrement compatible avec votre passerelle VPN de pairs et Cloud VPN.

L'ordre de propositions indiqué pour Cloud VPN n'est pas ordonné de force.

Pour obtenir la liste des algorithmes de chiffrement IKE compatibles, consultez la page Algorithmes de chiffrement IKE compatibles.

Étapes suivantes

  • Pour utiliser des scénarios à haute disponibilité et à haut débit, ou des scénarios à plusieurs sous-réseaux, consultez la section Configurations avancées.
  • Pour vous aider à résoudre les problèmes courants que vous pouvez rencontrer lors de l'utilisation de Cloud VPN, consultez la page Dépannage.