Best practice per Cloud VPN

Le seguenti best practice possono essere utili per la pianificazione e la configurazione di Cloud VPN.

Utilizza progetti separati Google Cloud per le risorse di rete

Per semplificare la configurazione dei ruoli e delle autorizzazioni di Identity and Access Management (IAM) più semplice, ove possibile, mantieni le risorse Cloud VPN e router Cloud in un progetto separato dalle altre Google Cloud risorse.

Routing e failover

Scegli il routing dinamico

Scegli un gateway Cloud VPN che utilizzi il routing dinamico e il protocollo BGP (Border Gateway Protocol). Google consiglia di utilizzare VPN ad alta disponibilità e di eseguire il deployment di dispositivi on-premise che supportano BGP.

Massimizza la disponibilità di Cloud VPN

Per una maggiore affidabilità e un migliore SLA, utilizza la VPN ad alta disponibilità affidabilità con BGP. Se la configurazione richiede route statiche, utilizza la VPN classica.

Per ulteriori informazioni, consulta i tipi di VPN nella panoramica di Cloud VPN.

Configurazione del gateway Cloud VPN peer

Ti consigliamo di utilizzare i valori predefiniti dei modelli di configurazione forniti da Google Cloud. Questi modelli spesso specificano durate IKE più brevi rispetto ai valori predefiniti Google Cloud per garantire la massima compatibilità tra i fornitori di VPN di terze parti.

Per evitare interruzioni della connettività o instabilità del tunnel, non modificare i valori di durata generati, a meno che il fornitore di terze parti non consigli esplicitamente una configurazione diversa.

Best practice Comportamento consigliato Descrizione
Allineamento della durata dell'associazione di sicurezza Se configuri i tunnel manualmente utilizzando l'API, Google Cloud CLI, o Terraform, imposta Fase 1 su 36000 secondi e Fase 2 su 10800 secondi. Per ulteriori informazioni, consulta la tabella Cifratura IKE supportate. Le durate delle associazioni di sicurezza non corrispondenti causano interruzioni intermittenti della connessione e perdita di pacchetti durante rotazione della chiave.
Utilizzo dei modelli Se utilizzi un modello peer scaricabile dalla console, utilizza i valori di lifetime value esatti definiti nel modello. I modelli scaricati sono ottimizzati per la compatibilità specifica del fornitore, ma entrambi gli endpoint devono corrispondere.

Scegli la configurazione del tunnel appropriata

Scegli la configurazione del tunnel appropriata in base al numero di tunnel VPN ad alta disponibilità affidabilità:

  • Se hai due tunnel VPN ad alta disponibilità, utilizza una configurazione del tunnel attiva/passiva.

  • Se hai più di due tunnel VPN ad alta disponibilità, utilizza una configurazione del tunnel attiva/attiva.

Per ulteriori informazioni, consulta le seguenti sezioni nella panoramica di Cloud VPN:

Affidabilità

Le seguenti best practice possono contribuire a migliorare l'affidabilità della configurazione di Cloud VPN.

Utilizza le dashboard predefinite per il monitoraggio proattivo dei tunnel Cloud VPN

Ti consigliamo di utilizzare le dashboard predefinite nella console Cloud VPN per il monitoraggio dei tunnel VPN Cloud e dell'integrità complessiva del progetto in un'unica visualizzazione.

Questo è il modo più rapido per rilevare problemi di prestazioni a livello di progetto.

  • Visibilità a livello di progetto: nella scheda Osservabilità, controlla l'integrità complessiva di tutti i tunnel.

  • Visibilità specifica del tunnel: nella scheda Monitoraggio , visualizza i log integrati dei tunnel Cloud VPN e i log dei gateway Cloud VPN per una diagnosi rapida e specifica del tunnel.

Per ulteriori informazioni, consulta Visualizzare le dashboard di Monitoring

Configura il gateway VPN peer con una sola crittografia per ogni ruolo di crittografia

Cloud VPN può fungere da iniziatore o risponditore alle richieste IKE a seconda dell'origine del traffico quando è necessaria una nuova associazione di sicurezza.

Quando Cloud VPN avvia una connessione VPN, Cloud VPN propone gli algoritmi di crittografia configurati nel tunnel Cloud VPN. Se non hai configurato gli algoritmi di crittografia, il tunnel Cloud VPN propone gli algoritmi di crittografia nell' ordine mostrato nelle tabelle delle crittografie supportate per ogni ruolo di crittografia. Il lato peer che riceve la proposta seleziona un algoritmo.

Se il lato peer avvia la connessione, Cloud VPN seleziona una crittografia dalla proposta utilizzando lo stesso ordine configurato o mostrato nella tabella per ogni ruolo di crittografia.

A seconda del lato che è l'iniziatore o il risponditore, la crittografia selezionata può essere diversa. Ad esempio, la crittografia selezionata potrebbe persino cambiare nel tempo man mano che vengono create nuove associazioni di sicurezza (SA) durante rotazione della chiave. Poiché una modifica della selezione della crittografia può influire su caratteristiche importanti del tunnel, come le prestazioni o la MTU, utilizza una selezione della crittografia stabile. Per ulteriori informazioni sulla MTU, consulta Considerazioni sulla MTU.

Per evitare modifiche frequenti nella selezione della crittografia, configura il gateway VPN peer e il tunnel Cloud VPN in modo che propongano e accettino una sola crittografia per ogni ruolo di crittografia. Questa crittografia deve essere supportata sia da Cloud VPN sia dal gateway VPN peer. Non fornire un elenco di crittografie per ogni ruolo di crittografia. Questa best practice garantisce che entrambi i lati del tunnel Cloud VPN selezionino sempre la stessa crittografia IKE durante la negoziazione IKE.

Cloud Location Finder ti aiuta a identificare le Google Cloud regioni e le zone più vicine alle tue sedi fisiche in tutto il mondo. Utilizzando Cloud Location Finder, puoi prendere decisioni informate sulla Google Cloud regione in cui eseguire il deployment dei gateway Cloud VPN, ottimizzando potenzialmente la latenza, la posizione geografica e l'utilizzo di energia a zero emissioni di CO2. Per ulteriori informazioni, consulta la documentazione di Cloud Location Finder.

Per le coppie di tunnel VPN ad alta disponibilità, configura entrambi i tunnel VPN ad alta disponibilità sul gateway VPN peer in modo che utilizzino gli stessi valori di crittografia e durata della fase 2 di IKE.

Sicurezza

Configura le regole firewall per i gateway VPN

Crea regole firewall sicure per il traffico che transita su Cloud VPN. Per ulteriori informazioni, consulta la panoramica delle regole firewall VPC.

Utilizza chiavi precondivise complesse

Google consiglia di generare una chiave precondivisa complessa per i tunnel Cloud VPN.

Limita gli indirizzi IP per i gateway VPN peer

Limitando gli indirizzi IP che possono essere specificati per un gateway VPN peer, puoi impedire la creazione di tunnel VPN non autorizzati.

Per ulteriori informazioni, consulta Limitare gli indirizzi IP per i gateway VPN peer.

Configura la crittografia più complessa sul gateway VPN peer

Quando configuri il gateway VPN peer, scegli la crittografia più complessa per ogni ruolo di crittografia supportato sia dal gateway VPN peer sia da Cloud VPN.

L'ordine di proposta elencato per Cloud VPN non è ordinato in base alla complessità.

Per un elenco delle crittografie IKE supportate, consulta Crittografie IKE supportate.

Passaggi successivi

  • Per utilizzare scenari ad alta disponibilità e ad alta velocità effettiva o scenari con più subnet, consulta Configurazioni avanzate.
  • Per risolvere i problemi comuni che potresti riscontrare durante l'utilizzo di Cloud VPN, consulta Risoluzione dei problemi.