Configurer un VPN haute disponibilité sur Cloud Interconnect

Console

Cette procédure suppose que vous avez déjà créé et configuré vos rattachements de VLAN chiffrés à l'aide de la console Google Cloud:

• Pour Dedicated Interconnect, voir Créer des rattachements de VLAN chiffrés.

• Pour l'interconnexion partenaire, voir Créer des rattachements de VLAN chiffrés.

Pour créer une passerelle VPN haute disponibilité, procédez comme suit :

1. Dans la console Google Cloud, passez à la section suivante de l'assistant de déploiement d'un VPN haute disponibilité via Cloud Interconnect.

   Une fois la configuration du routeur Cloud pour Cloud Interconnect terminée, la page Créer des passerelles VPN s'affiche.

   L'assistant de configuration d'un VPN haute disponibilité via Cloud Interconnect crée automatiquement des passerelles VPN haute disponibilité en fonction de la capacité que vous avez configurée pour vos rattachements de VLAN. Par exemple, si vous avez spécifié 5 Gbit/s comme capacité de chaque rattachement de VLAN, l'assistant crée deux passerelles VPN haute disponibilité.

2. (Facultatif) Cliquez sur expand_moreDévelopper pour modifier le nom généré de chaque passerelle VPN haute disponibilité.

3. Facultatif: Si vous souhaitez ajouter d'autres passerelles VPN haute disponibilité, cliquez sur Ajouter une passerelle. Renseignez un nom et une description facultative. Cliquez ensuite sur OK.

4. Cliquez sur Créer et continuer.

gcloud

1. Utilisez le tableau des capacités et des tunnels VLAN pour estimer le nombre de tunnels VPN nécessaires afin de correspondre à la capacité de votre rattachement de VLAN. Vous devez créer au moins une passerelle VPN haute disponibilité pour pouvoir créer ces tunnels VPN haute disponibilité.

   Dans l'exemple suivant, un rattachement de VLAN de capacité de 5 Gbit/s peut nécessiter quatre tunnels.

2. Créer des passerelles VPN haute disponibilité.

   Par exemple, la commande suivante crée deux passerelles VPN haute disponibilité et attribue les interfaces de passerelle à vos rattachements de VLAN chiffrés.

   gcloud compute vpn-gateways create vpn-gateway-a \
     --network network-a \
     --region us-central1 \
     --interconnect-attachments \
       attachment-a-zone1,attachment-a-zone2
   

   gcloud compute vpn-gateways create vpn-gateway-b \
     --network network-a \
     --region us-central1 \
     --interconnect-attachments \
       attachment-a-zone1,attachment-a-zone2
   

Pour le paramètre --interconnect-attachments, répertoriez les deux rattachements de VLAN. Le premier rattachement de VLAN que vous répertoriez est attribué à l'interface 0 (if0) de la passerelle VPN haute disponibilité et le second rattachement de VLAN à l'interface 1 (if1).

Console

1. Dans la console Google Cloud, passez à la section suivante de l'assistant de déploiement d'un VPN haute disponibilité via Cloud Interconnect.

2. Dans la section Cloud Router, sélectionnez un routeur cloud. Ce routeur est dédié à la gestion des sessions BGP pour tous vos tunnels VPN haute disponibilité.

   Vous pouvez utiliser un routeur Cloud Router existant si le routeur ne gère pas encore une session BGP pour un rattachement de VLAN associé à une interconnexion partenaire.

   Vous ne pouvez pas utiliser le routeur Cloud Router chiffré utilisé pour le niveau d'interconnexion de votre déploiement VPN haute disponibilité sur Cloud Interconnect.

3. Si vous ne disposez d'aucun routeur cloud, sélectionnez Créer un routeur et spécifiez les éléments suivants :

   • Un nom
   • Description (facultative)

   • Un numéro ASN Google pour le nouveau routeur

     Vous pouvez utiliser n'importe quel ASN privé (64512 à 65534, 4200000000 à 4294967294) que vous n'utilisez pas ailleurs sur votre réseau. Ce numéro sert pour toutes les sessions BGP gérées par le même routeur Cloud Router et ne peut pas être modifié ultérieurement.

   Pour créer le routeur, cliquez sur Créer.

4. Configurez la version IKE en sélectionnant IKEv1 ou IKEv2. Cette version est utilisée sur tous les tunnels VPN haute disponibilité du déploiement.

5. (Facultatif) Cliquez sur Générer les clés pour générer la clé pré-partagée IKE pour tous les tunnels VPN. Si vous sélectionnez cette option, la même clé pré-partagée IKE est renseignée pour tous les tunnels de toutes les passerelles VPN haute disponibilité. Veillez à enregistrer la clé pré-partagée dans un emplacement sécurisé, car elle ne peut pas être récupérée une fois que vous avez créé vos tunnels VPN.

6. Dans la section Configurations VPN, cliquez sur une configuration VPN, puis spécifiez les éléments suivants:

   1. Passerelle VPN de pairs: sélectionnez une passerelle VPN de pairs existante ou créez-en une en sélectionnant Créer une passerelle VPN de pairs. Pour créer une passerelle VPN de pairs, spécifiez les éléments suivants:

      • Un nom

      • Deux interfaces

        Si vous devez spécifier une ou quatre interfaces, vous ne pouvez pas créer cette passerelle VPN de pairs dans la console Google Cloud. Utilisez plutôt Google Cloud CLI. Plus précisément, vous devez attribuer quatre interfaces sur votre passerelle VPN de pairs si vous vous connectez à Amazon Web Services (AWS).

   2. Dans le champ Adresses IP, saisissez les adresses IPv4 des deux interfaces de passerelle VPN de pairs.

   3. Cliquez sur Créer.

7. Sous Tunnel VPN via ENCRYPTED VLAN_ATTACHMENT_1 et Tunnel VPN via ENCRYPTED VLAN_ATTACHMENT_2, configurez les champs suivants pour chaque tunnel:

   • Nom: vous pouvez conserver le nom du tunnel généré ou le modifier.
   • Description : facultatif.
   • Interface de passerelle VPN de pairs associée : sélectionnez la combinaison d'interface de passerelle VPN de pairs et d'adresse IP que vous souhaitez associer à ce tunnel et à l'interface VPN haute disponibilité. Cette interface doit correspondre à celle de votre routeur de pairs réel.
   • Clé pré-partagée IKE: si vous n'avez pas encore généré de clé pré-partagée pour tous les tunnels, spécifiez une clé pré-partagée IKE. Utilisez la clé pré-partagée (secret partagé) qui correspond à la clé pré-partagée que vous créez sur votre passerelle de pairs. Si vous n'avez pas configuré de clé pré-partagée sur votre passerelle VPN de pairs et que vous souhaitez en générer une, cliquez sur Générer et copier. Veillez à enregistrer la clé pré-partagée dans un emplacement sécurisé, car elle ne peut pas être récupérée une fois que vous avez créé vos tunnels VPN.

8. Cliquez sur OK lorsque vous avez terminé la configuration des deux tunnels.

9. Répétez les deux étapes précédentes pour chaque passerelle VPN haute disponibilité jusqu'à ce que vous ayez configuré toutes les passerelles et leurs tunnels.

10. Si vous devez ajouter d'autres tunnels, cliquez sur Ajouter une configuration VPN et configurez les champs suivants:

    1. Passerelle VPN: sélectionnez l'une des passerelles VPN haute disponibilité associées aux rattachements de VLAN chiffrés.

    2. Passerelle VPN de pairs: sélectionnez une passerelle VPN de pairs existante ou créez-en une en sélectionnant Créer une passerelle VPN de pairs. Pour créer une passerelle VPN de pairs, spécifiez les éléments suivants:

       • Un nom
       • Deux interfaces

       Si vous devez spécifier une ou quatre interfaces, vous ne pouvez pas créer cette passerelle VPN de pairs dans la console Google Cloud. Utilisez plutôt Google Cloud CLI. Plus précisément, vous devez attribuer quatre interfaces sur votre passerelle VPN de pairs si vous vous connectez à AWS.

    3. Dans le champ Adresses IP, saisissez les adresses IPv4 des deux interfaces de passerelle VPN de pairs.

    4. Cliquez sur Créer.

11. Lorsque vous avez terminé de configurer tous vos tunnels VPN haute disponibilité, cliquez sur Créer et continuer.

gcloud

Ce routeur est dédié à la gestion des sessions BGP pour tous vos tunnels VPN haute disponibilité.

Vous pouvez utiliser un routeur Cloud Router existant si le routeur ne gère pas encore une session BGP pour un rattachement de VLAN associé à une interconnexion partenaire. Vous ne pouvez pas utiliser le routeur Cloud Router chiffré utilisé pour le niveau Cloud Interconnect de votre déploiement VPN haute disponibilité sur Cloud Interconnect.

1. Pour créer un routeur Cloud Router, exécutez la commande suivante :

   gcloud compute routers create ROUTER_NAME \
      --region=REGION \
      --network=NETWORK \
      --asn=GOOGLE_ASN
   

   Remplacez les éléments suivants :

   • ROUTER_NAME : nom du routeur Cloud Router dans la même région que la passerelle Cloud VPN.
   • REGION : région Google Cloud dans laquelle vous créez la passerelle et le tunnel
   • NETWORK : nom de votre réseau Google Cloud
   • GOOGLE_ASN : tout numéro ASN privé (64512 à 65534, 4200000000 à 4294967294) que vous n'utilisez pas déjà dans le réseau de pairs. Ce numéro ASN Google est utilisé pour toutes les sessions BGP gérées par le même routeur Cloud Router et ne peut pas être modifié ultérieurement

   Le routeur que vous créez doit ressembler à l'exemple de résultat suivant :

   Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/routers/router-a].
   NAME       REGION        NETWORK
   router-a   us-central1   network-a
   

2. Créez au moins une passerelle VPN de pairs externe.

   gcloud compute external-vpn-gateways create peer-gw \
      --interfaces 0=ON_PREM_GW_IP_0,1=ON_PREM_GW_IP_1
   

   Remplacez les éléments suivants :

   • ON_PREM_GW_IP_0: adresse IP attribuée à l'interface 0 de votre passerelle VPN de pairs.
   • ON_PREM_GW_IP_1: adresse IP attribuée à l'interface 1 de votre passerelle VPN de pairs.

   Créez autant de passerelles VPN de pairs externes que nécessaire dans votre déploiement.

3. Pour chaque passerelle VPN haute disponibilité que vous avez créée dans la section Créer des passerelles VPN haute disponibilité, créez un tunnel VPN pour chaque interface, 0 et 1. Dans chaque commande, vous spécifiez le côté pair du tunnel VPN comme la passerelle VPN externe et l'interface que vous avez créée précédemment.

   Par exemple, pour créer quatre tunnels pour les deux exemples de passerelles VPN haute disponibilité créés dans la section Créer des passerelles VPN haute disponibilité, exécutez les commandes suivantes:

   gcloud compute vpn-tunnels create tunnel-a-to-on-prem-if-0 \
    --peer-external-gateway peer-gw \
    --peer-external-gateway-interface 0 \
    --region us-central1 \
    --ike-version 2 \
    --shared-secret SHARED_SECRET \
    --router vpn-router \
    --vpn-gateway vpn-gateway-a \
    --interface 0
   

   gcloud compute vpn-tunnels create tunnel-a-to-on-prem-if-1 \
    --peer-external-gateway peer-gw \
    --peer-external-gateway-interface 1 \
    --region us-central1 \
    --ike-version 2 \
    --shared-secret SHARED_SECRET \
    --router vpn-router \
    --vpn-gateway vpn-gateway-a \
    --interface 1
   

   gcloud compute vpn-tunnels create tunnel-b-to-on-prem-if-0 \
    --peer-external-gateway peer-gw \
    --peer-external-gateway-interface 0 \
    --region us-central1 \
    --ike-version 2 \
    --shared-secret SHARED_SECRET \
    --router vpn-router \
    --vpn-gateway vpn-gateway-b \
    --interface 0
   

   gcloud compute vpn-tunnels create tunnel-b-to-on-prem-if-1 \
    --peer-external-gateway peer-gw \
    --peer-external-gateway-interface 1 \
    --region us-central1 \
    --ike-version 2 \
    --shared-secret SHARED_SECRET \
    --router vpn-router \
    --vpn-gateway vpn-gateway-b \
    --interface 1
   

Console

Dans la console Google Cloud, passez à la section suivante de l'assistant de déploiement d'un VPN haute disponibilité via Cloud Interconnect.

Une fois que vous avez créé tous les tunnels VPN haute disponibilité, vous devez configurer les sessions BGP pour chaque tunnel.

À côté de chaque tunnel, cliquez sur Configurer la session BGP.

Suivez les instructions de la section Créer des sessions BGP pour configurer BGP pour chaque tunnel VPN.

gcloud

Une fois que vous avez créé tous les tunnels VPN haute disponibilité, vous devez configurer les sessions BGP pour chaque tunnel.

Pour chaque tunnel, suivez les instructions de la section Créer des sessions BGP.