Questa pagina descrive le reti Virtual Private Cloud (VPC) e le opzioni di routing supportate.
Per le definizioni dei termini utilizzati in questa pagina, consulta Termini chiave.
Reti supportate
Cloud VPN supporta le reti VPC in modalità personalizzata, le reti VPC in modalità automatica e le reti legacy. Tuttavia, ti consigliamo di seguire le best practice riportate di seguito:
Utilizza le reti VPC anziché quelle legacy. Le reti legacy non supportano le subnet; l'intera rete utilizza un unico intervallo di indirizzi IP. Le reti legacy non possono essere convertite in reti VPC.
Utilizza una rete VPC in modalità personalizzata. Le reti VPC in modalità personalizzata ti offrono il pieno controllo sull'intervallo di indirizzi IP utilizzati dalle relative subnet.
Se utilizzi Cloud VPN per connettere due reti VPC, almeno una rete deve essere una rete VPC in modalità personalizzata. Le reti VPC in modalità automatica utilizzano lo stesso intervallo di indirizzi IP interni per le loro subnet.
Esamina le considerazioni per le reti VPC in modalità automatica prima di utilizzarne una con Cloud VPN. Le reti VPC in modalità automatica creano automaticamente una subnet in ogni regione Google Cloud, nonché nuove subnet nelle nuove regioni man mano che vengono aggiunte. Evita di utilizzare gli indirizzi IP interni dell'intervallo utilizzato dalle reti VPC in modalità automatica nella rete a cui si connettono i tunnel Cloud VPN.
Opzioni di routing per i tunnel VPN
La VPN classica supporta le opzioni di routing statico per i tunnel VPN, mentre la VPN ad alta disponibilità supporta l'opzione di routing dinamico. Puoi utilizzare i tunnel VPN classica che utilizzano il routing dinamico solo se il gateway VPN classica si connette al software del gateway VPN in esecuzione all'interno di una VM Compute Engine.
Il routing dinamico utilizza il Border Gateway Protocol (BGP).
Routing dinamico (BGP)
Il routing dinamico utilizza un router Cloud per gestire automaticamente lo scambio di route utilizzando BGP. Questa interscambio viene gestito da un'interfaccia BGP su un router Cloud nella stessa regione del tunnel Cloud VPN corrispondente. Cloud Router aggiunge e rimuove le route senza richiedere l'eliminazione e la ricreazione del tunnel.
La modalità di routing dinamico della rete VPC controlla il comportamento di tutti i router Cloud. Questa modalità determina se le route apprese dalla rete peer vengono applicate alle risorse Google Cloud nella stessa regione del tunnel VPN o in tutte le regioni. Puoi controllare le route annunciate dal router o dal gateway peer.
La modalità di routing dinamico determina anche se le route delle subnet solo della regione del tunnel o di tutte le regioni sono condivise con il router o il gateway peer. Oltre a queste route delle sottoreti, puoi configurare annunci di route personalizzati su un router Cloud.
Routing statico
I tunnel VPN classica supportano opzioni di routing statico basate su criteri e su route. Valuta la possibilità di utilizzare un'opzione di routing statico solo se non puoi utilizzare il routing dinamico (BGP) o la VPN ad alta disponibilità.
Routing basato su criteri. Gli intervalli IP locali (lato sinistro) e gli intervalli IP remoti (lato destro) vengono definiti durante la procedura di creazione del tunnel.
VPN basata su route. Quando utilizzi la console Google Cloud per creare una VPN basata su route, specifichi solo un elenco di intervalli IP remoti. Questi intervalli vengono utilizzati solo per creare route nella rete VPC alle risorse peer.
Puoi trovare ulteriori informazioni su queste due opzioni di routing statico nella sezione successiva.
Selettori di traffico
Un selettore del traffico definisce un insieme di intervalli di indirizzi IP o blocchi CIDR utilizzati per stabilire un tunnel VPN. Questi intervalli vengono utilizzati nell'ambito della negoziazione IKE per il tunnel. In alcuni testi, i selettori di traffico sono indicati come domini di crittografia.
Esistono due tipi di selettori di traffico:
Il selettore del traffico locale definisce l'insieme di intervalli di indirizzi IP locali (blocchi CIDR) dal punto di vista del gateway VPN che emette il tunnel VPN. Per i tunnel Cloud VPN, il selettore del traffico locale definisce l'insieme di CIDR di subnet principali e secondarie per le subnet nella rete VPC, che rappresenta il lato sinistro del tunnel.
Il selettore di traffico remoto definisce l'insieme di intervalli IP remoti (blocchi CIDR) dal punto di vista del gateway VPN che emette il tunnel VPN. Per i tunnel Cloud VPN, il selettore di traffico remoto è il lato destro o la rete del peer.
I selettori del traffico sono una parte intrinseca di un tunnel VPN, utilizzati per stabilire la stretta di mano IKE. Se è necessario modificare i CIDR locali o remoti, il tunnel Cloud VPN e il tunnel peer corrispondente devono essere distrutti e ricreati.
Opzioni di routing e selettori di traffico
I valori dell'intervallo IP (blocco CIDR) per i selettori di traffico locale e remoto dipendono dall'opzione di routing utilizzata dal tunnel Cloud VPN.
| Tunnel VPN ad alta disponibilità | |||||
|---|---|---|---|---|---|
| Opzione di routing del tunnel |
Selettore del traffico locale |
Selettore del traffico remoto |
Route alla rete VPC |
Percorsi alla rete peer |
|
| Richiede il routing dinamico (BGP) |
Sempre0.0.0.0/0 per IPv4 (stack singolo)o 0.0.0.0/0,::/0 per IPv4 e IPv6 (stack doppio) o ::/0 per IPv6 (stack singolo) |
Sempre0.0.0.0/0 per IPv4 (stack singolo)o 0.0.0.0/0,::/0 per IPv4 e IPv6 (stack doppio) o ::/0 per IPv6 (stack singolo) |
A meno che non vengano modificate da annunci personalizzati, il router Cloud che gestisce l'interfaccia BGP per il tunnel Cloud VPN condivide le route alle subnet nella rete VPC in base alla modalità di routing dinamico della rete e alle quote e ai limiti per il router Cloud. | Soggetto alle limitazioni relative alle route personalizzate e alle quote e ai limiti per il router Cloud, il router Cloud che gestisce l'interfaccia BGP per il tunnel Cloud VPN apprende le route inviate dal gateway VPN peer e le aggiunge alla rete VPC come route dinamiche personalizzate. | |
| Tunnel VPN classica | |||||
| Opzione di routing del tunnel |
Selettore del traffico locale |
Selettore del traffico remoto |
Route alla rete VPC |
Percorsi alla rete peer |
|
| Routing dinamico (BGP) | Sempre0.0.0.0/0 |
Sempre0.0.0.0/0 |
A meno che non vengano modificate da annunci personalizzati, il router Cloud che gestisce l'interfaccia BGP per il tunnel Cloud VPN condivide le route per le subnet nella rete VPC in base alla modalità di routing dinamico della rete e alle quote e ai limiti per il router Cloud. | Fatte salve le limitazioni relative alle route personalizzate e alle quote e ai limiti per il router Cloud, il router Cloud che gestisce l'interfaccia BGP per il tunnel Cloud VPN apprende le route inviate dal gateway VPN peer e le aggiunge alla rete VPC come route dinamiche personalizzate. | |
| Routing basato su criteri | Configurabile. Consulta la sezione sui tunnel e i selettori di traffico basati su criteri. |
Obbligatorio. Consulta la sezione sui tunnel e i selettori di traffico basati su criteri. |
Devi creare e gestire manualmente le route alle subnet nella rete VPC sui router peer. | Se utilizzi la console Google Cloud per creare il tunnel VPN basato su criteri, le route statiche personalizzate vengono create automaticamente. Se utilizzi gcloud CLI per creare il tunnel, devi utilizzare comandi gcloud aggiuntivi per creare le route. Per istruzioni, consulta
Creare una VPN classica mediante routing statico.
|
|
| VPN basata su route | Sempre0.0.0.0/0 |
Sempre0.0.0.0/0 |
Devi creare e gestire manualmente le route alle subnet nella rete VPC sui router peer. | Se utilizzi la console Google Cloud per creare il tunnel VPN basato su route, le route statiche personalizzate vengono create automaticamente. Se utilizzi gcloud CLI per creare il tunnel, devi utilizzare comandi gcloud aggiuntivi per creare le route. Per istruzioni, consulta
Creare una VPN classica mediante routing statico.
|
|
Tunnel e selettori di traffico basati su criteri
Questa sezione descrive considerazioni speciali per i selettori di traffico quando crei tunnel VPN classica basati su criteri. Non si applica a nessun altro tipo di tunnel VPN classica o VPN ad alta disponibilità.
Puoi scegliere di specificare il selettore del traffico locale di un tunnel Cloud VPN basato su criteri al momento della creazione:
Selettore del traffico locale personalizzato. Puoi definire il selettore del traffico locale come un insieme di subnet nella rete VPC o un insieme di indirizzi IP interni che includono gli intervalli IP scelti delle subnet nella rete VPC. IKEv1 limita i selettori di traffico locale a un singolo CIDR.
Reti VPC in modalità personalizzata. Specifica un selettore di traffico locale personalizzato costituito da un intervallo di indirizzi IP interni.
Reti VPC in modalità automatica. Se non specificato, il selettore del traffico locale è l'intervallo IP principale (blocco CIDR) della subnet creata automaticamente nella stessa regione del tunnel Cloud VPN. Le reti VPC in modalità automatica hanno una subnet per regione con intervalli IP ben definiti.
Reti legacy. Se non specificato, il selettore del traffico locale viene definito come l'intero intervallo di indirizzi IP RFC 1918 della rete precedente.
Specifica il selettore del traffico remoto di un tunnel Cloud VPN basato su criteri quando lo crei. Se utilizzi la console Google Cloud per creare il tunnel Cloud VPN, vengono create automaticamente route statiche personalizzate le cui destinazioni corrispondono ai CIDR del selettore del traffico remoto. IKEv1 limita i selettori di traffico remoto a un singolo CIDR. Per istruzioni, consulta Creare una VPN classica mediante routing statico.
Considerazioni importanti per i selettori di traffico
Prima di creare un tunnel Cloud VPN basato su criteri, tieni presente quanto segue:
La maggior parte dei gateway VPN trasmette il traffico tramite un tunnel VPN solo se l'indirizzo IP di origine di un pacchetto è compreso nel selettore del traffico locale del tunnel e se l'indirizzo IP di destinazione di un pacchetto è compreso nel selettore del traffico remoto del tunnel. Alcuni dispositivi VPN non applicano questo requisito.
Cloud VPN supporta CIDR dei selettori di traffico di
0.0.0.0/0o::/0(qualsiasi indirizzo IP). Per determinare se lo stesso vale per il tuo gateway VPN peer, consulta la documentazione fornita con il gateway VPN peer. La creazione di un tunnel VPN basato su criteri con entrambi i selettori di traffico impostati su0.0.0.0/0o::/0è funzionalmente equivalente alla creazione di una VPN basata su route.Esamina attentamente i più CIDR per selettore di traffico per scoprire come Cloud VPN implementa i protocolli IKEv1 e IKEv2.
Cloud VPN non consente di modificare i selettori di traffico dopo aver creato una VPN. Per modificare il selettore del traffico locale o remoto per un tunnel Cloud VPN, devi eliminare il tunnel e ricrearlo. Tuttavia, non devi eliminare il gateway Cloud VPN.
Se converti una rete VPC in modalità automatica in una rete VPC in modalità personalizzata, potrebbe essere necessario eliminare e ricreare il tunnel Cloud VPN (ma non il gateway). Questo può accadere se aggiungi subnet personalizzate, rimuovi subnet create automaticamente o modifichi gli intervalli IP secondari di qualsiasi subnet. Evita di cambiare la modalità di una rete VPC con tunnel Cloud VPN esistenti. Per suggerimenti, consulta le considerazioni per le reti VPC in modalità automatica.
Per un comportamento VPN coerente e prevedibile:
Rendi i selettori di traffico locale e remoto il più specifici possibile.
Imposta il selettore di traffico locale Cloud VPN come il selettore di traffico remoto configurato per il tunnel corrispondente sul gateway VPN peer.
Imposta il selettore di traffico remoto Cloud VPN come il selettore di traffico locale configurato per il tunnel corrispondente sul gateway VPN on-premise.
Più CIDR per selettore di traffico
Quando crei un tunnel VPN classica basato su criteri, se utilizzi IKEv2, puoi specificare più CIDR per selettore di traffico. Cloud VPN utilizza sempre una singola associazione di sicurezza secondaria (SA), indipendentemente dalla versione di IKE.
La seguente tabella riassume il supporto di Cloud VPN per più CIDR per selettore di traffico nei tunnel VPN basati su criteri.
| Versione IKE | Più CIDR per selettore di traffico |
|---|---|
| IKEv1 | No Il protocollo IKEv1 supporta solo un singolo CIDR per SA secondaria come definito in RFC 2407 e RFC 2409. Poiché Cloud VPN richiede un'unica SA secondaria per tunnel VPN, quando utilizzi IKEv1, puoi fornire un solo CIDR per il selettore del traffico locale e un solo CIDR per il selettore del traffico remoto. Cloud VPN non supporta la creazione di un tunnel VPN utilizzando IKEv1 con più SA secondarie, ciascuna con un singolo CIDR. |
| IKEv2 | Sì, se sono soddisfatte le seguenti condizioni:
Una best practice consiste nell'utilizzare al massimo 30 CIDR per selettore di traffico in modo da non creare un pacchetto di proposta IKE che superi l'MTU massimo. |
Strategie di selezione del traffico
Valuta le seguenti strategie se il gateway VPN on-premise crea più SA secondarie per tunnel VPN o se più CIDR per selettore di traffico fa sì che una proposta IKE per IKEv2 superi i 1460 byte (per maggiori dettagli, consulta Opzioni di routing e selettori di traffico):
Utilizza il routing dinamico per il tunnel VPN. Se il gateway VPN peer supporta BGP, configura i selettori di traffico locale e remoto per il tunnel VPN in modo da consentire qualsiasi indirizzo IP. Utilizza
0.0.0.0/0solo per IPv4 o0.0.0.0/0,::/0per il traffico IPv4 e IPv6. Le route vengono scambiate automaticamente tra il gateway VPN peer e il router Cloud associato al tunnel Cloud VPN. Se puoi utilizzare il routing dinamico, valuta la possibilità di utilizzare la VPN ad alta disponibilità.Utilizza selettori di traffico CIDR generici e singoli e routing dei tunnel statici:
Utilizza una VPN basata su route. Per le VPN basate su route, entrambi i selettori di traffico sono
0.0.0.0/0per definizione. Puoi creare percorsi più specifici rispetto ai selettori di traffico.Utilizza il routing basato su criteri e configura i selettori di traffico locale e remoto in modo che siano il più ampi possibile. Per i tunnel Cloud VPN basati su criteri, puoi creare route per le reti on-premise nella tua rete VPC le cui destinazioni sono più specifiche dei blocchi CIDR specificati nei selettori del traffico remoto. Utilizza gcloud CLI per creare le route separatamente dai tunnel VPN seguendo i passaggi descritti in Creare una VPN classica mediante routing statico.
Utilizza il routing basato su criteri per creare più tunnel Cloud VPN in modo che ogni tunnel abbia un solo blocco CIDR per il selettore del traffico locale e un solo blocco CIDR per il selettore del traffico remoto. Configura il tunnel corrispondente on-premise in modo simile. Cloud VPN supporta più tunnel per gateway. Tuttavia, l'utilizzo di più tunnel ha alcune implicazioni:
- Il gateway VPN peer deve offrire indirizzi IP esterni separati a cui ogni tunnel Cloud VPN può connettersi. I tunnel sullo stesso gateway VPN classica devono connettersi a indirizzi IP gateway peer univoci. Il gateway VPN peer potrebbe anche richiedere che i suoi tunnel si connettano a indirizzi IP univoci. In alcuni casi, devi creare un gateway Cloud VPN separato per ogni tunnel Cloud VPN.
- Quando utilizzi la console Google Cloud per creare tunnel Cloud VPN basati su route o su criteri, oltre al tunnel vengono creati automaticamente i route per la rete peer. Se le route vengono create automaticamente per più tunnel VPN che utilizzano ciascuno gli stessi selettori del traffico remoto, come nel caso in cui crei VPN basate su route, puoi avere più route nella rete VPC, tutte con destinazioni identiche, ma hop successivi diversi. Ciò può portare a un comportamento imprevedibile o imprevisto perché il traffico viene inviato a un tunnel VPN in base all'applicabilità e all'ordine delle route. Se non utilizzi il routing dinamico (BGP) dei tunnel, crea e controlla le route statiche sia nella rete VPC sia nella rete peer.
Passaggi successivi
- Per informazioni sui concetti di base di Cloud VPN, consulta la panoramica di Cloud VPN.
- Per utilizzare scenari di alta disponibilità e ad alto throughput o scenari con più reti secondarie, consulta Configurazioni avanzate.
- Per aiutarti a risolvere i problemi comuni che potresti riscontrare durante l'utilizzo di Cloud VPN, consulta la sezione Risoluzione dei problemi.