En este documento se describen las topologías recomendadas y el acuerdo de nivel de servicio (SLA) de disponibilidad correspondiente a cada topología de VPN de alta disponibilidad. Para ver las topologías de VPN clásica, consulta Topologías de VPN clásica. Para obtener más información sobre Cloud VPN, incluidos los dos tipos de VPN, consulta la información general sobre Cloud VPN.
Para ver las definiciones de los términos que se usan en esta página, consulta Términos clave.
Información general
La VPN de alta disponibilidad admite una de las siguientes topologías recomendadas:
Conéctate Google Cloud a tu pasarela de VPN de emparejamiento. Esta topología requiere dos túneles VPN desde la pasarela VPN de alta disponibilidad para alcanzar el acuerdo de nivel de servicio de alta disponibilidad. En esta configuración, la VPN de alta disponibilidad tiene tres configuraciones típicas de pasarela de par:
- Dos pasarelas VPN de otro proveedor independientes, cada una con su propia dirección IP.
- Una pasarela VPN de par con dos direcciones IP independientes.
- Una pasarela VPN de par con una dirección IP.
Conecta varias Google Cloud redes de VPC. Para conectar dos redes de VPC, crea una puerta de enlace de VPN de alta disponibilidad en cada red. Las redes pueden estar en la misma región o en regiones diferentes.Google Cloud Google Cloud
Recibirás un acuerdo de nivel de servicio de disponibilidad diferente para las pasarelas de VPN de alta disponibilidad desplegadas en la misma región que para las desplegadas en diferentes regiones. Para obtener más información, consulta Configuraciones de alta disponibilidad para VPN de alta disponibilidad.
Conecta una pasarela de VPN de alta disponibilidad a instancias de VM de Compute Engine. En esta topología, se conecta una pasarela de VPN de alta disponibilidad a una instancia de máquina virtual de Compute Engine. Tus instancias de VM pueden estar en la misma zona o en zonas diferentes.
El acuerdo de nivel de servicio de disponibilidad de la instancia de máquina virtual de Compute Engine determina el acuerdo de nivel de servicio de disponibilidad de la conexión VPN.
VPN de alta disponibilidad mediante Cloud Interconnect. En esta topología, se crean túneles de VPN de alta disponibilidad para transportar tráfico cifrado con IPSec a través de vinculaciones de VLAN de Interconexión Dedicada o Partner Interconnect. Puedes reservar intervalos de direcciones IP internas regionales para tus pasarelas de VPN de alta disponibilidad.Tu pasarela VPN de par también puede tener direcciones IP internas. Para obtener más información y diagramas de arquitectura, consulta el artículo sobre la arquitectura de la implementación de la VPN de alta disponibilidad mediante Cloud Interconnect.
En Google Cloud, todos los casos de pasarela de otro proveedor se representan con un solo recurso de VPN de otro proveedor externo.
Configuraciones de alta disponibilidad para VPN de alta disponibilidad
En la siguiente tabla se resumen los acuerdos de nivel de servicio de disponibilidad que ofrecen las diferentes configuraciones de VPN de alta disponibilidad:
| Topología | Descripción | Acuerdo de nivel de servicio con garantía de disponibilidad |
|---|---|---|
| Conéctate Google Cloud a tu pasarela de VPN de par | Conectar una pasarela de VPN de alta disponibilidad a una o dos pasarelas de VPN de par independientes | 99,99 % |
| Conectar redes de VPC mediante pasarelas de VPN de alta disponibilidad | Conecta dos Google Cloud redes de VPC mediante una pasarela de VPN de alta disponibilidad en cada red. Las pasarelas de VPN de alta disponibilidad se implementan en la misma región. Las redes de VPC pueden estar en la misma región o en regiones diferentes. | 99,99 % |
| VPN de alta disponibilidad a instancias de máquina virtual de Compute Engine en varias zonas | Conectar una pasarela VPN de alta disponibilidad a instancias de máquina virtual de Compute Engine con direcciones IP externas | 99,9 % |
| VPN de alta disponibilidad a una sola instancia de VM de Compute Engine | Conectar una pasarela VPN de alta disponibilidad a una sola instancia de máquina virtual de Compute Engine con una dirección IP externa | El acuerdo de nivel de servicio de disponibilidad se determina en función del acuerdo de nivel de servicio de disponibilidad proporcionado para una sola instancia de VM de la familia de máquinas con memoria optimizada de Compute Engine. Para obtener más información, consulta el acuerdo de nivel de servicio de Compute Engine. |
Para ayudarte a garantizar el SLA de máxima disponibilidad de tus conexiones de VPN de alta disponibilidad, te recomendamos que configures dos túneles desde tu pasarela VPN de alta disponibilidad a tu pasarela VPN de par o a otra pasarela VPN de alta disponibilidad. Asegúrate de que la pasarela de VPN de par también esté configurada para recibir el mismo acuerdo de nivel de servicio de disponibilidad.
Para mantener la conectividad en caso de que falle uno de los túneles, conecta todas las interfaces de la pasarela de VPN de alta disponibilidad a todas las interfaces de la pasarela de par o de otra pasarela de VPN de alta disponibilidad.
Conéctate Google Cloud a tu pasarela de VPN de par
Hay tres configuraciones típicas de pasarela de par para VPN de alta disponibilidad:
- Una pasarela de VPN de alta disponibilidad a dos pasarelas de VPN de par independientes, cada una con su propia dirección IP
- Una pasarela de VPN de alta disponibilidad a una pasarela de VPN de par que usa dos direcciones IP independientes
- Una pasarela de VPN de alta disponibilidad a una pasarela de VPN de par que usa una dirección IP
Para configurar cualquiera de estas opciones, consulta el artículo Crear una VPN de alta disponibilidad para una pasarela de VPN de par.
Si implementas una pasarela de VPN de alta disponibilidad con el tipo de pila IPV6_ONLY o IPV4_IPV6, tus túneles VPN podrán admitir el intercambio de tráfico IPv6. También debe habilitar IPv6 en las sesiones de BGP que cree para los túneles VPN. En este caso, puedes asignar direcciones IPv6 a las subredes on-premise y a las subredes de VPC en las siguientes topologías. Para obtener más información, consulta Compatibilidad con IPv6.
Conectar dos pasarelas de VPN de par
Si tu gateway del otro extremo es de hardware, tener un segundo gateway del otro extremo proporciona redundancia y conmutación por error en ese lado de la conexión. Una segunda pasarela física te permite desconectar una de las pasarelas para realizar actualizaciones de software u otras tareas de mantenimiento programadas. También te protege si se produce un fallo en una de las pasarelas físicas.
En esta topología, una pasarela de VPN de alta disponibilidad se conecta a dos pasarelas de VPN de par. Cada pasarela VPN de otro proveedor tiene una interfaz y una dirección IP externa. La pasarela de VPN de alta disponibilidad usa dos túneles, uno para cada pasarela de VPN de par.
En Google Cloud, el REDUNDANCY_TYPE de esta configuración toma el valor TWO_IPS_REDUNDANCY.
En el siguiente ejemplo se ofrece un acuerdo de nivel de servicio con una disponibilidad del 99,99 %.
Conectar una pasarela VPN de par con dos direcciones IP
Esta topología describe una pasarela VPN de alta disponibilidad que se conecta a una pasarela VPN de par que tiene dos direcciones IP externas independientes. La pasarela VPN de alta disponibilidad usa dos túneles, uno para cada dirección IP externa de la pasarela VPN de emparejamiento.
En Google Cloud, el REDUNDANCY_TYPE de esta configuración toma el valor TWO_IPS_REDUNDANCY.
En el siguiente ejemplo se ofrece un acuerdo de nivel de servicio con una disponibilidad del 99,99 %.
Conectar una pasarela de VPN de par con una dirección IP
Esta topología describe una pasarela de VPN de alta disponibilidad que se conecta a una pasarela de VPN de par que tiene una dirección IP externa. La pasarela de VPN de alta disponibilidad usa dos túneles, ambos túneles a la misma dirección IP externa de la pasarela de VPN de la otra organización.
En Google Cloud, el REDUNDANCY_TYPE de esta configuración toma el valor SINGLE_IP_INTERNALLY_REDUNDANT.
En el siguiente ejemplo se ofrece un acuerdo de nivel de servicio con una disponibilidad del 99,99 %.
Configurar un acuerdo de nivel de servicio de disponibilidad del 99,99 %
Para cumplir el acuerdo de nivel de servicio de disponibilidad del 99,99% en el lado de Google Cloud , debe haber un túnel desde cada una de las dos interfaces de la pasarela de VPN de alta disponibilidad hasta las interfaces correspondientes de la pasarela de par.
Si la pasarela de par tiene dos interfaces, configurar dos túneles (uno desde cada interfaz de par a cada interfaz de la pasarela de VPN de alta disponibilidad) cumple los requisitos del acuerdo de nivel de servicio de disponibilidad del 99,99 %. No es necesario que la configuración sea de malla completa para disfrutar de un acuerdo de nivel de servicio con una disponibilidad del 99,99% en el Google Cloud lado. En este caso, una malla completa se define como dos túneles de cada interfaz de VPN de alta disponibilidad a cada una de las dos interfaces de la pasarela de par. Para confirmar si tu proveedor de VPN recomienda una configuración de malla completa, consulta la documentación de tu pasarela de VPN de par (on-premise) o ponte en contacto con tu proveedor de VPN.
En las configuraciones con dos interfaces de par, los túneles de cada una de las siguientes interfaces de la pasarela de VPN de alta disponibilidad coinciden con las interfaces correspondientes de la pasarela o las pasarelas de par:
- VPN de alta disponibilidad
interface 0a parinterface 0 - VPN de alta disponibilidad
interface 1a parinterface 1
En los diagramas se muestran ejemplos de dos pasarelas VPN de par con dos interfaces y una pasarela VPN de par con dos interfaces.
Si solo hay una interfaz de par en una pasarela de par, cada túnel de cada interfaz de pasarela de VPN de alta disponibilidad debe conectarse a la interfaz de par única. Consulta el diagrama de una pasarela VPN de par y una interfaz.
En el siguiente ejemplo no se ofrece un acuerdo de nivel de servicio con una disponibilidad del 99,99 %:
- VPN de alta disponibilidad
interface 0a parinterface 0
Opciones de enrutamiento activo-activo y activo-pasivo para la VPN de alta disponibilidad
Si un túnel de Cloud VPN deja de funcionar, se reinicia automáticamente. Si falla un dispositivo VPN virtual completo, Cloud VPN creará automáticamente uno nuevo con la misma configuración. La nueva pasarela y el túnel se conectan automáticamente.
Los túneles VPN conectados a pasarelas de VPN de alta disponibilidad deben usar el enrutamiento dinámico (BGP). En función de cómo configure las prioridades de ruta de los túneles VPN de alta disponibilidad, puede crear una configuración de enrutamiento activo-activo o activo-pasivo. En ambas configuraciones de enrutamiento, los dos túneles VPN permanecen activos.
En la siguiente tabla se comparan las funciones de una configuración de enrutamiento activo-activo o activo-pasivo.
| Función | Activo-activo | Activo-pasivo |
|---|---|---|
| Rendimiento | El rendimiento agregado efectivo es el rendimiento combinado de ambos túneles. | Después de reducir el número de túneles activos de dos a uno, el rendimiento general efectivo se reduce a la mitad, lo que puede provocar que la conectividad sea más lenta o que se pierdan paquetes. |
| Anuncio de ruta | Tu gateway de peer anuncia las rutas de la red de peer con valores de discriminador de salida múltiple (MED) idénticos para cada túnel. El Cloud Router que gestiona los túneles de Cloud VPN importa estas rutas como rutas dinámicas personalizadas en tu red de VPC con prioridades idénticas. El tráfico de salida enviado a tu red de peer usa el enrutamiento multipath de igual coste (ECMP). El mismo Cloud Router usa prioridades idénticas para anunciar rutas a tu red de VPC. Tu pasarela de mismo nivel usa ECMP para usar estas rutas y enviar tráfico de salida a Google Cloud. |
Tu gateway de peer anuncia las rutas de la red de peer con valores MED diferentes para cada túnel. El router de Cloud que gestiona los túneles de VPN de Cloud importa estas rutas como rutas dinámicas personalizadas en tu red de VPC con diferentes prioridades. El tráfico de salida enviado a tu red de peer usa la ruta con la prioridad más alta, siempre que el túnel asociado esté disponible. El mismo Cloud Router usa diferentes prioridades para cada túnel para anunciar rutas a tu red de VPC. Tu pasarela de mismo nivel solo puede usar el túnel con la prioridad más alta para enviar tráfico a Google Cloud. |
| Conmutación por error | Si el túnel deja de estar en buen estado (por ejemplo, porque DPD no funciona), Cloud Router retirará las rutas aprendidas cuyos saltos siguientes sean el túnel no disponible. Si se produce un error en una sesión BGP, Cloud Router elimina las rutas aprendidas cuyo siguiente salto es el túnel no disponible, sin que el túnel deje de estar en buen estado. El proceso de retirada puede tardar entre 40 y 60 segundos, durante los cuales se espera que haya pérdida de paquetes. |
Si el túnel deja de estar en buen estado (por ejemplo, porque DPD no funciona), Cloud Router retirará las rutas aprendidas cuyos saltos siguientes sean el túnel no disponible. Si se produce un error en una sesión BGP, Cloud Router elimina las rutas aprendidas cuyo siguiente salto es el túnel no disponible, sin que el túnel deje de estar en buen estado. El proceso de retirada puede tardar entre 40 y 60 segundos, durante los cuales se espera que haya pérdida de paquetes. Usa un máximo de un túnel a la vez para que el segundo túnel pueda gestionar todo tu ancho de banda de salida si el primero falla y necesita conmutar por error. |
Rutas activas-pasivas en topologías de malla completa
Si Cloud Router recibe el mismo prefijo con diferentes valores de MED a través de una interfaz de Cloud VPN determinada, solo importa a la red de VPC la ruta con la prioridad más alta. Las demás rutas inactivas no se muestran en la consola de Google Cloud ni en la interfaz de línea de comandos de Google Cloud. Si la ruta con la prioridad más alta deja de estar disponible, Cloud Router la retira e importa automáticamente la siguiente mejor ruta a la red VPC.
Usar varios túneles o pasarelas
En función de la configuración de la pasarela de la otra red, es posible crear rutas de forma que parte del tráfico atraviese un túnel y otra parte, otro, debido a las prioridades de las rutas (valores MED). Del mismo modo, puedes ajustar la prioridad base que usa Cloud Router para compartir las rutas de tu red de VPC. Estas situaciones muestran posibles configuraciones de enrutamiento que no son puramente activas-activas ni puramente activas-pasivas.
Opción de ruta recomendada
Cuando se usa una única pasarela de VPN de alta disponibilidad, te recomendamos que utilices una configuración de enrutamiento activo-pasivo. Con esta configuración, la capacidad de ancho de banda observada durante el funcionamiento normal del túnel coincide con la capacidad de ancho de banda observada durante la conmutación por error. Este tipo de configuración es más fácil de gestionar porque el límite de ancho de banda observado se mantiene constante, excepto en el caso de varios gateways descrito anteriormente.
Cuando se usan varias pasarelas VPN de alta disponibilidad, recomendamos usar una configuración de enrutamiento activo-activo. Con esta configuración, la capacidad de ancho de banda observada en el momento del funcionamiento normal del túnel es el doble de la capacidad de ancho de banda máxima. Sin embargo, esta configuración no aprovisiona los túneles correctamente y puede provocar que se pierda tráfico en caso de conmutación por error.
Conectar redes de VPC mediante pasarelas de VPN de alta disponibilidad
Puedes conectar dos Google Cloud redes de VPC mediante una pasarela de VPN de alta disponibilidad en cada red. Las redes de VPC y las pasarelas de VPN de alta disponibilidad pueden estar en la misma región o en regiones diferentes.
Puedes conectar más de dos redes de VPC mediante el enrutamiento transitivo. Para conseguir el enrutamiento transitivo, crea una red de VPC de concentrador y conecta tus otras redes de VPC a este concentrador mediante conexiones de VPN de alta disponibilidad individuales.
El acuerdo de nivel de servicio de disponibilidad de esta topología depende de si las puertas de enlace de VPN de alta disponibilidad están en la misma región o en regiones diferentes. Obtendrás un SLA de mayor disponibilidad si las pasarelas de VPN de alta disponibilidad están en la misma región.
Conectar redes de VPC
Puedes conectar dos redes de VPC mediante una pasarela de VPN de alta disponibilidad en cada red. Las pasarelas de VPN de alta disponibilidad deben implementarse en la misma región para obtener el mejor SLA de disponibilidad, aunque las redes de VPC estén en regiones diferentes. Cada pasarela de VPN de alta disponibilidad identifica a la otra por su nombre.
En el siguiente ejemplo se ofrece un acuerdo de nivel de servicio con una disponibilidad del 99,99 %.
Para configurar esta opción, consulta Crear dos pasarelas de VPN de alta disponibilidad totalmente configuradas que se conecten entre sí.
Configurar un acuerdo de nivel de servicio de disponibilidad del 99,99 %
Precaución: Ambas pasarelas de VPN de alta disponibilidad deben estar en la misma región para ofrecer un acuerdo de nivel de servicio del 99,99% de disponibilidad. Si solo configuras un túnel en una interfaz para cada pasarela de VPN de alta disponibilidad, no se ofrece un acuerdo de nivel de servicio de disponibilidad del 99,99 %.Para garantizar un acuerdo de nivel de servicio de disponibilidad del 99,99 %, configura cada pasarela de VPN de alta disponibilidad con dos túneles de forma que se cumplan las dos condiciones siguientes:
Tunnel 0conectainterface 0en una pasarela de VPN de alta disponibilidad coninterface 0en la otra pasarela de VPN de alta disponibilidad.Tunnel 1conectainterface 1en una pasarela de VPN de alta disponibilidad coninterface 1en la otra pasarela de VPN de alta disponibilidad.
Puedes conectar dos redes de VPC mediante una pasarela de VPN de alta disponibilidad en cada red, donde las pasarelas de VPN de alta disponibilidad se encuentran en regiones diferentes. Sin embargo, esta topología ofrece un acuerdo de nivel de servicio con una disponibilidad del 99,9 %.
A menos que necesites que las pasarelas de VPN de alta disponibilidad estén en regiones diferentes, no te recomendamos que lo hagas. Las redes de VPC son recursos globales, lo que significa que puedes usar VPN de alta disponibilidad para conectar recursos de diferentes regiones mientras las pasarelas de VPN de alta disponibilidad se despliegan en la misma región.
En el siguiente ejemplo se ofrece un acuerdo de nivel de servicio con una disponibilidad del 99,9 %.
Para configurar esta opción, consulta el artículo Crear dos pasarelas de VPN de alta disponibilidad totalmente configuradas que se conecten entre sí.
Configurar un acuerdo de nivel de servicio de disponibilidad del 99,9 %
Para garantizar un acuerdo de nivel de servicio de disponibilidad del 99,9% si las pasarelas VPN están en regiones diferentes, configura cada pasarela VPN de alta disponibilidad con dos túneles para que se cumplan las dos condiciones siguientes:
Tunnel 0conectainterface 0en una pasarela de VPN de alta disponibilidad coninterface 0en la otra pasarela de VPN de alta disponibilidad.Tunnel 1conectainterface 1en una pasarela de VPN de alta disponibilidad coninterface 1en la otra pasarela de VPN de alta disponibilidad.
Para obtener un mejor acuerdo de nivel de servicio de disponibilidad, implementa las pasarelas VPN de alta disponibilidad en la misma región . Esta configuración también te permite conectar redes de VPC de diferentes regiones.
Conectar una pasarela de VPN de alta disponibilidad a instancias de VM de Compute Engine
Con la VPN de alta disponibilidad, puedes establecer una conexión segura entre una pasarela de VPN de alta disponibilidad y las instancias de máquina virtual de Compute Engine que funcionan como dispositivos virtuales de red con una implementación de IPsec. Esta topología ofrece un acuerdo de nivel de servicio con una disponibilidad del 99,9% si se configura correctamente.
Conectar una pasarela de VPN de alta disponibilidad a varias instancias de VM
En esta topología, una pasarela VPN de alta disponibilidad se conecta a dos instancias de máquina virtual de Compute Engine. La pasarela de VPN de alta disponibilidad y las VMs están en dos redes de nube privada virtual diferentes. Las dos máquinas virtuales están en zonas diferentes y cada una tiene una dirección IP externa. Las instancias de VM se comportan como pasarelas de VPN de par.
Esta topología es especialmente útil cuando quieres conectar una VPN de alta disponibilidad a una VM de un dispositivo virtual de red de terceros alojada en una instancia de VM de Compute Engine. Por ejemplo, con esta topología, puedes actualizar una de las VMs del dispositivo virtual de red sin que se interrumpa la conexión VPN.
En el diagrama, la pasarela de VPN de alta disponibilidad está en una red de VPC llamada network-a y las dos VMs están en network-b. Ambas redes de VPC se encuentran en us-central1. La pasarela de VPN de alta disponibilidad de network-a se configura con las direcciones IP externas de cada una de las máquinas virtuales de network-b.
También puedes tener la pasarela VPN de alta disponibilidad y las VMs en dos regiones diferentes.
Te recomendamos que utilices esta topología para mejorar la disponibilidad.
En el siguiente ejemplo se ofrece un acuerdo de nivel de servicio con una disponibilidad del 99,9 %.
Para configurar esta opción, consulta el artículo Conectar una VPN de alta disponibilidad a máquinas virtuales de Compute Engine.
Configurar un acuerdo de nivel de servicio de disponibilidad del 99,9 %
Para cumplir el SLA del 99,9 %, debe haber al menos dos túneles desde cada una de las dos interfaces de la pasarela de VPN de alta disponibilidad hasta las interfaces correspondientes de cada una de las VMs. Te recomendamos que utilices esta topología para obtener un acuerdo de nivel de servicio de mayor disponibilidad.
Dos túneles de cada una de las siguientes interfaces de la pasarela de VPN de alta disponibilidad se conectan a las interfaces de la VM:
Tunnel 0deinterface 0aus-central1-vm-aen la zonaus-central1-aTunnel 1deinterface 1aus-central1-vm-aen la zonaus-central1-aTunnel 2deinterface 0aus-central1-vm-ben la zonaus-central1-bTunnel 3deinterface 1aus-central1-vm-ben la zonaus-central1-b
Conectar una VPN de alta disponibilidad a una única instancia de VM
La VPN de alta disponibilidad te permite conectar una pasarela de VPN de alta disponibilidad a una instancia de máquina virtual de Compute Engine que funciona como un dispositivo virtual de red y ejecuta una implementación de VPN IPsec. La pasarela VPN de alta disponibilidad y la VM están en dos VPCs diferentes. La VM tiene una dirección IP externa.
La disponibilidad general se determina mediante el acuerdo de nivel de servicio de disponibilidad proporcionado para una sola instancia de máquina virtual de la familia de máquinas con memoria optimizada de Compute Engine. Para obtener más información, consulta el acuerdo de nivel de servicio de Compute Engine.
Para configurar esta opción, consulta el artículo Conectar una VPN de alta disponibilidad a máquinas virtuales de Compute Engine.
Configurar un acuerdo de nivel de servicio de disponibilidad del 99,9 %
Para cumplir el SLA de disponibilidad del 99,9 %, debe haber dos túneles desde cada una de las dos interfaces de la pasarela de VPN de alta disponibilidad a la interfaz de la VM de Compute Engine.
Dos túneles de cada una de las siguientes interfaces de la pasarela de VPN de alta disponibilidad se conectan a las interfaces de la VM:
Tunnel 0deinterface 0aus-central1-vm-aen la zonaus-central1-aTunnel 1deinterface 1aus-central1-vm-aen la zonaus-central1-a
Siguientes pasos
- Para usar escenarios de alta disponibilidad y alto rendimiento o escenarios de varias subredes, consulta las configuraciones avanzadas.
- Para ayudarte a resolver los problemas habituales que pueden surgir al usar Cloud VPN, consulta la sección Solución de problemas.