Créer une passerelle VPN haute disponibilité connectée à une passerelle VPN de pairs

Console

L'assistant de configuration VPN inclut toutes les étapes de configuration requises pour créer une passerelle VPN haute disponibilité, une ressource de passerelle VPN de pairs, des tunnels et des sessions BGP.

Pour créer une passerelle VPN haute disponibilité, procédez comme suit :

1. Dans Google Cloud Console, accédez à la page VPN.

   Accéder au VPN

2. Si vous créez une passerelle pour la première fois, cliquez sur Créer une connexion VPN.

3. Sélectionnez l'assistant de configuration VPN.

4. Sous Nom de la passerelle VPN, saisissez un nom pour la passerelle VPN haute disponibilité.

5. Sous Réseau VPC, sélectionnez un réseau existant ou le réseau par défaut.

6. Pour Région, sélectionnez une région pour votre passerelle VPN haute disponibilité.

7. Pour Version IP de la passerelle VPN, sélectionnez une version IP de la passerelle VPN haute disponibilité.

   La version IP de la passerelle VPN haute disponibilité et de la passerelle VPN de pairs doit être la même.

8. Pour Type de pile d'adresses IP de la passerelle VPN, sélectionnez un type de pile pour la passerelle VPN.

9. Cliquez sur Créer et continuer.

   L'écran de la console est actualisé et affiche les informations relatives à votre passerelle. Deux adresses IP externes sont automatiquement attribuées à chaque interface de votre passerelle. Notez les détails de la configuration de votre passerelle pour les prochaines étapes de configuration.

gcloud

Pour créer une passerelle VPN haute disponibilité, exécutez les commandes suivantes. Lorsque la passerelle est créée, deux adresses IP externes sont automatiquement attribuées, une pour chaque interface de passerelle.

• Pour n'accepter que les charges de travail IPv4, vous pouvez créer une passerelle VPN haute disponibilité avec le type de pile IPV4_ONLY.
• Pour gérer les charges de travail IPv4 et IPv6, vous pouvez créer une passerelle VPN haute disponibilité avec le type de pile IPV4_IPV6.
• Pour n'accepter que les charges de travail IPv6, vous pouvez créer une passerelle VPN haute disponibilité avec le type de pile IPV6_ONLY.

Pour créer une passerelle VPN haute disponibilité avec des interfaces IPv4, exécutez la commande suivante. Lorsque la passerelle est créée, deux adresses IPv4 externes sont automatiquement attribuées, une pour chaque interface de passerelle.

gcloud compute vpn-gateways create GW_NAME \
    --network=NETWORK \
    --region=REGION \
   [--stack-type=IP_STACK]

Remplacez les éléments suivants :

• GW_NAME : nom de la passerelle
• NETWORK : nom de votre réseau Google Cloud
• REGION : région Google Cloud dans laquelle vous créez la passerelle et le tunnel
• IP_STACK: pile IP à utiliser. Indiquez IPV4_ONLY ou IPV4_IPV6. Si vous ne spécifiez pas cet indicateur, le type de pile est IPV4_ONLY pour la passerelle VPN haute disponibilité. L'option --stack-type est facultative.

Vous pouvez également spécifier --gateway-ip-version=IPV4. Toutefois, cette option n'est pas obligatoire. Si vous ne spécifiez pas cette option, la passerelle VPN haute disponibilité utilise par défaut des adresses IPv4 externes.

Pour créer une passerelle VPN haute disponibilité avec des interfaces IPv6, exécutez la commande suivante. Lorsque la passerelle est créée, deux adresses IPv6 externes sont automatiquement attribuées, une pour chaque interface de passerelle.

gcloud compute vpn-gateways create GW_NAME \
    --network=NETWORK \
    --region=REGION \
    --gateway-ip-version=IPV6 \
    --stack-type=IP_STACK

Remplacez les éléments suivants :

• GW_NAME : nom de la passerelle
• NETWORK : nom de votre réseau Google Cloud
• REGION : région Google Cloud dans laquelle vous créez la passerelle et le tunnel
• IP_STACK: pile IP à utiliser. Indiquez IPV4_IPV6 ou IPV6_ONLY. Si vous ne spécifiez pas cet indicateur, le type de pile est IPV4_IPV6 pour la passerelle VPN haute disponibilité. L'option --stack-type est facultative.

La passerelle que vous créez ressemble à l'exemple de résultat suivant. Si vous spécifiez --gateway-ip-version=IPV6, des interfaces IPv6 sont attribuées.

Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnGateways/ha-vpn-gw-a].
NAME          INTERFACE0                 INTERFACE1                NETWORK     REGION
ha-vpn-gw-a   2600:1900:4f00:2:a:49b::   2600:1900:4f10:2:a:6a8::  network-a   us-central1

API

Pour créer la configuration complète d'une passerelle VPN haute disponibilité, utilisez les commandes API suivantes dans les sections suivantes. Toutes les valeurs de champs utilisées dans ces sections sont des exemples de valeurs.

Pour créer une passerelle VPN haute disponibilité, envoyez une requête POST à l'aide de la méthode vpnGateways.insert :

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/vpnGateways
   {
     "name": "ha-vpn-gw-a",
     "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/network-a",
     "stackType": "IPV4_IPV6",
     "gatewayIpVersion": "IPV4"
   }

   POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/regions/REGION/vpnGateways
   {
     "name": "ha-vpn-gw-a",
     "network": "https://www.googleapis.com/compute/beta/projects/PROJECT_ID/global/networks/network-a",
     "gatewayIpVersion": "IPV6",
     "stackType": "IPV6_ONLY"
   }

• Lorsque vous créez une passerelle VPN haute disponibilité avec des interfaces IPv4, les champs gatewayIpVersion et stackType sont facultatifs.

  • Si vous ne spécifiez pas stackType, la valeur par défaut est IPV4_ONLY.

  • Si vous ne spécifiez pas gatewayIpVersion, la valeur par défaut est IPV4.

  • Les seules valeurs stackType valides pour une passerelle dont le paramètre gatewayIpVersion est défini sur IPV4 sont IPV4_IPV6 ou IPV4_ONLY.

• Lorsque vous créez une passerelle VPN haute disponibilité avec des interfaces IPv6, spécifiez IPV6 comme valeur gatewayIpVersion. Le champ stackType est facultatif.

  • Si vous ne spécifiez pas stackType, la valeur par défaut est IPV4_IPV6.

  • Les seules valeurs stackType valides pour une passerelle dont le paramètre gatewayIpVersion est défini sur IPV6 sont IPV4_IPV6 ou IPV6_ONLY.

Console

La ressource de passerelle VPN de pairs représente votre passerelle autre que Google Cloud dans Google Cloud.

Pour créer une ressource de passerelle VPN de pairs, procédez comme suit :

1. Sur la page Créer un VPN, sous Passerelle VPN de pairs, sélectionnez Sur site ou non Google Cloud.

2. Sous Nom de la passerelle VPN de pairs, sélectionnez une passerelle de pairs existante ou cliquez sur Créer une passerelle VPN de pairs.

   Si vous choisissez une passerelle existante, Google Cloud Console sélectionne le nombre de tunnels à configurer en fonction du nombre d'interfaces de pairs que vous avez configurées sur la passerelle de pairs existante.

   Pour créer une nouvelle passerelle de pairs, procédez comme suit :

   1. Spécifiez un Nom pour la passerelle VPN de pairs.
   2. Sous Interfaces de passerelle VPN de pairs, sélectionnez les interfaces one, two ou four, en fonction du type d'interfaces de votre passerelle de pairs. Pour obtenir des exemples sur chaque type, consultez la page Topologies.
   3. Dans le champ correspondant à chaque interface VPN de pairs, spécifiez l'adresse IP externe utilisée pour l'interface. Pour plus d'informations, consultez la page Configurer la passerelle VPN de pairs.
   4. Cliquez sur Create (Créer).

gcloud

Créez une ressource de passerelle VPN externe qui fournit à Google Cloud des informations sur votre ou vos passerelles VPN de pairs. En fonction des recommandations de haute disponibilité pour votre passerelle VPN de pairs, vous pouvez créer des ressources de passerelle VPN externe pour les différents types de passerelles VPN sur site suivants :

• Deux appareils de passerelle VPN de pairs distincts, où les deux appareils sont redondants entre eux et où chaque appareil possède sa propre adresse IP externe.
• Une passerelle VPN de pairs unique utilisant deux interfaces distinctes, chacune avec sa propre adresse IP externe. Pour ce type de passerelle de pairs, vous pouvez créer une passerelle VPN externe unique avec deux interfaces.
• Une passerelle VPN de pairs unique avec une seule adresse IP externe.

Option 1 : Créer une ressource de passerelle VPN externe pour deux appareils de passerelle VPN de pairs

• Pour ce type de passerelle de pairs, chaque interface de la passerelle VPN externe possède une adresse IP externe et chaque adresse provient de l'un des appareils de passerelle VPN de pairs.

  gcloud compute external-vpn-gateways create PEER_GW_NAME \
     --interfaces 0=PEER_GW_IP_0,1=PEER_GW_IP_1
  

  Remplacez les éléments suivants :

  • PEER_GW_NAME : nom représentant la passerelle de pairs
  • PEER_GW_IP_0 : adresse IP externe d'une passerelle de pairs
  • PEER_GW_IP_1 : adresse IP externe d'une autre passerelle de pairs

  La ressource de passerelle VPN externe créée doit ressembler à l'exemple suivant où PEER_GW_IP_0 et PEER_GW_IP_1 indiquent les adresses IP externes réelles des interfaces de la passerelle de pairs :

  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways/peer-gw].
  NAME      INTERFACE0    INTERFACE1
  peer-gw   PEER_GW_IP_0  PEER_GW_IP_1
  

Option 2 : Créer une ressource de passerelle VPN externe pour une passerelle VPN de pairs avec deux interfaces distinctes

• Pour ce type de passerelle de pairs, créez une passerelle VPN externe unique avec deux interfaces :

  gcloud compute external-vpn-gateways create PEER_GW_NAME \
     --interfaces 0=PEER_GW_IP_0,1=PEER_GW_IP_1
  

  Remplacez les éléments suivants :

  • PEER_GW_NAME : nom représentant la passerelle de pairs
  • PEER_GW_IP_0 : adresse IP externe d'une interface de la passerelle de pairs
  • PEER_GW_IP_1 : adresse IP externe d'une autre interface de la passerelle de pairs

  La ressource de passerelle VPN externe créée doit ressembler à l'exemple suivant où PEER_GW_IP_0 et PEER_GW_IP_1 indiquent les adresses IP externes réelles des interfaces de la passerelle de pairs :

  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways/peer-gw].
  NAME     INTERFACE0    INTERFACE1
  peer-gw  PEER_GW_IP_0  PEER_GW_IP_1
  

Option 3 : Créer une ressource de passerelle VPN externe pour une seule passerelle VPN de pairs avec une seule adresse IP externe

• Pour ce type de passerelle de pairs, créez une passerelle VPN externe avec une interface :

  gcloud compute external-vpn-gateways create PEER_GW_NAME \
     --interfaces 0=PEER_GW_IP_0
  

  Remplacez les éléments suivants :

  • PEER_GW_NAME : nom représentant la passerelle de pairs
  • PEER_GW_IP_0 : adresse IP externe de l'interface de la passerelle de pairs

  La ressource de passerelle VPN externe créée ressemble à l'exemple suivant, où PEER_GW_IP_0 indique les adresses IP externes réelles de l'interface de passerelle de pairs :

  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways/peer-gw].
  NAME       INTERFACE0
  peer-gw    PEER_GW_IP_0
  

API

Pour créer une ressource de passerelle VPN externe, envoyez une requête POST à l'aide de la méthode externalVpnGateways.insert.

• Pour une passerelle VPN (de pairs) externe disposant d'une interface, utilisez l'exemple suivant, mais spécifiez un seul ID d'interface et une adresse IP (ipAddress) avec un type de redondance redundancyType SINGLE_IP_INTERNALLY_REDUNDANT.
• Pour une passerelle VPN externe avec deux interfaces, ou deux passerelles VPN externes avec une interface chacune, utilisez l'exemple de type de redondance TWO_IPS_REDUNDANCY ci-dessous.

• Pour une ou plusieurs passerelles VPN externes avec quatre interfaces VPN externes (par exemple, Amazon Web Services (AWS), utilisez l'exemple suivant, mais spécifiez quatre instances de l'ID d'interface et une adresse IP (ipAddress), et utilisez une commande redundancyType FOUR_IPS_REDUNDANCY.

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways
   {
     "name": "my-peer-gateway",
     "interfaces": [
       {
         "id": 0,
         "ipAddress": "192.0.2.1"
       },
       {
         "id": 1,
         "ipAddress": "192.0.2.2"
       }
     ],
     "redundancyType": "TWO_IPS_REDUNDANCY"
   }
  

Console

Sous Routeur cloud, si ce n'est pas déjà fait, créez un routeur cloud en spécifiant les options suivantes. Vous pouvez utiliser un routeur Cloud Router existant tant que celui-ci n'est pas utilisé pour Cloud NAT.

1. Pour créer un routeur Cloud Router, spécifiez les éléments suivants :

   • Un nom
   • Une description facultative
   • Un numéro ASN Google pour le nouveau routeur

   Vous pouvez utiliser n'importe quel ASN privé (64512 à 65534, 4200000000 à 4294967294) que vous n'utilisez pas ailleurs sur votre réseau. Ce numéro sert pour toutes les sessions BGP gérées par le même routeur Cloud Router et ne peut pas être modifié ultérieurement.

2. Pour créer le routeur, cliquez sur Créer.

gcloud

Vous pouvez utiliser un routeur Cloud Router existant tant que celui-ci n'est pas utilisé pour Cloud NAT. Sinon, créez un autre routeur cloud.

Pour créer un routeur Cloud Router, exécutez la commande suivante :

gcloud compute routers create ROUTER_NAME \
    --region=REGION \
    --network=NETWORK \
    --asn=GOOGLE_ASN

Remplacez les éléments suivants :

• ROUTER_NAME : nom du routeur Cloud Router dans la même région que la passerelle Cloud VPN.
• REGION : région Google Cloud dans laquelle vous créez la passerelle et le tunnel
• NETWORK : nom de votre réseau VPC
• GOOGLE_ASN : tout numéro ASN privé (64512 à 65534, 4200000000 à 4294967294) que vous n'utilisez pas déjà dans le réseau de pairs. Ce numéro est utilisé pour toutes les sessions BGP gérées par le même routeur Cloud Router et ne peut pas être modifié ultérieurement

Le routeur que vous créez ressemble à l'exemple de résultat suivant:

Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/routers/router-a].
NAME       REGION        NETWORK
router-a   us-central1   network-a

API

Vous pouvez utiliser un routeur Cloud Router existant tant que celui-ci n'est pas utilisé pour Cloud NAT. Sinon, créez un autre routeur cloud.

Pour créer un routeur Cloud Router, envoyez une requête POST à l'aide de la méthode routers.insert :

 POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers
 {
   "name": "router-a",
   "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/network-a"
 }

Console

Si vous avez configuré votre ressource de passerelle VPN de pairs avec une seule interface, sur la page Créer un VPN, configurez votre tunnel unique dans la boîte de dialogue du tunnel VPN unique. Pour obtenir un contrat de niveau de service garantissant une disponibilité de 99,99 %, vous devez créer un second tunnel.

Si vous avez configuré votre ressource de passerelle VPN de pairs avec deux ou quatre interfaces, configurez les boîtes de dialogue associées qui s'affichent en bas de la page Créer un VPN.

Pour créer des tunnels VPN, procédez comme suit :

1. Le cas échéant, sous Interface de passerelle Cloud VPN associée, sélectionnez la combinaison d'interface VPN haute disponibilité et d'adresse IP que vous souhaitez associer à votre passerelle VPN de pairs pour ce tunnel.
2. Sous Interface de passerelle VPN de pairs associée, sélectionnez la combinaison d'interface de passerelle VPN de pairs et d'adresse IP que vous souhaitez associer à ce tunnel et à l'interface VPN haute disponibilité. Cette interface doit correspondre à celle de votre routeur de pairs.
   1. Spécifiez un Nom pour le tunnel.
   2. Spécifiez une Description facultative.
   3. Spécifiez la version IKE. Nous vous recommandons d'utiliser IKE v2, le paramètre par défaut, si votre routeur de pairs est compatible. Pour autoriser le trafic IPv6, vous devez sélectionner IKEv2.
   4. Spécifiez une clé pré-partagée IKE à l'aide de votre clé pré-partagée (secret partagé), qui doit correspondre à celle du tunnel partenaire que vous créez sur votre passerelle de pairs. Si vous n'avez pas configuré de clé pré-partagée sur votre passerelle VPN de pairs et que vous souhaitez en générer une, cliquez sur Générer et copier. Veillez à enregistrer la clé pré-partagée dans un emplacement sécurisé, car elle ne peut pas être récupérée une fois que vous avez créé vos tunnels VPN.
   5. Cliquez sur OK.
   6. Sur la page Créer un VPN, répétez les étapes de création du tunnel pour toutes les boîtes de dialogue de tunnel restantes.
3. Lorsque vous avez configuré tous les tunnels, cliquez sur Créer et continuer.

gcloud

Créez deux tunnels VPN, un pour chaque interface sur la passerelle VPN haute disponibilité Lorsque vous créez des tunnels VPN, spécifiez le côté pair des tunnels VPN comme étant la passerelle VPN externe que vous avez créée précédemment. Selon le type de redondance de la passerelle VPN externe, configurez les tunnels en utilisant l'une des deux options suivantes.

Option 1 : Si la passerelle VPN externe est composée de deux appareils de passerelle VPN de pairs distincts ou d'un seul appareil avec deux adresses IP

• Dans ce cas, un tunnel VPN doit se connecter à l'interface 0 de la passerelle VPN externe, et l'autre tunnel VPN doit se connecter à l'interface 1 de la passerelle VPN externe.

  gcloud compute vpn-tunnels create TUNNEL_NAME_IF0 \
     --peer-external-gateway=PEER_GW_NAME \
     --peer-external-gateway-interface=PEER_EXT_GW_IF0 \
     --region=REGION \
     --ike-version=IKE_VERS \
     --shared-secret=SHARED_SECRET \
     --router=ROUTER_NAME \
     --vpn-gateway=GW_NAME \
    [--vpn-gateway-region=VPN_GATEWAY_REGION] \
     --interface=INT_NUM_0
  

  gcloud compute vpn-tunnels create TUNNEL_NAME_IF1 \
     --peer-external-gateway=PEER_GW_NAME \
     --peer-external-gateway-interface=PEER_EXT_GW_IF1 \
     --region=REGION \
     --ike-version=IKE_VERS \
     --shared-secret=SHARED_SECRET \
     --router=ROUTER_NAME \
     --vpn-gateway=GW_NAME \
    [--vpn-gateway-region=VPN_GATEWAY_REGION] \
     --interface=INT_NUM_1
  

  Remplacez les éléments suivants :

  • TUNNEL_NAME_IF0 et TUNNEL_NAME_IF1 : nom du tunnel ; nommer les tunnels en incluant le nom de l'interface de la passerelle peut aider à les identifier ultérieurement
  • PEER_GW_NAME : nom de la passerelle de pairs externe créée précédemment
  • PEER_EXT_GW_IF0 et PEER_EXT_GW_IF1 : numéro d'interface configuré précédemment sur la passerelle de pairs externe
  • IKE_VERS : 1 pour IKEv1 ou 2 pour IKEv2 ; si possible, utilisez la version IKEv2 du protocole IKE. Si votre passerelle de pairs nécessite IKEv1, remplacez --ike-version 2 par --ike-version 1. Pour autoriser le trafic IPv6, vous devez spécifier le protocole IKEv2.
  • SHARED_SECRET : votre clé pré-partagée (secret partagé), qui doit correspondre à la clé pré-partagée du tunnel partenaire que vous créez sur votre passerelle de pairs ; pour obtenir des recommandations, consultez la section Générer une clé pré-partagée sécurisée
  • GW_NAME : nom de la passerelle VPN haute disponibilité
  • INT_NUM_0 : numéro 0 pour la première interface de la passerelle VPN haute disponibilité que vous avez créée précédemment.
  • INT_NUM_1 : numéro 1 pour la deuxième interface de la passerelle VPN haute disponibilité que vous avez créée précédemment.
  • VPN_GATEWAY_REGION: région de la passerelle VPN haute disponibilité à utiliser. Sa valeur doit être identique à celle de --region. Si cette option n'est pas spécifiée, elle est définie automatiquement. Cette option ignore la valeur par défaut de la propriété de région pour cet appel de commande. L'option --vpn-gateway-region est facultative.

  Le résultat de la commande ressemble à ceci :

  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-0].
  NAME                       REGION        GATEWAY       VPN_INTERFACE   PEER_GATEWAY  PEER_INTERFACE
  tunnel-a-to-on-prem-if-0   us-central1   ha-vpn-gw-a   0               peer-gw       0
  
  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-1].
  NAME                       REGION        GATEWAY       VPN_INTERFACE   PEER_GATEWAY  PEER_INTERFACE
  tunnel-a-to-on-prem-if-1   us-central1   ha-vpn-gw-a   1               peer-gw       1
  

Option 2 : Si la passerelle VPN externe est une passerelle VPN de pairs avec une seule adresse IP externe

• Dans ce cas, les deux tunnels VPN doivent se connecter à l'interface 0 de la passerelle VPN externe.

  gcloud compute vpn-tunnels create TUNNEL_NAME_IF0 \
     --peer-external-gateway=PEER_GW_NAME \
     --peer-external-gateway-interface=PEER_EXT_GW_IF0 \
     --region=REGION \
     --ike-version=IKE_VERS \
     --shared-secret=SHARED_SECRET \
     --router=ROUTER_NAME \
     --vpn-gateway=GW_NAME \
    [--vpn-gateway-region=VPN_GATEWAY_REGION] \
     --interface=INT_NUM_0
  

  gcloud compute vpn-tunnels create TUNNEL_NAME_IF1 \
     --peer-external-gateway=PEER_GW_NAME \
     --peer-external-gateway-interface=PEER_EXT_GW_IF0 \
     --region=REGION \
     --ike-version=IKE_VERS \
     --shared-secret=SHARED_SECRET \
     --router=ROUTER_NAME \
     --vpn-gateway=GW_NAME \
    [--vpn-gateway-region=VPN_GATEWAY_REGION] \
     --interface=INT_NUM_1
  

  Remplacez les éléments suivants :

  • TUNNEL_NAME_IF0 et TUNNEL_NAME_IF1 : nom du tunnel ; nommer les tunnels en incluant le nom de l'interface de la passerelle peut aider à les identifier ultérieurement
  • PEER_GW_NAME : nom de la passerelle de pairs externe créée précédemment
  • PEER_EXT_GW_IF0 : numéro d'interface configuré précédemment sur la passerelle de pairs externe
  • IKE_VERS : 1 pour IKEv1 ou 2 pour IKEv2. Si possible, utilisez la version IKEv2 du protocole IKE. Si votre passerelle de pairs nécessite IKEv1, remplacez --ike-version 2 par --ike-version 1. Pour autoriser le trafic IPv6, vous devez spécifier le protocole IKEv2.
  • SHARED_SECRET : votre clé pré-partagée (secret partagé), qui doit correspondre à la clé pré-partagée du tunnel partenaire que vous créez sur votre passerelle de pairs ; pour obtenir des recommandations, consultez la section Générer une clé pré-partagée sécurisée
  • INT_NUM_0 : numéro 0 pour la première interface de la passerelle VPN haute disponibilité que vous avez créée précédemment.
  • INT_NUM_1 : numéro 1 pour la deuxième interface de la passerelle VPN haute disponibilité que vous avez créée précédemment.
  • VPN_GATEWAY_REGION: région de la passerelle VPN haute disponibilité à utiliser. Sa valeur doit être identique à celle de --region. Si cette option n'est pas spécifiée, elle est définie automatiquement. Cette option ignore la valeur par défaut de la propriété de région pour cet appel de commande. L'option --vpn-gateway-region est facultative.

  Le résultat de la commande ressemble à ceci :

  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-0].
  NAME                       REGION       GATEWAY        VPN_INTERFACE   PEER_GATEWAY   PEER_INTERFACE
  tunnel-a-to-on-prem-if-0   us-central1  ha-vpn-gw-a    0               peer-gw        0
  
  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-1].
  NAME                       REGION       GATEWAY        VPN_INTERFACE   PEER_GATEWAY   PEER_INTERFACE
  tunnel-a-to-on-prem-if-1   us-central1  ha-vpn-gw-a    1               peer-gw        0
  

API

Pour créer deux tunnels VPN, un pour chaque interface sur la passerelle VPN haute disponibilité, effectuez une requête POST à l'aide de la méthode vpnTunnels.insert. Pour obtenir un contrat de niveau de service garantissant une disponibilité de 99,99 %, vous devez créer un tunnel sur chaque interface de votre passerelle VPN haute disponibilité.

1. Pour créer le premier tunnel, exécutez la commande suivante :

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/vpnTunnels
      {
        "name": "ha-vpn-gw-a-tunnel-0",
        "ikeVersion": 2,
        "peerExternalGateway": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways/my-peer-gateway",
        "peerExternalGatewayInterface": 0,
        "router": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/router-a",
        "sharedSecret": "SHARED_SECRET",
        "vpnGateway": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/vpnGateways/ha-vpn-gw-a",
        "vpnGatewayInterface": 0
      }
   

   Si vous envisagez d'activer IPv6 dans la session BGP associée à ce tunnel, vous devez spécifier 2 pour ikeVersion.

2. Pour créer le second tunnel, répétez cette commande, mais modifiez les paramètres suivants :

   • name
   • peerExternalGatewayInterface
   • sharedSecret ou sharedSecretHash (si nécessaire)
   • vpnGatewayInterface : remplacer par la valeur de l'autre interface de passerelle VPN haute disponibilité (dans cet exemple, remplacer cette valeur par 1)

Console

Pour créer des sessions BGP, procédez comme suit :

1. Cliquez sur Configurer la session BGP.
2. Sur la page Créer une session BGP, procédez comme suit :
   1. For BGP session type, select IPv4 BGP session.
   2. Dans le champ Name (Nom), saisissez un nom pour la session BGP.
   3. Dans le champ ASN du pair, saisissez l'ASN du pair configuré pour la passerelle VPN de pairs.
   4. Facultatif : Pour Priorité des routes annoncées (MED), saisissez la priorité des routes annoncées sur ce pair BGP.
   5. Facultatif : Pour activer l'échange de routage IPv6, cliquez sur l'option Activer le trafic IPv6.

3. For Allocate BGP IPv4 address, select Automatically or Manually. If you select Manually, do the following: 1. For Cloud Router BGP IPv4 address, enter the Cloud Router BGP IPv4 address. 1. For BGP peer IPv4 address, enter the IPv4 address of the BGP peer. The IPv4 address must meet the following requirements: * Each IPv4 address must belong to the same /30 subnet that fits within the 169.254.0.0/16 address range. * Each IPv4 address is the first or second host of the /30 subnet. The first and the last IP addresses of the subnet are reserved for network and broadcast addresses. * Each IPv4 address range for a BGP session must be unique among all Cloud Routers in all regions of a VPC network.

   If you select Automatically, Google Cloud automatically selects the IPv4 addresses for your BGP session.

   1. Facultatif : si vous avez activé l'échange de route IPv6 à l'étape précédente, pour Allouer le saut suivant IPv6 BGP, sélectionnez Automatiquement ou Manuellement. Si vous sélectionnez Manuellement, procédez comme suit :
      1. Pour Cloud Router BGP IPv6 next hop, saisissez une adresse IPv6 dans la plage d'adresses 2600:2d00:0:2::/63. Cette adresse correspond à l'adresse de saut suivant pour les routes IPv6 annoncées par le routeur Cloud Router.
      2. For Peer BGP IPv6 next hop, enter an IPv6 address in the 2600:2d00:0:2::/63 address range. Cette adresse est l'adresse de saut suivant pour les routes IPv6 reçues par le routeur Cloud Router depuis le pair BGP.
      3. Facultatif : développez la section Options avancées.
      4. To enable BGP peer, select Enabled. If enabled, the peer connection is established with routing information. Pour en savoir plus, consultez Établir des sessions BGP.
      5. To enable MD5 authentication, select Enabled. If enabled, MD5 authentication is used to authenticate BGP sessions For more information, see Use MD5 authentication. You can alternatively choose to enable MD5 authentication later.
      6. Pour ajouter des routes sortantes à la session BGP, saisissez une priorité de route apprise personnalisée dans le champ Priorité de toutes les routes apprises personnalisées. Pour plus d'informations, reportez-vous à la section Routes apprises personnalisées.

4. Cliquez sur Save and continue (Enregistrer et continuer).

5. Répétez les étapes précédentes pour les autres tunnels configurés sur la passerelle. Pour chaque tunnel, utilisez une adresse IP BGP Cloud Router et une adresse IP de pair BGP différentes.

6. Click Save BGP configuration.

gcloud

Pour créer des sessions BGP, procédez comme suit :

Dans les commandes, remplacez les éléments suivants :

• ROUTER_INTERFACE_NAME_0 et ROUTER_INTERFACE_NAME_1 : nom de l'interface Cloud Router ; il peut être utile d'utiliser des noms associés aux noms des tunnels configurés précédemment
• TUNNEL_NAME_0 et TUNNEL_NAME_1 : tunnel associé à l'interface de passerelle VPN haute disponibilité que vous avez configurée
• IP_VERSION: spécifiez IPV4 ou laissez-la sur non spécifié. Si non spécifié, la valeur par défaut est IPV4.
• IP_PREFIXES et CUSTOM_ROUTE_PRIORITY : valeurs qui vous permettent de spécifier manuellement des routes apprises pour une session BGP. Pour plus d'informations sur cette fonctionnalité, consultez la section Routes personnalisées apprises.
• AUTHENTICATION_KEY : clé secrète à utiliser pour l'authentification MD5. Pour en savoir plus sur cette fonctionnalité facultative, consultez la page Utiliser l'authentification MD5.

Attribuer des adresses IPv4 pour une session BGP

Pour configurer les adresses pour BGP, choisissez la méthode automatique ou manuelle. Ces commandes n'activent pas le protocole IPv6 pour BGP.

Si vous souhaitez activer IPv6, exécutez les commandes répertoriées dans la section Attribuer des adresses de saut suivant IPv6.

Attribuer des adresses de saut suivant IPv6

Utilisez les commandes de cette section uniquement si vous souhaitez que les tunnels VPN utilisent MP-BGP et échangent du trafic IPv4 et IPv6. Si vous ne souhaitez pas acheminer le trafic IPv6 sur ce tunnel ou si vous envisagez d'ajouter ultérieurement une seule session BGP IPv6 à ce tunnel, vous pouvez utiliser les commandes répertoriées dans la section Attribuez des adresses BGP IPv4.

API

Pour créer des sessions BGP, procédez comme suit :

1. Pour créer une interface Cloud Router, envoyez l'une des requêtes suivantes :

   • PATCH : Utilisez la méthode routers.patch
   • UPDATE : Utilisez la méthode routers.update

   The PATCH request updates only the parameters that you include, whereas the UPDATE request updates all the parameters of a Cloud Router.

   Chaque plage d'adresses BGP pour chaque session BGP IPv4 doit être unique parmi tous les routeurs cloud de toutes les régions d'un réseau VPC.

   Répétez cette étape et cette commande pour chaque tunnel VPN sur la deuxième passerelle VPN haute disponibilité.

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "interfaces": [
       {
         "name": "if-tunnel-a-to-on-prem-if-0",
         "linkedVpnTunnel": "ha-vpn-gw-a-tunnel-0",
         "ipRange": "169.254.0.1/30"
         }
       ]
   }
   

2. Pour ajouter une configuration de pair BGP à l'interface, effectuez l'une des requêtes suivantes :

   • PATCH : Utilisez la méthode routers.patch
   • UPDATE : Utilisez la méthode routers.update

   Répétez cette commande pour l'autre tunnel VPN, en modifiant toutes les options sauf name et peerAsn.

   Exemple :

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "bgpPeers": [
     {
       "interfaceName": "if-tunnel-a-to-on-prem-if-0",
       "ipAddress": "169.254.0.1",
       "name": "bgp-peer-tunnel-a-to-on-prem-if-0",
       "peerAsn": 65002,
       "peerIpAddress": "169.254.0.2",
       "advertiseMode": "DEFAULT"
       }
     ]
   }
   

   L'exemple suivant inclut une commande permettant d'ajouter un pair BGP avec l'échange de routes IPv6 activé et des adresses de saut suivant IPv6 configurées manuellement. Si vous omettez ipv6NexthopAddress et peerIpv6NexthopAddress, les adresses de saut suivant IPv6 sont automatiquement attribuées.

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "bgpPeers": [
     {
       "interfaceName": "if-tunnel-a-to-on-prem-if-0",
       "ipAddress": "169.254.0.1",
       "name": "bgp-peer-tunnel-a-to-on-prem-if-0",
       "peerAsn": 65002,
       "peerIpAddress": "169.254.0.2",
       "advertiseMode": "DEFAULT",
       "enableIpv6": true,
       "ipv6NexthopAddress: "2600:2d00:0:2::1"
       "peerIpv6NexthopAddress: "2600:2d00:0:2::2"
       }
     ]
   }
   

   Si vous souhaitez spécifier des routes apprises personnalisées pour le pair, définissez les préfixes IP des routes. Vous pouvez également définir une valeur de priorité comprise entre 0 et 65535 (inclus) pour les routes. Chaque session BGP peut avoir une valeur de priorité qui s'applique à toutes les routes apprises personnalisées pour la session. Pour plus d'informations sur cette fonctionnalité, consultez la section Routes apprises personnalisées.

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "bgpPeers": [
     {
       "interfaceName": "if-tunnel-a-to-on-prem-if-0",
       "ipAddress": "169.254.0.1",
       "name": "bgp-peer-tunnel-a-to-on-prem-if-0",
       "peerAsn": 65002,
       "peerIpAddress": "169.254.0.2",
       "advertiseMode": "DEFAULT",
       "enableIpv6": true,
       "ipv6NexthopAddress": "2600:2d00:0:2::1",
       "peerIpv6NexthopAddress": "2600:2d00:0:2::2",
       "customLearnedRoutePriority": 200,
       "customLearnedIpRanges": [
           {
             "range": "1.2.3.4"
           },
           {
             "range": "6.7.0.0/16"
           },
           {
             "range": "2001:db8:abcd:12::/64"
           }
         ]
         }
       ]
     }
   

   Pour configurer la session pour l'authentification MD5, incluez une clé d'authentification dans votre requête en ajoutant la clé et le nom de la clé. Ensuite, lorsque vous créez la session d'appairage BGP, référencez cette clé par son nom.

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "md5AuthenticationKeys": [
       {
       "name": "bgppeer-1-key",
       "key": "secret_key_value"
       }
       ],
   }
   {
     "bgpPeers": [
     {
       "interfaceName": "if-tunnel-a-to-on-prem-if-0",
       "ipAddress": "169.254.0.1",
       "name": "bgp-peer-tunnel-a-to-on-prem-if-0",
       "peerAsn": 65002,
       "peerIpAddress": "169.254.0.2",
       "advertiseMode": "DEFAULT",
       "md5AuthenticationKeyName": "bgppeer-1-key"
       }
     ]
   }
   

Console

Pour créer des sessions BGP, procédez comme suit :

1. Cliquez sur Configurer la session BGP.

2. Sur la page Créer une session BGP, procédez comme suit :

   1. For BGP session type, select IPv6 BGP session.
   2. Dans le champ Name (Nom), saisissez un nom pour la session BGP.
   3. Dans le champ ASN du pair, saisissez l'ASN du pair configuré pour la passerelle VPN de pairs.
   4. Facultatif : Pour Priorité des routes annoncées (MED), saisissez la priorité des routes annoncées sur ce pair BGP.
   5. Facultatif : pour activer l'échange de route IPv4, cliquez sur l'option Activer le trafic IPv4.

   6. Sous Allouer une adresse IPv4 BGP, sélectionnez Automatiquement ou Manuellement. Si vous sélectionnez Manuellement, procédez comme suit :

      1. Dans le champ Adresse IPv6 BGP du routeur Cloud Router, saisissez l'adresse IPv6 BGP du routeur Cloud Router.
      2. For BGP peer IPv6 address, enter the IPv6 address of the BGP peer. L'adresse IPv6 doit répondre aux exigences suivantes :
         • Chaque adresse doit être une adresse locale unique (ULA) de la plage d'adresses fdff:1::/64 avec une longueur de masque de /64. Exemple : fdff:1::1.
         • Chaque adresse doit être unique parmi tous les routeurs cloud de toutes les régions d'un réseau VPC.

      If you select Automatically, Google Cloud automatically selects the IPv6 addresses for your BGP session.

   7. Facultatif : si vous avez activé l'échange de route IPv6 à l'étape précédente, pour Allouer le saut suivant IPv4 BGP, sélectionnez Automatiquement ou Manuellement. Si vous sélectionnez Manuellement, procédez comme suit :

      1. In the Cloud Router BGP IPv4 next hop field, enter an IPv4 address in the 169.254.0.0/16 address range. This IP address is the next hop address for IPv4 routes that are advertised by the Cloud Router.
      2. In the Peer BGP IPv4 next hop field, enter an IP address in the 169.254.0.0/16 address range. This IP address is the next hop address for IPv4 routes learned by the Cloud Router from the BGP peer.
      3. Facultatif : développez la section Options avancées.
      4. To enable BGP peer, select Enabled. If enabled, the peer connection is established with routing information. For more information, see Establish BGP sessions.
      5. To add MD5 authentication, select Enabled. If enabled, you can use MD5 authentication to authenticate BGP sessions between Cloud Router and its peers. For more information, see Use MD5 authentication. You can alternatively choose to enable MD5 authentication later.
      6. Pour ajouter des routes sortantes à la session BGP, saisissez une priorité de route apprise personnalisée dans le champ Priorité de toutes les routes apprises personnalisées. Pour plus d'informations, reportez-vous à la section Routes apprises personnalisées.

3. Cliquez sur Save and continue (Enregistrer et continuer).

4. Répétez les étapes précédentes pour les autres tunnels configurés sur la passerelle. Pour chaque tunnel, utilisez une adresse IP BGP Cloud Router et une adresse IP de pair BGP différentes.

5. Click Save BGP configuration.

gcloud

Pour créer des sessions BGP, procédez comme suit :

Dans les commandes, remplacez les éléments suivants :

• ROUTER_INTERFACE_NAME_0 et ROUTER_INTERFACE_NAME_1 : nom de l'interface Cloud Router ; il peut être utile d'utiliser des noms associés aux noms des tunnels configurés précédemment
• TUNNEL_NAME_0 et TUNNEL_NAME_1 : tunnel associé à l'interface de passerelle VPN haute disponibilité que vous avez configurée

• IP_VERSION : IPV6. Ce paramètre n'est requis que si vous souhaitez que Google Cloud attribue automatiquement l'adresse IPv6 pour cette interface. Si vous attribuez manuellement une adresse IPv6 à cette interface, vous pouvez omettre cette option.

• IP_PREFIXES et CUSTOM_ROUTE_PRIORITY : valeurs qui vous permettent de spécifier manuellement des routes apprises pour une session BGP. Pour plus d'informations sur cette fonctionnalité, consultez la section Routes personnalisées apprises.

• AUTHENTICATION_KEY : clé secrète à utiliser pour l'authentification MD5. Pour en savoir plus sur cette fonctionnalité facultative, consultez la page Utiliser l'authentification MD5.

Facultatif: Attribuer une plage d'identifiants BGP

Lorsque vous ajoutez la première interface à un routeur cloud, une plage d'identifiants BGP est automatiquement attribuée au routeur cloud. Si vous préférez définir votre propre plage d'identifiants BGP pour un routeur cloud, vous pouvez créer votre propre plage. Vous pouvez également modifier cette plage ultérieurement. Pour en savoir plus, consultez la section Configurer la plage d'identifiants BGP pour un routeur Cloud Router.

Attribuez des adresses IPv6 BGP.

Les procédures suivantes créent des sessions BGP IPv6 avec des adresses IPv6 BGP et des adresses IPv6 des pairs BGP configurées automatiquement ou manuellement.

Si vous souhaitez utiliser IPv6 BGP avec MP-BGP, exécutez les commandes répertoriées dans la section Attribuer des adresses de saut suivant IPv4.

Attribuer des adresses de saut suivant IPv4

Utilisez les commandes de cette section uniquement si vous souhaitez que les tunnels VPN utilisent MP-BGP. Avec MP-BGP, vous pouvez échanger des routes IPv4 via des sessions BGP IPv6.

Si vous ne prévoyez pas d'utiliser le protocole MP-BGP dans la session BGP pour le tunnel, utilisez les commandes répertoriées dans la section Attribuer des adresses BGP IPv6.

Vous pouvez choisir de configurer automatiquement ou manuellement les adresses IPv4 ou IPv6 de saut suivant du pair BGP.

API

Pour créer des sessions BGP, procédez comme suit :

1. Pour créer une interface de routeur cloud et lui attribuer une adresse IPv6, envoyez une requête PATCH ou UPDATE à l'aide de la méthode routers.patch ou de la méthode routers.update. PATCH met uniquement à jour les paramètres que vous incluez. La requête UPDATE met à jour tous les paramètres du routeur Cloud Router.

   L'exemple suivant crée une interface avec une adresse IPv6 configurée manuellement.

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "interfaces": [
       {
         "name": "if-tunnel-a-to-on-prem-if-0",
         "linkedVpnTunnel": "ha-vpn-gw-a-tunnel-0",
         "ipRange": "fdff:1::/112"
         }
       ]
   }
   

   Chaque plage d'adresses BGP pour chaque session BGP IPv6 doit être unique parmi tous les routeurs cloud de toutes les régions d'un réseau VPC.

   Autre exemple : la commande suivante crée une interface avec une adresse IPv6 attribuée automatiquement.

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "interfaces": [
       {
         "name": "if-tunnel-a-to-on-prem-if-0",
         "linkedVpnTunnel": "ha-vpn-gw-a-tunnel-0",
         "ipVersion": "IPV6"
         }
       ]
   }
   

   Répétez cette étape pour chaque tunnel VPN sur la passerelle VPN haute disponibilité.

2. Ajoutez une configuration de pair BGP à un routeur cloud pour un tunnel VPN. Effectuez une requête PATCH ou UPDATE à l'aide de la méthode routers.patch ou de la routers.updateméthode. Répétez cette commande pour l'autre tunnel VPN, en modifiant toutes les options sauf name et peerAsn.

   Exemple :

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "bgpPeers": [
     {
       "interfaceName": "if-tunnel-a-to-on-prem-if-0",
       "ipAddress": "fdff:1::1",
       "name": "bgp-peer-tunnel-a-to-on-prem-if-0",
       "peerAsn": 65002,
       "peerIpAddress": "fdff:1::2",
       "advertiseMode": "DEFAULT"
       }
     ]
   }
   

   L'exemple suivant inclut une commande permettant d'ajouter un pair BGP pour l'interface BGP IPv6 avec l'échange de routes IPv4 activé et les adresses de saut suivant IPv4 configurées manuellement. Si vous omettez ipv4NexthopAddress et peerIpv4NexthopAddress, les adresses de saut suivant IPv4 sont automatiquement attribuées.

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers//ROUTER_NAME
   {
     "bgpPeers": [
     {
       "interfaceName": "if-tunnel-a-to-on-prem-if-0",
       "ipAddress": "fdff:1::1",
       "name": "bgp-peer-tunnel-a-to-on-prem-if-0",
       "peerAsn": 65002,
       "peerIpAddress": "fdff:1::2",
       "advertiseMode": "DEFAULT",
       "enableIpv4": true,
       "ipv4NexthopAddress: "169.254.0.1",
       "peerIpv4NexthopAddress: "169.254.0.2"
       }
     ]
   }
   

   Si vous souhaitez spécifier des routes apprises personnalisées pour le pair, définissez les préfixes IP des routes. Vous pouvez également définir une valeur de priorité comprise entre 0 et 65535 (inclus) pour les routes. Chaque session BGP peut avoir une valeur de priorité qui s'applique à toutes les routes apprises personnalisées pour la session. Pour plus d'informations, reportez-vous à la section Routes apprises personnalisées.

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "bgpPeers": [
     {
       "interfaceName": "if-tunnel-a-to-on-prem-if-0",
       "ipAddress": "fdff:1::1",
       "name": "bgp-peer-tunnel-a-to-on-prem-if-0",
       "peerAsn": 65002,
       "peerIpAddress": "fdff:1::2",
       "advertiseMode": "DEFAULT",
       "enableIpv4": true,
       "ipv4NexthopAddress: "169.254.0.1",
       "peerIpv4NexthopAddress: "169.254.0.2"
       "customLearnedRoutePriority": 200,
       "customLearnedIpRanges": [
           {
             "range": "1.2.3.4"
           },
           {
             "range": "6.7.0.0/16"
           },
           {
             "range": "2001:db8:abcd:12::/64"
           }
         ]
         }
       ]
   }
   

   Si vous souhaitez configurer la session pour qu'elle utilise l'authentification MD5, votre requête doit inclure une clé d'authentification, ce qui signifie qu'elle doit fournir la clé et un nom pour cette clé. Elle doit également référencer la clé par nom lors de la création de la session d'appairage BGP. Exemple :

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "md5AuthenticationKeys": [
       {
       "name": "bgppeer-1-key",
       "key": "secret_key_value"
       }
       ],
   }
   {
     "bgpPeers": [
     {
       "interfaceName": "if-tunnel-a-to-on-prem-if-0",
       "ipAddress": "fdff:1::1",
       "name": "bgp-peer-tunnel-a-to-on-prem-if-0",
       "peerAsn": 65002,
       "peerIpAddress": "fdff:1::2",
       "advertiseMode": "DEFAULT",
       "md5AuthenticationKeyName": "bgppeer-1-key"
       }
     ]
   }
   

Console

Pour créer des sessions BGP IPv4 et IPv6, procédez comme suit :

1. Cliquez sur Configurer la session BGP.

2. Sur la page Créer une session BGP, procédez comme suit :

   1. Pour Type de session BGP, sélectionnez Les deux.

   Session BGP IPv4

   1. Dans le champ Name (Nom), saisissez un nom pour la session BGP.
   2. Dans le champ ASN du pair, saisissez l'ASN du pair configuré pour la passerelle VPN de pairs.
   3. Sous Allouer une adresse IPv4 BGP, sélectionnez Automatiquement ou Manuellement. Si vous sélectionnez Manuellement, procédez comme suit :
   4. Pour Adresse IPv4 BGP du routeur cloud, saisissez l'adresse IPv4 BGP de Cloud Router.

   5. For BGP peer IPv4 address, enter the IPv4 address of the BGP peer. The IPv4 address must meet the following requirements:

      • Chaque adresse IPv4 doit appartenir au même sous-réseau /30 compris dans la plage d'adresses 169.254.0.0/16.
      • * Chaque adresse IPv4 BGP est le premier ou le deuxième hôte du sous-réseau /30. Les première et dernière adresses IP du sous-réseau sont réservées aux adresses réseau et de diffusion.
      • Each IPv4 address range for a BGP session must be unique among all Cloud Routers in all regions of a VPC network.

      If you select Automatically, Google Cloud automatically selects the IPv4 addresses for your BGP session.

      If you select automatic IPv6 address allotment, Google Cloud automatically selects the IPv6 addresses for your BGP session.

   6. Facultatif : développez la section Options avancées.

   7. To enable BGP peer, select Enabled. If enabled, the peer connection is established with routing information. For more information, see Establish BGP sessions.

   8. To add MD5 authentication, select Enabled. If enabled, you can use MD5 authentication to authenticate BGP sessions between Cloud Router and its peers. For more information, see Use MD5 authentication. You can alternatively choose to enable MD5 authentication later.

   9. Pour ajouter des routes sortantes à la session BGP, saisissez une priorité de route apprise personnalisée dans le champ Priorité de toutes les routes apprises personnalisées. Pour plus d'informations, reportez-vous à la section Routes apprises personnalisées.

   10. Cliquez sur Save and continue (Enregistrer et continuer).

   Session BGP IPv6

   1. Dans le champ Name (Nom), saisissez un nom pour la session BGP.
   2. Dans le champ ASN du pair, saisissez l'ASN du pair configuré pour la passerelle VPN de pairs.
   3. Facultatif : Pour Priorité des routes annoncées (MED), saisissez la priorité des routes annoncées sur ce pair BGP.
   4. Sous Allouer une adresse IPv4 BGP, sélectionnez Automatiquement ou Manuellement. Si vous sélectionnez Manuellement, procédez comme suit :
   5. For Cloud Router BGP IPv6 address, enter the Cloud Router BGP IPv6 address.

   6. For BGP peer IPv6 address, enter the IPv6 address of the BGP peer. The IPv4 address must meet the following requirements:

      • Chaque adresse doit être une adresse locale unique (ULA) de la plage d'adresses fdff:1::/64 avec une longueur de masque de /64. Exemple :fdff:1::1
      • * Chaque adresse doit être unique parmi tous les routeurs cloud de toutes les régions d'un réseau VPC.

      If you select Automatically, Google Cloud automatically selects the IPv6 addresses for your BGP session.

   7. Facultatif : développez la section Options avancées.

   8. To enable BGP peer, select Enabled. If enabled, the peer connection is established with routing information. Pour en savoir plus, consultez Établir des sessions BGP.

   9. To enable MD5 authentication, select Enabled. If enabled, MD5 authentication is used to authenticate BGP sessions between Cloud Router and its peers. For more information, see Use MD5 authentication. You can alternatively choose to enable MD5 authentication later.

   10. Pour ajouter des routes sortantes à la session BGP, saisissez une priorité de route apprise personnalisée dans le champ Priorité de toutes les routes apprises personnalisées. Pour plus d'informations, reportez-vous à la section Routes apprises personnalisées.

   11. Cliquez sur Save and continue (Enregistrer et continuer).

3. Répétez les étapes précédentes pour les autres tunnels configurés sur la passerelle. Pour chaque tunnel, utilisez une adresse IP BGP Cloud Router et une adresse IP de pair BGP différentes.

4. Click Save BGP configuration.

gcloud

Pour créer des sessions BGP, procédez comme suit :

Dans les commandes, remplacez les éléments suivants :

• ROUTER_INTERFACE_NAME_0_ipv4 et ROUTER_INTERFACE_NAME_0_ipv6 : noms de la première paire d'interfaces Cloud Router BGP partageant le même tunnel. Il peut être utile d'utiliser des noms associés aux noms des tunnels configurés précédemment
• ROUTER_INTERFACE_NAME_1_ipv4, ROUTER_INTERFACE_NAME_1_ipv6 : noms du deuxième ensemble d'interfaces BGP de routeur cloud
• TUNNEL_NAME_0 et TUNNEL_NAME_1 : tunnel associé à l'interface de passerelle VPN haute disponibilité que vous avez configurée
• IP_PREFIXES et CUSTOM_ROUTE_PRIORITY : valeurs qui vous permettent de spécifier manuellement des routes apprises pour une session BGP. Pour plus d'informations sur cette fonctionnalité, consultez la section Routes personnalisées apprises.

• AUTHENTICATION_KEY : clé secrète à utiliser pour l'authentification MD5. Pour en savoir plus sur cette fonctionnalité facultative, consultez la page Utiliser l'authentification MD5.

  De plus, vous pouvez choisir de configurer automatiquement ou manuellement les adresses IPv4 et IPv6 pour vos interfaces de routeur cloud et vos pairs BGP.

  Facultatif: Attribuer une plage d'identifiants BGP

  Lorsque vous ajoutez la première interface avec une adresse IPv6 à un routeur Cloud Router, une plage d'identifiants BGP est automatiquement attribuée au routeur Cloud Router. Si vous préférez définir votre propre plage d'identifiants BGP pour un routeur cloud, vous pouvez créer votre propre plage. Vous pouvez également modifier cette plage ultérieurement. Pour en savoir plus, consultez la section Configurer la plage d'identifiants BGP pour un routeur Cloud Router.

API

Pour créer des sessions BGP, procédez comme suit :

1. Pour créer deux interfaces Cloud Router, envoyez une requête PATCH ou UPDATE à l'aide de la méthode routers.patch ou de routers.update. PATCH met uniquement à jour les paramètres que vous incluez. La requête UPDATE met à jour tous les paramètres du routeur Cloud Router.

   Créez deux interfaces Cloud Router pour le premier tunnel VPN sur la passerelle VPN haute disponibilité. Vous créez une interface avec une adresse IPv4 et une interface avec une adresse IPv6. Vous pouvez configurer les deux interfaces et leurs pairs BGP dans la même requête PATCH ou UPDATE. Les interfaces sont associées au même tunnel linkedVpnTunnel, et les pairs BGP sont associés aux interfaces.

   Les plages d'adresses BGP de chaque interface doivent être uniques parmi tous les routeurs cloud de toutes les régions d'un réseau VPC.

   Répétez cette étape et cette commande pour chaque tunnel VPN sur la passerelle VPN haute disponibilité.

   L'exemple suivant ajoute une interface avec une adresse IPv4 et une interface avec une adresse IPv6 au même linkedVpnTunnel. L'exemple de commande spécifie manuellement les adresses BGP IPv4 et IPv6:

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "interfaces": [
       {
         "name": "if-tunnel-a-to-on-prem-if-0_ipv4",
         "linkedVpnTunnel": "ha-vpn-gw-a-tunnel-0",
         "ipRange": "169.254.0.1/30"
         },
         {
         "name": "if-tunnel-a-to-on-prem-if-0_ipv6",
         "linkedVpnTunnel": "ha-vpn-gw-a-tunnel-0",
         "ipRange": "fdff:1::/126"
         }
   
       ]
   }
   

   L'exemple suivant ajoute une interface BGP IPv4 et une interface BGP IPv6 au même linkedVpnTunnel avec des adresses BGP IPv4 et IPv6 attribuées automatiquement:

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
   {
     "interfaces": [
       {
         "name": "if-tunnel-a-to-on-prem-if-0_ipv4",
         "linkedVpnTunnel": "ha-vpn-gw-a-tunnel-0",
         "ipVersion": "IPV4"
         },
         {
         "name": "if-tunnel-a-to-on-prem-if-0_ipv6",
         "linkedVpnTunnel": "ha-vpn-gw-a-tunnel-0",
         "ipVersion": "IPV6"
         }
   
       ]
   }
   

   1. Pour ajouter les pairs BGP au routeur Cloud Router pour chaque tunnel VPN, envoyez une requête PATCH ou UPDATE à l'aide de la méthode routers.patch ou de la méthode routers.update. Répétez cette commande pour les autres tunnels VPN, en modifiant toutes les options si nécessaire.

      Exemple :

      PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/ROUTER_NAME
      {
      "bgpPeers": [
      {
        "interfaceName": "if-tunnel-a-to-on-prem-if-0_ipv4",
        "ipAddress": "169.254.0.1",
        "name": "bgp-peer-tunnel-a-to-on-prem-if-0_ipv4",
        "peerAsn": 65002,
        "peerIpAddress": "169.254.0.2",
        "advertiseMode": "DEFAULT"
        },
        {
        "interfaceName": "if-tunnel-a-to-on-prem-if-0_ipv6",
        "ipAddress": fdff:1::1",
        "name": "bgp-peer-tunnel-a-to-on-prem-if-0_ipv6",
        "peerAsn": 65002,
        "peerIpAddress": "fdff:1::2",
        "advertiseMode": "DEFAULT"
        }
      ]
      }
      

Console

Pour vérifier la configuration, accédez à la page Résumé et rappel :

1. La section Résumé de cette page répertorie les informations concernant les profils de la passerelle VPN haute disponibilité et de la passerelle VPN de pairs. Pour chaque tunnel VPN, vous pouvez afficher l'état du tunnel VPN, le nom de la session BGP, l'état de la session BGP et la valeur MED (priorité de route annoncée).
2. La section Rappel de cette page répertorie les étapes à suivre pour disposer d'une connexion VPN entièrement opérationnelle entre Cloud VPN et votre VPN de pairs.
3. Si vous souhaitez télécharger un modèle de configuration pour votre appareil VPN de pairs, cliquez sur Télécharger la configuration. Pour savoir comment sélectionner votre modèle et afficher la liste des fournisseurs acceptés, consultez la page Télécharger un modèle de configuration VPN de pairs. Vous pouvez également télécharger le modèle de configuration ultérieurement en accédant à la page Passerelles VPN de pairs.
4. Après la consultation des informations contenues sur cette page, cliquez sur OK.

gcloud

Pour vérifier la configuration du routeur Cloud Router, procédez comme suit :

• Répertoriez les adresses IP de session BGP sélectionnées par routeur cloud Si vous avez ajouté une nouvelle interface à un routeur cloud existant, les adresses IPv4 ou IPv6 BGP de la nouvelle interface peuvent être répertoriées en indiquant le numéro d'index le plus élevé. Utilisez l'adresse IPv4 ou BGP IPv6 BGP peerIpAddress pour configurer votre passerelle VPN de pairs:

  gcloud compute routers get-status ROUTER_NAME \
     --region=REGION \
     --format='flattened(result.bgpPeerStatus[].name,
       result.bgpPeerStatus[].ipAddress, result.bgpPeerStatus[].peerIpAddress)'
  

  Le résultat attendu pour un routeur Cloud Router gérant deux tunnels Cloud VPN (index 0 et index 1) doit ressembler à l'exemple suivant où les conditions suivantes sont remplies :

  • GOOGLE_BGP_IP_0 représente l'adresse IP BGP de l'interface du routeur Cloud Router pour le tunnel sur la passerelle Cloud VPN interface 0 ; PEER_BGP_IP_0 représente l'adresse IP BGP de son pair.
  • GOOGLE_BGP_IP_1 représente l'adresse IP BGP de l'interface du routeur Cloud Router pour le tunnel sur la passerelle Cloud VPN interface 1 ; PEER_BGP_IP_1 représente l'adresse IP BGP du pair.

    result.bgpPeerStatus[0].ipAddress:      169.254.0.1 GOOGLE_BGP_IP_0
    result.bgpPeerStatus[0].name:           bgp-peer-tunnel-a-to-on-prem-if-0
    result.bgpPeerStatus[0].peerIpAddress:  169.254.0.2 PEER_BGP_IP_0
    result.bgpPeerStatus[1].ipAddress:      169.254.1.1 GOOGLE_BGP_IP_1
    result.bgpPeerStatus[1].name:           bgp-peer-tunnel-a-to-on-prem-if-1
    result.bgpPeerStatus[1].peerIpAddress:  169.254.1.2 PEER_BGP_IP_1
  

• Vous pouvez également utiliser la commande suivante pour obtenir la liste complète de la configuration du routeur cloud :

  gcloud compute routers describe ROUTER_NAME \
     --region=REGION
  

  La liste complète ressemble à l'exemple suivant:

  bgp:
    advertiseMode: DEFAULT
    asn: 65001
  bgpPeers:
  - interfaceName: if-tunnel-a-to-on-prem-if-0
    ipAddress: 169.254.0.1
    name: bgp-peer-tunnel-a-to-on-prem-if-0
    peerAsn: 65002
    peerIpAddress: 169.254.0.2
  - interfaceName: if-tunnel-a-to-on-prem-if-1
    ipAddress: 169.254.1.1
    name: bgp-peer-tunnel-a-to-on-prem-if-1
    peerAsn: 65004
    peerIpAddress: 169.254.1.2
  creationTimestamp: '2018-10-18T11:58:41.704-07:00'
  id: '4726715617198303502'
  interfaces:
  - ipRange: 169.254.0.1/30
    linkedVpnTunnel: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-0
    name: if-tunnel-a-to-on-prem-if-0
  - ipRange: 169.254.1.1/30
    linkedVpnTunnel: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-1
    name: if-tunnel-a-to-on-prem-if-1
    kind: compute#router
    name: router-a
    network: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/network-a
    region: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1
    selfLink: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/routers/router-a
  

API

Pour vérifier la configuration du routeur Cloud Router, envoyez une requête GET à l'aide de la méthode routers.getRouterStatus et utilisez un corps de requête vide :

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers

Console

Pour obtenir un contrat de niveau de service assurant une disponibilité de 99,99 %, configurez un tunnel sur chaque interface VPN haute disponibilité d'une passerelle VPN haute disponibilité.

Configurez un deuxième tunnel dans les cas suivants :

• Si vous avez configuré une passerelle VPN haute disponibilité vers une passerelle VPN de pairs comportant une seule interface VPN de pairs.
• Si vous avez précédemment configuré un seul tunnel sur une passerelle VPN haute disponibilité pour une passerelle VPN de pairs contenant un nombre quelconque d'interfaces et que vous souhaitez maintenant obtenir un contrat de niveau de service garantissant une disponibilité de 99, 99 % pour votre passerelle VPN haute disponibilité.

Pour configurer un deuxième tunnel, suivez la procédure décrite dans la section Ajouter un tunnel entre une passerelle VPN haute disponibilité et une passerelle VPN de pairs.