Klassisches VPN mit statischem Routing erstellen

Console

Gateway konfigurieren

1. Rufen Sie in der Google Cloud Console die Seite VPN auf.

   Zu VPN

2. Wenn Sie zum ersten Mal ein Gateway erstellen, klicken Sie auf VPN-Verbindung erstellen.

3. Wählen Sie den VPN-Einrichtungsassistenten aus.

4. Wählen Sie die Optionsschaltfläche Klassisches VPN aus.

5. Klicken Sie auf Weiter.

6. Geben Sie auf der Seite VPN-Verbindung erstellen die folgenden Gateway-Einstellungen an:

   • Name: Der Name des VPN-Gateways. der Name kann später nicht mehr geändert werden.
   • Beschreibung: (Optional) Fügen Sie eine Beschreibung hinzu.
   • Netzwerk: Geben Sie ein vorhandenes VPC-Netzwerk an, in dem das VPN-Gateway und der Tunnel erstellt werden sollen.
   • Region: Cloud VPN-Gateways und Tunnel sind regionale Objekte. Wählen Sie eine Google Cloud-Region aus, in der sich das Gateway befinden soll. Instanzen und andere Ressourcen in unterschiedlichen Regionen können den Tunnel für ausgehenden Traffic entsprechend der Reihenfolge der Routen verwenden. Für eine optimale Leistung sollten sich das Gateway und der Tunnel in derselben Region wie relevante Google Cloud-Ressourcen befinden.
   • IP-Adresse: Erstellen Sie eine regionale externe IP-Adresse oder wählen Sie eine vorhandene Adresse aus.

Tunnel konfigurieren

1. Geben Sie für den neuen Tunnel im Abschnitt Tunnel die folgenden Einstellungen an:

   • Name: Der Name des VPN-Tunnels. der Name kann später nicht mehr geändert werden.
   • Beschreibung: Geben Sie optional eine Beschreibung ein.
   • Remote-Peer-IP-Adresse: Geben Sie die externe IP-Adresse des Peer-VPN-Gateways an.
   • IKE-Version: Wählen Sie die geeignete IKE-Version aus, die vom Peer-VPN-Gateway unterstützt wird. IKEv2 wird bevorzugt, wenn es vom Peer-Gerät unterstützt wird.
   • Vorinstallierter IKE-Schlüssel: Geben Sie für die Authentifizierung einen vorinstallierten Schlüssel (gemeinsames Secret) an. Der vorinstallierte Schlüssel für den Cloud VPN-Tunnel muss mit dem Secret übereinstimmen, das Sie beim Konfigurieren des Tunnelgegenstücks auf dem Peer-VPN-Gateway angegeben haben. Folgen Sie dieser Anleitung, um einen kryptografisch starken vorinstallierten Schlüssel zu generieren.

   Für richtlinienbasierte Tunnel

   1. Wählen Sie unter Weiterleitungsoptionen die Option Richtlinienbasiert aus.

   2. Erstellen Sie unter IP-Bereiche des Remote-Netzwerks eine durch Leerzeichen getrennte Liste der IP-Bereiche, die vom Peer-Netzwerk verwendet werden. Dies ist die Remote-Trafficauswahl oder aus Sicht von Cloud VPN die rechte Seite.

      Nachdem Sie einen richtlinienbasierten klassischen VPN-Tunnel erstellt haben, werden die IP-Bereiche, die Sie in das Feld IP-Bereiche des Remote-Netzwerks eingegeben haben, auf der Seite mit den Details des VPN-Tunnels als Beworbene IP-Adresse angezeigt.

   3. Wählen Sie unter Lokale IP-Bereiche eine der folgenden Methoden aus:

      • Verwenden Sie das Menü Lokale Subnetze, um einen vorhandenen lokalen IP-Bereich auszuwählen.
      • Geben Sie im Feld Lokale IP-Bereiche eine Liste der durch Leerzeichen getrennten IP-Bereiche ein, die in Ihrem VPC-Netzwerk verwendet werden. Wichtige Überlegungen finden Sie unter Richtlinienbasierte Tunnel- und Trafficauswahl.

   Für routenbasierte Tunnel

   1. Wählen Sie unter Routingoptionen die Option Routenbasiert aus.
   2. Erstellen Sie unter IP-Bereiche des Remote-Netzwerks eine durch Leerzeichen getrennte Liste der IP-Bereiche, die vom Peer-Netzwerk verwendet werden. Diese Bereiche werden verwendet, um benutzerdefinierte statische Routen zu erstellen, deren nächster Hop dieser VPN-Tunnel ist.

2. Wenn Sie mehrere Tunnel auf demselben Gateway erstellen möchten, klicken Sie auf Tunnel hinzufügen und wiederholen Sie den vorherigen Schritt. Sie können auch später weitere Tunnel hinzufügen.

3. Klicken Sie auf Erstellen.

gcloud

Führen Sie die folgende Befehlssequenz aus, um ein Cloud VPN-Gateway zu erstellen. Ersetzen Sie in den Befehlen Folgendes:

• PROJECT_ID: die Projekt-ID
• NETWORK: der Name Ihres Google Cloud-Netzwerks
• REGION: die Google Cloud-Region, in der Sie das Gateway und den Tunnel erstellen
• GW_NAME: der Name des Gateways
• GW_IP_NAME: ein Name für die externe IP-Adresse, die vom Gateway verwendet wird
• (Optional) --target-vpn-gateway-region ist die Region des klassischen VPN-Gateways, in der der Vorgang ausgeführt werden soll. Der Wert muss mit --region übereinstimmen. Wenn sie nicht angegeben ist, wird diese Option automatisch festgelegt. Diese Option überschreibt für diesen Befehlsaufruf den Standardwert des Attributs compute/region.

Gateway-Ressourcen konfigurieren

1. Erstellen Sie das Zielobjekt für das VPN-Gateway:

   gcloud compute target-vpn-gateways create GW_NAME \
      --network=NETWORK \
      --region=REGION \
      --project=PROJECT_ID
   

2. Reservieren Sie eine regionale externe (statische) IP-Adresse.

   gcloud compute addresses create GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

3. Notieren Sie die IP-Adresse, damit Sie sie bei der Konfiguration Ihres Peer-VPN-Gateways verwenden können:

   gcloud compute addresses describe GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID \
      --format='flattened(address)'
   

4. Erstellen Sie drei Weiterleitungsregeln. Mit diesen Regeln wird Google Cloud angewiesen, Traffic vom Typ ESP (IPsec), UDP 500 und UDP 4500 an das Gateway zu senden:

   gcloud compute forwarding-rules create fr-GW_NAME-esp \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=ESP \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp4500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=4500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

Cloud VPN-Tunnel erstellen

1. Ersetzen Sie in den Befehlen Folgendes:

   • TUNNEL_NAME: ein Name für den Tunnel
   • ON_PREM_IP: die externe IP-Adresse des Peer-VPN-Gateways
   • IKE_VERS: 1 für IKEv1 oder 2 für IKEv2
   • SHARED_SECRET: Ihr vorinstallierter Schlüssel (gemeinsames Secret). Der vorinstallierte Schlüssel für den Cloud VPN-Tunnel muss mit dem Secret übereinstimmen, das Sie beim Konfigurieren des Tunnelgegenstücks auf dem Peer-VPN-Gateway angegeben haben. Folgen Sie dieser Anleitung, um einen kryptografisch starken vorinstallierten Schlüssel zu generieren.

   Für richtlinienbasiertes VPN:

   • LOCAL_IP_RANGES: eine durch Kommas getrennte Liste der Google Cloud-IP-Bereiche. Sie können beispielsweise den CIDR-Block für jedes Subnetz in einem VPC-Netzwerk bereitstellen. Dies ist aus der Sicht von Cloud VPN die linke Seite.
   • REMOTE_IP_RANGES: eine durch Kommas getrennte Liste der IP-Bereiche des Peering-Netzwerks. Dies ist aus Sicht von Cloud VPN die rechte Seite.

   Führen Sie zum Konfigurieren eines richtlinienbasierten VPN-Tunnels folgenden Befehl aus:

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=LOCAL_IP_RANGES \
       --remote-traffic-selector=REMOTE_IP_RANGES \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

   Für routenbasiertes VPN sind sowohl die lokalen als auch die Remote-Trafficauswahlen 0.0.0.0/0, wie unter Routingoptionen und Trafficauswahlen definiert.

   Führen Sie zum Konfigurieren eines routenbasierten VPN-Tunnels folgenden Befehl aus:

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=0.0.0.0/0 \
       --remote-traffic-selector=0.0.0.0/0 \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

2. Erstellen Sie eine statische Route für jeden Remote-IP-Bereich, den Sie im vorherigen Schritt in der Option --remote-traffic-selector angegeben haben. Wiederholen Sie diesen Befehl für jeden Remote-IP-Bereich. Ersetzen Sie ROUTE_NAME durch einen eindeutigen Namen für die Route und REMOTE_IP_RANGE durch den entsprechenden Remote-IP-Bereich.

   gcloud compute routes create ROUTE_NAME \
       --destination-range=REMOTE_IP_RANGE \
       --next-hop-vpn-tunnel=TUNNEL_NAME \
       --network=NETWORK \
       --next-hop-vpn-tunnel-region=REGION \
       --project=PROJECT_ID