Criar um gateway de VPN clássica usando roteamento estático

Console

Configure o gateway

1. No Console do Google Cloud, acesse a página VPN.

   Acessar a VPN

2. Se você estiver criando um gateway pela primeira vez, clique em Criar conexão VPN.

3. Selecione o assistente de configuração de VPN.

4. Selecione o botão de opção VPN clássica.

5. Clique em Continuar.

6. Na página Criar uma conexão de VPN, especifique as seguintes configurações de gateway:

   • Nome: o nome do gateway da VPN. Não é possível alterá-lo posteriormente.
   • Descrição: se quiser, adicione uma descrição.
   • Rede: especifique uma rede de VPC atual em que o túnel e o gateway da VPN serão criados.
   • Região: os gateways e túneis do Cloud VPN são objetos regionais. Escolha uma região do Google Cloud onde o gateway será localizado. Instâncias e outros recursos em diferentes regiões usam o túnel para o tráfego de saída sujeito à ordem das rotas. Para um melhor desempenho, localize o gateway e o túnel na mesma região que os recursos relevantes do Google Cloud.
   • Endereço IP: crie ou escolha um endereço IP externo regional atual.

Configurar túneis

1. Para o novo túnel, na seção Túneis, especifique as seguintes configurações:

   • Nome: o nome do túnel da VPN. Não é possível alterá-lo posteriormente.
   • Descrição: se quiser, insira uma descrição.
   • Endereço IP de peering remoto: especifique o endereço IP externo do gateway de VPN de peering.
   • Versão do IKE: escolha a versão do IKE adequada compatível com o gateway da VPN de peering. O IKEv2 tem preferência se for compatível com o dispositivo de peering.
   • Chave IKE pré-compartilhada: forneça uma chave pré-compartilhada (secreta compartilhada) usada para autenticação. A senha secreta do túnel do Cloud VPN precisa corresponder àquela usada ao configurar o túnel de contrapartida no gateway da VPN de peering. Para gerar uma chave pré-compartilhada criptograficamente forte, siga estas instruções.

   Para túneis com base em políticas

   1. Em Opções de roteamento, selecione com base em políticas.

   2. Em Intervalos de IP de rede remota, forneça uma lista separada por espaço dos intervalos de IP usados pela rede de peering. Este é o seletor de tráfego remoto ou o lado direito da perspectiva do Cloud VPN.

      Depois de criar um túnel de VPN clássica com base em políticas, os intervalos de IP inseridos no campo Intervalos de IP de rede remota aparecem como Intervalos IP anunciados na página de detalhes do túnel da VPN.

   3. Em Intervalos de IP local, selecione um dos seguintes métodos:

      • Para escolher um intervalo de IP local atual, use o menu Sub-redes locais.
      • Para inserir uma lista de intervalos de IP separados por espaço usados na rede VPC, use o campo Intervalos de IP local. Para considerações importantes, consulte Túneis com base em políticas e seletores de tráfego.

   Para túneis com base em rotas

   1. Em Opções de roteamento, selecione Baseado em rota.s
   2. Em Intervalos de IP de rede remota, forneça uma lista separada por espaço dos intervalos de IP usados pela rede de peering. Esses intervalos são usados para criar rotas estáticas personalizadas que tenha como próximo salto este túnel de VPN.

2. Caso seja preciso criar mais túneis no mesmo gateway, clique em Adicionar túnel e repita a etapa anterior. Também é possível adicionar mais túneis posteriormente.

3. Clique em Criar.

gcloud

Para criar um gateway do Cloud VPN, conclua a sequência de comandos a seguir. Nos comandos, substitua o seguinte:

• PROJECT_ID: ID do projeto
• NETWORK: o nome da sua rede do Google Cloud.
• REGION: a região do Google Cloud em que você cria o gateway e o túnel
• GW_NAME: o nome do gateway.
• GW_IP_NAME: um nome para o endereço IP externo usado pelo gateway.
• Opcional: a --target-vpn-gateway-region é a região do gateway de VPN clássica para operar. Seu valor precisa ser igual a --region. Se não for especificada, esta opção será definida automaticamente. Ela modifica o valor padrão da propriedade compute/region para esta invocação de comando.

Configure os recursos do gateway

1. Crie o objeto de gateway da VPN de destino.

   gcloud compute target-vpn-gateways create GW_NAME \
      --network=NETWORK \
      --region=REGION \
      --project=PROJECT_ID
   

2. Reserve um endereço IP estático externo regional:

   gcloud compute addresses create GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

3. Observe o endereço IP para usá-lo ao configurar o gateway da VPN de peering:

   gcloud compute addresses describe GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID \
      --format='flattened(address)'
   

4. criar três regras de encaminhamento; Essas regras instruem o Google Cloud a enviar o tráfego ESP (IPsec), UDP 500 e UDP 4500 para o gateway:

   gcloud compute forwarding-rules create fr-GW_NAME-esp \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=ESP \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp4500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=4500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

Crie o túnel do Cloud VPN

1. Nos comandos, substitua o seguinte:

   • TUNNEL_NAME: um nome para o túnel.
   • ON_PREM_IP: o endereço IP externo do gateway da VPN de peering.
   • IKE_VERS: 1 IKEv1 ou2 para IKEv2
   • SHARED_SECRET: sua chave pré-compartilhada (secreta compartilhada). A senha secreta do túnel do Cloud VPN precisa corresponder àquela usada ao configurar o túnel de contrapartida no gateway da VPN de peering. Para gerar uma chave pré-compartilhada criptograficamente forte, siga estas instruções.

   Para VPN baseada em política:

   • LOCAL_IP_RANGES: uma lista delimitada por vírgulas dos intervalos de IP do Google Cloud. Por exemplo, é possível fornecer o bloco CIDR para cada sub-rede em uma rede VPC. Este é o “lado esquerdo” na perspectiva do Cloud VPN.
   • REMOTE_IP_RANGES: uma lista delimitada por vírgulas dos intervalos de IP da rede de peering. Este é o “lado direito”na perspectiva do Cloud VPN.

   Para configurar um túnel VPN com base em políticas, execute o seguinte comando:

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=LOCAL_IP_RANGES \
       --remote-traffic-selector=REMOTE_IP_RANGES \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

   Para a VPN com base em rota, os seletores de tráfego locais e remotos são 0.0.0.0/0, conforme definido nas opções de roteamento e nos seletores de tráfego.

   Para configurar um túnel VPN com base em rota, execute o seguinte comando:

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=0.0.0.0/0 \
       --remote-traffic-selector=0.0.0.0/0 \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

2. Crie uma rota estática para cada intervalo de IP remoto especificado na --remote-traffic-selector na etapa anterior. Repita esse comando para cada intervalo de IP remoto. Substitua ROUTE_NAME por um nome exclusivo para a rota e REMOTE_IP_RANGE pelo intervalo de IP remoto apropriado.

   gcloud compute routes create ROUTE_NAME \
       --destination-range=REMOTE_IP_RANGE \
       --next-hop-vpn-tunnel=TUNNEL_NAME \
       --network=NETWORK \
       --next-hop-vpn-tunnel-region=REGION \
       --project=PROJECT_ID