Créer des connexions VPN haute disponibilité entre Google Cloud et AWS

Ce tutoriel explique comment créer des connexions VPN hautement disponibles entre Google Cloud et Amazon Web Services (AWS) pour assurer une communication directe entre des réseaux VPC sur les deux plates-formes cloud.

Dans ce tutoriel, nous partons du principe que vous maîtrisez les concepts de base des réseaux de cloud privé virtuel (VPC), du protocole BGP (Border Gateway Protocol), des réseaux privés virtuels (VPN) et des tunnels IPsec.

Google Cloud fournit un service VPN haute disponibilité pour connecter votre réseau VPC à des environnements s'exécutant en dehors de Google Cloud, tels que les environnements sur site ou sur AWS via une connexion VPN IPsec. Les VPN haute disponibilité fournissent un contrat de niveau de service garantissant une disponibilité de 99,99%, lorsqu'ils sont configurés conformément aux bonnes pratiques de Google.

Présentation de l'architecture

L'architecture décrite dans ce document comprend les composants suivants :

Cloud Router : service Google Cloud entièrement distribué et géré servant à fournir un routage dynamique à l'aide du protocole BGP pour vos réseaux VPC.
Passerelle VPN haute disponibilité : passerelle VPN gérée par Google s'exécutant sur Google Cloud. Chaque passerelle VPN haute disponibilité est une ressource régionale dotée de deux interfaces, chacune avec ses propres adresses IP externes : interface 0 et 1.
Tunnels VPN : connexions de la passerelle VPN haute disponibilité à la passerelle VPN de pairs sur AWS, à travers laquelle circule le trafic chiffré.
Passerelle VPN de pairs : deux points de terminaison VPN de site à site AWS pouvant être fournis par une passerelle virtuelle privée AWS ou d'une passerelle de transit AWS.

Chacune des connexions de passerelle VPN de pairs comporte deux tunnels préconfigurés pour pointer vers une seule passerelle client, qui est ici une interface VPN haute disponibilité Google Cloud. Avec cette configuration, le nombre minimal de tunnels pour atteindre la disponibilité de 99,99% garantie par le contrat de niveau de service est de quatre.

Les options de routage et la bande passante combinée sur les tunnels VPN varient en fonction de l'option de VPN site à site côté AWS :

Passerelle de transit : si vous créez la passerelle de transit AWS sans préférence BGP, le protocole ECMP répartit le trafic de manière égale entre les tunnels actifs.

Pour utiliser la connectivité VPN sur plusieurs réseaux cloud privé virtuel Google, consultez les bonnes pratiques pour la création d'un système en étoile dans Google Cloud.

Pour plus d'informations sur les passerelles de transit AWS, consultez la documentation d'Amazon Virtual Private Cloud.
Passerelle réseau privé virtuel : si vous utilisez une passerelle réseau privé virtuel AWS, un seul tunnel pour l'ensemble des connexions de la passerelle est sélectionné. Pour utiliser plusieurs tunnels, utilisez plutôt une passerelle de transit AWS afin que le protocole ECMP soit disponible.

Pour plus d'informations sur la priorité des routes VPN avec AWS, consultez la documentation sur les options de routage VPN de site à site AWS.

Pour plus d'informations sur les passerelles réseau privé virtuel AWS, consultez la documentation sur les tunnels VPN de site à site AWS.

Le diagramme suivant montre l'architecture.

Présentation de l'architecture

Objectifs

Créer un réseau VPC sur Google Cloud.
Créer une passerelle VPN haute disponibilité et un routeur Cloud sur Google Cloud.
Créer des passerelles client sur AWS.
Créer une connexion VPN avec routage dynamique sur AWS.
Créer une passerelle VPN externe et des tunnels VPN sur Google Cloud.
Vérifier et tester la connexion VPN entre les réseaux VPC sur Google Cloud et AWS.

Exemple de module Terraform

Vous pouvez utiliser le module gcp-to-aws-ha-vpn-terraform-module pour provisionner un VPN haute disponibilité entre Google Cloud et AWS.

Coûts

Ce tutoriel utilise des composants facturables de Google Cloud, y compris :

Pour obtenir une estimation des coûts pour les composants Google Cloud, utilisez le simulateur de coût Google Cloud.

Ce tutoriel utilise des composants facturables d'Amazon Web Services, y compris :

Passerelle de transit AWS
VPN de site à site AWS

Pour obtenir une estimation des coûts des composants AWS, utilisez le simulateur de coût AWS.

Avant de commencer

Dans Google Cloud Console, sur la page de sélection du projet, sélectionnez ou créez un projet Google Cloud.

Remarque : Si vous ne comptez pas conserver les ressources créées dans cette procédure, créez un projet au lieu de sélectionner un projet existant. Après avoir suivi ces étapes, vous pouvez supprimer le projet. Cela entraîne la suppression de toutes les ressources qui lui sont associées.

Accéder au sélecteur de projet

Vérifiez que la facturation est activée pour votre projet Google Cloud.

Activez l'API Compute Engine
Activer l'API

Dans la console Google Cloud, activez Cloud Shell.

Activer Cloud Shell
Assurez-vous que vous disposez des rôles d'administrateur requis pour configurer les composants réseau :
- Administrateur réseau : compute.networkAdmin
- Administrateur de sécurité : compute.securityAdmin
- Administrateur de Compute : compute.admin
Pour plus d'informations sur les objectifs de ces rôles, consultez la section Rôles IAM pour les postes liés à la mise en réseau.

Créer la passerelle VPN haute disponibilité et le routeur Cloud sur Google Cloud

Dans cette section, vous allez créer un réseau VPC, une passerelle VPN haute disponibilité et un routeur Cloud sur Google Cloud.

Dans Cloud Shell, assurez-vous que vous travaillez dans le projet Cloud que vous avez créé ou sélectionné :
```
gcloud config set project YOUR_PROJECT_ID

export PROJECT_ID=`gcloud config list --format="value(core.project)"`
```
Remplacez YOUR_PROJECT_ID par l'ID de votre projet Google Cloud.
Créez un réseau VPC personnalisé avec un seul sous-réseau :
```
gcloud compute networks create NETWORK \
    --subnet-mode SUBNET_MODE \
    --bgp-routing-mode BGP_ROUTING_MODE
```
Remplacez l'élément suivant :
- NETWORK : nom du réseau
- SUBNET_MODE : mode de sous-réseau
- BGP_ROUTING_MODE : mode de routage BGP
La commande doit ressembler à l'exemple suivant :
```
gcloud compute networks create gc-vpc \
    --subnet-mode custom \
    --bgp-routing-mode global
```
Créez un sous-réseau pour héberger les VM de test :
```
gcloud compute networks subnets create SUBNET_NAME \
    --network NETWORK \
    --region SUBNET_REGION \
    --range IP_ADDRESS_RANGE
```
Remplacez l'élément suivant :
- SUBNET_NAME : nom du sous-réseau
- SUBNET_REGION : région dans laquelle créer le sous-réseau
- IP_ADDRESS_RANGE : plage d'adresses IP du sous-réseau
Ces commandes doivent ressembler à l'exemple suivant :
```
gcloud compute networks subnets create subnet-east4  \
    --network gc-vpc \
    --region us-east4 \
    --range 10.1.1.0/24
```
Créez la passerelle VPN haute disponibilité :
```
gcloud compute vpn-gateways create HA_VPN_GATEWAY_NAME \
    --network NETWORK \
    --region REGION
```
Remplacez HA_VPN_GATEWAY_NAME par le nom de la passerelle VPN haute disponibilité.
Créez un routeur Cloud Router :
```
gcloud compute routers create ROUTER_NAME \
    --region REGION \
    --network NETWORK \
    --asn GOOGLE_ASN \
    --advertisement-mode custom \
    --set-advertisement-groups all_subnets
```
Remplacez l'élément suivant :
- ROUTER_NAME : nom de votre routeur Cloud Router
- GOOGLE_ASN : numéro ASN privé pour le routeur cloud que vous créez. Il peut s'agir de n'importe quel numéro ASN privé compris entre 64512 et 65534 ou entre 4200000000 et 4294967294 que vous n'utilisez pas déjà en tant que numéro ASN de pair dans la même région et sur le même réseau.
La commande doit ressembler à l'exemple suivant :
```
gcloud compute routers create cloud-router \
    --region us-east4 \
    --network gc-vpc \
    --asn 65534 \
    --advertisement-mode custom \
    --set-advertisement-groups all_subnets
```

Cette procédure crée une passerelle VPN avec deux interfaces. Notez les adresses externes afin de pouvoir les utiliser lors de la configuration de votre environnement côté AWS.

Créer des passerelles et des connexions VPN sur AWS

Dans cette section, vous allez créer des passerelles client, une passerelle cible et des connexions VPN avec routage dynamique.

Vous exécutez des commandes AWS à l'aide de l'interface de ligne de commande AWS.

Créez deux passerelles client à l'aide de la commande AWS suivante :

aws ec2 create-customer-gateway --type ipsec.1 --public-ip INTERFACE_0_IP_ADDRESS --bgp-asn GOOGLE_ASN

aws ec2 create-customer-gateway --type ipsec.1 --public-ip INTERFACE_1_IP_ADDRESS --bgp-asn GOOGLE_ASN

Remplacez INTERFACE_0_IP_ADDRESS et INTERFACE_1_IP_ADDRESS par les adresses IP publiques de l'étape finale de la section précédente.

Créez une passerelle cible et associez-la à votre réseau VPC.

La passerelle cible peut être une passerelle réseau privé virtuel ou une passerelle de transit. Pour en savoir plus, consultez la section Créer une passerelle cible.

Suivez les instructions correspondant à une passerelle réseau privé virtuel ou à une passerelle de transit :
- Passerelle réseau privé virtuel :
  1. Créez une passerelle réseau privé virtuel avec un numéro ASN AWS spécifique :
```
aws ec2 create-vpn-gateway --type ipsec.1 --amazon-side-asn AWS_SIDE_ASN
```
    Remplacez AWS_SIDE_ASN par le numéro ASN côté AWS.
    
    Cette commande doit ressembler à l'exemple suivant :
```
aws ec2 create-vpn-gateway --type ipsec.1 --amazon-side-asn 65001
```
  2. Associez la passerelle réseau privé virtuel à votre réseau VPC :
```
aws ec2 attach-vpn-gateway --vpn-gateway-id VPN_GATEWAY_ID --vpc-id VPC_ID
```
- Passerelle de transit :
  1. Créez une passerelle de transit :
```
aws ec2 create-transit-gateway --description TRANSIT_GATEWAY_DESCRIPTION \
    --options=AmazonSideAsn=65001,AutoAcceptSharedAttachments=enable,DefaultRouteTableAssociation=enable,DefaultRouteTablePropagation=enable,VpnEcmpSupport=enable,DnsSupport=enable
```
    Remplacez TRANSIT_GATEWAY_DESCRIPTION par une description de votre passerelle de transit.
  2. Associez votre réseau VPC à la passerelle de transit :
```
aws ec2 create-transit-gateway-vpc-attachment \
    --transit-gateway-id TRANSIT_GATEWAY_ID \
    --vpc-id VPC_ID \
    --subnet-id SUBNET_ID
```
Créez une connexion VPN avec routage dynamique.

La méthode de création d'une connexion VPN avec routage dynamique diffère selon que votre passerelle cible est une passerelle réseau privé virtuel ou une passerelle de transit. Pour plus d'informations, consultez la page Créer une connexion VPN de site à site.

Suivez les instructions correspondant à une passerelle réseau privé virtuel ou à une passerelle de transit :
- Passerelle réseau privé virtuel :
  
  Créez une connexion VPN avec routage dynamique entre la passerelle réseau privé virtuel et la passerelle client, puis appliquez des tags à la connexion VPN :
```
    aws ec2 create-vpn-connection \
        --type ipsec.1 \
        --customer-gateway-id CUSTOMER_GATEWAY_1 \
        --vpn-gateway-id VPN_GATEWAY_ID \
        --options TunnelOptions='[{TunnelInsideCidr=AWS_T1_IP,PreSharedKey=SHARED_SECRET_1},{TunnelInsideCidr=AWS_T2_IP,PreSharedKey=SHARED_SECRET_2}]'

    aws ec2 create-vpn-connection \
        --type ipsec.1 \
        --customer-gateway-id CUSTOMER_GATEWAY_2 \
        --vpn-gateway-id VPN_GATEWAY_ID \
        --options TunnelOptions='[{TunnelInsideCidr=AWS_T3_IP,PreSharedKey=SHARED_SECRET_3},{TunnelInsideCidr=AWS_T4_IP,PreSharedKey=SHARED_SECRET_4}]'
```
- Passerelle de transit :
  
  Créez une connexion VPN avec routage dynamique entre la passerelle de transit et les passerelles client :
```
aws ec2 create-vpn-connection \
    --type ipsec.1 \
    --customer-gateway-id CUSTOMER_GATEWAY_1 \
    --transit-gateway-id TRANSIT_GATEWAY_ID \
    --options TunnelOptions='[{TunnelInsideCidr=AWS_T1_IP,PreSharedKey=SHARED_SECRET_1},{TunnelInsideCidr=AWS_T2_IP,PreSharedKey=SHARED_SECRET_2}]'

aws ec2 create-vpn-connection \
    --type ipsec.1 \
    --customer-gateway-id CUSTOMER_GATEWAY_2 \
    --transit-gateway-id TRANSIT_GATEWAY_ID \
    --options TunnelOptions='[{TunnelInsideCidr=AWS_T3_IP,PreSharedKey=SHARED_SECRET_3},{TunnelInsideCidr=AWS_T4_IP,PreSharedKey=SHARED_SECRET_4}]'
```
  Remplacez l'élément suivant :
  - CUSTOMER_GATEWAY_1 : passerelle Google Cloud VPN, interface 0
  - CUSTOMER_GATEWAY_2 : passerelle Google Cloud VPN, interface 1
  - AWS_T1_IP : adresse IP interne pour la passerelle réseau privé virtuel pour la connexion 1, tunnel 1
  - AWS_T2_IP : adresse IP interne de la passerelle réseau privé virtuel pour la connexion 1, tunnel 2
  - AWS_T3_IP : adresse IP interne pour la passerelle réseau privé virtuel pour la connexion 2, tunnel 1
  - AWS_T4_IP : adresse IP interne de la passerelle réseau privé virtuel pour la connexion 2, tunnel 2
  - SHARED_SECRET_1 : clé prépartagée pour la connexion 1, tunnel 1
  - SHARED_SECRET_2 : clé prépartagée pour la connexion 1, tunnel 2
  - SHARED_SECRET_3 : clé prépartagée pour la connexion 2, tunnel 1
  - SHARED_SECRET_4 : clé prépartagée pour la connexion 2, tunnel 2
  AWS réserve certaines plages CIDR. Vous ne pouvez donc pas utiliser les valeurs de ces plages en tant qu'adresses IP internes (AWS_T1_IP, AWS_T2_IP, AWS_T3_IP, AWS_T4_IP). Pour en savoir plus sur les blocs CIDR réservés par AWS, consultez la page Plages CIDR IPv4 internes du tunnel.
  
  Ces commandes créent quatre tunnels vers Google Cloud.
Téléchargez les fichiers de configuration pour les deux connexions VPN.

Dans les étapes suivantes, vous allez utiliser les valeurs des fichiers de configuration pour créer et configurer les ressources côté Google Cloud.

Créer des tunnels VPN et des interfaces Cloud Router sur Google Cloud

Dans cette section, vous allez utiliser les informations des connexions VPN AWS que vous avez créées à la section précédente pour créer et configurer des composants sur Google Cloud.

Lors de la configuration des tunnels VPN vers AWS, vous devez utiliser le protocole de chiffrement IKEv2 et sélectionner moins d'ensembles de transformation côté AWS. Par exemple, combinez des algorithmes uniques de chiffrement de phase 1 et de phase 2, des algorithmes d'intégrité et des nombres de groupes DH (Diffie-Hellman). Sinon, le renouvellement de la clé du tunnel Cloud VPN peut échouer en raison de la taille élevée de la charge utile dédiée à l'association de sécurité pour les ensembles de transformation AWS par défaut. Cette charge utile de taille élevée fragmente les adresses IP des paquets IKE situés du côté AWS, ce qui n'est pas compatible avec Cloud VPN. Pour plus d'informations, consultez la section Options de tunnel pour une connexion VPN de site à site.

Dans Cloud Shell, créez une passerelle VPN externe avec quatre interfaces pour les adresses IP externes AWS :
```
gcloud compute external-vpn-gateways create PEER_GATEWAY_NAME --interfaces \
  0=AWS_GW_IP_1,1=AWS_GW_IP_2,2=AWS_GW_IP_3,3=AWS_GW_IP_4
```
Remplacez l'élément suivant :
- AWS_GW_IP_1 : adresse IP externe de la passerelle réseau privé virtuel pour la connexion 1, tunnel 1
- AWS_GW_IP_2 : adresse IP externe de la passerelle réseau privé virtuel pour la connexion 1, tunnel 2
- AWS_GW_IP_3 : adresse IP externe de la passerelle réseau privé virtuel pour la connexion 2, tunnel 1
- AWS_GW_IP_4 : adresse IP externe de la passerelle réseau privé virtuel pour la connexion 2, tunnel 2

Créez quatre tunnels VPN :

Tunnel 1 :

gcloud compute vpn-tunnels create tunnel-1 \
    --peer-external-gateway PEER_GATEWAY_NAME \
    --peer-external-gateway-interface 0 \
    --region REGION \
    --ike-version IKE_VERSION \
    --shared-secret SHARED_SECRET_1 \
    --router ROUTER_NAME \
    --vpn-gateway HA_VPN_GATEWAY_NAME \
    --interface 0

Tunnel 2 :

gcloud compute vpn-tunnels create tunnel-2 \
    --peer-external-gateway PEER_GATEWAY_NAME \
    --peer-external-gateway-interface 1 \
    --region REGION \
    --ike-version IKE_VERSION \
    --shared-secret SHARED_SECRET_2 \
    --router ROUTER_NAME \
    --vpn-gateway HA_VPN_GATEWAY_NAME \
    --interface 0

Tunnel 3 :

gcloud compute vpn-tunnels create tunnel-3 \
    --peer-external-gateway PEER_GATEWAY_NAME \
    --peer-external-gateway-interface 2 \
    --region REGION \
    --ike-version IKE_VERSION \
    --shared-secret SHARED_SECRET_3 \
    --router ROUTER_NAME \
    --vpn-gateway HA_VPN_GATEWAY_NAME \
    --interface 1

Tunnel 4 :

gcloud compute vpn-tunnels create tunnel-4 \
    --peer-external-gateway PEER_GATEWAY_NAME \
    --peer-external-gateway-interface 3 \
    --region REGION \
    --ike-version IKE_VERSION \
    --shared-secret SHARED_SECRET_4 \
    --router ROUTER_NAME \
    --vpn-gateway HA_VPN_GATEWAY_NAME \
    --interface 1

Créez quatre interfaces Cloud Router.

Dans les commandes suivantes, remplacez chaque espace réservé GOOGLE_BGP_IP_TUNNEL par l'adresse IP interne du tunnel côté Google Cloud. Les valeurs des fichiers de configuration VPN d'AWS sont utilisables en tant qu'adresses de passerelle client pour chaque tunnel. Chacune de ces adresses doit se trouver dans la plage CIDR /30 de la plage réseau 169.254.0.0/16.

Interface Cloud Router 1 :

gcloud compute routers add-interface ROUTER_NAME \
    --interface-name int-1 \
    --vpn-tunnel tunnel-1 \
    --ip-address GOOGLE_BGP_IP_TUNNEL_1 \
    --mask-length 30 \
    --region REGION

Interface Cloud Router 2 :

gcloud compute routers add-interface ROUTER_NAME \
    --interface-name int-2 \
    --vpn-tunnel tunnel-2 \
    --ip-address GOOGLE_BGP_IP_TUNNEL_2 \
    --mask-length 30 \
    --region REGION

Interface Cloud Router 3 :

gcloud compute routers add-interface ROUTER_NAME \
    --interface-name int-3 \
    --vpn-tunnel tunnel-3 \
    --ip-address GOOGLE_BGP_IP_TUNNEL_3 \
    --mask-length 30 \
    --region REGION

Interface Cloud Router 4 :

gcloud compute routers add-interface ROUTER_NAME \
    --interface-name int-4 \
    --vpn-tunnel tunnel-4 \
    --ip-address GOOGLE_BGP_IP_TUNNEL_4 \
    --mask-length 30 \
    --region REGION

Ajoutez des pairs BGP.

Dans les commandes suivantes, remplacez PEER_ASN par le numéro ASN pour la partie AWS de la session BGP.

Connexion AWS 1, tunnel 1

gcloud compute routers add-bgp-peer ROUTER_NAME \
    --peer-name aws-conn1-tunn1 \
    --peer-asn PEER_ASN \
    --interface int-1 \
    --peer-ip-address AWS_T1_IP \
    --region REGION

Connexion AWS 1, tunnel 2

gcloud compute routers add-bgp-peer ROUTER_NAME \
    --peer-name aws-conn1-tunn2 \
    --peer-asn PEER_ASN \
    --interface int-2 \
    --peer-ip-address AWS_T2_IP \
    --region REGION

Connexion AWS 2, tunnel 1

gcloud compute routers add-bgp-peer ROUTER_NAME \
    --peer-name aws-conn2-tunn1 \
    --peer-asn PEER_ASN \
    --interface int-3 \
    --peer-ip-address AWS_T3_IP \
    --region REGION

Connexion AWS 2, tunnel 2

gcloud compute routers add-bgp-peer ROUTER_NAME \
    --peer-name aws-conn2-tunn2 \
    --peer-asn PEER_ASN \
    --interface int-4 \
    --peer-ip-address AWS_T4_IP \
    --region REGION

Vérifier la configuration

Dans Cloud Shell, vérifiez l'état de Cloud Router :

gcloud compute routers get-status ROUTER_NAME \
    --region REGION \
    --format='flattened(result.bgpPeerStatus[].name, result.bgpPeerStatus[].ipAddress, result.bgpPeerStatus[].peerIpAddress)'

Le résultat ressemble à ce qui suit :

result.bgpPeerStatus[].peerIpAddress)'
result.bgpPeerStatus[0].ipAddress:     169.254.171.18
result.bgpPeerStatus[0].name:          aws-conn1-tunn1
result.bgpPeerStatus[0].peerIpAddress: 169.254.171.17
result.bgpPeerStatus[1].ipAddress:     169.254.156.154
result.bgpPeerStatus[1].name:          aws-conn1-tunn2
result.bgpPeerStatus[1].peerIpAddress: 169.254.156.153
result.bgpPeerStatus[2].ipAddress:     169.254.123.38
result.bgpPeerStatus[2].name:          aws-conn2-tunn1
result.bgpPeerStatus[2].peerIpAddress: 169.254.123.37
result.bgpPeerStatus[3].ipAddress:     169.254.48.186
result.bgpPeerStatus[3].name:          aws-conn2-tunn2
result.bgpPeerStatus[3].peerIpAddress: 169.254.48.185

Répertoriez tous les tunnels :

gcloud compute vpn-tunnels list

Le résultat ressemble à ce qui suit :

NAME      REGION    GATEWAY    PEER_ADDRESS
tunnel-1  us-east4  ha-vpn-gw  34.205.x.x
tunnel-2  us-east4  ha-vpn-gw  52.203.x.x
tunnel-3  us-east4  ha-vpn-gw  3.208.x.x
tunnel-4  us-east4  ha-vpn-gw  52.204.x.x

Vérifiez l'état du tunnel :

gcloud compute vpn-tunnels describe tunnel-1 \
     --region REGION \
     --format='flattened(status,detailedStatus)'

Le résultat ressemble à ce qui suit :

detailed_status: Tunnel is up and running.
status:          ESTABLISHED

Répertoriez les routes dynamiques apprises par Cloud Router :

gcloud compute routers get-status ROUTER_NAME \
    --region REGION \
    --format="flattened(result.bestRoutes)"

Le résultat ressemble à ce qui suit :

result.bestRoutes[0].creationTimestamp: 2021-01-19T20:42:07.366-08:00
result.bestRoutes[0].destRange:         10.2.2.0/24
result.bestRoutes[0].kind:              compute#route
result.bestRoutes[0].nextHopIp:         169.254.171.17
result.bestRoutes[0].priority:          100
result.bestRoutes[1].creationTimestamp: 2021-01-19T20:42:07.366-08:00
result.bestRoutes[1].destRange:         10.2.2.0/24
result.bestRoutes[1].kind:              compute#route
result.bestRoutes[1].nextHopIp:         169.254.156.153
result.bestRoutes[1].priority:          100
result.bestRoutes[2].creationTimestamp: 2021-01-19T20:56:26.588-08:00
result.bestRoutes[2].destRange:         10.2.2.0/24
result.bestRoutes[2].kind:              compute#route
result.bestRoutes[2].nextHopIp:         169.254.123.37
result.bestRoutes[2].priority:          100
result.bestRoutes[3].creationTimestamp: 2021-01-19T20:56:26.588-08:00
result.bestRoutes[3].destRange:         10.2.2.0/24
result.bestRoutes[3].kind:              compute#route
result.bestRoutes[3].nextHopIp:         169.254.48.185
result.bestRoutes[3].priority:          100

Tester la connectivité

Créez des VM de test de chaque côté des tunnels afin de tester les requêtes ping.

Assurez-vous que des règles de pare-feu sont en place pour autoriser le trafic ICMP.
- Pour obtenir des instructions sur la création de VM dans Compute Engine, consultez le guide de démarrage.
- Pour savoir comment créer des VM sur AWS, consultez la page Lancer une machine virtuelle.
Testez la connexion à l'aide de la commande ping.
Mesurez la bande passante entre vos machines de test à l'aide de iperf.
- Côté serveur :
```
iperf3 -s
```
- Côté client :
```
iperf3 -c SERVER_IP_ADDRESS -P NUMBER_OF_PARALLEL_SESSIONS
```

Effectuer un nettoyage

Supprimez les ressources Google Cloud et AWS que vous avez créées au cours de ce tutoriel.

Supprimer le projet Google Cloud

Pour éviter que les ressources utilisées lors de ce tutoriel soient facturées sur votre compte Google Cloud, vous pouvez supprimer le projet :

Attention : La suppression d'un projet aura les effets suivants :

Tout le contenu du projet est supprimé. Si vous avez utilisé un projet existant pour les tâches de ce document, lorsque vous le supprimez, vous supprimez également tout autre travail effectué dans le projet.
Les ID de projets personnalisés sont perdus. Lorsque vous avez créé ce projet, vous avez peut-être créé un ID de projet personnalisé que vous souhaitez utiliser à l'avenir. Pour conserver les URL qui utilisent l'ID de projet, telle qu'une URL appspot.com, supprimez les ressources sélectionnées dans le projet au lieu de supprimer l'ensemble du projet.

Si vous envisagez d'explorer plusieurs architectures, tutoriels et guides de démarrage rapide, réutiliser des projets peut vous aider à ne pas dépasser les limites de quotas des projets.

Dans la console Google Cloud, accédez à la page Gérer les ressources.
Accéder à la page Gérer les ressources
Dans la liste des projets, sélectionnez le projet que vous souhaitez supprimer, puis cliquez sur Supprimer.
Dans la boîte de dialogue, saisissez l'ID du projet, puis cliquez sur Arrêter pour supprimer le projet.

Supprimer les ressources AWS

Étape suivante

Obtenez plus d'informations sur Google Cloud VPN.
Découvrez les bonnes pratiques et architectures de référence pour la conception de VPC.