이 문서에서는 Cloud Interconnect 연결의 암호화된 VLAN 연결에 HA VPN을 배포하는 데 필요한 단계를 설명합니다. 이 단계는 Dedicated Interconnect 및 Partner Interconnect용 HA VPN에 적용됩니다.
Cloud Interconnect를 통한 HA VPN 배포를 위해 HA VPN 게이트웨이를 만들 때 해당 HA VPN 게이트웨이를 암호화된 VLAN 연결 2개와 연결합니다. 각 VLAN 연결을 HA VPN 게이트웨이 인터페이스와 연결합니다.
첫 번째 에지 가용성 도메인인 zone1의 첫 번째 VLAN 연결이 HA VPN 인터페이스 0에 해당합니다.
zone2의 두 번째 VLAN 연결은 HA VPN 인터페이스 1에 해당합니다.
암호화된 VLAN 연결과 HA VPN 게이트웨이를 만든 후에 피어 VPN 게이트웨이에 대한 HA VPN 터널을 만들 수 있습니다. 각 HA VPN 터널의 대역폭은 3Gbps입니다. 따라서 VLAN 연결의 용량에 맞추려면 HA VPN 터널을 여러 개 만들어야 합니다.
VLAN 용량 및 권장 터널 수
이 섹션에서는 VLAN 연결 용량을 기반으로 필요할 수 있는 터널 수 추정치를 제공합니다. VLAN 연결 용량은 이그레스 및 인그레스 트래픽을 모두 포함하며, 테이블의 터널 수가 네트워크의 특정 트래픽 패턴을 반영하지 않을 수 있습니다.
다음 표를 시작점으로 사용하여 HA VPN 터널의 트래픽 사용률을 모니터링합니다. 터널의 장애 조치를 위한 적절한 용량을 보장하기 위해서는 지정된 VPN 터널에 대해 3Gbps 대역폭 한도 또는 250,000pps 패킷 비율 제한의 50%를 초과하지 않는 것이 좋습니다.
Cloud VPN 터널의 모니터링 및 알림 설정에 대한 자세한 내용은 로그 및 측정항목 보기를 참조하세요.
| VLAN 연결 용량 | 각 VLAN 연결의 터널 수 | 전체 배포의 총 터널 수 |
|---|---|---|
| 2Gbps 이하 | 1 | 2 |
| 5Gbps | 2 | 4 |
| 10Gbps | 4 | 8 |
| 20Gbps | 7 | 14 |
| 50Gbps | 17 | 34 |
게이트웨이 및 터널 매핑
피어 VPN 게이트웨이와 HA VPN 게이트웨이의 일대일 매핑은 필요하지 않습니다. 특정 HA VPN 게이트웨이 인터페이스에 아직 매핑되지 않은 피어 VPN 게이트웨이의 인터페이스가 있다면 HA VPN 게이트웨이의 각 인터페이스에 여러 터널을 추가할 수 있습니다. 특정 HA VPN 게이트웨이 인터페이스와 특정 피어 VPN 게이트웨이 인터페이스 사이에는 하나의 고유한 매핑 또는 터널만 있을 수 있습니다.
따라서 다음과 같이 구성할 수 있습니다.
- (여러 인터페이스를 사용해) 단일 피어 VPN 게이트웨이에 터널링되는 HA VPN 게이트웨이 여러 개
- 여러 피어 VPN 게이트웨이로 터널링하는 단일 HA VPN 게이트웨이
- 여러 피어 VPN 게이트웨이로 터널링하는 HA VPN 게이트웨이 여러 개
일반적으로 배포해야 하는 HA VPN 게이트웨이 수는 온프레미스 네트워크에서 사용할 수 있는 사용되지 않은 인터페이스가 있는 피어 VPN 게이트웨이 수에 따라 결정됩니다.
다음 다이어그램은 HA VPN과 피어 VPN 게이트웨이 간의 터널 매핑 예시를 제공합니다.
예시 1: 2개의 피어 VPN에 대한 HA VPN 1개
예시 2: 1개의 피어 VPN에 대한 HA VPN 2개
HA VPN 게이트웨이 만들기
콘솔
이 절차에서는 Google Cloud 콘솔을 사용하여 암호화된 VLAN 연결을 이미 만들고 구성했다고 가정합니다.
Dedicated Interconnect는 암호화된 VLAN 연결 만들기를 참조하세요.
Partner Interconnect는 암호화된 VLAN 연결 만들기를 참조하세요.
HA VPN 게이트웨이를 만들려면 다음 단계를 따르세요.
Google Cloud 콘솔에서 Cloud Interconnect를 통한 HA VPN 배포 마법사의 다음 섹션으로 계속 진행합니다.
Cloud Interconnect용 Cloud Router 구성을 완료하면 VPN 게이트웨이 만들기 페이지가 나타납니다.
Cloud Interconnect를 통한 HA VPN 구성 마법사가 VLAN 연결에 구성한 용량을 기준으로 HA VPN 게이트웨이를 자동으로 만듭니다. 예를 들어 각 VLAN 연결의 용량으로 5Gbps를 지정한 경우 마법사가 HA VPN 게이트웨이 2개를 만듭니다.
선택사항: 펼치기를 클릭하여 각 HA VPN 게이트웨이의 생성된 이름을 변경합니다.
선택사항: HA VPN 게이트웨이를 더 추가하려면 다른 게이트웨이 추가를 클릭합니다. 이름과 설명(선택사항)을 지정합니다. 그런 다음 완료를 클릭합니다.
만들고 계속하기를 클릭합니다.
gcloud
VLAN 용량 및 터널 표를 사용하여 VLAN 연결 용량에 맞추는 데 필요한 VPN 터널 수를 추정합니다. 이러한 HA VPN 터널을 만들려면 하나 이상의 HA VPN 게이트웨이를 만들어야 합니다.
다음 예시에서는 5Gbps 용량의 VLAN 연결에 4개의 터널이 필요할 수 있습니다.
HA VPN 게이트웨이를 만듭니다.
예를 들어 다음 명령어는 HA VPN 게이트웨이 2개를 만들고 게이트웨이 인터페이스를 암호화된 VLAN 연결에 할당합니다.
gcloud compute vpn-gateways create vpn-gateway-a \ --network network-a \ --region us-central1 \ --interconnect-attachments \ attachment-a-zone1,attachment-a-zone2gcloud compute vpn-gateways create vpn-gateway-b \ --network network-a \ --region us-central1 \ --interconnect-attachments \ attachment-a-zone1,attachment-a-zone2
--interconnect-attachments 매개변수에서 두 VLAN 연결을 모두 나열합니다.
나열하는 첫 번째 VLAN 연결이 HA VPN 게이트웨이의 인터페이스 0(if0)에 할당되고 두 번째 VLAN 연결은 인터페이스 1(if1)에 할당됩니다.
HA VPN Cloud Router, 피어 VPN 게이트웨이 리소스, HA VPN 터널 구성
콘솔
Google Cloud 콘솔에서 Cloud Interconnect를 통한 HA VPN 배포 마법사의 다음 섹션으로 계속 진행합니다.
Cloud Router 섹션에서 Cloud Router를 선택합니다. 이 라우터는 모든 HA VPN 터널에 대한 BGP 세션의 관리를 전담합니다.
라우터가 Partner Interconnect 연결과 연결된 VLAN 연결의 BGP 세션을 아직 관리하지 않는 경우 기존 Cloud Router를 사용할 수 있습니다.
Cloud Interconnect를 통한 HA VPN 배포의 Interconnect 등급에 사용되는 암호화된 Cloud Router는 사용할 수 없습니다.
사용 가능한 Cloud Router가 없는 경우 새 라우터를 만들고 다음을 지정합니다.
- 이름
- 설명(선택사항)
새 라우터의 Google ASN
네트워크의 다른 곳에서 사용하지 않는 비공개 ASN(
64512~65534,4200000000~4294967294)을 사용할 수 있습니다. Google ASN은 동일한 Cloud Router의 모든 BGP 세션에 사용되며 나중에 ASN을 변경할 수 없습니다.
새 라우터를 만들려면 만들기를 클릭합니다.
IKEv1 또는 IKEv2를 선택하여 IKE 버전을 구성합니다. 이 버전은 배포의 모든 HA VPN 터널에서 사용됩니다.
선택사항: 키 생성을 클릭하여 모든 VPN 터널의 IKE 사전 공유 키를 생성합니다. 이 옵션을 선택하면 모든 HA VPN 게이트웨이의 모든 터널에 동일한 IKE 사전 공유 키가 채워집니다. 사전 공유 키는 VPN 터널을 만든 후에 가져올 수 없으므로 안전한 위치에 기록해야 합니다.
VPN 구성 섹션에서 VPN 구성을 클릭한 후 다음을 지정합니다.
피어 VPN 게이트웨이: 기존 피어 VPN 게이트웨이를 선택하거나 새 피어 VPN 게이트웨이 만들기를 선택하여 만듭니다. 피어 VPN 게이트웨이를 만들려면 다음을 지정합니다.
- 이름
인터페이스 2개
단일 인터페이스 또는 4개의 인터페이스를 지정해야 하는 경우 Google Cloud 콘솔에서 이 피어 VPN 게이트웨이를 만들 수 없습니다. Google Cloud CLI를 대신 사용하세요. 특히 Amazon Web Services(AWS)에 연결하는 경우 피어 VPN 게이트웨이에 4개의 인터페이스를 할당해야 합니다.
IP 주소 필드에 두 피어 VPN 게이트웨이 인터페이스의 IPv4 주소를 입력합니다.
만들기를 클릭합니다.
ENCRYPTED VLAN_ATTACHMENT_1을 통한 VPN 터널 및ENCRYPTED VLAN_ATTACHMENT_2를 통한 VPN 터널에서 각 터널에 대해 다음 필드를 구성합니다.- 이름: 생성된 터널 이름을 그대로 두거나 수정할 수 있습니다.
- 설명: 선택사항입니다.
- 연결된 피어 VPN 게이트웨이 인터페이스: 이 터널 및 HA VPN 인터페이스와 연결하려는 피어 VPN 게이트웨이 인터페이스와 IP 주소 조합을 선택합니다. 이 인터페이스는 실제 피어 라우터의 인터페이스와 일치해야 합니다.
- IKE 사전 공유 키: 모든 터널의 사전 공유 키를 아직 생성하지 않았으면 IKE 사전 공유 키를 지정합니다. 피어 게이트웨이에서 만든 사전 공유 키에 해당하는 사전 공유 키(공유 보안 비밀)를 사용합니다. 피어 VPN 게이트웨이에 사전 공유 키를 구성하지 않았고 사전 공유 키를 생성하려면 생성 및 복사를 클릭합니다. 사전 공유 키는 VPN 터널을 만든 후에 가져올 수 없으므로 안전한 위치에 기록해야 합니다.
두 터널의 구성을 완료했으면 완료를 클릭합니다.
모든 게이트웨이와 해당 터널을 구성할 때까지 각 HA VPN 게이트웨이에 대해 이전 두 단계를 반복합니다.
터널을 더 추가해야 하는 경우 VPN 구성 추가를 클릭하고 다음 필드를 구성합니다.
- VPN 게이트웨이: 암호화된 VLAN 연결과 연결된 HA VPN 게이트웨이 중 하나를 선택합니다.
피어 VPN 게이트웨이: 기존 피어 VPN 게이트웨이를 선택하거나 새 피어 VPN 게이트웨이 만들기를 선택하여 새로 만듭니다. 새 피어 VPN 게이트웨이를 만들려면 다음을 지정합니다.
- 이름
- 인터페이스 2개
단일 인터페이스 또는 4개의 인터페이스를 지정해야 하는 경우 Google Cloud 콘솔에서 이 피어 VPN 게이트웨이를 만들 수 없습니다. Google Cloud CLI를 대신 사용하세요. 특히 AWS에 연결하는 경우 피어 VPN 게이트웨이에 4개의 인터페이스를 할당해야 합니다.
IP 주소 필드에 두 피어 VPN 게이트웨이 인터페이스의 IPv4 주소를 입력합니다.
만들기를 클릭합니다.
모든 HA VPN 터널 구성을 완료한 후에는 만들고 계속하기를 클릭합니다.
gcloud
이 라우터는 모든 HA VPN 터널에 대한 BGP 세션의 관리를 전담합니다.
라우터가 Partner Interconnect 연결과 연결된 VLAN 연결의 BGP 세션을 아직 관리하지 않는 경우 기존 Cloud Router를 사용할 수 있습니다. Cloud Interconnect를 통한 HA VPN 배포의 Cloud Interconnect 등급에 사용되는 암호화된 Cloud Router는 사용할 수 없습니다.
Cloud Router를 만들려면 다음 명령어를 실행합니다.
gcloud compute routers create ROUTER_NAME \ --region=REGION \ --network=NETWORK \ --asn=GOOGLE_ASN
다음을 바꿉니다.
ROUTER_NAME: Cloud VPN 게이트웨이와 동일한 리전에 있는 Cloud Router의 이름REGION: 게이트웨이 및 터널을 만들 Google Cloud 리전NETWORK: Google Cloud 네트워크의 이름GOOGLE_ASN: 피어 네트워크에서 아직 사용하고 있지 않은 모든 비공개 ASN(64512~65534,4200000000~4294967294). Google ASN은 동일한 Cloud Router에 있는 모든 BGP 세션에 사용되며, 나중에 변경할 수 없습니다.
만드는 라우터는 다음 예시 출력과 유사하게 표시되어야 합니다.
Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/routers/router-a]. NAME REGION NETWORK router-a us-central1 network-a
외부 피어 VPN 게이트웨이를 하나 이상 만듭니다.
gcloud compute external-vpn-gateways create peer-gw \ --interfaces 0=ON_PREM_GW_IP_0,1=ON_PREM_GW_IP_1
다음을 바꿉니다.
ON_PREM_GW_IP_0: 피어 VPN 게이트웨이의 인터페이스0에 할당된 IP 주소ON_PREM_GW_IP_1: 피어 VPN 게이트웨이의 인터페이스1에 할당된 IP 주소
외부 피어 VPN 게이트웨이를 배포에 필요한 만큼 만듭니다.
HA VPN 게이트웨이 만들기에서 만든 HA VPN 게이트웨이마다 각각의 인터페이스인
0및1의 VPN 터널을 만듭니다. 각 명령어에서 VPN 터널의 피어 측을 이전에 만든 외부 VPN 게이트웨이 및 인터페이스로 지정합니다.예를 들어 HA VPN 게이트웨이 만들기에서 만든 두 예시 HA VPN 게이트웨이의 터널 4개를 만들려면 다음 명령어를 실행합니다.
gcloud compute vpn-tunnels create tunnel-a-to-on-prem-if-0 \ --peer-external-gateway peer-gw \ --peer-external-gateway-interface 0 \ --region us-central1 \ --ike-version 2 \ --shared-secret SHARED_SECRET \ --router vpn-router \ --vpn-gateway vpn-gateway-a \ --interface 0
gcloud compute vpn-tunnels create tunnel-a-to-on-prem-if-1 \ --peer-external-gateway peer-gw \ --peer-external-gateway-interface 1 \ --region us-central1 \ --ike-version 2 \ --shared-secret SHARED_SECRET \ --router vpn-router \ --vpn-gateway vpn-gateway-a \ --interface 1
gcloud compute vpn-tunnels create tunnel-b-to-on-prem-if-0 \ --peer-external-gateway peer-gw \ --peer-external-gateway-interface 0 \ --region us-central1 \ --ike-version 2 \ --shared-secret SHARED_SECRET \ --router vpn-router \ --vpn-gateway vpn-gateway-b \ --interface 0
gcloud compute vpn-tunnels create tunnel-b-to-on-prem-if-1 \ --peer-external-gateway peer-gw \ --peer-external-gateway-interface 1 \ --region us-central1 \ --ike-version 2 \ --shared-secret SHARED_SECRET \ --router vpn-router \ --vpn-gateway vpn-gateway-b \ --interface 1
BGP 세션 구성
콘솔
Google Cloud 콘솔에서 Cloud Interconnect를 통한 HA VPN 배포 마법사의 다음 섹션으로 계속 진행합니다.
모든 HA VPN 터널을 만든 후에 터널마다 BGP 세션을 구성해야 합니다.
각 터널 옆에 있는 BGP 세션 구성을 클릭합니다.
BGP 세션 만들기의 안내에 따라 각 VPN 터널의 BGP를 구성합니다.
gcloud
모든 HA VPN 터널을 만든 후에 터널마다 BGP 세션을 구성해야 합니다.
터널마다 BGP 세션 만들기의 안내를 따릅니다.
HA VPN 구성 완료
새 Cloud VPN 게이트웨이 및 관련 VPN 터널을 사용하려면 먼저 다음 단계를 완료합니다.
- 온프레미스 네트워크에 대한 피어 VPN 게이트웨이를 설정하고 거기에 해당 터널을 구성합니다. 자세한 내용은 다음을 참조하세요.
- 특정 피어 VPN 기기에 대한 특정 구성 지침은 타사 VPN 사용을 참조하세요.
- 일반 구성 매개변수는 피어 VPN 게이트웨이 구성을 참조하세요.
- Google Cloud 및 피어 네트워크에서 필요에 따라 방화벽 규칙을 구성합니다.
- VPN 터널의 상태를 확인합니다. 이 단계에는 HA VPN 게이트웨이의 고가용성 구성을 확인하는 작업이 포함됩니다.
다음 단계
HA VPN 터널을 더 추가해야 하는 경우 VPN 터널 추가를 참조하세요.
HA VPN 모니터링에 대해 알아보려면 로그 및 측정항목 보기를 참조하세요.