Reti e instradamento nei tunnel

Questa pagina descrive le reti e il routing Virtual Private Cloud (VPC) supportati le opzioni di CPU e memoria disponibili.

Per le definizioni dei termini utilizzati in questa pagina, vedi Termini chiave.

Reti supportate

Cloud VPN supporta le reti VPC in modalità personalizzata, le reti VPC in modalità automatica e le reti legacy. Tuttavia, ti consigliamo di attenerti alle seguenti best practice:

• Utilizza le reti VPC anziché le reti legacy. Le reti legacy non supportano le subnet; l'intera rete utilizza un unico intervallo di indirizzi IP. Le reti legacy non possono essere convertite in reti VPC reti.

• Utilizza una rete VPC in modalità personalizzata. VPC in modalità personalizzata le reti offrono il pieno controllo sull'intervallo dagli indirizzi IP utilizzati dalle rispettive subnet.

  • Se utilizzi Cloud VPN per connettere due reti VPC, almeno una rete deve essere una rete VPC in modalità personalizzata. Le reti VPC in modalità automatica utilizzano lo stesso intervallo di indirizzi IP interni indirizzi IP per le rispettive subnet.

  • Esamina le considerazioni per le reti VPC in modalità automatica prima di utilizzarne una con Cloud VPN. Le reti VPC in modalità automatica creano automaticamente una subnet in ogni regione Google Cloud, nonché nuove subnet nelle nuove regioni man mano che vengono aggiunte. Evita di utilizzare indirizzi IP interni dell'intervallo utilizzato dalle reti VPC in modalità automatica la rete a cui si connettono i tunnel Cloud VPN.

Opzioni di routing per i tunnel VPN

La VPN classica supporta opzioni di routing statico per la VPN tunnel, mentre la VPN ad alta disponibilità supporta l'opzione di routing dinamico. Puoi usare tunnel VPN classica che utilizzano il routing dinamico solo se il gateway della VPN classica si connette al gateway VPN di un software in esecuzione all'interno di una VM di Compute Engine.

Il routing dinamico utilizza il parametro Border Gateway Protocol (BGP).

Routing dinamico (BGP)

Il routing dinamico utilizza un router Cloud per gestire automaticamente lo scambio di route utilizzando BGP. Un BGP su un router Cloud nella stessa regione dell'interfaccia Il tunnel Cloud VPN gestisce questo scambio. Cloud Router aggiunge e rimuove le route senza richiedere l'eliminazione e la ricreazione del tunnel.

La modalità di routing dinamico della rete VPC controlla il comportamento di tutti i router Cloud. Questa modalità determina se le route apprese dalla rete peer vengono applicate alle risorse Google Cloud nella stessa regione del tunnel VPN o in tutte le regioni. Puoi controllare le route annunciate dal router o dal gateway peer.

La modalità di routing dinamico determina anche se le route delle subnet solo della regione del tunnel o di tutte le regioni sono condivise con il router o il gateway peer. Oltre a queste route delle sottoreti, puoi configurare annunci di route personalizzati su un router Cloud.

Routing statico

Avviso: alcune funzionalità del routing dinamico della VPN classica sono deprecate. Per ulteriori informazioni, consulta Deprecazione parziale del routing dinamico della VPN classica.

I tunnel VPN classica supportano il formato statico basato su criteri e uno basato su route le opzioni di routing. Prendi in considerazione un'opzione di routing statico solo se non puoi usare il targeting dinamico (BGP) o VPN ad alta disponibilità.

• Routing basato su criteri. Gli intervalli IP locali (lato sinistro) e gli intervalli IP remoti (lato destro) vengono definiti durante la procedura di creazione del tunnel.

• VPN basata su route. Quando utilizzi la console Google Cloud per creare VPN basata su route, devi specificare solo un elenco di intervalli IP remoti. Quelli vengono utilizzati solo per creare route nella tua rete VPC con le risorse peer.

Puoi trovare ulteriori informazioni su queste due opzioni di routing statico nella sezione successiva.

Nota: la modalità di routing dinamico di una rete VPC influisce solo sul comportamento dei router Cloud. Non influisce su i tunnel VPN Cloud basati su criteri o route.

Selettori di traffico

Un selettore di traffico definisce un insieme di intervalli di indirizzi IP o blocchi CIDR utilizzati per per stabilire un tunnel VPN. Questi intervalli vengono utilizzati nell'ambito della negoziazione IKE per nel tunnel. In alcuni testi, i selettori di traffico sono indicati come domini di crittografia.

Esistono due tipi di selettori del traffico:

• Il selettore del traffico locale definisce l'insieme di intervalli IP locali (blocchi CIDR) dal punto di vista del gateway VPN che emette il tunnel VPN. Per tunnel Cloud VPN, il selettore del traffico locale definisce l'insieme CIDR primari e secondari delle subnet subnet nel VPC che rappresenta il lato sinistro del tunnel.

• Il selettore di traffico remoto definisce l'insieme di intervalli IP remoti (blocchi CIDR) dal punto di vista del gateway VPN che emette il tunnel VPN. Per nei tunnel Cloud VPN, il selettore del traffico remoto è lato destro oppure o una rete peer.

I selettori del traffico sono una parte intrinseca di un tunnel VPN, utilizzati per stabilire la stretta di mano IKE. Se è necessario modificare i CIDR locali o remoti, il tunnel Cloud VPN e il tunnel peer corrispondente devono essere distrutti e ricreati.

Importante: in Google Cloud, viene utilizzato un selettore di traffico (dominio di crittografia) non è la stessa cosa di un percorso. Quando utilizzi la console Google Cloud per creare un tunnel Cloud VPN basato su criteri o su route, Google Cloud crea automaticamente le route necessarie per le reti peer nella tua rete VPC. Se utilizzi Google Cloud CLI per creare un tunnel VPN Cloud basato su criteri o su route, le route non vengono create automaticamente; devi creare le route statiche personalizzate manualmente. Per istruzioni, vedi Crea una VPN classica utilizzando il routing statico.

Opzioni di routing e selettori del traffico

I valori dell'intervallo IP (blocco CIDR) per i selettori del traffico locale e remoto dipendono sull'opzione di routing utilizzata dal tunnel Cloud VPN.

Tunnel VPN ad alta disponibilità
Opzione di routing per tunnel	Selettore del traffico locale	Selettore del traffico remoto	Route alla rete VPC	Percorsi alla rete peer
Richiede il routing dinamico (BGP)	Sempre 0.0.0.0/0 per IPv4 (stack singolo) o 0.0.0.0/0,::/0 per IPv4 e IPv6 (stack doppio) o ::/0 per IPv6 (stack singolo)	Sempre 0.0.0.0/0 per IPv4 (stack singolo) o 0.0.0.0/0,::/0 per IPv4 e IPv6 (stack doppio) o ::/0 per IPv6 (stack singolo)	A meno che non vengano modificate da annunci personalizzati, il router Cloud che gestisce l'interfaccia BGP per il tunnel VPN Cloud condivide le route alle subnet nella rete VPC in base alla modalità di routing dinamico della rete e alle quote e ai limiti per il router Cloud.	Soggetto a limitazioni su route personalizzate e delle quote e dei limiti Router Cloud, il router Cloud che gestisce il BGP dell'interfaccia Il tunnel Cloud VPN apprende le route inviate dalla VPN peer e li aggiunge alla rete VPC come route dinamiche personalizzate.
Tunnel VPN classici
Opzione di routing del tunnel	Selettore del traffico locale	Selettore del traffico remoto	Route alla rete VPC	Instrada alla rete peer
Routing dinamico (BGP)	Sempre 0.0.0.0/0	Sempre 0.0.0.0/0	A meno che non venga modificato da annunci personalizzati, il router Cloud la gestione dell'interfaccia BGP per il tunnel Cloud VPN condivide alle subnet nella rete VPC in base modalità di routing dinamico della rete, quote e limiti per il router Cloud.	Fatte salve le limitazioni relative alle route personalizzate e alle quote e ai limiti per il router Cloud, il router Cloud che gestisce l'interfaccia BGP per il tunnel VPN Cloud apprende le route inviate dal gateway VPN peer e le aggiunge alla rete VPC come route dinamiche personalizzate.
Routing basato su criteri	Configurabile. Vedi tunnel e traffico basati su criteri selettori.	Obbligatorio. Consulta la sezione sui tunnel e i selettori di traffico basati su criteri.	Devi creare e gestire manualmente le route alle subnet la tua rete VPC sui router peer.	Se utilizzi la console Google Cloud per creare il tunnel VPN basato su criteri, le route statiche personalizzate vengono create automaticamente. Se utilizzi gcloud CLI per creare devi utilizzare altri comandi gcloud per creare il tunnel route. Per istruzioni, vedi Crea un VPN classica con routing statico
VPN basata su route	Sempre 0.0.0.0/0	Sempre 0.0.0.0/0	Devi creare e gestire manualmente le route alle subnet la tua rete VPC sui router peer.	Se utilizzi la console Google Cloud per creare la VPN basata su route vengono create automaticamente route statiche personalizzate. Se utilizzi gcloud CLI per creare il tunnel, devi utilizzare comandi gcloud aggiuntivi per creare le route. Per istruzioni, consulta Creare una VPN classica mediante routing statico.

Tunnel basati su criteri e selettori di traffico

Questa sezione descrive considerazioni speciali per i selettori di traffico quando crei tunnel VPN classici basati su criteri. Non si applica a qualsiasi altro tipo di VPN classica o VPN ad alta disponibilità tunnel.

Puoi scegliere di specificare il selettore del traffico locale di un tunnel VPN Cloud basato su criteri al momento della creazione:

• Selettore del traffico locale personalizzato. Puoi definire il selettore del traffico locale un insieme di subnet nella rete VPC o un insieme di indirizzi IP che includono gli intervalli IP che hai scelto subnet nella rete VPC. IKEv1 limita i selettori di traffico locale a un singolo CIDR.

• Reti VPC in modalità personalizzata. Specifica un selettore di traffico locale personalizzato costituito da un intervallo di indirizzi IP interni.

• Reti VPC in modalità automatica. Se non specificato, il selettore del traffico locale è l'intervallo IP principale (blocco CIDR) della subnet creata automaticamente nella stessa regione del tunnel Cloud VPN. Modalità automatica Le reti VPC hanno una subnet per regione con IP ben definito intervalli di tempo.

• Reti legacy. Se non specificato, il selettore del traffico locale viene definito come l'intero intervallo di indirizzi IP RFC 1918 della rete precedente.

Specifica il selettore del traffico remoto di un tunnel Cloud VPN basato su criteri quando lo crei. Se utilizzi la console Google Cloud per creare Tunnel Cloud VPN, route statiche personalizzate le cui destinazioni corrispondono i CIDR del selettore del traffico remoto vengono creati automaticamente. IKEv1 limita i selettori di traffico remoto a un singolo CIDR. Per istruzioni, consulta Creare una VPN classica mediante routing statico.

Considerazioni importanti per i selettori di traffico

Prima di creare un tunnel Cloud VPN basato su criteri, tieni presente quanto segue:

• La maggior parte dei gateway VPN passa il traffico attraverso un tunnel VPN solo se l'IP di origine di un pacchetto rientra nel selettore del traffico locale del tunnel e se l'indirizzo IP di destinazione di un pacchetto si inserisce nel traffico remoto del tunnel selettore. Alcuni dispositivi VPN non applicano questo requisito.

• Cloud VPN supporta i CIDR dei selettori di traffico di 0.0.0.0/0 o ::/0 (qualsiasi indirizzo IP). Per determinare se lo stesso vale per il tuo gateway VPN peer, consulta la documentazione fornita con il gateway VPN peer. La creazione di un tunnel VPN basato su criteri con entrambi i selettori del traffico impostati su 0.0.0.0/0 oppure ::/0 è funzionalmente equivalente alla creazione di una VPN basata su route.

• Esamina attentamente più CIDR per selettore di traffico come Cloud VPN implementa i protocolli IKEv1 e IKEv2.

• Cloud VPN non consente di modificare i selettori di traffico dopo aver creato una VPN. Per modificare il selettore del traffico locale o remoto per un tunnel VPN Cloud, devi eliminare il tunnel e ricrearlo. Tuttavia, non è necessario eliminare il gateway Cloud VPN.

• Se converti una rete VPC in modalità automatica in una rete VPC in modalità personalizzata, potrebbe essere necessario eliminare e ricreare il tunnel VPN Cloud (ma non il gateway). Ciò potrebbe verificarsi se puoi aggiungere subnet personalizzate, rimuovere quelle create automaticamente o modificare gli intervalli IP secondari di qualsiasi subnet. Evita di cambiare la modalità Rete VPC con tunnel Cloud VPN esistenti. Per suggerimenti, consulta le considerazioni per le reti VPC in modalità automatica.

Per un comportamento VPN coerente e prevedibile:

• Rendi i selettori di traffico locale e remoto il più specifici possibile.

• Fai in modo che il selettore del traffico locale di Cloud VPN corrisponda al selettore del traffico locale selettore di traffico configurato per il tunnel corrispondente sul peer un gateway VPN ad alta disponibilità.

• Rendi il selettore del traffico remoto di Cloud VPN uguale al selettore locale selettore di traffico configurato per il tunnel corrispondente on-premise un gateway VPN ad alta disponibilità.

Più CIDR per selettore di traffico

Quando crei un tunnel VPN classica basato su criteri, se utilizzi IKEv2, puoi specificare più CIDR per selettore di traffico. Cloud VPN utilizza sempre una singola associazione di sicurezza secondaria (SA), indipendentemente dalla versione di IKE.

La seguente tabella riassume il supporto di Cloud VPN per più CIDR per selettore di traffico nei tunnel VPN basati su criteri.

Versione IKE	Più CIDR per selettore di traffico
IKEv1	No Il protocollo IKEv1 supporta solo un singolo CIDR per SA secondaria come definito in RFC 2407 e RFC 2409. Poiché Cloud VPN richiede un'unica SA secondaria per tunnel VPN, quando utilizzi IKEv1, puoi fornire un solo CIDR per il selettore del traffico locale e un solo CIDR per il selettore del traffico remoto. Cloud VPN non supporta la creazione di un tunnel VPN utilizzando IKEv1 con più SA secondarie, ciascuna con un singolo CIDR.
IKEv2	Sì, se sono soddisfatte le seguenti condizioni: Il gateway VPN peer utilizza una singola SA secondaria. Tutti i CIDR per il del selettore del traffico locale I CIDR del selettore del traffico remoto devono essere in un unico Child SA. Il numero di CIDR configurati non causa la proposta IKE per superare la MTU massima di Cloud VPN di 1460 byte. Se le proposte IKE superano questo valore MTU, i tunnel Cloud VPN non vengono stabiliti. Non superare le restrizioni per il numero di CIDR supportati dal gateway on-premise. Per maggiori dettagli, consulta il documentazione. Una best practice consiste nell'utilizzare al massimo 30 CIDR per selettore di traffico in modo da non creare un pacchetto di proposta IKE che superi l'MTU massimo.

Importante: quando utilizzi IKEv2, il gateway VPN peer deve accettare tutti i CIDR in ogni selettore di traffico utilizzando un'unica SA secondaria. Non tutti i gateway VPN supportano questa azione. I gateway VPN che creano un SA secondario univoco per CIDR non compatibile con Cloud VPN. Per saperne di più, consulta la sezione successiva.

Strategie di selezione del traffico

Avviso:alcuni tipi di routing dinamico VPN classica è deprecata. Per ulteriori informazioni, vedi Ritiro parziale del routing dinamico della VPN classica.

Considera le seguenti strategie se il tuo gateway VPN on-premise crea più SA secondarie per tunnel VPN o se più CIDR per selettore di traffico causa il superamento di 1460 byte da parte di una proposta IKE per IKEv2 (per i dettagli, Opzioni di routing e selettori del traffico):

1. Utilizza il routing dinamico per il tunnel VPN. Se le tue il gateway VPN peer supporta BGP; configura i selettori del traffico sia locale che remoto per consentire al tunnel VPN di consentire qualsiasi indirizzo IP. Utilizza 0.0.0.0/0 solo per IPv4 oppure utilizza 0.0.0.0/0,::/0 per il traffico IPv4 e IPv6. Le route vengono scambiate automaticamente tra il gateway VPN peer e il router Cloud associato al tunnel Cloud VPN. Se puoi utilizzare le risorse dinamiche, il routing, considera la VPN ad alta disponibilità.

2. Utilizza selettori di traffico CIDR generici e singoli e routing dei tunnel statici:

   • Utilizza una VPN basata su route. Entrambi i selettori di traffico sono 0.0.0.0/0 per definizione per le VPN basate su route. Puoi creare route più specifici dei selettori del traffico.

   • Utilizza il routing basato su criteri e configura il routing locale e da remoto del traffico. Per i tunnel VPN Cloud basati su criteri, puoi creare route per le reti on-premise nella tua rete VPC le cui destinazioni sono più specifiche dei blocchi CIDR specificati nei selettori del traffico remoto. Utilizza gcloud CLI per creare le route separatamente dai tunnel VPN seguendo i passaggi descritti in Creare una VPN classica mediante routing statico.

3. Utilizza il routing basato su criteri per creare più tunnel Cloud VPN in modo che ogni tunnel abbia un solo blocco CIDR per il selettore del traffico locale e un solo blocco CIDR per il selettore del traffico remoto. configura l'ambiente on-premise tunnel della controparte in modo simile. Cloud VPN supporta più tunnel per gateway. Tuttavia, l'utilizzo di più tunnel ha alcune implicazioni:

   • Il gateway VPN peer deve offrire indirizzi IP esterni separati a cui può connettersi ogni tunnel Cloud VPN. Tunnel sullo stesso Il gateway VPN classica deve connettersi a un gateway peer univoco e gli indirizzi IP esterni. Il gateway VPN peer potrebbe anche richiedere che i suoi tunnel si connettono a indirizzi IP univoci. In alcuni casi, devi creare un gateway Cloud VPN separato per ogni tunnel Cloud VPN.
   • Quando utilizzi la console Google Cloud per creare tunnel VPN Cloud basati su route o su criteri, oltre al tunnel vengono creati automaticamente i route per la rete peer. Se le route sono automaticamente creato per più tunnel VPN che usano selettori remoti del traffico, come nel caso della creazione VPN: puoi avere più route rete VPC, tutte con destinazioni identiche ma diverse hop successivi. Ciò può portare a un comportamento imprevedibile o imprevisto perché il traffico viene inviato a un tunnel VPN in base all'applicabilità e all'ordine delle route. In caso contrario utilizzare il routing dinamico (BGP) per i tunnel, creare e rivedere le route statiche sia la rete VPC che la rete peer.

Passaggi successivi

• Per conoscere i concetti base di Cloud VPN, consulta Panoramica di Cloud VPN.
• Per usare scenari con disponibilità elevata e velocità effettiva elevata, oppure più gli scenari di subnet, vedi Configurazioni avanzate.
• Per aiutarti a risolvere i problemi comuni che potresti riscontrare durante l'utilizzo di Cloud VPN, consulta la sezione Risoluzione dei problemi.