Topologie VPN ad alta disponibilità

Questa pagina descrive le topologie consigliate e la relativa disponibilità Accordo sul livello del servizio (SLA) per ogni topologia VPN ad alta disponibilità. Per le topologie VPN classiche, consulta Topologie VPN classiche. Per ulteriori informazioni su Cloud VPN, inclusi entrambi i tipi di VPN, consulta la panoramica di Cloud VPN.

Per le definizioni dei termini utilizzati in questa pagina, consulta Termini chiave.

Panoramica

La VPN ad alta disponibilità supporta la VPN site-to-site in una delle seguenti topologie consigliate:

• Da VPN ad alta disponibilità a VPN peer di terze parti Gateway. Questa topologia richiede due tunnel VPN la prospettiva del gateway VPN ad alta disponibilità per l'alta disponibilità. In questa configurazione, la VPN ad alta disponibilità ha tre configurazioni tipiche di gateway peer:

  • Due dispositivi VPN peer separati, ognuno con il proprio indirizzo IP.
  • Un dispositivo VPN peer con due indirizzi IP separati.
  • Un dispositivo VPN peer con un indirizzo IP.

  Per determinare quale topologia è la più appropriata, rivolgiti al fornitore di il gateway VPN peer.

• VPN ad alta disponibilità tra reti VPC di Google Cloud. In questa topologia, puoi connettere due reti VPC Google Cloud utilizzando un gateway VPN ad alta disponibilità in ogni rete. Le reti VPC possono trovarsi nella stessa regione o in più regioni.

  Nota: ricevi un SLA di disponibilità diverso per le reti VPC implementate in un'unica regione rispetto a quelle implementate in più regioni.

• VPN ad alta disponibilità per istanze VM di Compute Engine. In questa topologia, colleghi un gateway VPN ad alta disponibilità a un'istanza di macchina virtuale (VM) Compute Engine. Le istanze VM possono trovarsi in una o più zone.

  Nota: lo SLA di disponibilità dell'istanza VM Compute Engine determina lo SLA di disponibilità del 99,9% per la connessione VPN.

• VPN ad alta disponibilità su Cloud Interconnect In questa topologia, crei tunnel VPN ad alta disponibilità Traffico con crittografia IPsec su collegamenti VLAN di Dedicated Interconnect o Partner Interconnect. Puoi prenotare intervalli di indirizzi IP interni regionali per i gateway VPN ad alta disponibilità. I dispositivi VPN peer possono anche avere indirizzi IP interni. Per ulteriori informazioni e diagrammi di architettura, vedi VPN ad alta disponibilità su architettura di deployment di Cloud Interconnect.

Nota: in Google Cloud, tutti gli scenari di gateway peer sono rappresentati da una singola risorsa VPN peer esterna.

Configurazioni che supportano una disponibilità del 99,99%

Topologia	Descrizione	Disponibilità garantita da SLA
Gateway VPN ad alta disponibilità a VPN peer	Connetti un gateway VPN ad alta disponibilità a uno o due dispositivi VPN peer separati	99,99%
VPN ad alta disponibilità tra due reti Google Cloud	Connetti due reti VPC Google Cloud in una singola regione utilizzando un gateway VPN ad alta disponibilità in ogni rete	99,99%

Per configurare una disponibilità del 99,99% per le connessioni VPN ad alta disponibilità, configura due tunnel dal gateway VPN ad alta disponibilità al gateway VPN peer o a un altro gateway VPN ad alta disponibilità. Assicurati che anche il gateway VPN peer sia configurato per ricevere uno SLA con disponibilità del 99,99%.

Una corretta configurazione significa che i tunnel VPN devono fornire un'adeguata ridondanza che si connette a tutte le interfacce del gateway VPN ad alta disponibilità tutte le interfacce del gateway VPN peer o di un'altra VPN ad alta disponibilità gateway VPN ad alta disponibilità.

Configurazioni che supportano una disponibilità del 99,9%

Topologia	Descrizione	Disponibilità garantita da SLA
VPN ad alta disponibilità alle istanze VM di Compute Engine in più zone	Connetti un gateway VPN ad alta disponibilità alle istanze VM Compute Engine con indirizzi IP esterni	99,9%
VPN ad alta disponibilità a una singola istanza VM di Compute Engine	Connetti un gateway VPN ad alta disponibilità a un solo Istanza VM di Compute Engine con un indirizzo IP esterno	La disponibilità garantita dallo SLA è determinata dallo SLA (accordo sul livello del servizio) relativo alla disponibilità per un'unica istanza VM della famiglia di macchine ottimizzate per la memoria per Compute Engine. Per ulteriori informazioni, consulta l'Accordo sul livello del servizio (SLA) Compute Engine.

Per configurare uno SLA con disponibilità del 99,9% per le connessioni VPN ad alta disponibilità in queste topologie, configura due tunnel dal gateway VPN ad alta disponibilità al gateway VPN peer o ad altre risorse Google Cloud.

Importante: lo SLA di disponibilità dell'istanza VM Compute Engine determina la disponibilità del 99,9% per la connessione VPN. Per ulteriori informazioni, vedi Accordo sul livello del servizio (SLA) di Compute Engine.

Configurare una VPN ad alta disponibilità per una maggiore larghezza di banda

Per aumentare la larghezza di banda dei gateway VPN ad alta disponibilità, e aggiungere altri tunnel VPN ad alta disponibilità.

Per calcolare il numero di tunnel necessario, usa 250.000 pacchetti al secondo la somma della capacità in entrata e in uscita per ogni tunnel. Ad esempio, se hai bisogno di 600.000 pacchetti al secondo per una somma di traffico in entrata e in uscita, hai bisogno di tre coppie di tunnel VPN ad alta disponibilità (sei tunnel) per contribuire a garantire la larghezza di banda e la capacità di failover richieste.

Per ulteriori informazioni sui calcoli della larghezza di banda VPN, consulta Larghezza di banda di rete.

Tieni presente le seguenti linee guida quando aumenti la larghezza di banda VPN HA.

• Controllare le quote dei tunnel VPN

  A meno che non colleghi un gateway VPN ad alta disponibilità a un altro gateway VPN ad alta disponibilità, ogni gateway VPN ad alta disponibilità supporta un numero illimitato di tunnel VPN su ogni interfaccia.

  Tuttavia, la quota dei tunnel VPN limita la il numero totale di tunnel VPN nel tuo progetto.

• Aggiungere gateway VPN ad alta disponibilità per aggiungere tunnel tra due VPN ad alta disponibilità

  Quando connetti un gateway VPN ad alta disponibilità a un altro ad alta disponibilità, puoi connetterti solo un tunnel per interfaccia, 0 o 1, al corrispondente 0 o 1 sull'altro gateway VPN ad alta disponibilità. In altre parole, tra una coppia di gateway VPN ad alta disponibilità, hai un massimo di due tunnel VPN ad alta disponibilità.

  Pertanto, per aumentare il numero di tunnel VPN tra gateway VPN ad alta disponibilità, devi creare coppie aggiuntive gateway VPN ad alta disponibilità.

• Aggiungi coppie di tunnel VPN

  Per aumentare la larghezza di banda tra VPN ad alta disponibilità e un gateway VPN peer on-premise, aggiungi coppie di tunnel VPN.

  Ad esempio, per raddoppiare la larghezza di banda di un gateway VPN ad alta disponibilità che si connette a un gateway VPN peer on-premise con due tunnel (uno attivo e uno passivo), aggiungi altri due tunnel VPN. Aggiungi un altro tunnel "attivo" e un altro tunnel "passivo".

  Le sessioni BGP per tutti e quattro i tunnel ricevono gli stessi prefissi. I due tunnel attivi ricevono i prefissi con la stessa priorità più alta, e i due tunnel passivi ricevono i prefissi con la stessa priorità più bassa.

• Abbina le interfacce sul gateway VPN peer

  Devi associare le interfacce sul gateway VPN peer per continuare a ricevere un SLA di disponibilità.

  Quando raddoppi la larghezza di banda di un gateway VPN ad alta disponibilità che si connette a un gateway VPN on-premise, associa i tunnel alle interfacce sul gateway VPN peer. Collocare i due tunnel attivi sull'interfaccia 0 e i due tunnel passivi tunnel sull'interfaccia 1. In alternativa, posiziona i due tunnel attivi sull'interfaccia 1 e due tunnel passivi sull'interfaccia 0.

VPN ad alta disponibilità a gateway VPN peer

Esistono tre configurazioni tipiche di gateway peer VPN ad alta disponibilità:

• Un gateway VPN ad alta disponibilità connesso a due dispositivi VPN peer separati, ognuno con il proprio indirizzo IP
• Un gateway VPN ad alta disponibilità connesso a un dispositivo VPN peer che utilizza due indirizzi IP separati
• Un gateway VPN ad alta disponibilità connesso a un dispositivo VPN peer che ne utilizza uno Indirizzo IP

Per impostare una qualsiasi di queste configurazioni, consulta Crea una VPN ad alta disponibilità connesso a un gateway VPN peer.

Se esegui il deployment di un gateway VPN ad alta disponibilità con un dual stack, i tunnel VPN possono supportare lo scambio di traffico IPv6. IPv6 deve essere attivato anche nelle sessioni BGP create per i tunnel VPN. In questo scenario, puoi assegnare indirizzi IPv6 alle subnet on-premise e alle subnet VPC nelle seguenti topologie.

Due dispositivi VPN peer

Se il gateway lato peer è basato su hardware, ha un secondo lato peer fornisce ridondanza e failover su quel lato della connessione. Un secondo gateway fisico ti consente di disconnettere uno dei gateway per gli upgrade del software o altre operazioni di manutenzione pianificate. Inoltre, ti protegge nel caso si verifichi errore in uno dei dispositivi.

In questa topologia, un gateway VPN ad alta disponibilità si connette a due dispositivi peer. Ogni dispositivo peer ha un'interfaccia e un indirizzo IP esterno. La Il gateway VPN ad alta disponibilità utilizza due tunnel, uno per ogni peer dispositivo.

In Google Cloud, il valore REDUNDANCY_TYPE per questa configurazione valore TWO_IPS_REDUNDANCY.

L'esempio seguente fornisce una disponibilità del 99,99%.

VPN ad alta disponibilità a due dispositivi peer (on-premise) (fai clic per ingrandire).

Un dispositivo VPN peer con due indirizzi IP

Questa topologia descrive un gateway VPN ad alta disponibilità che si connette a un dispositivo peer con due indirizzi IP esterni separati. Il gateway VPN ad alta disponibilità utilizza due tunnel, uno per ogni indirizzo IP esterno sul dispositivo peer.

In Google Cloud, il valore REDUNDANCY_TYPE per questa configurazione il valore TWO_IPS_REDUNDANCY.

L'esempio seguente fornisce una disponibilità del 99,99%.

VPN ad alta disponibilità a un dispositivo peer (on-premise) con due indirizzi IP (fai clic per ingrandire).

Un dispositivo VPN peer con un indirizzo IP

Questa topologia descrive un gateway VPN ad alta disponibilità che si connette a un dispositivo peer che ha un indirizzo IP esterno. Il gateway VPN ad alta disponibilità utilizza due tunnel, entrambi con un singolo indirizzo IP esterno sul dispositivo peer.

In Google Cloud, REDUNDANCY_TYPE per questa configurazione assume il valore SINGLE_IP_INTERNALLY_REDUNDANT.

L'esempio seguente fornisce una disponibilità del 99,99%.

VPN ad alta disponibilità a un dispositivo peer (on-premise) con un indirizzo IP (fai clic per ingrandire).

Configurazione per una disponibilità del 99,99%

Per soddisfare lo SLA (accordo sul livello del servizio) con disponibilità del 99,99% su Google Cloud, è necessario essere un tunnel da ciascuna delle due interfacce della VPN ad alta disponibilità alle interfacce corrispondenti sul gateway peer.

Se il gateway peer ha due interfacce, devi configurare due tunnel, uno ciascuna interfaccia peer a ogni interfaccia gateway VPN ad alta disponibilità, i requisiti dello SLA con disponibilità del 99,99%. Per lo SLA (accordo sul livello del servizio) con disponibilità del 99,99% lato Google Cloud non è richiesta una configurazione mesh completa. In questo caso, una topologia full mesh è definita da due tunnel da ciascuna interfaccia VPN ad alta disponibilità a ciascuna delle due interfacce sul gateway peer. Per verificare se il tuo fornitore VPN consiglia una configurazione mesh completa, consulta la documentazione del dispositivo VPN peer (on-premise) o contatta il tuo fornitore VPN.

Nelle configurazioni con due interfacce peer, tunnel su ciascuno dei seguenti sul gateway VPN ad alta disponibilità corrispondano sul gateway o sui gateway peer:

• VPN ad alta disponibilità interface 0 con peer interface 0
• VPN ad alta disponibilità interface 1 a peer interface 1

Gli esempi sono mostrati nei diagrammi per due dispositivi peer, due interfacce e un dispositivo peer, due interfacce.

Se su un gateway peer è presente una sola interfaccia peer, ogni tunnel da ciascuna interfaccia del gateway VPN ad alta disponibilità deve connettersi alla singola interfaccia peer. Guarda il diagramma per un dispositivo peer, un'interfaccia.

Attenzione: per ricevere lo SLA (accordo sul livello del servizio) con disponibilità del 99,99%, configura almeno un tunnel su ogni interfaccia del gateway VPN ad alta disponibilità. La configurazione di un solo tunnel da una singola interfaccia VPN ad alta disponibilità a una singola interfaccia sul gateway peer non fornisce una ridondanza sufficiente per soddisfare lo SLA di disponibilità poiché sul gateway VPN ad alta disponibilità è presente un'interfaccia non utilizzata su cui non è configurato un tunnel.

Il seguente esempio non fornisce una disponibilità del 99,99%:

• VPN ad alta disponibilità interface 0 con peer interface 0

Una topologia che non offre alta disponibilità (fai clic per ingrandire).

VPN ad alta disponibilità tra reti Google Cloud nella stessa regione

Puoi connettere due reti VPC Google Cloud utilizzando un gateway VPN ad alta disponibilità in ogni rete. Ciascuna Il gateway VPN ad alta disponibilità identifica l'altro gateway in base al nome.

Se esegui il deployment di due gateway VPN ad alta IPv6 dual stack, i tunnel VPN possono supportare lo scambio di traffico IPv6. L'IPv6 deve essere abilitato anche nelle sessioni BGP che crei per la VPN tunnel. In questo scenario, puoi assegnare indirizzi IPv6 alle subnet VPC nella seguente topologia.

L'esempio seguente fornisce una disponibilità del 99,99%.

Gateway VPN ad alta disponibilità tra reti Google Cloud (fai clic per ingrandire).

Per impostare questa configurazione, consulta Crea due gateway VPN ad alta disponibilità completamente configurati che si connettono tra loro.

Nota: routing transitivo su un gateway VPN ad alta disponibilità a una rete con routing statico. Ad esempio, nel diagrammi precedenti, se la rete VPC network-b ha un una route statica verso una rete esterna, quindi alla rete VPC network-a non è in grado di instradare il traffico a quella rete.

Configurazione per una disponibilità del 99,99%

Attenzione: entrambi i gateway VPN ad alta disponibilità devono trovarsi nella stessa regione per garantire una disponibilità del 99,99%. La configurazione di un solo tunnel su un'interfaccia per ogni gateway VPN ad alta disponibilità non garantisce una disponibilità del 99,99%.

Per contribuire a garantire una disponibilità del 99,99%, configura ogni gateway VPN ad alta disponibilità con due tunnel in modo che siano vere entrambe le seguenti condizioni:

• Tunnel 0 si connette a interface 0 su un gateway VPN ad alta disponibilità a interface 0 sull'altro gateway VPN ad alta disponibilità.
• Tunnel 1 si connette a interface 1 su un gateway VPN ad alta disponibilità a interface 1 sull'altro gateway VPN ad alta disponibilità.

VPN ad alta disponibilità tra reti Google Cloud in regioni diverse

Puoi connettere due reti VPC in regioni diverse utilizzando gateway VPN ad alta disponibilità. I gateway VPN ad alta disponibilità possono appartenere alla stessa organizzazione o a organizzazioni diverse e ogni gateway VPN ad alta disponibilità identifica l'altro gateway tramite il nome.

L'esempio seguente fornisce una disponibilità del 99,9%.

Consigliamo di utilizzare la VPN ad alta disponibilità tra Google Cloud nella stessa topologia di regione perché offre una maggiore disponibilità, a meno che tu non abbia bisogno che i gateway si trovino in due regioni diverse.

Gateway VPN ad alta disponibilità tra reti Google Cloud (fai clic per ingrandire).

Per configurare questa configurazione, consulta Creare due gateway VPN ad alta disponibilità completamente configurati connessi tra loro.

Configura per una disponibilità del 99,9%

Per contribuire a garantire una disponibilità del 99,9%, configura ogni gateway VPN ad alta disponibilità con due tunnel in modo che siano vere entrambe le seguenti condizioni:

• Tunnel 0 connette interface 0 su un gateway VPN ad alta disponibilità a interface 0 sull'altro gateway VPN ad alta disponibilità.
• Tunnel 1 connette interface 1 su un gateway VPN ad alta disponibilità a interface 1 sull'altro gateway VPN ad alta disponibilità.

VPN ad alta disponibilità a istanze VM Compute Engine in zone diverse

La VPN ad alta disponibilità ti consente di connettere un gateway VPN ad alta disponibilità Istanze di macchine virtuali (VM) Compute Engine che funzionano come dell'appliance virtuale di rete ed esegue un'implementazione VPN IPsec. Questa topologia fornisce uno SLA con disponibilità del 99,9% se configurata correttamente.

In questa topologia, un gateway VPN ad alta disponibilità può connettersi a due istanze VM Compute Engine. Il gateway VPN ad alta disponibilità e le VM si trovano in due VPC diversi. Le due VM si trovano in posizioni diverse in cui ogni VM ha un indirizzo IP esterno. Le istanze VM si comportano come dispositivi VPN peer.

Questa topologia è particolarmente utile quando vuoi connetterti da VPN ad alta disponibilità a una VM dell'appliance virtuale di rete di terze parti in hosting su Google Cloud. Ad esempio, utilizzando questa topologia, è possibile eseguire l'upgrade di una delle VM delle appliance virtuali di rete senza tempi di inattività per la connessione VPN.

Nel diagramma, il gateway VPN ad alta disponibilità si trova in un virtual private cloud rete denominata network-a e le due VM si trovano in network-b. Sia il virtual private cloud che si trovano in us-central1. Il gateway VPN ad alta disponibilità in network-a è configurato con gli indirizzi IP esterni di ciascuna delle VM in network-b. Puoi anche avere il gateway VPN ad alta disponibilità le VM in due diverse regioni. Ti consigliamo di utilizzare questa topologia per migliorare la disponibilità.

L'esempio seguente fornisce una disponibilità del 99,9%.

Una topologia che collega un gateway VPN ad alta disponibilità a due istanze VM Compute Engine con ogni VM in una zona diversa (fai clic per ingrandire).

Per configurare questa configurazione, consulta Connetti la VPN ad alta disponibilità alle VM Compute Engine.

Configura per una disponibilità del 99,9%

Per rispettare lo SLA del 99,9%, devono esserci almeno due tunnel da ciascuno dei due sul gateway VPN ad alta disponibilità su ciascuna delle VM. Ti consigliamo di utilizzare questa topologia per ottenere una maggiore disponibilità.

Due tunnel su ciascuna delle seguenti interfacce Il gateway VPN ad alta disponibilità si connette alle interfacce sulla VM:

• Tunnel 0 da interface 0 a us-central1-vm-a nella zona us-central1-a
• Tunnel 1 da interface 1 a us-central1-vm-a in la zona us-central1-a
• Tunnel 2 da interface 0 a us-central1-vm-b in la zona us-central1-b
• Tunnel 3 da interface 1 a us-central1-vm-b in la zona us-central1-b

VPN ad alta disponibilità a una singola istanza VM di Compute Engine

La VPN ad alta disponibilità ti consente di connettere un gateway VPN ad alta disponibilità un'istanza di macchina virtuale (VM) Compute Engine che funziona come dell'appliance virtuale di rete ed esegue un'implementazione VPN IPsec. Il gateway VPN ad alta disponibilità e la VM si trovano in due VPC diversi. La VM ha un indirizzo IP esterno.

La disponibilità complessiva è determinata dallo SLA di disponibilità fornito per una singola istanza VM della famiglia di macchine ottimizzata per la memoria per Compute Engine. Per ulteriori informazioni, vedi Accordo sul livello del servizio (SLA) di Compute Engine.

Una topologia che connette una VPN ad alta disponibilità gateway a una VM di Compute Engine (fai clic per ingrandire).

Per impostare questa configurazione, consulta l'articolo Connettere la VPN ad alta disponibilità a di Compute Engine.

Configurazione per una disponibilità del 99,9%

Per rispettare lo SLA (accordo sul livello del servizio) con disponibilità del 99,9%, devono esistere due tunnel da ciascuno due interfacce sul gateway VPN ad alta disponibilità la VM di Compute Engine.

Importante: uno SLA con disponibilità del 99,9% indica la disponibilità della connessione VPN ad alta disponibilità quando è configurata. La disponibilità complessiva è determinata dallo SLA di disponibilità fornito per una singola istanza VM della famiglia di macchine ottimizzata per la memoria per Compute Engine. Per ulteriori informazioni, consulta l'Accordo sul livello del servizio (SLA) Compute Engine.

Due tunnel su ciascuna delle seguenti interfacce sul gateway VPN ad alta disponibilità si connettono alle interfacce della VM:

• Tunnel 0 da interface 0 a us-central1-vm-a nella zona us-central1-a
• Tunnel 1 da interface 1 a us-central1-vm-a nella zona us-central1-a

Passaggi successivi

• Per utilizzare scenari di alta disponibilità e ad alto throughput o scenari con più reti private virtuali, consulta Configurazioni avanzate.
• Per aiutarti a risolvere i problemi comuni che potresti riscontrare durante l'utilizzo Cloud VPN, consulta la sezione Risoluzione dei problemi.