Créer une passerelle VPN haute disponibilité vers une passerelle VPN de pairs

Cette page explique comment créer une passerelle VPN haute disponibilité qui se connecte à une passerelle VPN de pairs.

Les passerelles VPN haute disponibilité utilisent l'API HA VPN et fournissent un contrat de niveau de service garantissant une disponibilité de 99,99 %. Cette configuration utilise une paire de tunnels, avec un tunnel sur chaque interface de passerelle VPN haute disponibilité. Pour recevoir un contrat de niveau de service garantissant une disponibilité de 99,99 %, vous devez configurer des tunnels VPN sur les deux interfaces de passerelle VPN haute disponibilité.

Il existe deux composants de passerelle à configurer pour le VPN haute disponibilité :

  • Une passerelle VPN haute disponibilité dans Google Cloud.
  • Votre passerelle ou vos passerelles VPN de pairs : une ou plusieurs applications ou appareils de passerelle VPN physique dans le réseau de pairs auquel la passerelle VPN haute disponibilité se connecte. La passerelle de pairs peut être soit une passerelle VPN sur site, soit une passerelle hébergée par un autre fournisseur cloud.

    Créez une ressource de passerelle VPN externe dans Google Cloud pour chaque appareil ou service de passerelle de pairs. Remarque : Tous les scénarios de passerelles de pairs sont représentés dans Google Cloud par une seule ressource de VPN de pairs externe.

Pour en savoir plus sur Cloud VPN, consultez les ressources suivantes :

Exigences

Types de redondance

L'API VPN haute disponibilité contient une option pour REDUNDANCY_TYPE, qui représente le nombre d'interfaces que vous configurez pour la ressource de passerelle VPN externe.

Lorsque vous configurez une ressource de passerelle VPN externe, les commandes gcloud déduisent automatiquement les valeurs suivantes de REDUNDANCY_TYPE à partir du nombre d'interfaces que vous indiquez dans l'ID d'interface :

  • Une interface VPN externe correspond à SINGLE_IP_INTERNALLY_REDUNDANT.
  • Deux interfaces VPN externes correspondent à TWO_IPS_REDUNDANCY.
  • Quatre interfaces VPN externes correspondent à FOUR_IPS_REDUNDANCY.

Lorsque vous configurez des passerelles VPN externes, vous devez utiliser les numéros d'identification d'interface suivants pour le nombre indiqué d'interfaces VPN externes :

  • Pour une interface VPN externe, utilisez la valeur 0.
  • Pour deux interfaces VPN externes, utilisez les valeurs 0 et 1.
  • Pour quatre interfaces VPN externes, utilisez les valeurs 0, 1, 2 et 3.

Créer des VPN haute disponibilité vers des passerelles de pairs AWS

Lors de la configuration d'une passerelle VPN haute disponibilité externe vers Amazon Web Services (AWS), vous pouvez utiliser une passerelle de transit ou une passerelle réseau privé virtuel. Seule la passerelle de transit est compatible avec le routage ECMP (Equal-Cost Multi-Path). Lorsque le protocole ECMP est activé, il répartit équitablement le trafic entre les tunnels actifs. La topologie compatible nécessite deux connexions AWS Site-to-Site VPN, A et B, chacune ayant deux adresses IP externes. Cette topologie engendre quatre adresses IP externes au total dans AWS : A1, A2, B1 et B2.

  1. Configurez les quatre adresses IP AWS comme une seule passerelle VPN haute disponibilité externe à l'aide de FOUR_IPS_REDUNDANCY, où :
    • l'adresse IP AWS 0 équivaut à A1 ;
    • l'adresse IP AWS 1 équivaut à A2 ;
    • l'adresse IP AWS 2 équivaut à B1 ;
    • l'adresse IP AWS 3 équivaut à B2.
  2. Créez quatre tunnels sur la passerelle VPN haute disponibilité pour atteindre le contrat de niveau de service de 99,99 % à l'aide de la configuration suivante :
    • interface 0 VPN haute disponibilité vers interface 0 AWS
    • interface 0 VPN haute disponibilité vers interface 1 AWS
    • interface 1 VPN haute disponibilité vers interface 2 AWS
    • interface 1 VPN haute disponibilité vers interface 3 AWS

Configurez un VPN haute disponibilité avec AWS :

  1. Dans Google Cloud, créez une passerelle VPN haute disponibilité et un routeur Cloud Router dans la région de votre choix. Deux adresses IP externes sont alors créées, une pour chaque interface de passerelle. Notez les adresses IP externes à utiliser à l'étape suivante.
  2. Dans AWS, créez deux passerelles client à l'aide des éléments suivants :
    • L'option de routage Dynamique
    • Le numéro ASN Google du routeur Cloud Router
    • Adresses IP externes de la passerelle VPN haute disponibilité Google Cloud interfaces 0 et 1
  3. Suivez la procédure correspondant à l'option de VPN AWS que vous utilisez :
    • Passerelle de transit
      1. Créez un rattachement de passerelle de transit avec un VPN pour la première passerelle client (interface 0) et utilisez l'option de routage Dynamique.
      2. Répétez l'étape précédente pour la deuxième passerelle client (interface 1).
    • Passerelle réseau privé virtuel
      1. Créez une connexion Site-to-Site VPN pour la première passerelle client (interface 0) à l'aide des éléments suivants :
        • Le type de passerelle cible Passerelle réseau privé virtuel
        • L'option de routage Dynamique
      2. Répétez l'étape précédente pour la deuxième passerelle client (interface 1).
  4. Téléchargez les fichiers de configuration AWS pour les deux connexions que vous avez créées. Ces fichiers contiennent les informations dont vous aurez besoin lors des étapes suivantes de cette procédure, y compris les clés d'authentification pré-partagées, les adresses IP externes des tunnels et les adresses IP internes des tunnels.
  5. Dans Google Cloud, procédez comme suit :
    1. Créez une passerelle VPN de pairs avec quatre interfaces en utilisant les adresses IP externes AWS contenues dans les fichiers téléchargés à l'étape précédente.
    2. Créez quatre tunnels VPN sur la passerelle VPN haute disponibilité que vous avez créée à l'étape 1. Pour chaque tunnel, configurez l'interface de passerelle VPN haute disponibilité avec l'interface de passerelle VPN de pairs et les clés pré-partagées appropriées, en utilisant les informations contenues dans les fichiers de configuration AWS que vous avez téléchargés.
    3. Configurez des sessions BGP sur le routeur Cloud Router à l'aide des adresses IP BGP contenues dans les fichiers de configuration AWS téléchargés.

Créer des routeurs cloud

Lors de la configuration d'une nouvelle passerelle VPN haute disponibilité, vous pouvez créer un routeur Cloud Router ou utiliser un routeur Cloud Router existant avec des tunnels Cloud VPN ou des rattachements de VLAN existants. Cependant, le routeur Cloud Router que vous utilisez ne doit pas déjà gérer une session BGP pour un rattachement de VLAN associé à une interconnexion partenaire, en raison des exigences spécifiques du numéro ASN du rattachement.

Avant de commencer

Consultez les informations sur le fonctionnement du routage dynamique dans Google Cloud.

Assurez-vous que votre passerelle VPN de pairs est compatible avec le protocole BGP (Border Gateway Protocol).

Configurez les éléments suivants dans Google Cloud pour faciliter la configuration de Cloud VPN :

  1. Connectez-vous à votre compte Google Cloud. Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits gratuits pour exécuter, tester et déployer des charges de travail.
  2. Dans Google Cloud Console, sur la page de sélection du projet, sélectionnez ou créez un projet Google Cloud.

    Accéder au sélecteur de projet

  3. Assurez-vous que la facturation est activée pour votre projet Cloud. Découvrez comment vérifier que la facturation est activée pour votre projet.

  4. Installez et initialisez le SDK Cloud.
  1. Si vous utilisez l'outil de ligne de commande gcloud, définissez votre ID de projet à l'aide de la commande suivante. Dans les instructions gcloud présentées sur cette page, nous partons du principe que vous avez défini l'ID de votre projet avant d'exécuter les commandes.

        gcloud config set project PROJECT_ID
        
  1. Vous pouvez également afficher un ID de projet déjà défini en exécutant la commande suivante :

        gcloud config list --format='text(core.project)'
        

Créer un réseau VPC et un sous-réseau personnalisés

Avant de créer une passerelle VPN haute disponibilité et une paire de tunnels, créez un réseau cloud privé virtuel (VPC) et au moins un sous-réseau dans la région où se trouve la passerelle VPN haute disponibilité :

Les exemples de ce document utilisent également le mode de routage dynamique global d'un réseau VPC, qui se comporte comme suit :

  • Toutes les instances de Cloud Router appliquent les routes to on-premises apprises à tous les sous-réseaux du réseau VPC.
  • Les routes vers tous les sous-réseaux du réseau VPC sont partagées avec les routeurs sur site.

Créer une passerelle VPN haute disponibilité et une paire de tunnels vers un VPN de pairs

Suivez les instructions de cette section pour créer une passerelle VPN haute disponibilité, une ressource de passerelle VPN de pairs, une paire de tunnels et des sessions BGP.

Créer une passerelle VPN haute disponibilité

Console

L'assistant de configuration VPN inclut toutes les étapes de configuration requises pour créer une passerelle VPN haute disponibilité, une ressource de passerelle VPN de pairs, des tunnels et des sessions BGP.

Pour créer une passerelle VPN haute disponibilité, procédez comme suit :

  1. Dans Google Cloud Console, accédez à la page VPN.

    Accéder au VPN

  2. Si vous créez une passerelle pour la première fois, cliquez sur Créer une connexion VPN.

  3. Sélectionnez l'assistant de configuration VPN.

  4. Si vous disposez déjà d'une passerelle VPN haute disponibilité, sélectionnez son bouton d'options.

  5. Cliquez sur Continuer.

  6. Spécifiez un nom de passerelle VPN.

  7. Sous Réseau VPC, sélectionnez un réseau existant ou le réseau par défaut.

  8. Sélectionnez une Région.

  9. Cliquez sur Créer et continuer.

  10. L'écran de la console est actualisé et affiche les informations relatives à votre passerelle. Deux adresses IP externes sont automatiquement attribuées à chaque interface de votre passerelle. Notez les détails de la configuration de votre passerelle pour les prochaines étapes de configuration.

gcloud

Pour créer une passerelle VPN haute disponibilité, exécutez la commande suivante. Lorsque la passerelle est créée, deux adresses IP externes sont automatiquement attribuées, une pour chaque interface de passerelle.

gcloud compute vpn-gateways create GW_NAME \
    --network=NETWORK \
    --region=REGION

Remplacez l'élément suivant :

  • GW_NAME : nom de la passerelle
  • NETWORK : nom de votre réseau Google Cloud
  • REGION : région Google Cloud dans laquelle vous créez la passerelle et le tunnel

La passerelle que vous créez doit ressembler à l'exemple de résultat suivant. Une adresse IP externe a été attribuée automatiquement à chaque interface de passerelle :

Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnGateways/ha-vpn-gw-a].
NAME          INTERFACE0     INTERFACE1     NETWORK     REGION
ha-vpn-gw-a   203.0.113.16   203.0.113.23   network-a   us-central1

API

Pour créer la configuration complète d'une passerelle VPN haute disponibilité, utilisez les commandes API dans les sections suivantes. Toutes les valeurs de champs utilisées dans ces sections sont des exemples de valeurs.

Pour créer une passerelle VPN haute disponibilité, envoyez une requête POST à l'aide de la méthode vpnGateways.insert :

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/vpnGateways
   {
     "name": "ha-vpn-gw-a",
     "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/network-a"
   }

Créer une ressource de passerelle VPN de pairs

Console

La ressource de passerelle VPN de pairs représente votre passerelle autre que Google Cloud dans Google Cloud.

Pour créer une ressource de passerelle VPN de pairs, procédez comme suit :

  1. Sur la page Créer un VPN, sous Passerelle VPN de pairs, sélectionnez Sur site ou non Google Cloud.
  2. Sous Nom de la passerelle VPN de pairs, sélectionnez une passerelle de pairs existante ou cliquez sur Créer une passerelle VPN de pairs.

    Si vous choisissez une passerelle existante, Cloud Console sélectionne le nombre de tunnels à configurer en fonction du nombre d'interfaces de pairs que vous avez configurées sur la passerelle de pairs existante.

    Pour créer une nouvelle passerelle de pairs, procédez comme suit :

    1. Spécifiez un Nom pour la passerelle VPN de pairs.
    2. Sous Interfaces de passerelle VPN de pairs, sélectionnez les interfaces one, two ou four, en fonction du type d'interfaces de votre passerelle de pairs. Pour obtenir des exemples sur chaque type, consultez la page Topologies.
    3. Dans le champ correspondant à chaque interface VPN de pairs, spécifiez l'adresse IP externe utilisée pour l'interface. Pour en savoir plus, consultez la section Configurer la passerelle VPN de pairs.
    4. Cliquez sur Create (Créer).

gcloud

Créez une ressource de passerelle VPN externe qui fournit à Google Cloud des informations sur votre ou vos passerelles VPN de pairs. En fonction des recommandations de haute disponibilité pour votre passerelle VPN de pairs, vous pouvez créer des ressources de passerelle VPN externe pour les différents types de passerelles VPN sur site suivants :

  • Deux appareils de passerelle VPN de pairs distincts, où les deux appareils sont redondants entre eux et où chaque appareil possède sa propre adresse IP externe.
  • Une passerelle VPN de pairs unique utilisant deux interfaces distinctes, chacune avec sa propre adresse IP externe. Pour ce type de passerelle de pairs, vous pouvez créer une passerelle VPN externe unique avec deux interfaces.
  • Une passerelle VPN de pairs unique avec une seule adresse IP externe.

Option 1 : Créer une ressource de passerelle VPN externe pour deux appareils de passerelle VPN de pairs

  • Pour ce type de passerelle de pairs, chaque interface de la passerelle VPN externe possède une adresse IP externe et chaque adresse provient de l'un des appareils de passerelle VPN de pairs.

    gcloud compute external-vpn-gateways create PEER_GW_NAME \
       --interfaces 0=PEER_GW_IP_0,1=PEER_GW_IP_1
    

    Remplacez l'élément suivant :

    • PEER_GW_NAME : nom représentant la passerelle de pairs
    • PEER_GW_IP_0 : adresse IP externe d'une passerelle de pairs
    • PEER_GW_IP_1 : adresse IP externe d'une autre passerelle de pairs

    La ressource de passerelle VPN externe créée doit ressembler à l'exemple suivant où PEER_GW_IP_0 et PEER_GW_IP_1 indiquent les adresses IP externes réelles des interfaces de la passerelle de pairs :

    Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways/peer-gw].
    NAME      INTERFACE0    INTERFACE1
    peer-gw   PEER_GW_IP_0  PEER_GW_IP_1
    

Option 2 : Créer une ressource de passerelle VPN externe pour une passerelle VPN de pairs avec deux interfaces distinctes

  • Pour ce type de passerelle de pairs, créez une passerelle VPN externe unique avec deux interfaces :

    gcloud compute external-vpn-gateways create PEER_GW_NAME \
       --interfaces 0=PEER_GW_IP_0,1=PEER_GW_IP_1
    

    Remplacez l'élément suivant :

    • PEER_GW_NAME : nom représentant la passerelle de pairs
    • PEER_GW_IP_0 : adresse IP externe d'une interface de la passerelle de pairs
    • PEER_GW_IP_1 : adresse IP externe d'une autre interface de la passerelle de pairs

    La ressource de passerelle VPN externe créée doit ressembler à l'exemple suivant où PEER_GW_IP_0 et PEER_GW_IP_1 indiquent les adresses IP externes réelles des interfaces de la passerelle de pairs :

    Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways/peer-gw].
    NAME     INTERFACE0    INTERFACE1
    peer-gw  PEER_GW_IP_0  PEER_GW_IP_1
    

Option 3 : Créer une ressource de passerelle VPN externe pour une seule passerelle VPN de pairs avec une seule adresse IP externe

  • Pour ce type de passerelle de pairs, créez une passerelle VPN externe avec une interface :

    gcloud compute external-vpn-gateways create PEER_GW_NAME \
       --interfaces 0=PEER_GW_IP_0
    

    Remplacez l'élément suivant :

    • PEER_GW_NAME : nom représentant la passerelle de pairs
    • PEER_GW_IP_0 : adresse IP externe de l'interface de la passerelle de pairs

    La ressource de passerelle VPN externe créée doit ressembler à l'exemple suivant, où PEER_GW_IP_0 indique les adresses IP externes réelles de l'interface de passerelle de pairs :

    Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways/peer-gw].
    NAME       INTERFACE0
    peer-gw    PEER_GW_IP_0
    

API

Pour créer une ressource de passerelle VPN externe, envoyez une requête POST à l'aide de la méthode externalVpnGateways.insert.

  • Pour une passerelle VPN (de pairs) externe disposant d'une interface, utilisez l'exemple suivant, mais spécifiez un seul ID d'interface et une adresse IP (ipAddress) avec un type de redondance redundancyType SINGLE_IP_INTERNALLY_REDUNDANT.
  • Pour une passerelle VPN externe avec deux interfaces, ou deux passerelles VPN externes avec une interface chacune, utilisez l'exemple de type de redondance TWO_IPS_REDUNDANCY ci-dessous.
  • Pour une ou plusieurs passerelles VPN externes avec quatre interfaces VPN externes (par exemple, Amazon Web Services (AWS), utilisez l'exemple suivant, mais spécifiez quatre instances de l'ID d'interface et une adresse IP (ipAddress), et utilisez une commande redundancyType FOUR_IPS_REDUNDANCY.

     POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways
     {
       "name": "my-peer-gateway",
       "interfaces": [
         {
           "id": 0,
           "ipAddress": "192.0.2.1"
         },
         {
           "id": 1,
           "ipAddress": "192.0.2.2"
         }
       ],
       "redundancyType": "TWO_IPS_REDUNDANCY"
     }
    

Créer un routeur cloud

Console

Sous Cloud Router, si ce n'est pas déjà fait, créez un routeur Cloud Router en spécifiant les options suivantes. Vous pouvez utiliser un routeur Cloud Router existant si le routeur ne gère pas encore une session BGP pour un rattachement de VLAN associé à une interconnexion partenaire.

  1. Pour créer un routeur Cloud Router, spécifiez les éléments suivants :

    • Un nom
    • Une description facultative
    • Un numéro ASN Google pour le nouveau routeur

    Vous pouvez utiliser n'importe quel ASN privé (64512 à 65534, 4200000000 à 4294967294) que vous n'utilisez pas ailleurs sur votre réseau. Ce numéro sert pour toutes les sessions BGP gérées par le même routeur Cloud Router et ne peut pas être modifié ultérieurement.

  2. Pour créer le nouveau routeur, cliquez sur Créer.

gcloud

Pour créer un routeur Cloud Router, exécutez la commande suivante :

gcloud compute routers create ROUTER_NAME \
    --region=REGION \
    --network=NETWORK \
    --asn=GOOGLE_ASN

Remplacez l'élément suivant :

  • ROUTER_NAME : nom du routeur Cloud Router dans la même région que la passerelle Cloud VPN.
  • REGION : région Google Cloud dans laquelle vous créez la passerelle et le tunnel
  • NETWORK : nom de votre réseau Google Cloud
  • GOOGLE_ASN : tout numéro ASN privé (64512 à 65534, 4200000000 à 4294967294) que vous n'utilisez pas déjà dans le réseau de pairs. Ce numéro est utilisé pour toutes les sessions BGP gérées par le même routeur Cloud Router et ne peut pas être modifié ultérieurement

Le routeur que vous créez doit ressembler à l'exemple de résultat suivant :

Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/routers/router-a].
NAME       REGION        NETWORK
router-a   us-central1   network-a

API

Vous pouvez utiliser un routeur Cloud Router existant si le routeur ne gère pas encore une session BGP pour un rattachement de VLAN associé à une interconnexion partenaire. Sinon, créez un autre routeur Cloud Router.

Pour créer un routeur Cloud Router, envoyez une requête POST à l'aide de la méthode routers.insert :

 POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers
 {
   "name": "router-a",
   "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/network-a"
 }

Créer des tunnels VPN

Console

Si vous avez configuré votre passerelle VPN de pairs avec une seule interface, sur la page Créer un VPN, configurez votre tunnel unique dans la boîte de dialogue du tunnel VPN unique. Pour un contrat de niveau de service garantissant une disponibilité de 99,99 %, vous devez créer un second tunnel.

Si vous avez configuré votre ressource de passerelle VPN de pairs avec deux ou quatre interfaces, configurez les boîtes de dialogue associées qui s'affichent en bas de la page Créer un VPN.

Pour créer des tunnels VPN, procédez comme suit :

  1. Le cas échéant, sous Interface de passerelle Cloud VPN associée, sélectionnez la combinaison d'interface VPN haute disponibilité et d'adresse IP que vous souhaitez associer à votre passerelle VPN de pairs pour ce tunnel.
  2. Sous Interface de passerelle VPN de pairs associée, sélectionnez la combinaison d'interface de passerelle VPN de pairs et d'adresse IP que vous souhaitez associer à ce tunnel et à l'interface VPN haute disponibilité. Cette interface doit correspondre à celle de votre routeur de pairs.
    1. Spécifiez un Nom pour le tunnel.
    2. Spécifiez une Description facultative.
    3. Spécifiez la version IKE. Nous vous recommandons d'utiliser IKE v2, le paramètre par défaut, si votre routeur de pairs est compatible.
    4. Spécifiez une clé pré-partagée IKE à l'aide de votre clé pré-partagée (secret partagé), qui doit correspondre à la clé pré-partagée du tunnel partenaire que vous créez sur votre passerelle de pairs. Si vous n'avez pas configuré de clé pré-partagée sur votre passerelle VPN de pairs et que vous souhaitez en générer une, cliquez sur Générer et copier. Veillez à enregistrer la clé pré-partagée dans un emplacement sécurisé, car elle ne peut pas être récupérée une fois que vous avez créé vos tunnels VPN.
    5. Cliquez sur OK.
    6. Sur la page Créer un VPN, répétez les étapes de création du tunnel pour toutes les boîtes de dialogue de tunnel restantes.
  3. Lorsque vous avez configuré tous les tunnels, cliquez sur Créer et continuer.

gcloud

Créez deux tunnels VPN, un pour chaque interface sur la passerelle VPN haute disponibilité Lorsque vous créez des tunnels VPN, spécifiez le côté pair des tunnels VPN comme étant la passerelle VPN externe que vous avez créée précédemment. Selon le type de redondance de la passerelle VPN externe, configurez les tunnels en utilisant l'une des deux options suivantes.

Option 1 : Si la passerelle VPN externe est composée de deux appareils de passerelle VPN de pairs distincts ou d'un seul appareil avec deux adresses IP

  • Dans ce cas, un tunnel VPN doit se connecter à l'interface 0 de la passerelle VPN externe, et l'autre tunnel VPN doit se connecter à l'interface 1 de la passerelle VPN externe.

    gcloud compute vpn-tunnels create TUNNEL_NAME_IF0 \
       --peer-external-gateway=PEER_GW_NAME \
       --peer-external-gateway-interface=PEER_EXT_GW_IF0  \
       --region=REGION \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --router=ROUTER_NAME \
       --vpn-gateway=GW_NAME \
       --interface=INT_NUM_0
    
    gcloud compute vpn-tunnels create TUNNEL_NAME_IF1 \
       --peer-external-gateway=PEER_GW_NAME \
       --peer-external-gateway-interface=PEER_EXT_GW_IF1 \
       --region=REGION \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --router=ROUTER_NAME \
       --vpn-gateway=GW_NAME \
       --interface=INT_NUM_1
    

    Remplacez l'élément suivant :

    • TUNNEL_NAME_IF0 et TUNNEL_NAME_IF1 : nom du tunnel ; nommer les tunnels en incluant le nom de l'interface de la passerelle peut aider à les identifier ultérieurement
    • PEER_GW_NAME : nom de la passerelle de pairs externe créée précédemment
    • PEER_EXT_GW_IF0 et PEER_EXT_GW_IF1 : numéro d'interface configuré précédemment sur la passerelle de pairs externe
    • IKE_VERS : 1 pour IKEv1 ou 2 pour IKEv2 ; si possible, utilisez la version IKEv2 du protocole IKE. Si votre passerelle de pairs nécessite IKEv1, remplacez --ike-version 2 par --ike-version 1.
    • SHARED_SECRET : votre clé pré-partagée (secret partagé), qui doit correspondre à la clé pré-partagée du tunnel partenaire que vous créez sur votre passerelle de pairs ; pour obtenir des recommandations, consultez la section Générer une clé pré-partagée sécurisée
    • GW_NAME : nom de la passerelle VPN haute disponibilité
    • INT_NUM_0 : numéro 0 pour la première interface de la passerelle VPN haute disponibilité que vous avez créée précédemment.
    • INT_NUM_1 : numéro 1 pour la deuxième interface de la passerelle VPN haute disponibilité que vous avez créée précédemment.
    • Facultatif : --vpn-gateway-region correspond à la région de la passerelle VPN haute disponibilité à utiliser. Sa valeur doit être identique à celle de --region. Si cette option n'est pas spécifiée, elle est définie automatiquement. Cette option ignore la valeur par défaut de la propriété "compute/region" pour cet appel de commande.

    Le résultat de la commande doit ressembler à l'exemple suivant :

    Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-0].
    NAME                       REGION        GATEWAY       VPN_INTERFACE   PEER_GATEWAY  PEER_INTERFACE
    tunnel-a-to-on-prem-if-0   us-central1   ha-vpn-gw-a   0               peer-gw       0
    
    Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-1].
    NAME                       REGION        GATEWAY       VPN_INTERFACE   PEER_GATEWAY  PEER_INTERFACE
    tunnel-a-to-on-prem-if-1   us-central1   ha-vpn-gw-a   1               peer-gw       1
    

Option 2 : Si la passerelle VPN externe est une passerelle VPN de pairs avec une seule adresse IP externe

  • Dans ce cas, les deux tunnels VPN doivent se connecter à l'interface 0 de la passerelle VPN externe.

    gcloud compute vpn-tunnels create TUNNEL_NAME_IF0 \
       --peer-external-gateway=PEER_GW_NAME \
       --peer-external-gateway-interface=PEER_EXT_GW_IF0  \
       --region=REGION \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --router=ROUTER_NAME \
       --vpn-gateway=GW_NAME \
       --interface=INT_NUM_0
    
    gcloud compute vpn-tunnels create TUNNEL_NAME_IF1 \
       --peer-external-gateway=PEER_GW_NAME \
       --peer-external-gateway-interface=PEER_EXT_GW_IF0 \
       --region=REGION \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --router=ROUTER_NAME \
       --vpn-gateway=GW_NAME \
       --interface=INT_NUM_1
    

    Remplacez l'élément suivant :

    • TUNNEL_NAME_IF0 et TUNNEL_NAME_IF1 : nom du tunnel ; nommer les tunnels en incluant le nom de l'interface de la passerelle peut aider à les identifier ultérieurement
    • PEER_GW_NAME : nom de la passerelle de pairs externe créée précédemment
    • PEER_EXT_GW_IF0 : numéro d'interface configuré précédemment sur la passerelle de pairs externe
    • Facultatif : --vpn-gateway-region correspond à la région de la passerelle VPN haute disponibilité à utiliser. Sa valeur doit être identique à celle de --region. Si cette option n'est pas spécifiée, elle est définie automatiquement. Cette option ignore la valeur par défaut de la propriété "compute/region" pour cet appel de commande.
    • IKE_VERS : 1 pour IKEv1 ou 2 pour IKEv2. Si possible, utilisez la version IKEv2 du protocole IKE. Si votre passerelle de pairs nécessite IKEv1, remplacez --ike-version 2 par --ike-version 1.
    • SHARED_SECRET : votre clé pré-partagée (secret partagé), qui doit correspondre à la clé pré-partagée du tunnel partenaire que vous créez sur votre passerelle de pairs ; pour obtenir des recommandations, consultez la section Générer une clé pré-partagée sécurisée
    • INT_NUM_0 : numéro 0 pour la première interface de la passerelle VPN haute disponibilité que vous avez créée précédemment.
    • INT_NUM_1 : numéro 1 pour la deuxième interface de la passerelle VPN haute disponibilité que vous avez créée précédemment.

    Le résultat de la commande doit ressembler à l'exemple suivant :

    Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-0].
    NAME                       REGION       GATEWAY        VPN_INTERFACE   PEER_GATEWAY   PEER_INTERFACE
    tunnel-a-to-on-prem-if-0   us-central1  ha-vpn-gw-a    0               peer-gw        0
    
    Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-1].
    NAME                       REGION       GATEWAY        VPN_INTERFACE   PEER_GATEWAY   PEER_INTERFACE
    tunnel-a-to-on-prem-if-1   us-central1  ha-vpn-gw-a    1               peer-gw        0
    

API

Pour créer deux tunnels VPN, un pour chaque interface sur la passerelle VPN haute disponibilité, effectuez une requête POST à l'aide de la méthode vpnTunnels.insert. Pour obtenir un contrat de niveau de service garantissant une disponibilité de 99,99 %, vous devez créer un tunnel sur chaque interface de votre passerelle VPN haute disponibilité.

  1. Pour créer le premier tunnel, exécutez la commande suivante :

       POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/vpnTunnels
       {
         "name": "ha-vpn-gw-a-tunnel-0",
         "ikeVersion": 2,
         "peerExternalGateway": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways/my-peer-gateway",
         "peerExternalGatewayInterface": 0,
         "router": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/router-a",
         "sharedSecret": "SHARED_SECRET",
         "vpnGateway": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/vpnGateways/ha-vpn-gw-a",
         "vpnGatewayInterface": 0
       }
    
  2. Pour créer le second tunnel, répétez cette commande, mais modifiez les paramètres suivants :

    • name
    • peerExternalGatewayInterface
    • sharedSecret ou sharedSecretHash (si nécessaire)
    • vpnGatewayInterface : remplacer par la valeur de l'autre interface de passerelle VPN haute disponibilité (dans cet exemple, remplacer cette valeur par 1)

Créer des sessions BGP

Console

Pour créer des sessions BGP, procédez comme suit :

  1. Si vous ne souhaitez pas configurer de sessions BGP maintenant, cliquez sur Configurer les sessions BGP ultérieurement, ce qui ouvre la page Récapitulatif et rappel.
  2. Si vous souhaitez configurer des sessions BGP maintenant, sur le premier tunnel VPN, cliquez sur Configurer.
  3. Sur la page Créer une session BGP, procédez comme suit :
    1. Spécifiez un nom pour la session BGP.
    2. Spécifiez le numéro ASN du pair configuré pour la passerelle VPN de pairs.
    3. Facultatif : spécifiez la priorité des routages annoncés.
    4. Spécifiez l'Adresse IP BGP du routeur cloud et l'Adresse IP du pair BGP. Assurez-vous que les adresses IP répondent aux exigences suivantes :
      • Chaque adresse IP BGP doit appartenir au même masque CIDR /30 au sein du bloc 169.254.0.0/16.
      • Les adresses IP BGP ne peuvent pas correspondre à la première adresse (adresse réseau) ou à la dernière adresse (adresse de diffusion) du masque CIDR /30.
      • Chaque plage d'adresses IP BGP pour chaque session BGP doit être unique parmi tous les routeurs cloud de toutes les régions d'un réseau VPC.
    5. Facultatif : cliquez sur la liste Routes annoncées et créez des routes personnalisées.
    6. Cliquez sur Enregistrer et continuer.
  4. Répétez les étapes précédentes pour les autres tunnels configurés sur la passerelle. Pour chaque tunnel, utilisez une adresse IP BGP de Cloud Router et une adresse IP de pair BGP différentes.
  5. Lorsque vous avez configuré toutes les sessions BGP, cliquez sur Enregistrer la configuration BGP.

gcloud

Pour créer une interface BGP et un pair BGP Cloud Router pour chaque tunnel que vous avez précédemment configuré sur les interfaces de passerelle VPN haute disponibilité, procédez comme suit.

Dans les commandes, remplacez les éléments suivants :

  • ROUTER_INTERFACE_NAME_0 et ROUTER_INTERFACE_NAME_1 : nom de l'interface BGP Cloud Router ; il peut être utile d'utiliser des noms associés aux noms des tunnels configurés précédemment
  • Configuration manuelle : IP_ADDRESS_0 et IP_ADDRESS_1 : adresse IP BGP de l'interface de passerelle VPN haute disponibilité que vous configurez ; chaque tunnel utilise une interface de passerelle différente
  • MASK_LENGTH : 30 ; chaque session BGP sur le même routeur Cloud Router doit utiliser un masque CIDR /30 unique du bloc 169.254.0.0/16
  • TUNNEL_NAME_0 et TUNNEL_NAME_1 : tunnel associé à l'interface de passerelle VPN haute disponibilité que vous avez configurée

Pour configurer les interfaces et les pairs BGP, choisissez la méthode automatique ou manuelle :

Automatique

Pour permettre à Google Cloud de choisir automatiquement les adresses IP BGP de liaison locale, procédez comme suit.

Pour le premier tunnel VPN

  1. Ajoutez une interface BGP au routeur Cloud Router :

    gcloud compute routers add-interface ROUTER_NAME \
       --interface-name=ROUTER_INTERFACE_NAME_0 \
       --mask-length=MASK_LENGTH \
       --vpn-tunnel=TUNNEL_NAME_0 \
       --region=REGION
    

    Le résultat de la commande doit ressembler à l'exemple suivant :

    Updated [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/routers/router-a].
    
  2. Ajoutez un pair BGP à l'interface pour le premier tunnel ; remplacez PEER_NAME par le nom de l'interface VPN de pairs et remplacez PEER_ASN par le numéro ASN configuré pour la passerelle VPN de pairs :

    gcloud compute routers add-bgp-peer ROUTER_NAME \
       --peer-name=PEER_NAME \
       --peer-asn=PEER_ASN \
       --interface=ROUTER_INTERFACE_NAME_0 \
       --region=REGION
    

    Le résultat de la commande doit ressembler à l'exemple suivant :

    Creating peer [bgp-peer-tunnel-a-to-on-prem-if-0] in router [router-a]...done.
    

Pour le deuxième tunnel VPN

  1. Ajoutez une interface BGP au routeur Cloud Router :

    gcloud compute routers add-interface ROUTER_NAME \
     --interface-name=ROUTER_INTERFACE_NAME_1 \
     --mask-length=MASK_LENGTH \
     --vpn-tunnel=TUNNEL_NAME_1 \
     --region=REGION
    
  2. Ajoutez un pair BGP à l'interface pour le deuxième tunnel ; remplacez PEER_NAME par le nom de l'interface VPN de pairs et remplacez PEER_ASN par le numéro ASN configuré pour la passerelle VPN de pairs :

    gcloud compute routers add-bgp-peer ROUTER_NAME \
     --peer-name=PEER_NAME \
     --peer-asn=PEER_ASN \
     --interface=ROUTER_INTERFACE_NAME_1 \
     --region=REGION
    

Manuel

Pour attribuer manuellement les adresses IP BGP associées à l'interface et au pair BGP de Google Cloud, procédez comme suit.

Pour chaque tunnel VPN, choisissez deux adresses IP BGP de liaison locale dans un bloc /30 de la plage 169.254.0.0/16 (quatre adresses au total). Les adresses IP BGP que vous spécifiez doivent être uniques parmi tous les routeurs cloud de toutes les régions d'un réseau VPC.

Pour chaque tunnel, attribuez l'une de ces adresses IP BGP au routeur cloud et l'autre adresse IP BGP à votre passerelle VPN de pairs. Configurez votre appareil VPN de pairs pour qu'il utilise l'adresse IP BGP des pairs.

Dans les commandes suivantes, remplacez les éléments suivants :

  • GOOGLE_BGP_IP_0 : adresse IP BGP de l'interface de Cloud Router pour le tunnel sur la passerelle Cloud VPN interface 0 ; PEER_BGP_IP_0 représente l'adresse IP BGP de son pair.
  • GOOGLE_BGP_IP_1 : adresse IP BGP de l'interface de Cloud Router pour le tunnel sur la passerelle Cloud VPN interface 1 ; PEER_BGP_IP_1 représente l'adresse IP BGP de son pair.

Pour le premier tunnel VPN

  1. Ajoutez une interface BGP au routeur Cloud Router ; remplacez ROUTER_INTERFACE_NAME_0 par le nom de l'interface :

    gcloud compute routers add-interface ROUTER_NAME \
      --interface-name=ROUTER_INTERFACE_NAME_0 \
      --vpn-tunnel=TUNNEL_NAME_0 \
      --ip-address=GOOGLE_BGP_IP_0 \
      --mask-length 30 \
      --region=REGION
    

    Le résultat de la commande doit ressembler à l'exemple suivant :

    Updated [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/routers/router-a].
    
  2. Ajoutez un pair BGP à l'interface ; remplacez PEER_NAME par le nom du pair, et remplacez PEER_ASN par le numéro ASN configuré pour la passerelle VPN de pairs :

    gcloud compute routers add-bgp-peer ROUTER_NAME \
     --peer-name=PEER_NAME \
     --peer-asn=PEER_ASN \
     --interface=ROUTER_INTERFACE_NAME_0 \
     --peer-ip-address=PEER_BGP_IP_0 \
     --region=REGION
    

    Le résultat de la commande doit ressembler à l'exemple suivant :

    Creating peer [bgp-peer-tunnel-a-to-on-prem-if-0] in router [router-a]...done.
    

Pour le deuxième tunnel VPN

  1. Ajoutez une interface BGP au routeur Cloud Router ; remplacez ROUTER_INTERFACE_NAME_1 par le nom de l'interface :

    gcloud compute routers add-interface ROUTER_NAME \
     --interface-name=ROUTER_INTERFACE_NAME_1 \
     --vpn-tunnel=TUNNEL_NAME_1 \
     --ip-address=GOOGLE_BGP_IP_1 \
     --mask-length 30 \
     --region=REGION
    
  2. Ajoutez un pair BGP à l'interface ; remplacez PEER_NAME par le nom du pair, et remplacez PEER_ASN par le numéro ASN configuré pour la passerelle VPN de pairs :

    gcloud compute routers add-bgp-peer ROUTER_NAME \
     --peer-name=PEER_NAME \
     --peer-asn=PEER_ASN \
     --interface=ROUTER_INTERFACE_NAME_1 \
     --peer-ip-address=PEER_BGP_IP_1 \
     --region=REGION
    

API

  1. Pour créer une interface Cloud Router BGP, effectuez une requête PATCH ou UPDATE à l'aide des méthodes routers.patch ou routers.update. PATCH ne met à jour que les paramètres que vous incluez. UPDATE met à jour tous les paramètres du routeur Cloud Router.

    Créez une interface BGP pour chaque tunnel VPN sur la première passerelle VPN haute disponibilité. Pour la deuxième interface BGP, utilisez des valeurs différentes pour name, linkedVpnTunnel et ipRange du même sous-réseau /30 que la plage d'adresses IP ipRange du premier tunnel. Chaque plage d'adresses IP BGP pour chaque session BGP doit être unique parmi tous les routeurs cloud de toutes les régions d'un réseau VPC.

    Répétez cette étape et cette commande pour chaque tunnel VPN sur la deuxième passerelle VPN haute disponibilité.

    PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/{resourceId}
    {
     "interfaces": [
       {
         "name": "if-tunnel-a-to-on-prem-if-0",
         "linkedVpnTunnel": "ha-vpn-gw-a-tunnel-0",
         "ipRange": "169.254.0.1/30"
        }
      ]
    }
    
  2. Pour ajouter un pair BGP à un routeur Cloud Router pour un tunnel VPN, effectuez une requête POST à l'aide de la méthode routers.insert. Répétez cette commande pour l'autre tunnel VPN, en modifiant toutes les options sauf le nom (name) et le numéro ASN (peerAsn).

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers
    {
     "name": "router-a",
     "network": "network-a",
     "bgpPeers": [
     {
       "interfaceName": "if-tunnel-a-to-on-prem-if-0",
       "ipAddress": "169.254.0.1",
       "name": "bgp-peer-tunnel-a-to-on-prem-if-0",
       "peerAsn": "65002",
       "peerIpAddress": "169.254.0.2",
       "advertiseMode": "DEFAULT"
      }
    ]
    }
    

Vérifier la configuration

Console

Pour vérifier la configuration, accédez à la page Résumé et rappel :

  1. La section Résumé de cette page répertorie les informations concernant les profils de la passerelle VPN haute disponibilité et de la passerelle VPN de pairs. Pour chaque tunnel VPN, vous pouvez afficher l'état du tunnel VPN, le nom de la session BGP, l'état de la session BGP et la valeur MED (priorité de route annoncée).
  2. La section Rappel de cette page répertorie les étapes à suivre pour disposer d'une connexion VPN entièrement opérationnelle entre Cloud VPN et votre VPN de pairs. Après avoir examiné les informations fournies sur cette page, cliquez sur OK.

gcloud

Pour vérifier la configuration du routeur Cloud Router, procédez comme suit :

  • Répertoriez les adresses IP BGP sélectionnées par routeur cloud Si vous avez ajouté une nouvelle interface à un routeur Cloud existant, les adresses IP BGP de la nouvelle interface doivent être répertoriées en indiquant le numéro d'index le plus élevé. Utilisez l'adresse IP BGP peerIpAddress pour configurer votre passerelle VPN de pairs :

    gcloud compute routers get-status ROUTER_NAME \
       --region=REGION \
       --format='flattened(result.bgpPeerStatus[].name,
         result.bgpPeerStatus[].ipAddress, result.bgpPeerStatus[].peerIpAddress)'
    

    Le résultat attendu pour un routeur Cloud Router gérant deux tunnels Cloud VPN (index 0 et index 1) doit ressembler à l'exemple suivant où les conditions suivantes sont remplies :

    • GOOGLE_BGP_IP_0 représente l'adresse IP BGP de l'interface du routeur Cloud Router pour le tunnel sur la passerelle Cloud VPN interface 0 ; PEER_BGP_IP_0 représente l'adresse IP BGP de son pair.
    • GOOGLE_BGP_IP_1 représente l'adresse IP BGP de l'interface du routeur Cloud Router pour le tunnel sur la passerelle Cloud VPN interface 1 ; PEER_BGP_IP_1 représente l'adresse IP BGP du pair.
      result.bgpPeerStatus[0].ipAddress:      169.254.0.1 GOOGLE_BGP_IP_0
      result.bgpPeerStatus[0].name:           bgp-peer-tunnel-a-to-on-prem-if-0
      result.bgpPeerStatus[0].peerIpAddress:  169.254.0.2 PEER_BGP_IP_0
      result.bgpPeerStatus[1].ipAddress:      169.254.1.1 GOOGLE_BGP_IP_1
      result.bgpPeerStatus[1].name:           bgp-peer-tunnel-a-to-on-prem-if-1
      result.bgpPeerStatus[1].peerIpAddress:  169.254.1.2 PEER_BGP_IP_1
    
  • Vous pouvez également utiliser la commande suivante pour obtenir la liste complète de la configuration du routeur cloud :

    gcloud compute routers describe ROUTER_NAME \
       --region=REGION
    

    La liste complète doit ressembler à l'exemple suivant :

    bgp:
      advertiseMode: DEFAULT
      asn: 65001
    bgpPeers:
    - interfaceName: if-tunnel-a-to-on-prem-if-0
      ipAddress: 169.254.0.1
      name: bgp-peer-tunnel-a-to-on-prem-if-0
      peerAsn: 65002
      peerIpAddress: 169.254.0.2
    - interfaceName: if-tunnel-a-to-on-prem-if-1
      ipAddress: 169.254.1.1
      name: bgp-peer-tunnel-a-to-on-prem-if-1
      peerAsn: 65004
      peerIpAddress: 169.254.1.2
    creationTimestamp: '2018-10-18T11:58:41.704-07:00'
    id: '4726715617198303502'
    interfaces:
    - ipRange: 169.254.0.1/30
      linkedVpnTunnel: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-0
      name: if-tunnel-a-to-on-prem-if-0
    - ipRange: 169.254.1.1/30
      linkedVpnTunnel: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-1
      name: if-tunnel-a-to-on-prem-if-1
      kind: compute#router
      name: router-a
      network: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/network-a
      region: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1
      selfLink: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/routers/router-a
    

API

Pour vérifier la configuration du routeur Cloud Router, envoyez une requête GET à l'aide de la méthode routers.getRouterStatus et utilisez un corps de requête vide :

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers

Créer un tunnel supplémentaire sur une passerelle à tunnel unique

Console

Pour obtenir un contrat de niveau de service assurant une disponibilité de 99,99 %, configurez un tunnel sur chaque interface VPN haute disponibilité d'une passerelle VPN haute disponibilité.

Configurez un deuxième tunnel dans les cas suivants :

  • Si vous avez configuré une passerelle VPN haute disponibilité vers une passerelle VPN de pairs disposant d'une seule interface VPN de pairs.
  • Si vous avez précédemment configuré un seul tunnel sur un VPN haute disponibilité pour une passerelle VPN de pairs contenant un nombre quelconque d'interfaces et que vous souhaitez maintenant obtenir un contrat de niveau de service garantissant une disponibilité de 99,99 %.

Pour configurer un deuxième tunnel, suivez la procédure décrite dans la section Ajouter un tunnel entre une passerelle VPN haute disponibilité et une passerelle VPN de pairs.

Définir la priorité de base des routes annoncées (facultatif)

Les sessions BGP que vous créez autorisent chaque routeur Cloud Router à annoncer des routes aux réseaux de pairs. Les annonces utilisent des priorités de base non modifiées.

Utilisez la configuration documentée sur la page Créer une passerelle VPN haute disponibilité et une paire de tunnels vers un VPN de pairs pour configurations de routage active/active, où les priorités des routes annoncées des deux tunnels VPN côté Google Cloud et côté pairs sont correspondent. Pour configurer les mêmes priorités de route annoncées de Google Cloud vers les deux pairs BGP, omettez la priorité de route annoncée côté Google Cloud.

Pour créer une configuration en mode actif/passif, configurez des priorités de route non annoncées pour les deux tunnels VPN haute disponibilité. Une priorité de route annoncée doit être supérieure à l'autre. Exemple :

  • session BGP 1/tunnel 1, priorité des routes = 10
  • session BGP 2/tunnel 2, priorité des routes = 20

Pour plus d'informations sur la priorité de base des routes annoncées, consultez la section Préfixes et priorités annoncés.

Vous pouvez également spécifier les routes annoncées à l'aide d'annonces personnalisées :

  • Ajoutez l'option --advertisement-mode=CUSTOM (gcloud) ou l'option advertiseMode: custom (API).
  • Spécifiez les plages d'adresses IP avec l'option --set-advertisement-ranges (gcloud) ou l'option advertisedIpRanges (API).

Terminer la configuration

Pour pouvoir utiliser une nouvelle passerelle Cloud VPN et ses tunnels VPN associés, procédez comme suit :

  1. Configurez la passerelle VPN de pairs et configurez-y le ou les tunnels correspondants. Pour obtenir des instructions, consultez la page suivante :
  2. Configurez les règles de pare-feu dans Google Cloud et votre réseau de pairs, si nécessaire.
  3. Vérifiez l'état de vos tunnels VPN​LINK. Remarque : Cette étape inclut la vérification de la configuration de haute disponibilité de votre passerelle VPN haute disponibilité.

Appliquer une contrainte de règle d'administration limitant les adresses IP des passerelles VPN de pairs

Vous pouvez créer une contrainte de règle d'administration Google Cloud qui définit un ensemble d'adresses IP autorisées ou interdites pour l'appairage à des passerelles VPN via des tunnels VPN classiques ou haute disponibilité. Cette contrainte contient une liste d'autorisation ou une liste de blocage de ces adresses IP de pairs, qui s'applique aux tunnels Cloud VPN que vous créez après l'application de la contrainte. Pour en savoir plus, consultez la section Restreindre les adresses IP de pairs via un tunnel Cloud VPN.

Pour créer une règle d'administration et l'associer à une organisation, un dossier ou un projet, utilisez les exemples répertoriés dans les sections suivantes et suivez les étapes de la page Utiliser des contraintes.

Autorisations requises

Pour définir une contrainte d'adresse IP de pair au niveau de l'organisation ou du projet, vous devez d'abord disposer du rôle Administrateur des règles d'administration (roles/orgpolicy.policyAdmin) pour votre organisation.

Limiter la connectivité à partir d'adresses IP de pairs spécifiques

Pour autoriser uniquement des adresses IP de pairs spécifiques via un tunnel Cloud VPN, procédez comme suit :

  1. Pour rechercher l'ID de votre organisation, exécutez la commande suivante :
    gcloud organizations list

    Le résultat de la commande devrait ressembler à ceci :

          DISPLAY NAME             ID
          example-organization     29252605212
        
  2. Créez un fichier JSON qui définit votre stratégie, comme dans l'exemple suivant :

         {
           "constraint": "constraints/compute.restrictVpnPeersIPs",
           "listPolicy": {
             "allowedValues": [
               "100.1.1.1",
             ],
           }
         }
       
  3. Définissez la règle d'administration à l'aide de la commande de Resource Manager gcloudset-policy, en transmettant le fichier JSON et en utilisant ORGANIZATION_ID que vous avez trouvé à l'étape précédente.

Limiter la connectivité à partir de toute adresse IP de pairs

Pour interdire la création de tout nouveau tunnel Cloud VPN, suivez les étapes décrites dans cet exemple de contrainte.

  1. Recherchez l'ID de votre organisation ou l'ID du nœud dans la hiérarchie des ressources où vous souhaitez définir une règle.
  2. Créez un fichier JSON comme dans l'exemple suivant.

        {
          "constraint": "constraints/compute.restrictVpnPeersIPs",
          "listPolicy": {
            "allValues": "DENY"
          }
        }
    
  3. Transmettez le fichier JSON en saisissant la même commande que celle que vous utiliseriez pour restreindre des adresses IP de pairs spécifiques.

Étape suivante

  • Pour trouver des ressources sur la maintenance des tunnels et des passerelles VPN, consultez les guides de maintenance des VPN.
  • Pour utiliser des scénarios de haute disponibilité et à haut débit, ou plusieurs scénarios de sous-réseau, consultez la section Configurations avancées.
  • Pour vous aider à résoudre les problèmes courants que vous pouvez rencontrer lors de l'utilisation de Cloud VPN, consultez la page Dépannage.