创建使用静态路由的传统 VPN 网关

本页面介绍了如何使用静态路由创建传统 VPN 网关和一个隧道。此隧道可以基于政策也可以基于路由。

对于基于路由的 VPN，您只能指定远程流量选择器。如需指定本地流量选择器，请改为创建使用基于政策的路由的 Cloud VPN 隧道。

传统 VPN 不支持 IPv6。

注意：高可用性 VPN 不支持静态路由。

注意：如果您将自动模式 VPC 网络转换为自定义模式 VPC 网络，并且隧道依赖于本地 IP 范围的默认值，则您可能需要删除再重新创建使用基于政策的路由的 VPN 隧道。更改具有主动 VPN 隧道的 VPC 网络的模式可能会导致系统中断。如需了解详情，请参阅自动模式 VPC 网络的注意事项。

如需详细了解 Cloud VPN，请参阅以下资源：

• 如需了解在设置 Cloud VPN 之前需要考虑的最佳实践，请参阅最佳实践。

• 如需详细了解 Cloud VPN，请参阅 Cloud VPN 概览。

• 如需了解本页面中所用术语的定义，请参阅关键术语。

路由选项

当您使用 Google Cloud 控制台创建基于政策的隧道时，传统 VPN 会执行以下任务：

• 将该隧道的本地流量选择器设置为您指定的 IP 地址范围
• 将该隧道的远程流量选择器设置为您在远程网络 IP 地址范围字段中指定的 IP 地址范围。
• 对于远程网络 IP 地址范围中的每个范围，Google Cloud 会创建一个自定义静态路由，其目标（前缀）是范围的 CIDR，其下一个跃点是隧道。

创建基于政策的传统 VPN 隧道后，您在远程网络 IP 地址范围字段中输入的 IP 地址范围在 VPN 隧道详情页面上显示为通告的 IP 地址范围。

当您使用 Google Cloud 控制台创建基于路由的隧道时，传统 VPN 会执行以下任务：

• 将隧道的本地和远程流量选择器设置为任意 IP 地址 (0.0.0.0/0)。
• 对于远程网络 IP 地址范围中的每个范围，Google Cloud 会创建一个自定义静态路由，其目标（前缀）是范围的 CIDR，其下一个跃点是隧道。

重要提示：一旦隧道创建完成，将无法更改流量选择器。如果将来需要更改流量选择器，则必须删除隧道，然后重新创建。

使用 Google Cloud CLI 创建基于政策的隧道或基于路由的隧道时，隧道的流量选择器以相同的方式定义。但是，由于自定义静态路由的创建是通过单独的命令完成的，因此您可以更好地控制这些路由。

您可以在流量选择器中指定的 CIDR 数取决于 IKE 版本。

如需了解重要的背景信息，请参阅以下内容：

• 路由选项和流量选择器
• 针对每个流量选择器指定多个 CIDR

准备工作

在 Google Cloud 中设置以下各项，以更轻松地配置 Cloud VPN：

1. 登录您的 Google Cloud 账号。如果您是 Google Cloud 新手，请创建一个账号来评估我们的产品在实际场景中的表现。新客户还可获享 $300 赠金，用于运行、测试和部署工作负载。

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. 确保您的 Google Cloud 项目已启用结算功能。

4. Install the Google Cloud CLI.

5. To initialize the gcloud CLI, run the following command:

   gcloud init

6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

7. 确保您的 Google Cloud 项目已启用结算功能。

8. Install the Google Cloud CLI.

9. To initialize the gcloud CLI, run the following command:

   gcloud init

4. 如果您使用的是 Google Cloud CLI，请使用以下命令设置项目 ID。此页面上的 gcloud 说明假设您在发出命令前已设置了项目 ID。

       gcloud config set project PROJECT_ID
       

5. 您还可以通过运行以下命令来查看已设置的项目 ID：

       gcloud config list --format='text(core.project)'
       

执行此任务所需的权限

如需执行此任务，您必须已获得以下权限或 IAM 角色。

权限

• compute.targetVpnGateways.get
• compute.targetVpnGateways.list
• compute.targetVpnGateways.create
• compute.targetVpnGateways.delete
• compute.targetVpnGateways.get
• compute.targetVpnGateways.list
• compute.targetVpnGateways.use
• compute.targetVpnGateways.setLabels

角色

• roles/compute.networkAdmin

重要提示：创建传统 VPN 网关需要您在 Google Cloud CLI 或 Google Cloud 控制台中创建的外部转发规则。请确保 Identity and Access Management (IAM) 条件不允许主账号创建内部转发规则。如果存在此类条件，传统 VPN 网关的创建会因权限错误而失败。如需了解详情，请参阅适用于转发规则的 IAM Conditions。

创建自定义 VPC 网络和子网

创建传统 VPN 网关和隧道之前，请在传统 VPN 网关所在区域创建一个 Virtual Private Cloud (VPC) 网络和至少一个子网。

• 如需创建自定义模式 VPC 网络（推荐），请参阅创建自定义模式 VPC 网络。
• 要创建子网，请参阅使用子网。

创建网关和隧道

控制台

配置网关

1. 在 Google Cloud 控制台中，前往 VPN 页面。

   转到 VPN

2. 如果您是首次创建网关，请点击创建 VPN 连接。

3. 选择 VPN 设置向导。

4. 选择传统 VPN 选项按钮。

5. 点击继续。

6. 在创建 VPN 连接页面上，指定以下网关设置：

   • 名称：VPN 网关的名称。该名称以后无法更改。
   • 说明：（可选）添加说明。
   • 网络：指定要在其中创建 VPN 网关和隧道的现有 VPC 网络。
   • 区域：Cloud VPN 网关和隧道是区域对象。选择网关所在的 Google Cloud 区域。不同区域中的实例和其他资源可按照路由顺序使用隧道发送出站流量。为获得最佳性能，网关和隧道应位于相关 Google Cloud 资源所在的同一区域中。
   • IP 地址：创建或选择现有的区域外部 IP 地址。

配置隧道

1. 对于新隧道的隧道部分，指定以下设置：

   • 名称：VPN 隧道的名称。该名称以后无法更改。
   • 说明：输入说明（可选）。
   • 远程对等 IP 地址：指定对等 VPN 网关的外部 IP 地址。
   • IKE 版本：选择对等 VPN 网关支持的相应 IKE 版本。推荐选择 IKEv2（如果受对等设备支持）。
     已知问题：在配置连接到 AWS 的 VPN 隧道时，请使用 IKEv2 加密协议并选择 AWS 端较少的转换集，否则 Cloud VPN 隧道可能无法进行密钥更新。例如，选择一个第 1 阶段加密算法和一个第 2 阶段加密算法、完整性算法以及 DH 组编号的组合。
     
     此密钥更新问题是由默认 AWS 转换集的安全关联 SA 载荷过大所致。这种过大的载荷会导致 AWS 端的 IKE 数据包的 IP 碎片化，而这不受 Cloud VPN 的支持。
   • IKE 预共享密钥：提供用于身份验证的预共享密钥（共享密钥）。Cloud VPN 隧道的预共享密钥必须与在对等 VPN 网关上配置对应隧道时使用的预共享密钥一致。如需生成加密型强预共享键，请按照这些说明操作。

   对于基于政策的隧道

   1. 在路由选项下，选择基于政策。

   2. 在远程网络 IP 地址范围下，提供对等网络使用的以空格分隔的 IP 地址范围列表。这是远程流量选择器，或从 Cloud VPN 的角度看的右侧。

      创建基于政策的传统 VPN 隧道后，您在远程网络 IP 地址范围字段中输入的 IP 地址范围在 VPN 隧道详情页面上显示为通告的 IP 地址范围。

   3. 在本地 IP 地址范围下，选择以下方法之一：

      • 如需选择现有的本地 IP 范围，请使用本地子网菜单。
      • 如需输入 VPC 网络中使用的以空格分隔的 IP 范围列表，请使用本地 IP 范围字段。如需了解重要的注意事项，请参阅基于政策的隧道和流量选择器。

   对于基于路由的隧道

   1. 在路由选项下，选择基于路由。
   2. 在远程网络 IP 地址范围下，提供对等网络使用的以空格分隔的 IP 地址范围列表。这些范围用于创建下一个跃点为此 VPN 隧道的自定义静态路由。

2. 如需在同一网关上创建更多隧道，请点击添加隧道并重复以上步骤。您可以稍后添加更多隧道。

3. 点击创建。

注意：Google Cloud 会为您指定的每个远程 IP 地址范围自动创建一个路由。路由的目标是远程 IP 地址范围，它的下一个跃点设置为 Cloud VPN 隧道，并且优先级为 1000。您不能设置这一自动创建路由的优先级，但可以删除和替换它。如果您需要更好地控制 VPN 路由的优先级，请改为按照 gcloud CLI 步骤操作。

gcloud

要创建 Cloud VPN 网关，请完成以下命令序列。在命令中，替换以下内容：

• PROJECT_ID：您的项目的 ID
• NETWORK：Google Cloud 网络的名称
• REGION：您在其中创建网关和隧道的 Google Cloud 区域
• GW_NAME：网关的名称
• GW_IP_NAME：网关使用的外部 IP 地址的名称
• 可选：--target-vpn-gateway-region 是运行传统 VPN 网关的区域。其值应与 --region 相同。如果未指定，则系统会自动设置此选项。该选项会替换此命令调用中的默认计算/区域属性值。

配置网关资源

1. 创建目标 VPN 网关对象：

   gcloud compute target-vpn-gateways create GW_NAME \
      --network=NETWORK \
      --region=REGION \
      --project=PROJECT_ID
   

2. 保留一个区域外部（静态）IP 地址：

   gcloud compute addresses create GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

3. 请记下此 IP 地址（以便在配置对等 VPN 网关时使用）：

   gcloud compute addresses describe GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID \
      --format='flattened(address)'
   

4. 创建三条转发规则；这些规则指示 Google Cloud 将 ESP (IPsec)、UDP 500 和 UDP 4500 流量发送到网关：

   gcloud compute forwarding-rules create fr-GW_NAME-esp \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=ESP \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp4500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=4500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

创建 Cloud VPN 隧道

1. 在命令中，替换以下内容：

   • TUNNEL_NAME：隧道的名称
   • ON_PREM_IP：对等 VPN 网关的外部 IP 地址
   • IKE_VERS：1（对于 IKEv1）或 2（对于 IKEv2）
     已知问题：在配置连接到 AWS 的 VPN 隧道时，请使用 IKEv2 加密协议并选择 AWS 端较少的转换集，否则 Cloud VPN 隧道可能无法进行密钥更新。例如，选择一个第 1 阶段加密算法和一个第 2 阶段加密算法、完整性算法以及 DH 组编号的组合。
     
     此密钥更新问题是由默认 AWS 转换集的 SA 载荷过大所致。这种过大的载荷会导致 AWS 端的 IKE 数据包的 IP 碎片化，而这不受 Cloud VPN 的支持。
   • SHARED_SECRET：您的预共享密钥（共享密钥）。Cloud VPN 隧道的预共享密钥必须与在对等 VPN 网关上配置对应隧道时使用的预共享密钥一致。如需生成加密型强预共享键，请按照这些说明操作。

   对于基于政策的 VPN：

   • LOCAL_IP_RANGES：以英文逗号分隔的 Google Cloud IP 地址范围列表。例如，您可以为 VPC 网络中的每个子网提供 CIDR 块。从 Cloud VPN 的角度来看，这是左侧。
   • REMOTE_IP_RANGES：以英文逗号分隔的对等网络 IP 地址范围列表。对于 Cloud VPN 来说，此为“右侧”。

   如需配置基于政策的 VPN 隧道，请运行以下命令：

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=LOCAL_IP_RANGES \
       --remote-traffic-selector=REMOTE_IP_RANGES \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

   对于基于路由的 VPN，本地和远程流量选择器都为 0.0.0.0/0（如路由选项和流量选择器中所定义）。

   如需配置基于路由的 VPN 隧道，请运行以下命令：

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=0.0.0.0/0 \
       --remote-traffic-selector=0.0.0.0/0 \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

2. 为您在上一步中的 --remote-traffic-selector 选项中指定的每个远程 IP 地址范围创建静态路由。为每个远程 IP 地址范围重复此命令。将 ROUTE_NAME 替换为路由的唯一名称，并将 REMOTE_IP_RANGE 替换为适当的远程 IP 地址范围。

   gcloud compute routes create ROUTE_NAME \
       --destination-range=REMOTE_IP_RANGE \
       --next-hop-vpn-tunnel=TUNNEL_NAME \
       --network=NETWORK \
       --next-hop-vpn-tunnel-region=REGION \
       --project=PROJECT_ID
   

   注意：用于创建路由的 gcloud 命令使用默认优先级 1000。如果您需要创建优先级更高的路由，请在创建路由时使用 --priority 标志，并指定更小的数字。您无法在路由创建后更改其优先级；不过，可以在无需重新创建 VPN 隧道的情况下删除和替换自定义静态路由。如需详细了解路由在 VPC 网络中的工作原理，请参阅路由概览和路由顺序。

完成配置

在使用新的 Cloud VPN 网关及其关联的 VPN 隧道之前，请完成以下步骤：

1. 设置对等 VPN 网关并配置相应的隧道。如需了解相关说明，请参阅以下内容：
   • 如需了解某些对等 VPN 设备的特定配置指南，请参阅使用第三方 VPN。
   • 如需了解常规配置参数，请参阅配置对等 VPN 网关。
2. 根据需要在 Google Cloud 和对等网络中配置防火墙规则。
3. 检查您的 VPN 隧道和转发规则的状态。

4. 转到项目路由表并过滤 Next hop type:VPN tunnel，查看 VPN 路由：

   进入“路由”

后续步骤

• 如需控制可用于对等 VPN 网关的 IP 地址，请参阅限制对等 VPN 网关的 IP 地址。
• 如需使用高可用性和高吞吐量场景或多个子网方案，请参阅高级配置。
• 如需帮助解决使用 Cloud VPN 时可能会遇到的常见问题，请参阅问题排查。