Configura VPN di terze parti per il traffico IPv4 e IPv6

Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Questa pagina fornisce istruzioni per la configurazione di dispositivi VPN di terze parti per supportare il traffico IPv4 e IPv6 (stack doppio) con Cloud VPN.

Per scambiare il traffico a doppio stack nei tunnel Cloud VPN, devi configurare il dispositivo gateway VPN peer con indirizzi hop successivi IPv6. Nei tunnel VPN ad alta disponibilità con doppio stack, lo scambio di prefisso IPv6 avviene su sessioni BGP multiprotocollo (MP-BGP) configurate con indirizzi IPv4 locali rispetto al collegamento. Sia il router Cloud sia il dispositivo VPN peer richiedono la configurazione dell'hop successivo IPv6 per instradare il traffico IPv6 alle reti peer e cloud virtuale virtuale.

Solo i gateway VPN ad alta disponibilità supportano configurazioni a doppio stack. La VPN classica non supporta il traffico IPv6. Inoltre, devi configurare il tuo dispositivo VPN peer in modo che utilizzi IKE v2 per i relativi tunnel VPN ad alta disponibilità.

Supporto VPN di terze parti per il traffico a doppio stack

La tabella seguente riepiloga il supporto dei dispositivi VPN di terze parti per il traffico a doppio stack sui tunnel IPsec.

Piattaforma del fornitore Versione testata per
configurazione a doppio stack
Traffico IPv6 sul tunnel IPsec IPv4 Famiglia di indirizzi a doppio stack Configurazione interoperabilità per il traffico a doppio stack
Cisco IOS/IOS-XE n/d Funzionalità non supportata Funzionalità non supportata Utilizza i tunnel GRE e un router virtuale per trasferire il traffico IPsec su GRE.
Punto di controllo n/d Funzionalità non supportata Funzionalità non supportata Utilizza i tunnel GRE e un router virtuale per trasferire il traffico IPsec su GRE.
Juniper JunOS 20.2R3-S2.5 Supportato Supportato Supporta i tunnel VPN ad alta disponibilità in grado di gestire sia il traffico IPv4 sia il traffico IPv6.
Palo Alto Networks PAN-OS 9,1 Supportato Funzionalità non supportata Richiede tunnel VPN ad alta disponibilità separati configurati per il traffico IPv4 o IPv6, ma non per entrambi.

Juniper JunOS

La procedura seguente descrive come configurare il dispositivo VPN Juniper JunOS per supportare il traffico IPv4 e IPv6 nei tunnel VPN ad alta disponibilità.

Anche se configuri gli indirizzi IPv6 sulle interfacce del tunnel del dispositivo, gli indirizzi IPv6 vengono utilizzati esclusivamente per la configurazione hop successivo IPv6. Le route IPv6 sono pubblicizzate tramite IPv6 NLRI su peering BGP IPv4.

Prima di iniziare

In Google Cloud, configura un gateway VPN ad alta disponibilità con doppio stack e due tunnel VPN ad alta disponibilità. Entrambi i tunnel VPN ad alta disponibilità sono dotati di traffico IPv4 e IPv6.

Registra i due indirizzi IPv4 esterni che Google Cloud assegna alle due interfacce del gateway VPN ad alta disponibilità.

Registra i seguenti valori di configurazione per ogni tunnel:

  • L'indirizzo IPv4 locale del link del peer BGP, che è il tuo dispositivo Juniper JunOS
  • L'indirizzo IPv4 link-local del router Cloud utilizzato per il peering BGP
  • L'indirizzo dell'hop successivo IPv6 assegnato al peer o a peerIpv6NexthopAddress
  • L'ASN assegnato al router Cloud per le sessioni BGP
  • L'ASN che hai assegnato al peer BGP, che è il tuo dispositivo Juniper JunOS
  • La chiave precondivisa

Per trovare i dettagli sulla configurazione della sessione BGP, consulta la pagina Visualizzare la configurazione della sessione BGP.

Configura JunOS

Per configurare i dispositivi JunOS:

  1. Per ogni interfaccia del tunnel VPN, configura gli indirizzi dell'hop successivo IPv6 del peer BGP che hai recuperato dal router Cloud. Queste interfacce sono le stesse interfacce assegnate agli indirizzi locali rispetto al collegamento IPv4.

    set interfaces st0 unit 1 family inet mtu 1460
    set interfaces st0 unit 1 family inet address PEER_BGP_IP_1
    set interfaces st0 unit 1 family inet6 address PEER_IPV6_NEXT_HOP_ADDRESS_1
    set interfaces st0 unit 2 family inet mtu 1460
    set interfaces st0 unit 2 family inet address PEER_BGP_IP_2
    set interfaces st0 unit 2 family inet6 address PEER_IPV6_NEXT_HOP_ADDRESS_2
    

    Sostituisci i seguenti valori:

    • PEER_BGP_IP_1: l'indirizzo IP BGP del peer per la prima interfaccia del tunnel con la sua maschera di subnet
    • PEER_IPV6_NEXT_HOP_ADDRESS_1: l'indirizzo hop successivo IPv6 del peer per la prima interfaccia del tunnel con la maschera di subnet
    • PEER_BGP_IP_2: l'indirizzo IP BGP del peer per la seconda interfaccia del tunnel con la sua maschera di subnet
    • PEER_IPV6_NEXT_HOP_ADDRESS_2: l'indirizzo hop successivo IPv6 del peer per la seconda interfaccia del tunnel con la subnet mask

    Ad esempio:

    set interfaces st0 unit 1 family inet mtu 1460
    set interfaces st0 unit 1 family inet address 169.254.0.2/30
    set interfaces st0 unit 1 family inet6 address 2600:2d00:0:2::2/125
    set interfaces st0 unit 2 family inet mtu 1460
    set interfaces st0 unit 2 family inet address 169.254.1.2/30
    set interfaces st0 unit 2 family inet6 address 2600:2d00:0:2::1:2/125
    
  2. Configura la proposta IKE, il criterio IKE e gli oggetti gateway IKE.

    # IKE proposal
    set security ike proposal ike_prop authentication-method pre-shared-keys
    set security ike proposal ike_prop dh-group group2
    set security ike proposal ike_prop authentication-algorithm sha-256
    set security ike proposal ike_prop encryption-algorithm aes-256-cbc
    set security ike proposal ike_prop lifetime-seconds 36000
    
    # IKE policy
    set security ike policy ike_pol mode main
    set security ike policy ike_pol proposals ike_prop
    set security ike policy ike_pol pre-shared-key ascii-text SHARED_SECRET
    
    # IKE gateway objects
    set security ike gateway gw1 ike-policy ike_pol
    set security ike gateway gw1 address HA_VPN_INTERFACE_ADDRESS_0
    set security ike gateway gw1 local-identity inet 142.215.100.60
    set security ike gateway gw1 external-interface ge-0/0/0
    set security ike gateway gw1 version v2-only
    set security ike gateway gw2 ike-policy ike_pol
    set security ike gateway gw2 address HA_VPN_INTERFACE_ADDRESS_1
    set security ike gateway gw2 local-identity inet 142.215.100.60
    set security ike gateway gw2 external-interface ge-0/0/0
    set security ike gateway gw2 version v2-only
    

    Sostituisci i seguenti valori:

    • HA_VPN_INTERFACE_ADDRESS_0: l'indirizzo IPv4 esterno della prima interfaccia del tunnel sul gateway VPN ad alta disponibilità
    • HA_VPN_INTERFACE_ADDRESS_1: l'indirizzo IPv4 esterno della seconda interfaccia del tunnel sul gateway VPN ad alta disponibilità
    • SHARED_SECRET: la chiave precondivisa configurata per il tunnel VPN ad alta disponibilità
  3. Configura la proposta IPsec e il criterio IPsec. Ad esempio:

    set security ipsec proposal ipsec_prop protocol esp
    set security ipsec proposal ipsec_prop authentication-algorithm hmac-sha1-96
    set security ipsec proposal ipsec_prop encryption-algorithm aes-256-cbc
    set security ipsec proposal ipsec_prop lifetime-seconds 10800
    

  4. Configura le configurazioni del gateway VPN IPsec e associale alle interfacce del tunnel. Ad esempio:

    set security ipsec vpn vpn1 bind-interface st0.1
    set security ipsec vpn vpn1 ike gateway gw1
    set security ipsec vpn vpn1 ike ipsec-policy ipsec_pol
    set security ipsec vpn vpn1 establish-tunnels immediately
    set security ipsec vpn vpn2 bind-interface st0.2
    set security ipsec vpn vpn2 ike gateway gw2
    set security ipsec vpn vpn2 ike ipsec-policy ipsec_pol
    set security ipsec vpn vpn2 establish-tunnels immediately
    
  5. Crea le istruzioni dei criteri che modificano l'hop successivo per i peer IPv6 con gli indirizzi dell'hop successivo IPv6.

    set policy-options policy-statement set-v6-next-hop-1 term 1 from family inet6
    set policy-options policy-statement set-v6-next-hop-1 term 1 then next-hop PEER_IPV6_NEXT_HOP_ADDRESS_1
    set policy-options policy-statement set-v6-next-hop-1 term 1 then accept
    set policy-options policy-statement set-v6-next-hop-2 term 1 from family inet6
    set policy-options policy-statement set-v6-next-hop-2 term 1 then next-hop PEER_IPV6_NEXT_HOP_ADDRESS_2
    set policy-options policy-statement set-v6-next-hop-2 term 1 then accept
    

    Sostituisci i seguenti valori:

    • PEER_IPV6_NEXT_HOP_ADDRESS_1: l'indirizzo hop successivo IPv6 del peer BGP per il primo tunnel
    • PEER_IPV6_NEXT_HOP_ADDRESS_2: l'indirizzo hop successivo IPv6 del peer BGP per il secondo tunnel

    Ad esempio:

    set policy-options policy-statement set-v6-next-hop-1 term 1 from family inet6
    set policy-options policy-statement set-v6-next-hop-1 term 1 then next-hop 2600:2d00:0:2::2
    set policy-options policy-statement set-v6-next-hop-1 term 1 then accept
    set policy-options policy-statement set-v6-next-hop-2 term 1 from family inet6
    set policy-options policy-statement set-v6-next-hop-2 term 1 then next-hop 2600:2d00:0:2::1:2
    set policy-options policy-statement set-v6-next-hop-2 term 1 then accept
    

  6. Configura BGP per lo scambio di route IPv6.

    Quando configuri il BGP, devi specificare le istruzioni include-mp-next-hop per inviare l'attributo hop successivo al peer.

    Quindi esporti l'istruzione del criterio che hai definito nel passaggio precedente per modificare l'hop successivo nell'indirizzo IPv6.

    set protocols bgp group vpn family inet unicast
    set protocols bgp group vpn family inet6 unicast
    set protocols bgp group vpn peer-as ROUTER_ASN
    set protocols bgp group vpn neighbor ROUTER_BGP_IP_1 export set-v6-next-hop-1
    set protocols bgp group vpn neighbor ROUTER_BGP_IP_1 local-as PEER_ASN
    set protocols bgp group vpn neighbor ROUTER_BGP_IP_1 graceful-restart restart-time 120
    set protocols bgp group vpn neighbor ROUTER_BGP_IP_1 include-mp-next-hop
    set protocols bgp group vpn2 type external
    set protocols bgp group vpn2 local-address ROUTER_IP_2
    set protocols bgp group vpn2 family inet unicast
    set protocols bgp group vpn2 family inet6 unicast
    set protocols bgp group vpn2 peer-as ROUTER_ASN
    set protocols bgp group vpn2 neighbor ROUTER_BGP_IP_2 export set-v6-next-hop-2
    set protocols bgp group vpn2 neighbor ROUTER_BGP_IP_2 local-as PEER_ASN
    set protocols bgp group vpn2 neighbor ROUTER_BGP_IP_2 graceful-restart restart-time 120
    set protocols bgp group vpn2 neighbor ROUTER_BGP_IP_2 include-mp-next-hop
    

    Sostituisci i seguenti valori:

    • ROUTER_BGP_IP_1: l'indirizzo IPv4 assegnato al router Cloud per il primo tunnel
    • ROUTER_BGP_IP_2: l'indirizzo IPv4 assegnato al router Cloud per il secondo tunnel
    • ROUTER_ASN: l'ASN assegnato al router Cloud per le sessioni BGP.
    • PEER_ASN: l'ASN assegnato al peer BGP, che è il tuo dispositivo Juniper JunOS.

    L'esempio seguente mostra le istruzioni include-mp-next-hop e export in grassetto:

    set protocols bgp group vpn family inet unicast
    set protocols bgp group vpn family inet6 unicast
    set protocols bgp group vpn peer-as 16550
    set protocols bgp group vpn neighbor 169.254.0.1 export set-v6-next-hop-1
    set protocols bgp group vpn neighbor 169.254.0.1 local-as 65010
    set protocols bgp group vpn neighbor 169.254.0.1 graceful-restart restart-time 120
    set protocols bgp group vpn neighbor 169.254.0.1 include-mp-next-hop
    set protocols bgp group vpn2 type external
    set protocols bgp group vpn2 local-address 169.254.1.2
    set protocols bgp group vpn2 family inet unicast
    set protocols bgp group vpn2 family inet6 unicast
    set protocols bgp group vpn2 peer-as 16550
    set protocols bgp group vpn2 neighbor 169.254.1.1 export set-v6-next-hop-2
    set protocols bgp group vpn2 neighbor 169.254.1.1 local-as 65010
    set protocols bgp group vpn2 neighbor 169.254.1.1 graceful-restart restart-time 120
    set protocols bgp group vpn2 neighbor 169.254.1.1 include-mp-next-hop
    

  7. Verificare la connettività BGP.

    show route protocol bgp
    

Palo Alto Networks PAN-OS

Questa sezione descrive come configurare il dispositivo PAN-OS Palo Alto Networks in modo che supporti il traffico IPv4 e IPv6 nei tunnel VPN ad alta disponibilità.

PAN-OS supporta il trasporto di traffico IPv6 su IPv4. Tuttavia, PAN-OS non supporta le famiglie di indirizzi a doppio stack. Di conseguenza, devi configurare tunnel VPN separati che trasportano il traffico IPv4 o il traffico IPv6.

Per saperne di più sulla configurazione dei dispositivi PAN-OS per l'utilizzo con VPN, consulta Documentazione VPN Pao Alto PAN OS.

Prima di iniziare

In Google Cloud, configura due gateway VPN ad alta disponibilità e quattro tunnel VPN ad alta disponibilità. Due tunnel per il traffico IPv6 e due tunnel per il traffico IPv4.

  1. Crea il gateway e i tunnel VPN ad alta disponibilità per il traffico IPv4. Crea i seguenti elementi:

    • Un gateway VPN ad alta disponibilità che utilizza il tipo di stack solo IPv4
    • Due tunnel VPN che possono gestire il traffico IPv4
  2. Crea il gateway e i tunnel VPN ad alta disponibilità per il traffico IPv6. Crea i seguenti elementi:

    • Un gateway VPN ad alta disponibilità che utilizza il tipo di stack IPv4 e IPv6 (doppio stack)
    • Due tunnel VPN che possono gestire il traffico IPv6
    • Attiva IPv6 nelle sessioni BGP per i tunnel IPv6
  3. Registra gli indirizzi IPv4 esterni che Google Cloud assegna a ogni interfaccia del gateway VPN ad alta disponibilità.

  4. Registra i seguenti valori di configurazione per ogni tunnel:

    • L'indirizzo IPv4 link-local del peer BGP, che è il lato PAN-OS della sessione BGP
    • L'indirizzo IPv4 link-local del router Cloud utilizzato per il peering BGP
    • L'ASN che hai assegnato al peer BGP, che è il tuo dispositivo PAN-OS
    • L'ASN assegnato al router Cloud per le sessioni BGP
    • La chiave precondivisa
  5. Per ogni tunnel IPv6, registra anche peerIpv6NexthopAddress, che è l'indirizzo hop successivo IPv6 assegnato al peer BGP. Google Cloud potrebbe aver assegnato automaticamente questo indirizzo per te oppure potresti aver specificato manualmente gli indirizzi al momento della creazione del tunnel VPN.

Per trovare i dettagli sulla configurazione della sessione BGP, consulta la pagina Visualizzare la configurazione della sessione BGP.

Configura PAN-OS

Per configurare il dispositivo Palo Alto Networks, procedi nel seguente modo nell'interfaccia web di PAN-OS.

  1. Abilita il firewall IPv6.

    1. Seleziona Dispositivo > Configurazione > Impostazioni di sessione.
    2. Seleziona Abilita firewall IPv6.
  2. Crea un'interfaccia di loopback per IPv4 e IPv6.

    1. Seleziona Rete > Interfacce > Interfaccia di loopback e crea una nuova interfaccia di loopback.
    2. Crea un'interfaccia di loopback. Ad esempio, loopback.10.
    3. Nella scheda Configurazione, imposta Router virtuale su external e imposta Zona di sicurezza su ZONE_EXTERNAL.
    4. Nella scheda IPv4, assegna l'interfaccia di loopback agli intervalli di indirizzi IPv4 appropriati per la rete on-premise.
    5. Nella scheda IPv6, seleziona Abilita IPv6 nell'interfaccia e aggiungi un intervallo di indirizzi IPv6 appropriato per la tua rete on-premise.
    6. Nella scheda Avanzate, specifica un profilo di gestione per l'interfaccia di loopback. Assicurati che il profilo specificato consenta il ping in modo da poter verificare la connettività.
  3. Crea quattro tunnel gateway IKE, due tunnel per il traffico IPv6 e due tunnel per il traffico IPv4. Ogni tunnel si connette a un'interfaccia su un gateway VPN ad alta disponibilità.

    • Crea due tunnel per il traffico IPv6.
      1. Seleziona Rete > Interfacce > Tunnel e crea un nuovo tunnel.
      2. Specifica un nome per il primo tunnel. Ad esempio, tunnel.1.
      3. Nella scheda Configurazione, imposta Router virtuale su external e imposta Zona di sicurezza su ZONE_EXTERNAL.
      4. Nella scheda IPv4, specifica l'indirizzo locale del link del peer BGP che hai configurato durante la creazione dei tunnel VPN per la VPN ad alta disponibilità. Ad esempio, 169.254.0.2/30.
      5. Nella scheda IPv6, seleziona Abilita IPv6 nell'interfaccia e specifica l'indirizzo IPv6 successivo configurato per il peer BGP. Ad esempio, 2600:2D00:0:2::2/125.
      6. Nella scheda Advanced (Avanzate), imposta MTU su 1460.
      7. Ripeti la procedura per il secondo tunnel. Ad esempio, tunnel.2. Nelle schede IPv4 e IPv6, specifica i valori appropriati per i campi di peer BGP e IPv6 hop successivo. Utilizza i valori che corrispondono al secondo tunnel della VPN ad alta disponibilità con doppio stack. Ad esempio, 169.254.1.2/30 e 2600:2D00:0:3::3/125.
    • Crea due tunnel per il traffico IPv4.
      1. Seleziona Rete > Interfacce > Tunnel e crea un nuovo tunnel.
      2. Specifica un nome per il terzo tunnel. Ad esempio, tunnel.3.
      3. Nella scheda Configurazione, imposta Router virtuale su external e imposta Zona di sicurezza su ZONE_EXTERNAL.
      4. Nella scheda IPv4, specifica l'indirizzo locale del link del peer BGP che hai configurato durante la creazione dei tunnel VPN per la VPN ad alta disponibilità. Ad esempio, 169.254.2.2/30.
      5. Salta la configurazione della scheda IPv6.
      6. Nella scheda Advanced (Avanzate), imposta MTU su 1460.
      7. Ripeti la procedura per il quarto tunnel. Ad esempio, tunnel.4. Nella scheda IPv4, specifica i valori appropriati per il peer BGP che corrispondono al secondo tunnel della VPN ad alta disponibilità solo IPv4. Ad esempio, 169.254.3.2/30.
  4. Creare un profilo crittografico IPsec.

    1. Seleziona Rete > Cripta IPSec e crea un nuovo profilo.
    2. Inserisci i valori per i seguenti campi:
      • Nome: inserisci un nome per il profilo. Ad esempio, ha-vpn.
      • Protocollo IPSec: seleziona ESP.
      • Crittografia: aggiungi una crittografia IKE supportata.
      • Autenticazione: specifica una funzione hash. Ad esempio, sha512.
      • Gruppo DH: seleziona un gruppo DH. Ad esempio, gruppo14.
      • Per l'intera durata: seleziona Orario e inserisci 3.
    3. Fai clic su OK.
  5. Crea un profilo di crittografia IKE.

    1. Seleziona Rete > Crittografia IKE.
    2. Inserisci i valori per i seguenti campi:
      • Nome: inserisci un nome per il profilo. Ad esempio, ha-vpn.
      • Gruppo DH: verifica che il gruppo DH selezionato per il profilo Crypto IPSec venga visualizzato.
      • Autenticazione: specifica una funzione hash. Ad esempio, sha512.
      • Crittografia: aggiungi una crittografia IKE supportata.
    3. Nel riquadro Timer, seleziona Ore per Durata chiave e inserisci 10.
    4. Fai clic su OK.
  6. Dopo aver creato quattro tunnel IKE, crea quattro gateway IKE, uno per ogni tunnel.

    1. Seleziona Rete > Gateway IKE e crea un nuovo gateway.
    2. Nella scheda Generale, inserisci i valori per i seguenti campi:
      • Nome: il nome del gateway IKE per il primo tunnel. Ad esempio, havpn-v6-tunnel1.
      • Versione: seleziona IKEv2 only mode.
      • Tipo di indirizzo: seleziona IPv4.
      • Interfaccia: specifica l'interfaccia di loopback creata all'inizio di questa procedura. Ad esempio, loopback.10.
      • Indirizzo IP locale: specifica un intervallo di indirizzi IPv4 appropriato per la rete on-premise.
      • Tipo di indirizzo IP peer: seleziona IP.
      • Indirizzo peer: specifica l'indirizzo IPv4 esterno della prima interfaccia VPN ad alta disponibilità per il tunnel.
      • Autenticazione: seleziona Pre-Shared Key.
      • Chiave precondivisa, Conferma chiave precondivisa: inserisci il secret condiviso che hai configurato in Google Cloud per il tunnel.
      • Identificazione locale: seleziona Indirizzo IP e specifica un indirizzo IPv4 appropriato per la rete on-premise.
      • Identificazione peer: seleziona Indirizzo IP e l'indirizzo IPv4 esterno dell'interfaccia VPN ad alta disponibilità per il tunnel.
    3. Seleziona la scheda Advanced Options (Opzioni avanzate).
    4. Per il profilo IKE Crypto, seleziona il profilo creato in precedenza. Ad esempio, ha-vpn.
    5. Attiva il Controllo di attività e inserisci 5 come Intervallo (sec).
    6. Fai clic su OK.
    7. Ripeti questa procedura per gli altri tre tunnel, ma sostituisci i valori appropriati per i seguenti campi:
      • Nome: il nome del gateway IKE per il tunnel. Ad esempio, havpn-v6-tunnel2, havpn-v4-tunnel1 o havpn-v4-tunnel2.
      • Indirizzo IP locale/Identificazione locale: specifica un indirizzo IPv4 inutilizzato appropriato per la tua rete on-premise.
      • Indirizzo peer / Identificazione peer: specifica l'indirizzo IPv4 esterno per l'interfaccia VPN ad alta disponibilità corrispondente del tunnel.
      • Chiave precondivisa: specifica il secret condiviso configurato per il tunnel.
  7. Crea quattro tunnel IPsec.

    1. Seleziona Rete > Tunnel IPSec e crea un nuovo tunnel.
    2. Inserisci i valori per i seguenti campi:
      • Nome: il nome univoco del tunnel. Ad esempio, hapvpn-tunnel-1.
      • Interfaccia tunnel: seleziona un'interfaccia tunnel per il tunnel IKE che hai creato in precedenza. Ad esempio, tunnel.1.
      • Type (Tipo): seleziona Auto Key (Chiave automatica).
      • Tipo di indirizzo: seleziona IPv4.
      • Gateway IKE: seleziona uno dei gateway IKE che hai creato in precedenza. Ad esempio, havpn-v6-tunnel.
      • Profilo Crypto Sec: seleziona il profilo creato in precedenza. Ad esempio, ha-vpn.
    3. Non configurare ID proxy.
    4. Fai clic su OK.
    5. Ripeti questa procedura per gli altri tre tunnel, ma sostituisci i valori appropriati per i seguenti campi:
      • Nome: il nome univoco del tunnel IPsec. Ad esempio, havpn-tunnel2, havpn-tunnel3 o havpn-tunnel4.
      • Interfaccia tunnel: seleziona un'interfaccia tunnel inutilizzata per il tunnel IKE che hai creato in precedenza. Ad esempio, tunnel.2, tunnel.3 o tunnel.4.
      • Gateway IKE: seleziona uno dei gateway IKE che hai creato in precedenza. Ad esempio, havpn-v6-tunnel2, havpn-v4-tunnel1 o havpn-v4-tunnel2.
  8. (Facoltativo) Configura ECMP.

    1. Seleziona Rete > Router virtuali > ROUTER_NAME > Impostazioni router > ECMP.
    2. Nella scheda ECMP, seleziona Attiva.
    3. Fai clic su OK.
  9. Configura BGP.

    1. Seleziona Rete > Router virtuali > ROUTER_NAME > Impostazioni router > BGP.
    2. Nella scheda Generale, seleziona Attiva.
    3. Nel campo ID router, inserisci l'indirizzo IPv4 link-local assegnato al peer BGP, che è il lato PAN-OS della sessione BGP.
    4. Nel campo Numero AS, inserisci l'ASN per il lato PAN-OS della sessione BGP.
    5. In Options (Opzioni), assicurati che sia selezionata l'opzione Install Route (Installa percorso).
    6. Fai clic su OK.
  10. Crea un gruppo di peer BGP con un peer BGP per ogni tunnel IPv6. Puoi creare un gruppo di peer BGP separato per ogni tunnel IPv6 in modo da poter configurare un indirizzo IPv6 successivo per tunnel diverso.

    1. Seleziona Rete > Router virtuali > ROUTER_NAME > Impostazioni router > BGP > Gruppo di app peer.
    2. Nella scheda Gruppo di app peer crea un nuovo gruppo di app peer per il primo tunnel IPv6.
    3. Nel campo Nome, inserisci un nome per il gruppo di app peer. Ad esempio, havpn-bgp-v6-tunnel1.
    4. Seleziona Attiva.
    5. Seleziona Percorso AS aggregato di Kubernetes.
    6. Nell'elenco Tipo, seleziona EBGP.
    7. Per Import Next Hop, seleziona Originale.
    8. In Esporta prossimo hop, seleziona Risolvi.
    9. Seleziona Rimuovi asta privata.
    10. Nel riquadro Peer, fai clic su Aggiungi per aggiungere un peer al gruppo di app peer BGP.
    11. Nella finestra di dialogo Peer, inserisci i seguenti valori:
      • Nome: il nome del peer. Ad esempio, havpn-v6-tunnel1.
      • Seleziona Attiva.
      • Peer AS: l'ASN assegnato al router Cloud per la sessione BGP.
      • Nella scheda Indirizzi, configura le seguenti opzioni:
        • Seleziona Attiva estensioni MP-BGP.
        • In Tipo di famiglia di indirizzi, seleziona IPv6.
        • In Indirizzo locale, per Interface, seleziona il primo tunnel che hai definito durante la creazione dei tunnel del gateway IKE. Ad esempio, tunnel.1.
        • Per IP, seleziona l'indirizzo IPv4 link-local del peer BGP. Ad esempio, 169.254.0.2./30.
        • In Peer Address (Indirizzo peer), seleziona IP per Type (Tipo).
        • In Indirizzo, seleziona l'indirizzo IPv4 link-local del router Cloud per questa sessione BGP. Ad esempio, 169.254.0.1.
      • Fai clic su OK.
    12. Dopo aver aggiunto il peer, fai clic su OK.
    13. Ripeti questa procedura per l'altro tunnel IPv6, ma sostituisci i valori appropriati per i seguenti campi:
      • Nome: nome univoco per il gruppo di app peer BGP. Ad esempio, havpn-bgp-v6-tunnel2.
      • Nella finestra di dialogo Peer, inserisci i valori appropriati per il tunnel nei seguenti campi:
        • Nome: il nome del peer. Ad esempio, havpn-v6-tunnel1.
        • In Indirizzo locale, per Interface, seleziona il secondo tunnel che hai definito durante la creazione dei tunnel del gateway IKE. Ad esempio, tunnel.2.
        • Per IP, seleziona l'indirizzo IPv4 link-local del peer BGP per il secondo tunnel. Ad esempio, 169.254.1.2./30.
        • In indirizzo peer, per indirizzo, seleziona l'indirizzo IPv4 link-local del router Cloud per questa sessione BGP. Ad esempio: 169.254.1.1.
  11. Crea un gruppo di peer BGP per i tunnel IPv4.

    1. Seleziona Rete > Router virtuali > ROUTER_NAME > Impostazioni router > BGP > Gruppo di app peer.
    2. Nella scheda Gruppo di app peer crea un nuovo gruppo di app peer per il tunnel IPv4.
    3. Nel campo Nome, inserisci un nome per il gruppo di app peer. Ad esempio, havpn-bgp-v4.
    4. Seleziona Attiva.
    5. Seleziona Percorso AS aggregato di Kubernetes.
    6. Nell'elenco Tipo, seleziona EBGP.
    7. Per Import Next Hop, seleziona Originale.
    8. In Esporta prossimo hop, seleziona Risolvi.
    9. Seleziona Rimuovi asta privata.
    10. Nel riquadro Peer, fai clic su Aggiungi per aggiungere un peer al gruppo di app peer BGP.
    11. Nella finestra di dialogo Peer, inserisci i seguenti valori:
      • Nome: inserisci un nome per il peer. Ad esempio, havpn-v4-tunnel1.
      • Seleziona Attiva.
      • Peer AS: l'ASN assegnato al router Cloud per la sessione BGP.
      • Nella scheda Indirizzi, configura le seguenti opzioni:
        • Non selezionare Attiva estensioni MP-BGP.
        • In Tipo di famiglia di indirizzi, seleziona IPv4.
        • In Indirizzo locale, per Interface, seleziona il terzo tunnel che hai definito durante la creazione dei tunnel del gateway IKE. Ad esempio, tunnel.3.
        • Per IP, seleziona l'indirizzo IPv4 link-local del peer BGP. Ad esempio, 169.254.2.2./30.
        • In Indirizzo peer, seleziona IP per Tipo.
        • In Indirizzo, seleziona l'indirizzo IPv4 link-local del router Cloud per questa sessione BGP. Ad esempio, 169.254.2.1.
      • Fai clic su OK.
    12. Nel riquadro Peer, fai clic su Aggiungi per aggiungere il secondo peer al gruppo di app peer BGP.
    13. Nella finestra di dialogo Peer, inserisci i seguenti valori:
      • Nome: inserisci un nome per il peer. Ad esempio, havpn-v4-tunnel2.
      • Seleziona Attiva.
      • Peer AS: l'ASN assegnato al router Cloud per la sessione BGP.
      • Nella scheda Indirizzi, configura le seguenti opzioni:
        • Non selezionare Attiva estensioni MP-BGP.
        • Per Tipo di famiglia di indirizzi, seleziona IPv4.
        • In Indirizzo locale, per Interface, seleziona il quarto tunnel che hai definito durante la creazione dei tunnel del gateway IKE. Ad esempio, tunnel.4.
        • Per IP, seleziona l'indirizzo IPv4 link-local del peer BGP. Ad esempio, 169.254.3.2./30.
        • In Peer Address (Indirizzo peer), seleziona IP per Type (Tipo).
        • In Indirizzo, seleziona l'indirizzo IPv4 link-local del router Cloud per questa sessione BGP. Ad esempio, 169.254.3.1.
    14. Fai clic su OK.
    15. Dopo aver aggiunto entrambi i peer, fai clic su OK.
  12. Esporta le regole di configurazione BGP nei gruppi di peer BGP per i tunnel IPv6. Questo passaggio consente di assegnare diversi indirizzi hop successivo IPv6 ai tunnel.

    1. Seleziona Rete > Router virtuali > ROUTER_NAME > Impostazioni router > BGP > Esporta.
    2. Nella finestra di dialogo Esporta regola, inserisci un nome nel campo Regole. Ad esempio: havpn-tunnel1-v6.
    3. Seleziona Attiva.
    4. Nel riquadro Usato da, fai clic su Aggiungi per aggiungere il gruppo di app peer BGP creato per il primo tunnel IPv6. Ad esempio: havpn-bgp-v6-tunnel1.
    5. Nella scheda Corrispondenza, seleziona Unicast nell'elenco Tabella route.
    6. In Prefisso indirizzo, aggiungi il prefisso degli indirizzi IPv6 utilizzati nella tua rete on-premise.
    7. Nella scheda Azione, configura le seguenti opzioni:
      • Nell'elenco Azione, seleziona Consenti.
      • Nell'hop successivo, inserisci l'indirizzo dell'hop successivo IPv6 assegnato al peer BGP quando hai creato il tunnel. Ad esempio, 2600:2D00:0:2::2.
    8. Fai clic su OK.
    9. Ripeti questa procedura per il gruppo di peer BGP utilizzato dal secondo tunnel IPv6, ma sostituisci i valori appropriati per i seguenti campi:
      • Nella finestra di dialogo Esporta regola, inserisci un nome univoco nel campo Regole. Ad esempio: havpn-tunnel2-v6.
      • Nel riquadro Usato da, fai clic su Aggiungi per aggiungere il gruppo di peer BGP che hai creato per il secondo tunnel IPv6. Ad esempio: havpn-bgp-v6-tunnel1.
    10. Nella scheda Azione, configura il campo Next Hop, inserisci l'indirizzo IPv6 successivo assegnato al peer BGP per questo tunnel. Ad esempio: 2600:2D00:0:3::3.