HA-VPN-Verbindungen zwischen Google Cloud und AWS erstellen

In dieser Anleitung wird beschrieben, wie Sie hochverfügbare VPN-Verbindungen zwischen Google Cloud und Amazon Web Services (AWS) für die direkte Kommunikation zwischen VPC-Netzwerken der beiden Cloud-Plattformen erstellen.

In dieser Anleitung wird davon ausgegangen, dass Sie mit den grundlegenden Konzepten von VPC-Netzwerken (Virtual Private Cloud), Border Gateway Protocol (BGP), virtuellen privaten Netzwerken (VPNs) und IPsec-Tunneln vertraut sind.

Google Cloud bietet einen hochverfügbaren (HA) VPN-Dienst, um Ihr VPC-Netzwerk mit Umgebungen zu verbinden, die außerhalb von Google Cloud ausgeführt werden, wie beispielsweise lokal oder auf AWS über eine IPsec-VPN-Verbindung. HA-VPN bietet ein SLA von 99,99% Dienstverfügbarkeit, wenn es basierend auf Best Practices von Google konfiguriert wird. Weitere Informationen finden Sie unter Service Level Agreement (SLA) für Cloud VPN.

Architektur

Die auf dieser Seite beschriebene Architektur umfasst die folgenden Komponenten:

Cloud Router: Ein vollständig verteilter und verwalteter Google Cloud-Dienst, der dynamisches Routing mit BGP für Ihre VPC-Netzwerke bereitstellt.
HA-VPN-Gateway: Von Google verwaltetes VPN-Gateway, das in Google Cloud ausgeführt wird. Jedes HA-VPN-Gateway ist eine regionale Ressource mit zwei Schnittstellen, die jeweils eigene externe IP-Adressen haben: Schnittstelle 0 und 1.
VPN-Tunnel: Verbindungen vom HA VPN-Gateway zum Peer-VPN-Gateway auf AWS, über das verschlüsselter Traffic weitergeleitet wird.
Peer-VPN-Gateway: Zwei AWS-Site-to-Site-VPN-Endpunkte, die von einem virtuellen privaten AWS-Gateway oder AWS-Transit-Gateway stammen können. Weitere Informationen finden Sie unter Was ist AWS Site-to-Site VPN?

Jede Peer-VPN-Gateway-Verbindung umfasst zwei Tunnel, die für ein einzelnes Kunden-Gateway vorkonfiguriert sind, in diesem Fall eine Google Cloud-HA-VPN-Schnittstelle. Bei dieser Konfiguration beträgt die Mindestanzahl an Tunneln, die für das SLA einer Dienstverfügbarkeit von 99,99% erforderlich sind, vier.

Die Routingoptionen und die kombinierte Bandbreite über die VPN-Tunnel hängen von der auf der AWS-Seite verwendeten Site-to-Site-VPN-Option ab:

Transit-Gateway: Wenn Sie das AWS-Transit-Gateway ohne BGP-Einstellung erstellen, verteilt ECMP den Traffic gleichmäßig auf aktive Tunnel.

Wenn Sie die VPN-Verbindung für mehrere Google Virtual Private Cloud-Netzwerke verwenden möchten, verwenden Sie ein VPC-Verbindungsnetzwerk, um eine Hub-and-Spoke-Architektur mit mehreren VPC-Netzwerken zu skalieren.

Weitere Informationen zu AWS-Transit-Gateways finden Sie unter Was sind Amazon VPC-Transit-Gateways?.
Virtuelles privates Gateway: Wenn Sie ein virtuelles privates AWS-Gateway verwenden, wird nur ein Tunnel für alle Verbindungen des Gateways ausgewählt. Wenn Sie mehrere Tunnel verwenden möchten, sollten Sie stattdessen ein AWS-Transit-Gateway verwenden, damit ECMP (Equal Cost Multipath) verfügbar ist.

Weitere Informationen zur VPN-Routenpriorität bei AWS finden Sie unter Site-to-Site-VPN-Routingoptionen.

Weitere Informationen zu virtuellen privaten Gateways von AWS finden Sie unter Tunneloptionen für Ihre Site-to-Site-VPN-Verbindung.

Im folgenden Diagramm sehen Sie die Architektur.

Architekturübersicht.

Ziele

Erstellen Sie ein VPC-Netzwerk in Google Cloud.
Erstellen Sie ein HA-VPN-Gateway und einen Cloud Router in Google Cloud.
Kunden-Gateways in AWS erstellen.
Erstellen Sie eine VPN-Verbindung mit dynamischem Routing in AWS.
Externes VPN-Gateway und VPN-Tunnel in Google Cloud erstellen.
VPN-Verbindung zwischen VPC-Netzwerken in Google Cloud und AWS prüfen und testen.

Beispiel für ein Terraform-Modul

Mit dem Modul gcp-to-aws-ha-vpn-terraform-module können Sie HA VPN zwischen Google Cloud und AWS bereitstellen.

Kosten

In dieser Anleitung werden kostenpflichtige Komponenten von Google Cloud verwendet, darunter:

Eine Schätzung der Kosten für die Google Cloud-Komponenten erhalten Sie mit dem Google Cloud-Preisrechner.

In dieser Anleitung werden kostenpflichtige Komponenten von Amazon Web Services verwendet, darunter:

AWS-Transit-Gateway
AWS-Site-to-Site-VPN

Mit dem AWS-Preisrechner können Sie die Kosten für die AWS-Komponenten schätzen.

Hinweis

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.
Enable the Compute Engine API.
Enable the API

In the Google Cloud console, activate Cloud Shell.

Activate Cloud Shell
Prüfen Sie, ob Sie die erforderlichen Administratorrollen zum Konfigurieren von Netzwerkkomponenten haben:
- Netzwerkadministrator: compute.networkAdmin
- Sicherheitsadministrator: compute.securityAdmin
- Compute-Administrator: compute.admin
Weitere Informationen zu den Zwecken dieser Rollen finden Sie unter IAM-Rollen für netzwerkbezogene Jobfunktionen.

HA-VPN-Gateway und Cloud Router in Google Cloud erstellen

In diesem Abschnitt erstellen Sie ein VPC-Netzwerk, ein HA-VPN-Gateway und einen Cloud Router in Google Cloud.

Achten Sie darauf, dass Sie in Cloud Shell in dem Google Cloud-Projekt arbeiten, das Sie erstellt oder ausgewählt haben:
```
gcloud config set project YOUR_PROJECT_ID

export PROJECT_ID=`gcloud config list --format="value(core.project)"`
```
Ersetzen Sie YOUR_PROJECT_ID durch Ihre Google Cloud-Projekt-ID.
Erstellen Sie ein benutzerdefiniertes VPC-Netzwerk mit einem einzelnen Subnetz:
```
gcloud compute networks create NETWORK \
    --subnet-mode SUBNET_MODE \
    --bgp-routing-mode BGP_ROUTING_MODE
```
Dabei gilt:
- NETWORK: Der Name des Netzwerks
- SUBNET_MODE: Der Subnetzmodus
- BGP_ROUTING_MODE: Der BGP-Routingmodus
Der Befehl sollte in etwa wie das folgende Beispiel aussehen:
```
gcloud compute networks create gc-vpc \
    --subnet-mode custom \
    --bgp-routing-mode global
```

Erstellen Sie ein Subnetz zum Hosten der Test-VMs:

gcloud compute networks subnets create SUBNET_NAME \
    --network NETWORK \
    --region SUBNET_REGION \
    --range IP_ADDRESS_RANGE

Dabei gilt:

SUBNET_NAME: Der Subnetzname
SUBNET_REGION: Die Region, in der das Subnetz erstellt werden soll
IP_ADDRESS_RANGE: Der IP-Adressbereich für das Subnetz

Die Befehle sollten wie im folgenden Beispiel aussehen:

gcloud compute networks subnets create subnet-east4  \
    --network gc-vpc \
    --region us-east4 \
    --range 10.1.1.0/24

Erstellen Sie das HA-VPN-Gateway:

gcloud compute vpn-gateways create HA_VPN_GATEWAY_NAME \
    --network NETWORK \
    --region REGION

Ersetzen Sie HA_VPN_GATEWAY_NAME durch den Namen für das HA-VPN-Gateway.

Erstellen Sie einen Cloud Router:
```
gcloud compute routers create ROUTER_NAME \
    --region REGION \
    --network NETWORK \
    --asn GOOGLE_ASN \
    --advertisement-mode custom \
    --set-advertisement-groups all_subnets
```
Dabei gilt:
- ROUTER_NAME: Der Name für Ihren Cloud Router.
- GOOGLE_ASN: Die private ASN (autonome Systemnummer) für den Cloud Router, den Sie erstellen. Dies kann eine beliebige private ASN im Bereich 64512-65534 oder 4200000000-4294967294 sein, die Sie nicht bereits als Peer-ASN in derselben Region und demselben Netzwerk verwenden.
Der Befehl sollte in etwa wie das folgende Beispiel aussehen:
```
gcloud compute routers create cloud-router \
    --region us-east4 \
    --network gc-vpc \
    --asn 65534 \
    --advertisement-mode custom \
    --set-advertisement-groups all_subnets
```

Mit diesem Verfahren wird ein VPN-Gateway mit zwei Schnittstellen erstellt. Notieren Sie sich die externen Adressen, damit Sie sie beim Einrichten Ihrer Umgebung auf AWS-Seite verwenden können.

Gateways und VPN-Verbindungen in AWS erstellen

In diesem Abschnitt erstellen Sie Kunden-Gateways, ein Ziel-Gateway und VPN-Verbindungen mit dynamischem Routing.

Sie führen AWS-Befehle über die AWS-Befehlszeile aus.

Erstellen Sie mit dem folgenden AWS-Befehl zwei Kunden-Gateways:

aws ec2 create-customer-gateway --type ipsec.1 --public-ip INTERFACE_0_IP_ADDRESS --bgp-asn GOOGLE_ASN

aws ec2 create-customer-gateway --type ipsec.1 --public-ip INTERFACE_1_IP_ADDRESS --bgp-asn GOOGLE_ASN

Ersetzen Sie INTERFACE_0_IP_ADDRESS und INTERFACE_1_IP_ADDRESS durch die öffentlichen IP-Adressen aus dem letzten Schritt im vorherigen Abschnitt.

Erstellen Sie ein Ziel-Gateway und hängen Sie es an Ihr VPC-Netzwerk an.

Das Ziel-Gateway kann ein virtuelles privates Gateway oder ein Transit-Gateway sein. Weitere Informationen finden Sie unter Ziel-Gateway erstellen.

Folgen Sie der Anleitung für ein virtuelles privates Gateway oder ein Transit-Gateway:
- Virtuelles privates Gateway:
  1. Erstellen Sie ein virtuelles privates Gateway mit einer bestimmten AWS-seitigen ASN:
```
aws ec2 create-vpn-gateway --type ipsec.1 --amazon-side-asn AWS_SIDE_ASN
```
    Ersetzen Sie AWS_SIDE_ASN durch die ASN für die AWS-Seite.
    
    Dieser Befehl sollte in etwa wie das folgende Beispiel aussehen:
```
aws ec2 create-vpn-gateway --type ipsec.1 --amazon-side-asn 65001
```
  2. Hängen Sie das virtuelle private Gateway an Ihr VPC-Netzwerk an:
```
aws ec2 attach-vpn-gateway --vpn-gateway-id VPN_GATEWAY_ID --vpc-id VPC_ID
```
- Transit-Gateway:
  1. Erstellen Sie ein Transit-Gateway:
```
aws ec2 create-transit-gateway --description TRANSIT_GATEWAY_DESCRIPTION \
    --options=AmazonSideAsn=65001,AutoAcceptSharedAttachments=enable,DefaultRouteTableAssociation=enable,DefaultRouteTablePropagation=enable,VpnEcmpSupport=enable,DnsSupport=enable
```
    Ersetzen Sie TRANSIT_GATEWAY_DESCRIPTION durch eine Beschreibung für Ihr Transit-Gateway.
  2. Hängen Sie Ihr VPC-Netzwerk an das Transit-Gateway an:
```
aws ec2 create-transit-gateway-vpc-attachment \
    --transit-gateway-id TRANSIT_GATEWAY_ID \
    --vpc-id VPC_ID \
    --subnet-id SUBNET_ID
```
Erstellen Sie eine VPN-Verbindung mit dynamischem Routing.

Die Methode zum Erstellen einer VPN-Verbindung mit dynamischem Routing unterscheidet sich je nachdem, ob Ihr Ziel-Gateway ein virtuelles privates Gateway oder ein Transit-Gateway ist. Weitere Informationen finden Sie unter VPN-Verbindung erstellen.

Folgen Sie der Anleitung für ein virtuelles privates Gateway oder ein Transit-Gateway:
- Virtuelles privates Gateway:
  
  Erstellen Sie eine VPN-Verbindung mit dynamischem Routing zwischen dem virtuellen privaten Gateway und dem Kunden-Gateway und wenden Sie Tags auf die VPN-Verbindung an:
```
    aws ec2 create-vpn-connection \
        --type ipsec.1 \
        --customer-gateway-id CUSTOMER_GATEWAY_1 \
        --vpn-gateway-id VPN_GATEWAY_ID \
        --options TunnelOptions='[{TunnelInsideCidr=AWS_T1_IP,PreSharedKey=SHARED_SECRET_1},{TunnelInsideCidr=AWS_T2_IP,PreSharedKey=SHARED_SECRET_2}]'

    aws ec2 create-vpn-connection \
        --type ipsec.1 \
        --customer-gateway-id CUSTOMER_GATEWAY_2 \
        --vpn-gateway-id VPN_GATEWAY_ID \
        --options TunnelOptions='[{TunnelInsideCidr=AWS_T3_IP,PreSharedKey=SHARED_SECRET_3},{TunnelInsideCidr=AWS_T4_IP,PreSharedKey=SHARED_SECRET_4}]'
```
- Transit-Gateway:
  
  Erstellen Sie eine VPN-Verbindung mit dynamischem Routing zwischen dem Transit-Gateway und den Kunden-Gateways:
```
aws ec2 create-vpn-connection \
    --type ipsec.1 \
    --customer-gateway-id CUSTOMER_GATEWAY_1 \
    --transit-gateway-id TRANSIT_GATEWAY_ID \
    --options TunnelOptions='[{TunnelInsideCidr=AWS_T1_IP,PreSharedKey=SHARED_SECRET_1},{TunnelInsideCidr=AWS_T2_IP,PreSharedKey=SHARED_SECRET_2}]'

aws ec2 create-vpn-connection \
    --type ipsec.1 \
    --customer-gateway-id CUSTOMER_GATEWAY_2 \
    --transit-gateway-id TRANSIT_GATEWAY_ID \
    --options TunnelOptions='[{TunnelInsideCidr=AWS_T3_IP,PreSharedKey=SHARED_SECRET_3},{TunnelInsideCidr=AWS_T4_IP,PreSharedKey=SHARED_SECRET_4}]'
```
  Dabei gilt:
  - CUSTOMER_GATEWAY_1: Google Cloud-VPN-Gateway, Schnittstelle 0
  - CUSTOMER_GATEWAY_2: Google Cloud-VPN-Gateway, Schnittstelle 1
  - AWS_T1_IP: Interne IP-Adresse für virtuelles privates Gateway für Verbindung 1, Tunnel 1
  - AWS_T2_IP: Interne IP-Adresse für virtuelles privates Gateway für Verbindung 1, Tunnel 2
  - AWS_T3_IP: Interne IP-Adresse für virtuelles privates Gateway für Verbindung 2, Tunnel 1
  - AWS_T4_IP: Interne IP-Adresse für virtuelles privates Gateway für Verbindung 2, Tunnel 2
  - SHARED_SECRET_1: Vorinstallierter Schlüssel für Verbindung 1, Tunnel 1
  - SHARED_SECRET_2: Vorinstallierter Schlüssel für Verbindung 1, Tunnel 2
  - SHARED_SECRET_3: Vorinstallierter Schlüssel für Verbindung 2, Tunnel 1
  - SHARED_SECRET_4: Vorinstallierter Schlüssel für Verbindung 2, Tunnel 2
  AWS reserviert einige CIDR-Bereiche, sodass Sie keine Werte in diesen Bereichen als interne IP-Adressen verwenden können (AWS_T1_IP, AWS_T2_IP, AWS_T3_IP, AWS_T4_IP). “ Informationen darüber, welche CIDR-Blöcke AWS reserviert, finden Sie unter Tunneloptionen für Ihre Site-to-Site-VPN-Verbindung.
  
  Diese Befehle erstellen vier Tunnel zu Google Cloud.
Laden Sie die Konfigurationsdateie für die beiden VPN-Verbindungen herunter.

In den folgenden Schritten verwenden Sie Werte aus den Konfigurationsdateien, um Ressourcen auf der Google Cloud-Seite zu erstellen und zu konfigurieren.

VPN-Tunnel und Cloud Router-Schnittstellen in Google Cloud erstellen

In diesem Abschnitt verwenden Sie die Informationen aus den im vorherigen Abschnitt erstellten AWS-VPN-Verbindungen, um Komponenten in Google Cloud zu erstellen und zu konfigurieren.

Verwenden Sie beim Konfigurieren von VPN-Tunneln zu AWS das IKEv2-Verschlüsselungsprotokoll und wählen Sie weniger Transform-Sets auf der AWS-Seite aus. Wählen Sie zum Beispiel eine Kombination aus einzelnen Verschlüsselungsalgorithmen für Phase 1 und Phase 2, Integritätsalgorithmen und DH-Gruppennummern (Diffie-Hellman) aus. Andernfalls kann die Neuverschlüsselung des Cloud VPN-Tunnels fehlschlagen, da die Nutzlast der Sicherheitsverknüpfung (SA) für die AWS-Standard-Transform-Sets groß ist. Die große Nutzlast kann zu einer IP-Fragmentierung von IKE-Paketen auf der AWS-Seite führen, die von Cloud VPN nicht unterstützt wird. Weitere Informationen finden Sie unter Tunneloptionen für Ihre Site-to-Site-VPN-Verbindung.

Erstellen Sie in Cloud Shell ein externes VPN-Gateway mit vier Schnittstellen für externe AWS-IP-Adressen:
```
gcloud compute external-vpn-gateways create PEER_GATEWAY_NAME --interfaces \
  0=AWS_GW_IP_1,1=AWS_GW_IP_2,2=AWS_GW_IP_3,3=AWS_GW_IP_4
```
Dabei gilt:
- AWS_GW_IP_1: Externe IP-Adresse für virtuelles privates Gateway für Verbindung 1, Tunnel 1
- AWS_GW_IP_2: Externe IP-Adresse für virtuelles privates Gateway für Verbindung 1, Tunnel 2
- AWS_GW_IP_3: Externe IP-Adresse für virtuelles privates Gateway für Verbindung 2, Tunnel 1
- AWS_GW_IP_4: Externe IP-Adresse für virtuelles privates Gateway für Verbindung 2, Tunnel 2

Erstellen Sie vier VPN-Tunnel:

Tunnel 1:

gcloud compute vpn-tunnels create tunnel-1 \
    --peer-external-gateway PEER_GATEWAY_NAME \
    --peer-external-gateway-interface 0 \
    --region REGION \
    --ike-version IKE_VERSION \
    --shared-secret SHARED_SECRET_1 \
    --router ROUTER_NAME \
    --vpn-gateway HA_VPN_GATEWAY_NAME \
    --interface 0

Tunnel 2:

gcloud compute vpn-tunnels create tunnel-2 \
    --peer-external-gateway PEER_GATEWAY_NAME \
    --peer-external-gateway-interface 1 \
    --region REGION \
    --ike-version IKE_VERSION \
    --shared-secret SHARED_SECRET_2 \
    --router ROUTER_NAME \
    --vpn-gateway HA_VPN_GATEWAY_NAME \
    --interface 0

Tunnel 3:

gcloud compute vpn-tunnels create tunnel-3 \
    --peer-external-gateway PEER_GATEWAY_NAME \
    --peer-external-gateway-interface 2 \
    --region REGION \
    --ike-version IKE_VERSION \
    --shared-secret SHARED_SECRET_3 \
    --router ROUTER_NAME \
    --vpn-gateway HA_VPN_GATEWAY_NAME \
    --interface 1

Tunnel 4:

gcloud compute vpn-tunnels create tunnel-4 \
    --peer-external-gateway PEER_GATEWAY_NAME \
    --peer-external-gateway-interface 3 \
    --region REGION \
    --ike-version IKE_VERSION \
    --shared-secret SHARED_SECRET_4 \
    --router ROUTER_NAME \
    --vpn-gateway HA_VPN_GATEWAY_NAME \
    --interface 1

Erstellen Sie vier Cloud Router-Schnittstellen:

Ersetzen Sie in den folgenden Befehlen jeden GOOGLE_BGP_IP_TUNNEL-Platzhalter durch die IP-Adresse des Tunnels auf der Google Cloud-Seite. Sie finden die Werte in den AWS-VPN-Konfigurationsdateien als Kunden-Gateway-Adresse für jeden Tunnel. Jede dieser Adressen muss sich im CIDR-Bereich /30 innerhalb des Netzwerkbereichs 169.254.0.0/16 befinden.

Cloud Router-Schnittstelle 1:

gcloud compute routers add-interface ROUTER_NAME \
    --interface-name int-1 \
    --vpn-tunnel tunnel-1 \
    --ip-address GOOGLE_BGP_IP_TUNNEL_1 \
    --mask-length 30 \
    --region REGION

Cloud Router-Schnittstelle 2:

gcloud compute routers add-interface ROUTER_NAME \
    --interface-name int-2 \
    --vpn-tunnel tunnel-2 \
    --ip-address GOOGLE_BGP_IP_TUNNEL_2 \
    --mask-length 30 \
    --region REGION

Cloud Router-Schnittstelle 3:

gcloud compute routers add-interface ROUTER_NAME \
    --interface-name int-3 \
    --vpn-tunnel tunnel-3 \
    --ip-address GOOGLE_BGP_IP_TUNNEL_3 \
    --mask-length 30 \
    --region REGION

Cloud Router-Schnittstelle 4:

gcloud compute routers add-interface ROUTER_NAME \
    --interface-name int-4 \
    --vpn-tunnel tunnel-4 \
    --ip-address GOOGLE_BGP_IP_TUNNEL_4 \
    --mask-length 30 \
    --region REGION

Fügen Sie BGP-Peers hinzu.

Ersetzen Sie in den folgenden Befehlen PEER_ASN durch die ASN für die AWS-Seite der BGP-Sitzung.

AWS-Verbindung 1, Tunnel 1

gcloud compute routers add-bgp-peer ROUTER_NAME \
    --peer-name aws-conn1-tunn1 \
    --peer-asn PEER_ASN \
    --interface int-1 \
    --peer-ip-address AWS_T1_IP \
    --region REGION

AWS-Verbindung 1, Tunnel 2

gcloud compute routers add-bgp-peer ROUTER_NAME \
    --peer-name aws-conn1-tunn2 \
    --peer-asn PEER_ASN \
    --interface int-2 \
    --peer-ip-address AWS_T2_IP \
    --region REGION

AWS-Verbindung 2, Tunnel 1

gcloud compute routers add-bgp-peer ROUTER_NAME \
    --peer-name aws-conn2-tunn1 \
    --peer-asn PEER_ASN \
    --interface int-3 \
    --peer-ip-address AWS_T3_IP \
    --region REGION

AWS-Verbindung 2, Tunnel 2

gcloud compute routers add-bgp-peer ROUTER_NAME \
    --peer-name aws-conn2-tunn2 \
    --peer-asn PEER_ASN \
    --interface int-4 \
    --peer-ip-address AWS_T4_IP \
    --region REGION

Konfiguration prüfen

Prüfen Sie in Cloud Shell den Status des Cloud Routers:

gcloud compute routers get-status ROUTER_NAME \
    --region REGION \
    --format='flattened(result.bgpPeerStatus[].name, result.bgpPeerStatus[].ipAddress, result.bgpPeerStatus[].peerIpAddress)'

Die Ausgabe sieht etwa so aus:

result.bgpPeerStatus[].peerIpAddress)'
result.bgpPeerStatus[0].ipAddress:     169.254.171.18
result.bgpPeerStatus[0].name:          aws-conn1-tunn1
result.bgpPeerStatus[0].peerIpAddress: 169.254.171.17
result.bgpPeerStatus[1].ipAddress:     169.254.156.154
result.bgpPeerStatus[1].name:          aws-conn1-tunn2
result.bgpPeerStatus[1].peerIpAddress: 169.254.156.153
result.bgpPeerStatus[2].ipAddress:     169.254.123.38
result.bgpPeerStatus[2].name:          aws-conn2-tunn1
result.bgpPeerStatus[2].peerIpAddress: 169.254.123.37
result.bgpPeerStatus[3].ipAddress:     169.254.48.186
result.bgpPeerStatus[3].name:          aws-conn2-tunn2
result.bgpPeerStatus[3].peerIpAddress: 169.254.48.185

Listen Sie alle Tunnel auf:

gcloud compute vpn-tunnels list

Die Ausgabe sieht etwa so aus:

NAME      REGION    GATEWAY    PEER_ADDRESS
tunnel-1  us-east4  ha-vpn-gw  34.205.x.x
tunnel-2  us-east4  ha-vpn-gw  52.203.x.x
tunnel-3  us-east4  ha-vpn-gw  3.208.x.x
tunnel-4  us-east4  ha-vpn-gw  52.204.x.x

Prüfen Sie den Tunnelstatus:

gcloud compute vpn-tunnels describe tunnel-1 \
     --region REGION \
     --format='flattened(status,detailedStatus)'

Die Ausgabe sieht etwa so aus:

detailed_status: Tunnel is up and running.
status:          ESTABLISHED

Listen Sie die von Cloud Router erlernten dynamischen Routen auf:

gcloud compute routers get-status ROUTER_NAME \
    --region REGION \
    --format="flattened(result.bestRoutes)"

Die Ausgabe sieht etwa so aus:

result.bestRoutes[0].creationTimestamp: 2021-01-19T20:42:07.366-08:00
result.bestRoutes[0].destRange:         10.2.2.0/24
result.bestRoutes[0].kind:              compute#route
result.bestRoutes[0].nextHopIp:         169.254.171.17
result.bestRoutes[0].priority:          100
result.bestRoutes[1].creationTimestamp: 2021-01-19T20:42:07.366-08:00
result.bestRoutes[1].destRange:         10.2.2.0/24
result.bestRoutes[1].kind:              compute#route
result.bestRoutes[1].nextHopIp:         169.254.156.153
result.bestRoutes[1].priority:          100
result.bestRoutes[2].creationTimestamp: 2021-01-19T20:56:26.588-08:00
result.bestRoutes[2].destRange:         10.2.2.0/24
result.bestRoutes[2].kind:              compute#route
result.bestRoutes[2].nextHopIp:         169.254.123.37
result.bestRoutes[2].priority:          100
result.bestRoutes[3].creationTimestamp: 2021-01-19T20:56:26.588-08:00
result.bestRoutes[3].destRange:         10.2.2.0/24
result.bestRoutes[3].kind:              compute#route
result.bestRoutes[3].nextHopIp:         169.254.48.185
result.bestRoutes[3].priority:          100

Verbindung testen

Erstellen Sie Test-VMs auf jeder Seite der Tunnel, um Ping-Anfragen zu testen.

Achten Sie darauf, dass VPC-Firewallregeln vorhanden sind, um ICMP-Traffic zuzulassen.
- Eine Anleitung zum Erstellen von Compute Engine-VMs finden Sie unter Compute Engine-Instanz erstellen und starten.
- Eine Anleitung zum Erstellen von EC2-Instanzen in AWS finden Sie unter Amazon EC2-Instanzen starten.
Testen Sie die Verbindung mit dem Befehl ping.
Messen Sie die Bandbreite zwischen den Testmaschinen mit iperf.
- Serverseite:
```
iperf3 -s
```
- Clientseite:
```
iperf3 -c SERVER_IP_ADDRESS -P NUMBER_OF_PARALLEL_SESSIONS
```

Bereinigen

Löschen Sie die Google Cloud- und AWS-Ressourcen, die Sie in dieser Anleitung erstellt haben.

Google Cloud-Projekt löschen

Damit Ihrem Google Cloud-Konto die in dieser Anleitung verwendeten Ressourcen nicht in Rechnung gestellt werden, können Sie Ihr Projekt löschen:

Achtung: Das Löschen von Projekten hat folgende Auswirkungen:

Alle Inhalte des Projekts werden gelöscht. Wenn Sie für die Aufgaben in diesem Dokument ein bereits bestehendes Projekt verwendet haben und dieses löschen, werden auch alle anderen im Rahmen des Projekts erstellten Daten gelöscht.
Benutzerdefinierte Projekt-IDs gehen verloren. Beim Erstellen dieses Projekts haben Sie möglicherweise eine benutzerdefinierte Projekt-ID erstellt, die Sie weiterhin verwenden möchten. Damit die URLs, die die Projekt-ID nutzen, z. B. eine appspot.com-URL, erhalten bleiben, sollten Sie ausgewählte Ressourcen innerhalb des Projekts löschen, statt das gesamte Projekt.

Wenn Sie mehrere Architekturen, Anleitungen und Kurzanleitungen durcharbeiten möchten, können Sie die Überschreitung von Projektkontingenten verhindern, indem Sie Projekte wiederverwenden.

In the Google Cloud console, go to the Manage resources page.
Go to Manage resources
In the project list, select the project that you want to delete, and then click Delete.
In the dialog, type the project ID, and then click Shut down to delete the project.

AWS-Ressourcen löschen

Nächste Schritte

Mehr über Google Cloud VPN erfahren
Mehr über Best Practices und Referenzarchitekturen für das VPC-Design erfahren