Reti e instradamento nei tunnel

Questa pagina descrive le reti e le opzioni di routing Virtual Private Cloud (VPC) supportate.

Per le definizioni dei termini utilizzati in questa pagina, consulta Termini chiave.

Reti supportate

Cloud VPN supporta reti VPC in modalità personalizzata, reti VPC in modalità automatica e reti legacy. Tuttavia, ti consigliamo di attenerti alle seguenti best practice:

  • Utilizza le reti VPC invece delle reti legacy. Le reti legacy non supportano le subnet; l'intera rete utilizza un singolo intervallo di indirizzi IP. Le reti legacy non possono essere convertite in reti VPC.

  • Utilizza una rete VPC in modalità personalizzata. Le reti VPC in modalità personalizzata offrono il controllo completo sull'intervallo di indirizzi IP utilizzati dalle rispettive subnet.

Opzioni di routing per i tunnel VPN

La VPN classica supporta opzioni di routing statico per i tunnel VPN, mentre la VPN ad alta disponibilità supporta l'opzione di routing dinamico. Puoi utilizzare tunnel VPN classica che utilizzano il routing dinamico solo se il gateway VPN classica si connette al software gateway VPN in esecuzione all'interno di una VM di Compute Engine.

Il routing dinamico utilizza il Border Gateway Protocol (BGP).

Routing dinamico (BGP)

Il routing dinamico utilizza un router Cloud per gestire automaticamente lo scambio di route mediante BGP. Un'interfaccia BGP su un router Cloud nella stessa regione del tunnel Cloud VPN corrispondente gestisce questo scambio. Il router Cloud aggiunge e rimuove le route senza che sia necessario eliminare e ricreare il tunnel.

La modalità di routing dinamico della rete VPC controlla il comportamento di tutti i relativi router Cloud. Questa modalità determina se le route apprese dalla rete peer vengono applicate alle risorse Google Cloud nella stessa regione del tunnel VPN o se vengono applicate in tutte le regioni. Puoi controllare le route annunciate dal tuo router o gateway peer.

La modalità di routing dinamico determina anche se le route di subnet solo dalla regione del tunnel o da tutte le regioni vengono condivise con il router o il gateway peer. Oltre a queste route di subnet, puoi configurare annunci di route personalizzate su un router Cloud.

Routing statico

I tunnel VPN classica supportano opzioni di routing statiche basate su criteri e route. Prendi in considerazione un'opzione di routing statico solo se non puoi usare il routing dinamico (BGP) o la VPN ad alta disponibilità.

  • Routing basato su criteri. Gli intervalli IP locali (lato sinistro) e gli intervalli IP remoti (lato destro) sono definiti nell'ambito del processo di creazione del tunnel.

  • VPN basata su route. Quando utilizzi la console Google Cloud per creare una VPN basata su route, devi specificare solo un elenco di intervalli IP remoti. Questi intervalli vengono utilizzati solo per creare route nella tua rete VPC a risorse peer.

Puoi trovare ulteriori informazioni su queste due opzioni di routing statico nella sezione successiva.

Selettori del traffico

Un selettore di traffico definisce un insieme di intervalli di indirizzi IP o blocchi CIDR utilizzati per stabilire un tunnel VPN. Questi intervalli vengono utilizzati come parte della negoziazione IKE per il tunnel. In alcune letteratura, i selettori del traffico vengono chiamati domini di crittografia.

Esistono due tipi di selettori del traffico:

  • Il selettore del traffico locale definisce l'insieme di intervalli IP locali (blocchi CIDR) dal punto di vista del gateway VPN che emette il tunnel VPN. Per i tunnel Cloud VPN, il selettore del traffico locale definisce l'insieme di CIDR delle subnet primarie e secondarie per le subnet nella rete VPC, che rappresenta il lato sinistro del tunnel.

  • Il selettore del traffico remoto definisce l'insieme di intervalli IP remoti (blocchi CIDR) dal punto di vista del gateway VPN che emette il tunnel VPN. Per i tunnel Cloud VPN, il selettore del traffico remoto è la rete destra o la rete peer.

I selettori di traffico sono una parte intrinseca di un tunnel VPN, utilizzato per stabilire l'handshake IKE. Se è necessario modificare i CIDR locali o remoti, il tunnel Cloud VPN e il tunnel della controparte peer devono essere eliminati e ricreati.

Opzioni di routing e selettori del traffico

I valori dell'intervallo IP (blocco CIDR) per i selettori del traffico locale e remoto dipendono dall'opzione di routing utilizzata dal tunnel Cloud VPN.

Tunnel VPN ad alta disponibilità
Opzione di routing
per tunnel		 Selettore del traffico
locale		 Selettore del traffico
remoto		 Route
alla rete VPC		 Instrada
alla rete peer
Richiede
il routing dinamico (BGP)		 Sempre
0.0.0.0/0 per IPv4 (stack singolo)
o 0.0.0.0/0,::/0 per IPv4 e IPv6 (stack doppio) o ::/0 per IPv6 (stack singolo)		 Sempre
0.0.0.0/0 per IPv4 (stack singolo)
o 0.0.0.0/0,::/0 per IPv4 e IPv6 (stack doppio) o ::/0 per IPv6 (stack singolo)		 A meno che non venga modificato da annunci pubblicitari personalizzati, il router Cloud che gestisce l'interfaccia BGP per il tunnel Cloud VPN condivide le route alle subnet della rete VPC in base alla modalità di routing dinamico della rete e a quote e limiti per il router Cloud. Soggetto alle limitazioni sulle route personalizzate e alle quote e ai limiti per il router Cloud, il router Cloud che gestisce l'interfaccia BGP per il tunnel Cloud VPN apprende le route inviate dal gateway VPN peer e le aggiunge alla rete VPC come route dinamiche personalizzate.
Tunnel VPN classica
Opzione di routing
per tunnel		 Selettore del traffico
locale		 Selettore del traffico
remoto		 Route
alla rete VPC		 Instrada
alla rete peer
Routing dinamico (BGP) Sempre
0.0.0.0/0		 Sempre
0.0.0.0/0		 Se non modificati da annunci pubblicitari personalizzati, il router Cloud che gestisce l'interfaccia BGP per il tunnel Cloud VPN condivide le route alle subnet nella rete VPC in base alla modalità di routing dinamico della rete e alle quote e ai limiti per il router Cloud. Soggetto alle restrizioni sulle route personalizzate, alle quote e ai limiti per il router Cloud, il router Cloud che gestisce l'interfaccia BGP per il tunnel Cloud VPN apprende le route inviate dal gateway VPN peer e le aggiunge alla rete VPC come route dinamiche personalizzate.
Routing basato su criteri Configurabile.
Consulta tunnel basati su criteri e selettori di traffico.		 Obbligatorio.
Consulta tunnel basati su criteri e selettori di traffico.		 Devi creare e gestire manualmente le route alle subnet nella tua rete VPC sui router peer. Se utilizzi la console Google Cloud per creare il tunnel VPN basato su criteri, le route statiche personalizzate vengono create automaticamente. Se utilizzi gcloud CLI per creare il tunnel, devi utilizzare altri comandi gcloud per creare le route. Per le istruzioni, vedi Creare una VPN classica utilizzando il routing statico.
VPN basata su route Sempre
0.0.0.0/0		 Sempre
0.0.0.0/0		 Devi creare e gestire manualmente le route alle subnet nella tua rete VPC sui router peer. Se utilizzi la console Google Cloud per creare il tunnel VPN basato su route, le route statiche personalizzate vengono create automaticamente. Se utilizzi gcloud CLI per creare il tunnel, devi utilizzare altri comandi gcloud per creare le route. Per le istruzioni, vedi Creare una VPN classica utilizzando il routing statico.

Tunnel basati su criteri e selettori di traffico

Questa sezione descrive considerazioni speciali per i selettori del traffico durante la creazione di tunnel VPN classica basati su criteri. e non si applica a nessun altro tipo di VPN classica o tunnel VPN ad alta disponibilità.

Puoi scegliere di specificare il selettore del traffico locale di un tunnel Cloud VPN basato su criteri quando lo crei:

  • Selettore del traffico locale personalizzato. Puoi definire il selettore del traffico locale come un insieme di subnet nella rete VPC o un insieme di indirizzi IP interni che includono gli intervalli IP di subnet nella rete VPC selezionati. IKEv1 limita i selettori del traffico locale a un singolo CIDR.

  • Reti VPC in modalità personalizzata. Specifica un selettore di traffico locale personalizzato composto da un intervallo di indirizzi IP interni.

  • Reti VPC in modalità automatica. Se non specificato, il selettore del traffico locale è l'intervallo IP principale (blocco CIDR) della subnet creata automaticamente nella stessa regione del tunnel Cloud VPN. Le reti VPC in modalità automatica hanno una subnet per regione con intervalli IP ben definiti.

  • Reti legacy. Se non specificato, il selettore del traffico locale viene definito come l'intero intervallo di indirizzi IP RFC 1918 della rete legacy.

Specifica il selettore del traffico remoto di un tunnel Cloud VPN basato su criteri quando lo crei. Se utilizzi la console Google Cloud per creare il tunnel Cloud VPN, vengono create automaticamente route statiche personalizzate le cui destinazioni corrispondono ai CIDR del selettore del traffico remoto. IKEv1 limita i selettori del traffico remoto a un singolo CIDR. Per le istruzioni, consulta Creare una VPN classica utilizzando il routing statico.

Considerazioni importanti per i selettori del traffico

Prima di creare un tunnel basato su criteri di Cloud VPN, considera quanto segue:

  • La maggior parte dei gateway VPN passa il traffico attraverso un tunnel VPN solo se l'indirizzo IP di origine di un pacchetto rientra nel selettore del traffico locale del tunnel e se l'indirizzo IP di destinazione di un pacchetto rientra nel selettore del traffico remoto del tunnel. Alcuni dispositivi VPN non applicano questo requisito.

  • Cloud VPN supporta i CIDR dei selettori di traffico 0.0.0.0/0 o ::/0 (qualsiasi indirizzo IP). Per determinare se anche il gateway VPN peer funziona, consulta la documentazione fornita con il gateway VPN peer. La creazione di un tunnel VPN basato su criteri con entrambi i selettori di traffico impostati su 0.0.0.0/0 o ::/0 è funzionalmente equivalente alla creazione di una VPN basata su route.

  • Esamina attentamente più CIDR per selettore di traffico per scoprire in che modo Cloud VPN implementa i protocolli IKEv1 e IKEv2.

  • Cloud VPN non consente di modificare alcun selettore di traffico dopo aver creato una VPN. Per modificare il selettore del traffico locale o remoto per un tunnel Cloud VPN, devi eliminare il tunnel e poi ricrearlo. Tuttavia, non è necessario eliminare il gateway Cloud VPN.

  • Se converti una rete VPC dalla modalità automatica a una rete VPC in modalità personalizzata, potresti dover eliminare e ricreare il tunnel Cloud VPN (ma non il gateway). ad esempio se aggiungi subnet personalizzate, rimuovi quelle create automaticamente o modifichi gli intervalli IP secondari di una subnet. Evita di cambiare modalità di una rete VPC con tunnel Cloud VPN esistenti. Per i suggerimenti, rivedi le considerazioni per le reti VPC in modalità automatica.

Per un comportamento della VPN coerente e prevedibile, segui questi passaggi:

  • Rendi il selettori del traffico locale e remoto il più specifico possibile.

  • Fai in modo che il selettore del traffico locale di Cloud VPN corrisponda al selettore del traffico remoto configurato per il tunnel corrispondente sul gateway della VPN peer.

  • Fai in modo che il selettore del traffico remoto di Cloud VPN corrisponda al selettore del traffico locale configurato per il tunnel corrispondente sul gateway VPN on-premise.

Più CIDR per selettore di traffico

Quando crei un tunnel VPN classica basato su criteri, se utilizzi IKEv2, puoi specificare più CIDR per selettore di traffico. Cloud VPN utilizza sempre una singola associazione per la sicurezza secondaria (Child Security Association, SA), indipendentemente dalla versione IKE.

La tabella seguente riassume il supporto di Cloud VPN per più CIDR per selettore di traffico nei tunnel VPN basati su criteri.

Versione IKE Più CIDR per selettore di traffico
IKEv1

No

Il protocollo IKEv1 supporta un solo CIDR per ogni account SA secondario, come definito in RFC 2407 e RFC 2409. Poiché Cloud VPN richiede un singolo SA secondario per tunnel VPN, quando utilizzi IKEv1, puoi fornire solo un singolo CIDR per il selettore del traffico locale e un solo CIDR per il selettore del traffico remoto.

Cloud VPN non supporta la creazione di un tunnel VPN utilizzando IKEv1 con più SA secondarie, ciascuna con un singolo CIDR.
IKEv2 Sì, se vengono soddisfatte le seguenti condizioni:
  • Il gateway VPN peer utilizza un singolo SA secondario. Tutti i CIDR del selettore del traffico locale e tutti i CIDR del selettore del traffico remoto devono trovarsi in un'unica SA secondaria.
  • Il numero di CIDR che configuri non fa sì che i pacchetti delle proposte IKE superino la MTU massima di Cloud VPN di 1460 byte. Se le proposte IKE superano questa MTU, non vengono stabiliti tunnel Cloud VPN.
  • Non superare le limitazioni per il numero di CIDR supportati dal gateway on-premise. Per maggiori dettagli, consulta la documentazione del fornitore del gateway.

Una best practice consiste nell'utilizzare massimo 30 CIDR per selettore di traffico, in modo da non creare un pacchetto proposta IKE che superi la MTU massima.

Strategie di selezione del traffico

Prendi in considerazione le seguenti strategie se il gateway VPN on-premise crea più SA secondarie per tunnel VPN o se più CIDR per selettore di traffico comporterebbero il superamento di 1460 byte da una proposta IKE per IKEv2 (per maggiori dettagli, consulta Opzioni di routing e selettori di traffico):

  1. Utilizza il routing dinamico per il tunnel VPN. Se il gateway VPN peer supporta BGP, configura i selettori del traffico sia locale che remoto per il tunnel VPN in modo da consentire qualsiasi indirizzo IP. Utilizza 0.0.0.0/0 solo per IPv4 o 0.0.0.0/0,::/0 per il traffico IPv4 e IPv6. Le route vengono scambiate automaticamente tra il gateway VPN peer e il router Cloud associato al tunnel Cloud VPN. Se puoi usare il routing dinamico, valuta la VPN ad alta disponibilità.

  2. Utilizza selettori del traffico CIDR singoli e ampi e il routing del tunnel statico:

    • Utilizza una VPN basata su route. Entrambi i selettori del traffico sono 0.0.0.0/0 per definizione per le VPN basate su route. Puoi creare route più specifiche dei selettori del traffico.

    • Usa il routing basato su criteri e configura i selettori del traffico locale e remoto in modo che siano il più ampi possibile. Per i tunnel Cloud VPN basati su criteri, puoi creare route a reti on-premise nella tua rete VPC le cui destinazioni sono più specifiche dei blocchi CIDR specificati nei selettori del traffico remoto. Utilizza gcloud CLI per creare le route separatamente dai tunnel VPN seguendo i passaggi descritti in Creare una VPN classica usando il routing statico.

  3. Utilizza il routing basato su criteri per creare più tunnel Cloud VPN in modo che ogni tunnel abbia un solo blocco CIDR per il selettore del traffico locale e un blocco CIDR per il selettore del traffico remoto. Configurare il tunnel di controparte on-premise in modo simile. Cloud VPN supporta più tunnel per gateway; tuttavia, l'utilizzo di più tunnel comporta alcune implicazioni:

    • Il gateway VPN peer deve offrire indirizzi IP esterni separati a cui può connettersi ciascun tunnel Cloud VPN. I tunnel sullo stesso gateway VPN classica devono connettersi a indirizzi IP gateway peer univoci. Il gateway VPN peer potrebbe anche richiedere che i tunnel si connettano a indirizzi IP univoci. In alcune situazioni, devi creare un gateway Cloud VPN separato per tunnel Cloud VPN.
    • Quando utilizzi la console Google Cloud per creare tunnel Cloud VPN basati su route o criteri, oltre al tunnel vengono create automaticamente route alla rete peer. Se le route vengono create automaticamente per più tunnel VPN che utilizzano gli stessi selettori del traffico remoto, come nel caso di VPN basate su route, puoi avere più route nella rete VPC, tutte con destinazioni identiche ma hop successivi diversi. Ciò può portare a comportamenti imprevedibili o imprevisti perché il traffico viene inviato a un tunnel VPN in base all'applicabilità e all'ordine delle route. Se non utilizzi il routing del tunnel dinamico (BGP), crea ed esamina le route statiche sia nella rete VPC che nella rete peer.

Passaggi successivi