Topologie VPN ad alta disponibilità

Questa pagina descrive le topologie consigliate e l'accordo sul livello del servizio (SLA) di disponibilità corrispondente per ogni topologia VPN ad alta disponibilità. Per le topologie VPN classica, consulta Topologie VPN classica. Per ulteriori informazioni su Cloud VPN, inclusi entrambi i tipi di VPN, consulta la panoramica di Cloud VPN.

Per le definizioni dei termini utilizzati in questa pagina, consulta Termini chiave.

Panoramica

La VPN ad alta disponibilità supporta la VPN site-to-site in una delle seguenti topologie consigliate:

• Gateway VPN ad alta disponibilità connesso a VPN peer di terze parti. Questa topologia richiede due tunnel VPN dal punto di vista del gateway VPN ad alta disponibilità per ottenere lo SLA ad alta disponibilità. In questa configurazione, VPN ad alta disponibilitàà ha tre configurazioni tipiche di gateway peer:

  • Due dispositivi VPN peer separati, ciascuno con il proprio indirizzo IP.
  • Un dispositivo VPN peer con due indirizzi IP separati.
  • Un dispositivo VPN peer con un indirizzo IP.

  Per determinare quale topologia è la più appropriata, rivolgiti al fornitore del gateway VPN peer.

• VPN ad alta disponibilità tra reti VPC Google Cloud. In questa topologia, puoi connettere due reti VPC Google Cloud utilizzando un gateway VPN ad alta disponibilità in ogni rete. Le reti VPC possono trovarsi nella stessa regione o in più regioni.

• VPN ad alta disponibilità per istanze VM di Compute Engine. In questa topologia, connetti un gateway VPN ad alta disponibilità a un'istanza di macchina virtuale (VM) Compute Engine. Le istanze VM possono trovarsi in una o più zone.

• VPN ad alta disponibilità su Cloud Interconnect In questa topologia, crei tunnel VPN ad alta disponibilità per trasferire il traffico criptato con IPsec su collegamenti VLAN di Dedicated Interconnect o Partner Interconnect. Puoi prenotare intervalli di indirizzi IP interni a livello di regione per i gateway VPN ad alta disponibilitàà. I dispositivi VPN peer possono anche avere indirizzi IP interni. Per ulteriori informazioni e diagrammi di architettura, consulta Architettura di deployment della VPN ad alta disponibilità su Cloud Interconnect.

Configurazioni che supportano una disponibilità del 99,99%

Topologia	Descrizione	Disponibilità garantita da SLA
Da VPN ad alta disponibilità a gateway VPN peer	Connetti un gateway VPN ad alta disponibilità a uno o due dispositivi VPN peer separati	99,99%
VPN ad alta disponibilità tra due reti Google Cloud	Connetti due reti VPC Google Cloud in una singola regione utilizzando un gateway VPN ad alta disponibilità in ogni rete	99,99%

Per configurare una disponibilità del 99,99% per le connessioni VPN ad alta disponibilità, configura due tunnel dal gateway VPN ad alta disponibilità al gateway VPN peer o a un altro gateway VPN ad alta disponibilità. Assicurati che anche il gateway VPN peer sia configurato per ricevere uno SLA con disponibilità del 99,99%.

Una corretta configurazione implica che i tunnel VPN devono fornire un'adeguata ridondanza collegandosi a tutte le interfacce del gateway VPN ad alta disponibilità e a tutte le interfacce del gateway VPN peer o di un altro gateway VPN ad alta disponibilità.

Configurazioni che supportano una disponibilità del 99,9%

Topologia	Descrizione	Disponibilità garantita da SLA
Da VPN ad alta disponibilità a istanze VM di Compute Engine in più zone	Connetti un gateway VPN ad alta disponibilità alle istanze VM di Compute Engine con indirizzi IP esterni	99,9%
VPN ad alta disponibilità a una singola istanza VM di Compute Engine	Connetti un gateway VPN ad alta disponibilità a una sola istanza VM di Compute Engine con un indirizzo IP esterno	La disponibilità garantita dallo SLA è determinata dallo SLA (accordo sul livello del servizio) relativo alla disponibilità fornito per una singola istanza VM di una famiglia di macchine ottimizzate per la memoria per Compute Engine. Per ulteriori informazioni, consulta l'articolo sull'accordo sul livello del servizio (SLA) di Compute Engine.

Per configurare uno SLA con disponibilità del 99,9% per le connessioni VPN ad alta disponibilità in queste topologie, configurane due dal gateway VPN ad alta disponibilità al gateway VPN peer o ad altre risorse Google Cloud.

Configurare una VPN ad alta disponibilità per una maggiore larghezza di banda

Per aumentare la larghezza di banda dei gateway VPN ad alta disponibilità, aggiungi altri tunnel.

Per calcolare il numero di tunnel necessario, utilizza 250.000 pacchetti al secondo come somma della capacità in entrata e in uscita per ogni tunnel. Ad esempio, se hai bisogno di 600.000 pacchetti al secondo per una somma del traffico in entrata e in uscita, hai bisogno di tre coppie di tunnel VPN ad alta disponibilità (sei tunnel) per garantire la larghezza di banda e la capacità di failover necessarie.

Per ulteriori informazioni sui calcoli della larghezza di banda VPN, consulta Larghezza di banda di rete.

Prendi in considerazione le seguenti linee guida quando aumenti la larghezza di banda VPN ad alta disponibilità.

• Controlla le quote dei tunnel VPN

  A meno che tu non stia connettendo un gateway VPN ad alta disponibilità a un altro gateway VPN ad alta disponibilità, ciascun gateway VPN ad alta disponibilità supporta un numero illimitato di tunnel VPN su ogni interfaccia.

  Tuttavia, la quota di tunnel VPN limita il numero totale di tunnel VPN nel tuo progetto.

• Aggiungi gateway VPN ad alta disponibilità per aggiungere tunnel tra due VPN ad alta disponibilità

  Quando connetti un gateway VPN ad alta disponibilità a un altro gateway VPN ad alta disponibilità, puoi connettere un solo tunnel per interfaccia, 0 o 1, all'interfaccia corrispondente, 0 o 1, sull'altro gateway VPN ad alta disponibilità. Tra una coppia di gateway VPN ad alta disponibilità ci sono al massimo due tunnel VPN ad alta disponibilità.

  Pertanto, per aumentare il numero di tunnel VPN tra gateway VPN ad alta disponibilità, devi creare altre coppie di gateway VPN ad alta disponibilità.

• Aggiungi coppie di tunnel VPN

  Aggiungi coppie di tunnel VPN ad alta disponibilità per aumentare la larghezza di banda.

  Ad esempio, per raddoppiare la larghezza di banda di un gateway VPN ad alta disponibilità che si connette a un gateway VPN peer on-premise con due tunnel (uno attivo e uno passivo), aggiungi altri due tunnel VPN. Aggiungi un altro tunnel "attivo" e un altro tunnel "passivo".

  Le sessioni BGP per tutti e quattro i tunnel ricevono gli stessi prefissi. I due tunnel attivi ricevono i prefissi con la stessa priorità più alta, mentre i due tunnel passivi ricevono i prefissi con la stessa priorità più bassa.

• Abbina le interfacce sul gateway VPN peer

  Devi abbinare le interfacce sul gateway VPN peer per continuare a ricevere uno SLA con disponibilità.

  Quando raddoppia la larghezza di banda di un gateway VPN ad alta disponibilità che si connette a un gateway VPN on-premise, abbina i tunnel alle interfacce sul gateway VPN peer. Posiziona i due tunnel attivi sull'interfaccia 0 e i due tunnel passivi sull'interfaccia 1. In alternativa, posiziona i due tunnel attivi nell'interfaccia 1 e i due tunnel passivi sull'interfaccia 0.

Da VPN ad alta disponibilità a gateway VPN peer

Esistono tre configurazioni tipiche di gateway peer per la VPN ad alta disponibilità:

• Un gateway VPN ad alta disponibilità connesso a due dispositivi VPN peer separati, ognuno
• Un gateway VPN ad alta disponibilità connesso a un dispositivo VPN peer che usa due indirizzi IP separati
• Un gateway VPN ad alta disponibilità connesso a un dispositivo VPN peer che usa un indirizzo IP

Per impostare una di queste configurazioni, consulta Creare una VPN ad alta disponibilità in un gateway VPN peer.

Se esegui il deployment di un gateway VPN ad alta disponibilità con un tipo a doppio stack IPv4 e IPv6, i tunnel VPN possono supportare lo scambio di traffico IPv6. Il protocollo IPv6 deve essere abilitato anche nelle sessioni BGP che crei per i tunnel VPN. In questo scenario, puoi assegnare indirizzi IPv6 alle subnet on-premise e a quelle VPC nelle seguenti topologie.

Due dispositivi VPN peer

Se il gateway lato peer è basato su hardware, il secondo gateway lato peer fornisce ridondanza e failover su quel lato della connessione. Un secondo gateway fisico ti consente di disconnettere uno dei gateway per gli upgrade del software o altre operazioni di manutenzione pianificate. Inoltre, ti protegge nel caso si verifichi un errore in uno dei dispositivi.

In questa topologia, un gateway VPN ad alta disponibilitàà si connette a due dispositivi peer. Ogni dispositivo peer ha un'interfaccia e un indirizzo IP esterno. Il gateway VPN ad alta disponibilità utilizza due tunnel, uno per ogni dispositivo peer.

In Google Cloud, il parametro REDUNDANCY_TYPE per questa configurazione assume il valore TWO_IPS_REDUNDANCY.

L'esempio seguente fornisce una disponibilità del 99,99%.

Un dispositivo VPN peer con due indirizzi IP

Questa topologia descrive un gateway VPN ad alta disponibilitàà connesso a un dispositivo peer con due indirizzi IP esterni. Il gateway VPN ad alta disponibilità utilizza due tunnel, uno per ogni indirizzo IP esterno sul dispositivo peer.

In Google Cloud, il valore REDUNDANCY_TYPE per questa configurazione assume il valore TWO_IPS_REDUNDANCY.

L'esempio seguente fornisce una disponibilità del 99,99%.

Un dispositivo VPN peer con un indirizzo IP

Questa topologia descrive un gateway VPN ad alta disponibilitàà connesso a un dispositivo peer con un indirizzo IP esterno. Il gateway VPN ad alta disponibilità utilizza due tunnel, entrambi collegati al singolo indirizzo IP esterno sul dispositivo peer.

In Google Cloud, REDUNDANCY_TYPE per questa configurazione assume il valore SINGLE_IP_INTERNALLY_REDUNDANT.

L'esempio seguente fornisce una disponibilità del 99,99%.

Configura per una disponibilità del 99,99%

Per rispettare lo SLA (accordo sul livello del servizio) con disponibilità del 99,99% sul lato Google Cloud, deve essere presente un tunnel da ciascuna delle due interfacce sul gateway VPN ad alta disponibilità alle interfacce corrispondenti sul gateway peer.

Se il gateway peer ha due interfacce, la configurazione di due tunnel uno da ciascuna interfaccia peer per ogni interfaccia gateway VPN ad alta disponibilità soddisfa i requisiti dello SLA (accordo sul livello del servizio) con disponibilità del 99,99%. Per lo SLA (accordo sul livello del servizio) con disponibilità del 99,99% non è necessaria una configurazione mesh completa sul lato Google Cloud. In questo caso, una mesh completa è definita come due tunnel da ciascuna interfaccia VPN ad alta disponibilità a ciascuna delle due interfacce sul gateway peer. Per verificare se il tuo fornitore VPN consiglia una configurazione mesh completa, consulta la documentazione del dispositivo VPN peer (on-premise) o contatta il tuo fornitore VPN.

Nelle configurazioni con due interfacce peer, i tunnel su ciascuna delle seguenti interfacce sul gateway VPN ad alta disponibilità corrispondono alle interfacce corrispondenti sul gateway o sui gateway peer:

• VPN ad alta disponibilità interface 0 con peer interface 0
• VPN ad alta disponibilità interface 1 con peer interface 1

Gli esempi sono mostrati nei diagrammi per due dispositivi peer, due interfacce e un dispositivo peer, due interfacce.

Se su un gateway peer è presente una sola interfaccia peer, ogni tunnel da ciascuna interfaccia del gateway VPN ad alta disponibilità deve connettersi alla singola interfaccia peer. Vedi il diagramma per un dispositivo peer, un'interfaccia.

L'esempio seguente non fornisce una disponibilità del 99,99%:

• VPN ad alta disponibilità interface 0 con peer interface 0

VPN ad alta disponibilità tra reti Google Cloud nella stessa regione

Puoi connettere due reti VPC Google Cloud usando un gateway VPN ad alta disponibilità. Ogni gateway VPN ad alta disponibilità identifica l'altro gateway per nome.

Se esegui il deployment di due gateway VPN ad alta disponibilità con il tipo a doppio stack IPv4 e IPv6, i tunnel VPN possono supportare lo scambio di traffico IPv6. Il protocollo IPv6 deve essere abilitato anche nelle sessioni BGP che crei per i tunnel VPN. In questo scenario, puoi assegnare indirizzi IPv6 alle subnet VPC nella topologia seguente.

L'esempio seguente fornisce una disponibilità del 99,99%.

Per impostare questa configurazione, vedi Creare due gateway VPN ad alta disponibilità completamente configurati che si connettono tra loro.

Configura per una disponibilità del 99,99%

Per garantire una disponibilità del 99,99%, configura ogni gateway VPN ad alta disponibilità con due tunnel in modo che si verifichino entrambe le seguenti condizioni:

• Tunnel 0 connette interface 0 su un gateway VPN ad alta disponibilità ad alta disponibilità a interface 0 sull'altro.
• Tunnel 1 connette interface 1 su un gateway VPN ad alta disponibilità ad alta disponibilità a interface 1 sull'altro.

VPN ad alta disponibilità tra reti Google Cloud in regioni diverse

Puoi connettere due reti VPC in regioni diverse usando gateway VPN ad alta disponibilità. I gateway VPN ad alta disponibilità possono appartenere alla stessa organizzazione o a organizzazioni diverse e ogni gateway VPN ad alta disponibilità identifica l'altro gateway per nome.

L'esempio seguente fornisce una disponibilità del 99,9%.

Consigliamo di utilizzare la VPN ad alta disponibilità tra reti Google Cloud nella topologia della stessa regione perché offre una disponibilità maggiore, a meno che tu non debba richiedere che i gateway si trovino in due regioni diverse.

Per impostare questa configurazione, consulta Creare due gateway VPN ad alta disponibilità completamente configurati che si connettono tra loro.

Configura per una disponibilità del 99,9%

Per garantire una disponibilità del 99,9%, configura ogni gateway VPN ad alta disponibilità con due tunnel in modo che si verifichino entrambe le seguenti condizioni:

• Tunnel 0 connette interface 0 su un gateway VPN ad alta disponibilità ad alta disponibilità a interface 0 sull'altro.
• Tunnel 1 connette interface 1 su un gateway VPN ad alta disponibilità ad alta disponibilità a interface 1 sull'altro.

VPN ad alta disponibilità per istanze VM di Compute Engine in zone diverse

La VPN ad alta disponibilità ti consente di connettere un gateway VPN ad alta disponibilità alle istanze di macchine virtuali (VM) di Compute Engine che funzionano come appliance virtuali di rete ed esegue un'implementazione VPN IPsec. Questa topologia offre uno SLA (accordo sul livello del servizio) con disponibilità del 99,9% se configurata correttamente.

In questa topologia, un gateway VPN ad alta disponibilità può connettersi a due istanze VM di Compute Engine. Il gateway VPN ad alta disponibilità e le VM si trovano in due VPC diversi. Le due VM si trovano in zone diverse e ogni VM ha un indirizzo IP esterno. Le istanze VM si comportano come dispositivi peer VPN.

Questa topologia è particolarmente utile quando vuoi connettere la VPN ad alta disponibilità a una VM di appliance virtuale di rete di terze parti ospitata in Google Cloud. Ad esempio, utilizzando questa topologia, puoi eseguire l'upgrade di una delle VM dell'appliance virtuale di rete senza tempi di inattività per la connessione VPN.

Nel diagramma, il gateway VPN ad alta disponibilità si trova in una rete Virtual Private Cloud denominata network-a e le due VM si trovano in network-b. Entrambe le reti Virtual Private Cloud si trovano in us-central1. Il gateway VPN ad alta disponibilità in network-a è configurato con gli indirizzi IP esterni di ciascuna delle VM in network-b. Puoi anche avere il gateway VPN ad alta disponibilitàà e le VM in due diverse regioni. Ti consigliamo di utilizzare questa topologia per migliorare la disponibilità.

L'esempio seguente fornisce una disponibilità del 99,9%.

Per impostare questa configurazione, vedi Connettere la VPN ad alta disponibilità alle VM di Compute Engine.

Configura per una disponibilità del 99,9%

Per soddisfare lo SLA del 99,9%, devono essere presenti almeno due tunnel da ciascuna delle due interfacce sul gateway VPN ad alta disponibilità alle interfacce corrispondenti su ciascuna VM. Ti consigliamo di utilizzare questa topologia per ottenere una disponibilità maggiore.

Due tunnel su ciascuna delle seguenti interfacce sul gateway VPN ad alta disponibilità si connettono alle interfacce sulla VM:

• Tunnel 0 dalle ore interface 0 alle ore us-central1-vm-a in zona us-central1-a
• Tunnel 1 dalle ore interface 1 alle ore us-central1-vm-a in zona us-central1-a
• Tunnel 2 dalle ore interface 0 alle ore us-central1-vm-b in zona us-central1-b
• Tunnel 3 dalle ore interface 1 alle ore us-central1-vm-b in zona us-central1-b

VPN ad alta disponibilità su una singola istanza VM di Compute Engine

La VPN ad alta disponibilità ti consente di connettere un gateway VPN ad alta disponibilità a un'istanza di macchina virtuale (VM) Compute Engine che funziona come appliance virtuale di rete ed esegue un'implementazione VPN IPsec. Il gateway VPN ad alta disponibilità e la VM si trovano in due VPC diversi. La VM ha un indirizzo IP esterno.

La disponibilità complessiva è determinata dallo SLA (accordo sul livello del servizio) per la disponibilità fornito per una singola istanza VM di una famiglia di macchine ottimizzate per la memoria per Compute Engine. Per ulteriori informazioni, consulta Accordo sul livello del servizio (SLA) di Compute Engine.

Per impostare questa configurazione, vedi Connettere la VPN ad alta disponibilità alle VM di Compute Engine.

Configura per una disponibilità del 99,9%

Per rispettare lo SLA (accordo sul livello del servizio) con disponibilità del 99,9%, devono essere presenti due tunnel da ciascuna delle due interfacce del gateway VPN ad alta disponibilità all'interfaccia della VM di Compute Engine.

Due tunnel su ciascuna delle seguenti interfacce sul gateway VPN ad alta disponibilità si connettono alle interfacce sulla VM:

• Tunnel 0 dalle ore interface 0 alle ore us-central1-vm-a in zona us-central1-a
• Tunnel 1 dalle ore interface 1 alle ore us-central1-vm-a in zona us-central1-a

Passaggi successivi

• Per utilizzare scenari con disponibilità elevata e velocità effettiva elevata, o più scenari di subnet, consulta Configurazioni avanzate.
• Per risolvere i problemi comuni che potresti riscontrare durante l'utilizzo di Cloud VPN, consulta Risoluzione dei problemi.