HA VPN を Compute Engine VM に接続する

コンソール

VPN 接続を初めて作成する場合は、VPN 設定ウィザードを使用します。VPN 設定ウィザードには、HA VPN ゲートウェイ、ピア VPN ゲートウェイ リソース、トンネル、BGP セッションの作成に必要なすべての構成手順が含まれています。

Cloud HA VPN ゲートウェイを作成する

1. Google Cloud コンソールで、[VPN] ページに移動します。

   [VPN] に移動

   1. ゲートウェイを初めて作成する場合は、[VPN 接続を作成] をクリックします。
   2. 既存の Cloud VPN リソースがある場合は、[VPN 設定ウィザード] をクリックします。

2. [高可用性（HA）VPN] を選択します。

3. [続行] をクリックします。

4. VPN ゲートウェイ名を指定します。

5. [ネットワーク] リストで、既存のネットワークまたはデフォルト ネットワークを選択します。

6. [リージョン] リストで、Compute Engine VM が配置されているリージョンを選択します。

7. VPN ゲートウェイのスタックタイプとして [IPv4（シングルスタック）] または [IPv4 と IPv6（デュアルスタック）] を選択します。

8. [作成して続行] をクリックします。

コンソール ページにゲートウェイ情報が表示されます。それぞれのゲートウェイ インターフェースに 2 つの外部 IP アドレスが自動的に割り振られます。今後の構成手順のために、ゲートウェイ構成の詳細をメモします。

VPN トンネルを追加する

1. [ピア VPN ゲートウェイ] リストで、[外部 IP アドレスのある Compute Engine VM] を選択します。

2. [ピア VPN ゲートウェイの名前] リストで、既存のピア ゲートウェイを選択するか、[新しいピア VPN ゲートウェイを作成する] をクリックします。

   既存のゲートウェイを選択すると、Google Cloud コンソールは、ピア ゲートウェイで構成したピア インターフェースの数に基づいて、構成するトンネルの数を選択します。

   ピア ゲートウェイを作成するには、次の操作を行います。

   1. ピア VPN ゲートウェイの名前を指定します。
   2. [ピア VPN ゲートウェイ インターフェース] セクションで、1 つまたは 2 つのインターフェースを選択します。各 Compute Engine VM インスタンスにトンネルのペアを接続できます。このトポロジの例については、HA VPN トポロジをご覧ください。
   3. 各ピア VPN インターフェースのフィールドに、そのインターフェースに使用する外部 IP アドレスを指定します。

   [Cloud Router] リストで、次のオプションを指定して Cloud Router を選択または作成します。

   1. 新しい Cloud Router を作成するには、以下を指定します。
   2. 名前
   3. 説明（省略可）
   4. 新しいルーターの Google ASN

   ネットワーク内の他の場所で使用されていない任意のプライベート ASN（64512～65534、4200000000～4294967294）を使用できます。Google ASN は同じ Cloud Router のすべての BGP セッションで使用され、後からの変更はできません。

   1. ルーターを作成するには、[作成] をクリックします。

   [VPN トンネル] セクションで各項目を開き、作成した VPN トンネルの詳細を入力します。

   1. [関連付けられているピア VPN ゲートウェイ インターフェース] セクションで、このトンネルと HA VPN インターフェースに関連付けるピア VPN ゲートウェイ インターフェースと IP アドレスの組み合わせを選択します。このインターフェースは実際のピアルーターのインターフェースと一致させる必要があります。
   2. トンネルの名前を指定します。
   3. [説明]（省略可）を指定します。
   4. IKE バージョンを指定します。ピアルーターが IKEv2 をサポートしている場合は、デフォルト設定の IKEv2 をおすすめします。IPv6 トラフィックを許可するには、IKEv2 を選択する必要があります。
   5. 事前共有キー（共有シークレット）を使用して IKE 事前共有キーを指定します。このキーは、ピア ゲートウェイに作成するパートナー トンネル用の事前共有キーに対応させる必要があります。ピア VPN ゲートウェイで事前共有キーをまだ構成しておらず、これから生成する場合は、[生成してコピー] をクリックします。事前共有キーは VPN トンネルの作成後に取得できないため、安全な場所に記録してください。
   6. [完了] をクリックします。
   7. [VPN の作成] ページの残りのトンネル ダイアログでトンネル作成手順を繰り返します。

3. すべてのトンネルを構成したら、[作成して続行] をクリックします。

BGP セッションを構成する

1. [BGP セッションを構成] をクリックして、Cloud Router に BGP セッションを設定します。BGP セッションの作成については、BGP セッションの作成をご覧ください。
2. [BGP 構成を保存] をクリックします。

コンソールのページが更新され、HA VPN ゲートウェイ、ピア VPN ゲートウェイ、Cloud VPN トンネルに関する情報が表示されます。

gcloud

HA VPN ゲートウェイの作成

HA VPN ゲートウェイを作成するには、次のコマンドを実行します。ゲートウェイが作成されると、2 つの外部 IPv4 アドレスが自動的に割り振られます（各ゲートウェイ インターフェースに 1 つ）。

gcloud compute vpn-gateways create GW_NAME \
    --network=NETWORK \
    --region=REGION \
    [--stack-type=IP_STACK]

次のように置き換えます。

• GW_NAME: ゲートウェイの名前
• NETWORK: Google Cloud ネットワークの名前
• REGION: ゲートウェイとトンネルを作成する Google Cloud リージョン
• IP_STACK: 省略可。使用する IP スタック。IPV4_ONLY または IPV4_IPV6 を指定します。このフラグを指定しない場合、デフォルトのスタックタイプは IPV4_ONLY です。

作成するゲートウェイは、次の出力例のようになります。各ゲートウェイ インターフェースに外部 IPv4 アドレスが自動的に割り当てられます。

Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnGateways/ha-vpn-gw-a].
NAME          INTERFACE0     INTERFACE1     NETWORK     REGION
ha-vpn-gw-a   203.0.113.16   203.0.113.23   network-a   us-central1

ピア VPN ゲートウェイ リソースを作成する

高可用性のニーズに応じて、1 つまたはペアのピア VPN ゲートウェイ リソースを作成できます。

最初のピア VPN ゲートウェイを作成するには、次のコマンドを実行します。

 gcloud compute external-vpn-gateways create PEER_GW_NAME1 \
     --interfaces 0=PEER_GW_IP_0,1=PEER_GW_IP_1

2 つ目のピア VPN ゲートウェイを作成するには、次のコマンドを実行します。

gcloud compute external-vpn-gateways create PEER_GW_NAME2 \
    --interfaces 0=PEER_GW_IP_1,1=PEER_GW_IP_0

次のように置き換えます。

• PEER_GW_NAME1: 最初のピア VPN ゲートウェイを表す名前
• PEER_GW_NAME2: 2 番目のピア VPN ゲートウェイを表す名前
• PEER_GW_IP_1: 最初の Compute Engine 仮想マシンの外部 IP アドレス
• PEER_GW_IP_0: 2 番目の Compute Engine 仮想マシンの外部 IP アドレス

作成したピア VPN ゲートウェイ リソースは次の例のようになります。PEER_GW_IP_0 と PEER_GW_IP_1 は Compute Engine 仮想マシンの外部 IP アドレスを示しています。

Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways/peer-gw].
NAME          INTERFACE0     INTERFACE1
peer-gw-1   203.0.113.16   203.0.113.23
Peer-gw-2   203.0.113.23   203.0.113.16

Cloud Router を作成する

Cloud Router を作成するには、次のコマンドを実行します。

gcloud compute routers create ROUTER_NAME \
    --region=REGION \
    --network=NETWORK \
    --asn=GOOGLE_ASN

次のように置き換えます。

• ROUTER_NAME: Cloud VPN ゲートウェイと同じリージョン内の Cloud Router の名前
• REGION: ゲートウェイとトンネルを作成する Google Cloud リージョン
• NETWORK: Google Cloud ネットワークの名前
• GOOGLE_ASN: ピア ネットワークでまだ使用していないプライベート ASN（64512～65534、4200000000～4294967294）。この Google ASN は同じ Cloud Router のすべての BGP セッションに使用され、後で変更できません。

出力は次のようになります。

Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/routers/router-a].
NAME       REGION        NETWORK
router-a   us-central1   network-a

VPN トンネルを追加する

HA VPN ゲートウェイのインターフェースごとに 2 つずつ、合計 4 つの VPN トンネルを作成します。VPN トンネルを作成する場合は、先に作成した外部 VPN ゲートウェイとして VPN トンネルのピア側を指定します。

一方の VPN トンネルは外部 VPN ゲートウェイの interface 0 に接続し、もう一方の VPN トンネルは外部 VPN ゲートウェイの interface 1 に接続する必要があります。

gcloud compute vpn-tunnels create TUNNEL_NAME_IF0 \
    --peer-external-gateway=PEER_GW_NAME1 \
    --peer-external-gateway-interface=PEER_EXT_GW_IF0 \
    --region=REGION \
    --ike-version=IKE_VERS \
    --shared-secret=SHARED_SECRET \
    --router=ROUTER_NAME \
    --vpn-gateway=GW_NAME \
    --interface=INT_NUM_0

gcloud compute vpn-tunnels create TUNNEL_NAME_IF1 \
    --peer-external-gateway=PEER_GW_NAME1 \
    --peer-external-gateway-interface=PEER_EXT_GW_IF1 \
    --region=REGION \
    --ike-version=IKE_VERS \
    --shared-secret=SHARED_SECRET \
    --router=ROUTER_NAME \
    --vpn-gateway=GW_NAME \
    --interface=INT_NUM_1

gcloud compute vpn-tunnels create TUNNEL_NAME_IF2 \
    --peer-external-gateway=PEER_GW_NAME2 \
    --peer-external-gateway-interface=PEER_EXT_GW_IF0 \
    --region=REGION \
    --ike-version=IKE_VERS \
    --shared-secret=SHARED_SECRET \
    --router=ROUTER_NAME \
    --vpn-gateway=GW_NAME \
    --interface=INT_NUM_1

gcloud compute vpn-tunnels create TUNNEL_NAME_IF3 \
    --peer-external-gateway=PEER_GW_NAME2 \
    --peer-external-gateway-interface=PEER_EXT_GW_IF1 \
    --region=REGION \
    --ike-version=IKE_VERS \
    --shared-secret=SHARED_SECRET \
    --router=ROUTER_NAME \
    --vpn-gateway=GW_NAME \
    --interface=INT_NUM_1

次のように置き換えます。

• TUNNEL_NAME_IF0、TUNNEL_NAME_IF1、TUNNEL_NAME_IF2、TUNNEL_NAME_IF3: トンネルの名前。ゲートウェイ インターフェース名を含めてトンネルに名前を付けると、後でトンネルを識別するために役立ちます。
• PEER_GW_NAME: 前に作成した外部ピア ゲートウェイの名前
• PEER_EXT_GW_IF0、PEER_EXT_GW_IF1: 前に外部ピア ゲートウェイで構成したインターフェース番号
• IKE_VERS: 1（IKEv1 の場合）または 2（IKEv2 の場合）。可能であれば、IKE バージョンは IKEv2 を使用してください。ピア ゲートウェイで IKEv1 を使用する必要がある場合は、--ike-version 2 を --ike-version 1 に置き換えます。IPv6 トラフィックを許可するには、IKEv2 を指定する必要があります。
• SHARED_SECRET: 事前共有キー（共有シークレット）。これは、ピア ゲートウェイに作成するパートナー トンネル用の事前共有キーに対応させる必要があります。推奨事項については、強力な事前共有キーを生成するをご覧ください。
• GW_NAME: HA VPN ゲートウェイの名前
• INT_NUM_0: 前に作成した HA VPN ゲートウェイの最初のインターフェースの番号 0
• INT_NUM_1: 前に作成した HA VPN ゲートウェイの 2 番目のインターフェースの番号 1

• 省略可: --vpn-gateway-region は、HA VPN ゲートウェイが動作するリージョンです。--region と同じ値になります。指定しない場合、このオプションが自動的に設定されます。このオプションは、このコマンド呼び出しのデフォルトの compute または region プロパティ値をオーバーライドします。

  コマンド出力は次の例のようになります。

  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-0].
  NAME                       REGION        GATEWAY       VPN_INTERFACE   PEER_GATEWAY  PEER_INTERFACE
  tunnel-a-to-on-prem-if-0   us-central1   ha-vpn-gw-a   0               peer-gw       0
  
  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-1].
  NAME                       REGION        GATEWAY       VPN_INTERFACE   PEER_GATEWAY  PEER_INTERFACE
  tunnel-a-to-on-prem-if-1   us-central1   ha-vpn-gw-a   1               peer-gw       1
  
  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-0].
  NAME                       REGION        GATEWAY       VPN_INTERFACE   PEER_GATEWAY  PEER_INTERFACE
  tunnel-a-to-on-prem-if-2   us-central1   ha-vpn-gw-b   0               peer-gw       0
  
  Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-1].
  NAME                       REGION        GATEWAY       VPN_INTERFACE   PEER_GATEWAY  PEER_INTERFACE
  tunnel-a-to-on-prem-if-3   us-central1   ha-vpn-gw-b   1               peer-gw       1
  

BGP セッションを構成する

BGP セッションの作成については、BGP セッションの作成をご覧ください。

API

Cloud HA VPN ゲートウェイを作成する

HA VPN ゲートウェイを作成するには、vpnGateways.insert メソッドを使用して POST リクエストを行います。

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/vpnGateways
   {
     "name": "ha-vpn-gw-a",
     "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/network-a",
     "stackType": "IPV4_IPV6"
   }

stackType フィールドは省略可能です。有効な値は IPV4_IPV6 または IPV4_ONLY のみです。stackType を指定しない場合、デフォルトは IPV4_ONLY です。

ピア VPN ゲートウェイ リソースを作成する

外部 VPN ゲートウェイ リソースを作成するには、externalVpnGateways.insert メソッドを使用して POST リクエストを行います。

     POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways
     {
       "name": "my-peer-gateway",
       "interfaces": [
         {
           "id": 0,
           "ipAddress": "192.0.2.1"
         },
         {
           "id": 1,
           "ipAddress": "192.0.2.2"
         }
         {
           "id": 1,
           "ipAddress": "192.0.2.2"
         },
         {
           "id": 0,
           "ipAddress": "192.0.2.1"
         }
       ],
       "redundancyType": "FOUR_IPS_REDUNDANCY"
     }
 

2 つのインターフェースを持つ 1 つのピア VPN ゲートウェイを作成するか、それぞれ 1 つのインターフェースを持つ 2 つの外部 VPN ゲートウェイを作成する場合は、TWO_IPS_REDUNDANCY の設定を使用します。4 つのインターフェースを持つピア VPN ゲートウェイを作成するには、インターフェース ID と ipAddress の 4 つのインスタンスを指定し、FOUR_IPS_REDUNDANCY の redundancyType を使用します。

Cloud Router を作成する

Cloud Router を作成するには、routers.insert メソッドを使用して POST リクエストを行います。

 POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers
 {
   "name": "router-a",
   "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/network-a"
 }

VPN トンネルを追加する

HA VPN ゲートウェイのインターフェースごとに 2 つずつ、合計 4 つの VPN トンネルを作成するには、vpnTunnels.insert メソッドを使用して POST リクエストを行います。99.9% の稼働時間 SLA を取得するには、HA VPN ゲートウェイの各インターフェースにトンネルを作成する必要があります。

1. 最初のトンネルを作成するには、次のコマンドを実行します。

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/vpnTunnels
      {
        "name": "ha-vpn-gw-a-tunnel-0",
        "ikeVersion": 2,
        "peerExternalGateway": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways/my-peer-gateway",
        "peerExternalGatewayInterface": 0,
        "router": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers/router-a",
        "sharedSecret": "SHARED_SECRET",
        "vpnGateway": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/vpnGateways/ha-vpn-gw-a",
        "vpnGatewayInterface": 0
      }
   

   このトンネルに関連付けられた BGP セッションで IPv6 を有効にする場合、ikeVersion に 2 を指定する必要があります。

2. 他のトンネルを作成するには、次のパラメータを変更してこのコマンドを繰り返します。

   • name
   • peerExternalGatewayInterface
   • sharedSecret または sharedSecretHash（必要に応じて）
   • vpnGatewayInterface: 他の HA VPN ゲートウェイ インターフェースの値に変更します。この例では、1 に変更します。

BGP セッションを構成する

BGP セッションの作成については、BGP セッションの作成をご覧ください。

API

HA VPN ゲートウェイの完全な構成を作成するには、次のセクションの API コマンドを使用します。このセクションで使用されるすべてのフィールド値はサンプル値です。

HA VPN ゲートウェイを作成するには、vpnGateways.insert メソッドを使用して POST リクエストを行います。

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/vpnGateways
   {
     "name": "ha-vpn-gw-a",
     "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/network-a",
     "stackType": "IPV4_IPV6"
   }

stackType フィールドは省略可能です。有効な値は IPV4_IPV6 または IPV4_ONLY のみです。stackType を指定しない場合、デフォルトは IPV4_ONLY です。

コンソール

構成を確認するには、[まとめとリマインダー] ページに移動します。

1. このページの [まとめ] セクションには、HA VPN ゲートウェイとピア VPN ゲートウェイのプロファイルに関する情報が一覧表示されます。各 VPN トンネルについて、VPN トンネルのステータス、BGP セッション名、BGP セッションのステータス、MED 値（アドバタイズされたルート優先度）が表示されます。
2. このページの [リマインダー] セクションには、Cloud VPN とピア VPN 間の完全な VPN 接続を確立するために必要な手順が一覧表示されます。
3. このページの情報を確認したら、[OK] をクリックします。

gcloud

Cloud Router の構成を確認する手順は次のとおりです。

• Cloud Router によって選択された BGP IP アドレスを一覧表示します。既存の Cloud Router に新しいインターフェースを追加した場合、そのインターフェースの BGP IP アドレスは最も大きいインデックス番号付きでリストされます。BGP IP アドレス peerIpAddress を使用してピア VPN ゲートウェイを構成します。

  gcloud compute routers get-status ROUTER_NAME \
     --region=REGION \
     --format='flattened(result.bgpPeerStatus[].name,
       result.bgpPeerStatus[].ipAddress, result.bgpPeerStatus[].peerIpAddress)'
  

  2 つの Cloud VPN トンネル（インデックス 0 とインデックス 1）を管理する Cloud Router の予想される出力は、次の例のようになります。

  • GOOGLE_BGP_IP_0 は Cloud VPN ゲートウェイ interface 0 上のトンネルの Cloud Router インターフェースの BGP IP アドレスを表します。PEER_BGP_IP_0 はピアの BGP IP アドレスを表します。
  • GOOGLE_BGP_IP_1 は Cloud VPN ゲートウェイ interface 1 上のトンネルの Cloud Router インターフェースの BGP IP アドレスを表します。PEER_BGP_IP_1 はピアの BGP IP アドレスを表します。

    result.bgpPeerStatus[0].ipAddress:      169.254.0.1 GOOGLE_BGP_IP_0
    result.bgpPeerStatus[0].name:           bgp-peer-tunnel-a-to-on-prem-if-0
    result.bgpPeerStatus[0].peerIpAddress:  169.254.0.2 PEER_BGP_IP_0
    result.bgpPeerStatus[1].ipAddress:      169.254.1.1 GOOGLE_BGP_IP_1
    result.bgpPeerStatus[1].name:           bgp-peer-tunnel-a-to-on-prem-if-1
    result.bgpPeerStatus[1].peerIpAddress:  169.254.1.2 PEER_BGP_IP_1
  

• 次のコマンドを使用して、Cloud Router の構成の完全なリストを取得することもできます。

  gcloud compute routers describe ROUTER_NAME \
     --region=REGION
  

  完全なリストは次の例のようになります。

  bgp:
    advertiseMode: DEFAULT
    asn: 65001
  bgpPeers:
  - interfaceName: if-tunnel-a-to-on-prem-if-0
    ipAddress: 169.254.0.1
    name: bgp-peer-tunnel-a-to-on-prem-if-0
    peerAsn: 65002
    peerIpAddress: 169.254.0.2
  - interfaceName: if-tunnel-a-to-on-prem-if-1
    ipAddress: 169.254.1.1
    name: bgp-peer-tunnel-a-to-on-prem-if-1
    peerAsn: 65004
    peerIpAddress: 169.254.1.2
  creationTimestamp: '2018-10-18T11:58:41.704-07:00'
  id: '4726715617198303502'
  interfaces:
  - ipRange: 169.254.0.1/30
    linkedVpnTunnel: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-0
    name: if-tunnel-a-to-on-prem-if-0
  - ipRange: 169.254.1.1/30
    linkedVpnTunnel: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/vpnTunnels/tunnel-a-to-on-prem-if-1
    name: if-tunnel-a-to-on-prem-if-1
    kind: compute#router
    name: router-a
    network: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/network-a
    region: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1
    selfLink: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-central1/routers/router-a
  

API

Cloud Router の構成を確認するには、routers.getRouterStatus メソッドを使用して GET リクエストを行います。リクエストの本文は空にします。

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers