원격 사이트에 대한 기본 VPN 연결 만들기

콘솔

1. 고정 주소 예약 페이지로 이동

   고정 주소 예약으로 이동

2. 새 주소의 이름을 선택합니다.

3. IPv4 또는 IPv6 주소 여부를 지정합니다. IPv6 주소는 전역만 가능하며 전역 부하 분산기에서만 사용될 수 있습니다.

4. 이 IP 주소가 리전 또는 전역인지 지정합니다. 인스턴스 또는 네트워크 부하 분산기에 대해 고정 IP 주소를 예약하는 경우에는 리전을 선택합니다. 전역 부하 분산기에 대해 고정 IP 주소를 예약하는 경우에는 전역을 선택합니다.

5. 리전 IP 주소인 경우에는 주소를 만들 리전을 선택합니다.

6. 선택사항: IP 주소에 연결할 리소스를 선택합니다.

7. 예약을 클릭하여 IP 주소를 예약합니다.

gcloud

gcloud compute를 사용하여 고정 외부 IP 주소를 예약하려면 compute addresses create 명령어를 사용합니다.

전역 IP 주소를 예약하려면 --global 및 --ip-version 필드를 사용합니다. --ip-version 필드에 IPV4 또는 IPV6를 지정합니다. IPv6 주소는 전역만 가능하며 전역 부하 분산기에서만 사용될 수 있습니다.

ADDRESS_NAME을 이 주소의 이름으로 바꿉니다.

gcloud compute addresses create ADDRESS_NAME \
    --global \
    --ip-version [IPV4 | IPV6]

리전 IP 주소를 예약하려면 --region 필드를 사용합니다.

gcloud compute addresses create ADDRESS_NAME  \
    --region=REGION

다음을 바꿉니다.

• ADDRESS_NAME: 이 주소의 이름
• REGION: 이 주소를 예약할 리전입니다. 이 리전은 IP 주소가 할당된 리소스와 동일한 리전이어야 합니다. 모든 리전 IP 주소는 IPv4입니다.

결과를 보려면 다음과 같이 compute addresses describe 명령어를 사용합니다.

gcloud compute addresses describe ADDRESS_NAME

API

리전 IPv4 주소를 만들려면 리전 addresses.insert 메서드를 호출합니다.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

요청 본문에는 다음이 포함되어야 합니다.

{
  "name": "ADDRESS_NAME"
}

다음을 바꿉니다.

• ADDRESS_NAME: 주소 이름입니다.
• REGION: 요청의 리전 이름입니다.
• PROJECT_ID: 이 요청의 프로젝트 ID

전역 고정 IPv4 주소의 경우 globalAddresses.insert 메서드를 호출합니다.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

요청 본문에는 다음이 포함되어야 합니다.

{
  "name": "ADDRESS_NAME"
}

전역 고정 IPv6 주소의 경우 globalAddresses.insert 메서드를 호출합니다.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

요청 본문에는 다음이 포함되어야 합니다.

{
  "name": "ADDRESS_NAME",
  "ipVersion": "IPV6"
}

결과를 보려면 addresses.get 메서드를 사용하세요.

Terraform

Terraform 모듈을 사용하여 외부 IP 주소를 만들 수 있습니다.

다음 예시에는 Terraform 인수에 변경 가능한 예시 값이 있습니다. 이 예시에서는 3개의 리전 외부 IPv4 주소를 만듭니다.

module "address" {
  source       = "terraform-google-modules/address/google"
  version      = "~> 3.1"
  project_id   = var.project_id # Replace this with your service project ID in quotes
  region       = "europe-west1"
  address_type = "EXTERNAL"
  names = [
    "regional-external-ip-address-1",
    "regional-external-ip-address-2",
    "regional-external-ip-address-3"
  ]
}

다음 예시에서는 전역 외부 IPv6 주소를 만듭니다.

resource "google_compute_global_address" "default" {
  project      = var.project_id # Replace this with your service project ID in quotes
  name         = "ipv6-address"
  address_type = "EXTERNAL"
  ip_version   = "IPV6"
}

콘솔

1. VM 인스턴스 페이지로 이동합니다.
   VM 인스턴스로 이동
2. 인스턴스 만들기를 클릭합니다.
3. 부팅 디스크에서 Linux 이미지를 선택했는지 확인합니다(예: Debian GNU/Linux).
4. 네트워킹, 디스크, 보안, 관리, 단독 테넌시를 클릭합니다.
5. 네트워킹을 클릭합니다.
6. IP 전달에 사용 설정을 선택합니다.
7. 다른 인스턴스 매개변수를 지정합니다.
8. 만들기를 클릭합니다.

gcloud

gcloud를 사용하여 인스턴스를 만들 때 --can-ip-forward 플래그를 명령어에 추가합니다.

gcloud compute instances create ... --can-ip-forward

API

인스턴스를 만들 때 canIpForward 필드를 사용하여 IP 전달을 사용 설정합니다.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances
{
  "canIpForward": true,
  ...other fields
}

다음을 바꿉니다.

• PROJECT_ID: 인스턴스가 생성된 프로젝트의 ID입니다.
• ZONE: 인스턴스가 생성된 Google Cloud 영역입니다.

자세한 내용은 instances.insert 메서드를 참조하세요.

Terraform

Terraform 리소스를 사용하여 IP 전달이 사용 설정된 VM 인스턴스를 만들 수 있습니다.

이 예시에서는 Terraform 인수에 변경 가능한 할당된 값이 있습니다.

resource "google_compute_instance" "default" {
  project      = var.project_id # Replace this with your project ID in quotes
  zone         = "southamerica-east1-b"
  name         = "instance-next-hop"
  machine_type = "e2-medium"
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }
  network_interface {
    network = "default"
  }
  can_ip_forward = true
}

콘솔

1. Google Cloud 콘솔의 경로 페이지로 이동합니다.
   경로로 이동
2. 경로 만들기를 클릭합니다.
3. 경로의 이름과 설명을 지정합니다.
4. 경로가 적용될 기존 네트워크를 선택합니다.
5. 대상 IP 범위를 지정하여 경로의 대상 위치를 정의합니다.
6. 경로의 우선순위를 지정합니다. 우선순위는 여러 경로의 대상 위치가 동일한 경우에 라우팅 순서를 결정하는 데만 사용됩니다. 자세한 내용은 정적 경로 매개변수를 참조하세요.
7. 네트워크 태그가 일치하는 특정 인스턴스에만 경로를 적용하려면 인스턴스 태그 필드에서 태그를 지정합니다. 경로를 네트워크의 모든 인스턴스에 적용하려는 경우 또는 내부 TCP/UDP 부하 분산기를 경로의 다음 홉으로 선택하는 경우 이 필드를 비워 둡니다. 네트워크 태그는 다음 홉으로 내부 TCP/UDP 부하 분산기가 있는 경로에는 적용되지 않습니다.

8. 경로의 다음 홉을 지정합니다.

   • 인스턴스 지정을 선택하면 인스턴스를 이름으로 선택할 수 있습니다. 그러면 IP 주소가 변경되더라도 트래픽이 해당 인스턴스(또는 동일한 영역에 있는 동일한 이름의 대체 인스턴스)로 라우팅됩니다.
   • IP 주소 지정을 선택하면 VPC 네트워크에 있는 기존 인스턴스의 IP 주소를 입력할 수 있습니다. 유효한 다음 홉 IP 주소의 중요 제한사항은 정적 경로의 다음 홉을 참조하세요.

   다양한 유형의 다음 홉에 대한 자세한 내용은 정적 경로 다음 홉을 참조하세요.

9. 만들기를 클릭합니다.

gcloud

새 커스텀 정적 경로를 만듭니다.

gcloud compute routes create ROUTE_NAME \
    --destination-range=DESTINATION_RANGE \
    --network=NETWORK \
    NEXT_HOP_SPECIFICATION

자리표시자를 바꿉니다.

• ROUTE_NAME은 경로의 이름입니다.
• DESTINATION_RANGE는 이 경로를 적용할 대상 IP 주소를 나타냅니다. 가능한 가장 광범위한 대상 위치는 0.0.0.0/0입니다.
• NETWORK는 경로를 포함할 VPC 네트워크의 이름입니다.
• NEXT_HOP_SPECIFICATION은 커스텀 정적 경로의 다음 홉을 나타냅니다. 다음 중 하나만 다음 홉으로 지정해야 합니다. 다양한 유형의 다음 홉에 대한 자세한 내용은 정적 경로 다음 홉을 참조하세요.
  • --next-hop-instance=INSTANCE_NAME 및 --next-hop-instance-zone=ZONE: 이 다음 홉을 사용하여 이름 및 영역에 따라 트래픽을 기존 VM 인스턴스로 전달합니다. 트래픽은 경로와 동일한 네트워크에 있는 VM 네트워크 인터페이스의 기본 내부 IP 주소로 전송됩니다.
  • --next-hop-address=ADDRESS: 이 다음 홉을 사용하여 트래픽을 기존 VM 인스턴스의 IP 주소로 전달합니다.

커스텀 정적 경로를 네트워크 태그에 따라 특정 VM에만 적용하려면 --tags 플래그를 추가하고 하나 이상의 네트워크 태그를 지정합니다. 네트워크 태그와 커스텀 정적 경로가 함께 작동하는 방식에 대한 자세한 내용은 적용 가능한 경로를 참조하세요. 모든 커스텀 정적 경로에 태그를 사용할 수 있습니다.

gcloud 구문에 대한 자세한 내용은 SDK 문서를 참조하세요.

API

새 커스텀 정적 경로를 만듭니다.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/routes
{
  "destRange": "DESTINATION_RANGE",
  "name": "ROUTE_NAME",
  "network": "NETWORK_NAME",
  "priority": PRIORITY,
  "NEXT_HOP_SPECIFICATION": VALUE
}

자리표시자를 바꿉니다.

• PROJECT_ID는 경로가 생성된 프로젝트의 ID입니다.
• DESTINATION_RANGE는 이 경로를 적용할 대상 IP 주소를 나타냅니다. 가능한 가장 광범위한 대상 위치는 0.0.0.0/0입니다.
• ROUTE_NAME은 경로의 이름입니다.
• NETWORK_NAME은 경로를 포함할 VPC 네트워크의 이름입니다.
• NEXT_HOP_SPECIFICATION의 VALUE는 커스텀 정적 경로의 다음 홉을 나타냅니다. NEXT_HOP_SPECIFICATION에 nextHopIp, nextHopInstance 다음 홉 필드 중 하나만 지정해야 합니다. 다양한 유형의 다음 홉에 대한 자세한 내용은 정적 경로 다음 홉을 참조하세요.

자세한 내용은 routes.insert 메서드를 참조하세요.

Terraform

Terraform 모듈을 사용하여 정적 경로를 만들 수 있습니다.

이 정적 경로는 인터넷에 대한 기본 경로를 만듭니다.

module "google_compute_route" {
  source       = "terraform-google-modules/network/google//modules/routes"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "default"

  routes = [
    {
      name              = "egress-internet"
      description       = "route through IGW to access internet"
      destination_range = "0.0.0.0/0"
      tags              = "egress-inet"
      next_hop_internet = "true"
    }
  ]
}

콘솔

게이트웨이 구성

1. Google Cloud 콘솔에서 VPN 페이지로 이동합니다.

   VPN으로 이동

2. 게이트웨이를 처음 만드는 경우 VPN 연결 만들기를 클릭합니다.

3. VPN 설정 마법사를 선택합니다.

4. 기본 VPN 옵션 버튼을 선택합니다.

5. 계속을 클릭합니다.

6. VPN 연결 만들기 페이지에서 다음 게이트웨이 설정을 지정합니다.

   • 이름: VPN 게이트웨이의 이름입니다. 이름은 나중에 변경할 수 없습니다.
   • 설명: 원할 경우 설명을 추가합니다.
   • 네트워크: VPN 게이트웨이와 터널을 만들 기존 VPC 네트워크를 지정합니다.
   • 리전: Cloud VPN 게이트웨이 및 터널은 리전별 개체입니다. 게이트웨이가 위치할 Google Cloud 리전을 선택합니다. 다른 리전에 있는 인스턴스 및 다른 리소스는 경로 순서에 따라 이그레스 트래픽에 터널을 사용할 수 있습니다. 최상의 성능을 원한다면 관련 Google Cloud 리소스와 동일한 리전에서 게이트웨이와 터널을 찾습니다.
   • IP 주소: 리전별 외부 IP 주소를 만들거나 기존 주소를 선택합니다.

터널 구성

1. 새 터널의 경우 터널 섹션에서 다음 설정을 지정합니다.

   • 이름: VPN 터널의 이름입니다. 이름은 나중에 변경할 수 없습니다.
   • 설명: 원할 경우 설명을 입력합니다.
   • 원격 피어 IP 주소: 피어 VPN 게이트웨이의 외부 IP 주소를 지정합니다.
   • IKE 버전: 피어 VPN 게이트웨이에서 지원하는 적절한 IKE 버전을 선택합니다. 피어 기기에서 지원되는 경우 IKEv2가 권장됩니다.
   • IKE 사전 공유 키: 인증에 사용되는 사전 공유 키(공유 보안 비밀)을 제공합니다. Cloud VPN 터널의 사전 공유 키는 피어 VPN 게이트웨이에서 상대 터널을 구성할 때 사용한 공유 비밀번호와 일치해야 합니다. 암호적으로 강력한 사전 공유 키를 생성하려면 다음 안내를 따르세요.
   • 정책 기반 터널 선택
   • 라우팅 옵션에서 정책 기반을 선택합니다.
   • 원격 네트워크 IP 범위에서 온프레미스 VPN 설정의 로컬 트래픽이 사용하는 IP 주소 범위를 공백으로 구분된 목록으로 제공합니다.
   • 로컬 IP 범위 필드에 이전에 만들고 서브넷 프리픽스 /32가 포함된 외부 IP 주소 범위를 입력합니다.
   • 완료를 클릭합니다.
   • 만들기를 클릭합니다.

gcloud

Cloud VPN 게이트웨이를 만들려면 다음 명령 시퀀스를 완료합니다. 명령어에서 다음을 바꿉니다.

• PROJECT_ID: 프로젝트의 ID
• NETWORK: Google Cloud 네트워크의 이름
• REGION: 게이트웨이 및 터널을 만들 Google Cloud 리전
• GW_NAME: 게이트웨이의 이름
• GW_IP_NAME: 게이트웨이에 사용되는 외부 IP 주소의 이름
• 선택사항: --target-vpn-gateway-region은 기본 VPN 게이트웨이가 작동할 리전입니다. 값은 --region과 같아야 합니다. 지정하지 않으면 이 옵션이 자동으로 설정됩니다. 이 옵션은 이 명령어 호출의 기본 compute/region 속성 값을 재정의합니다.

게이트웨이 리소스 구성

1. 대상 VPN 게이트웨이 객체를 만듭니다.

   gcloud compute target-vpn-gateways create GW_NAME \
      --network=NETWORK \
      --region=REGION \
      --project=PROJECT_ID
   

2. 리전 외부(정적) IP 주소를 예약합니다.

   gcloud compute addresses create GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

3. 피어 VPN 게이트웨이를 구성할 때 사용할 수 있도록 IP 주소를 적어 둡니다.

   gcloud compute addresses describe GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID \
      --format='flattened(address)'
   

4. 전달 규칙 3개를 만듭니다. 이러한 규칙은 Google Cloud에 ESP(IPsec), UDP 500, UDP 4500 트래픽을 게이트웨이로 전송하도록 지시합니다.

   gcloud compute forwarding-rules create fr-GW_NAME-esp \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=ESP \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp4500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=4500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

Cloud VPN 터널 만들기

1. 명령어에서 다음을 바꿉니다.

   • TUNNEL_NAME: 터널의 이름
   • ON_PREM_IP: 피어 VPN 게이트웨이의 외부 IP 주소
   • IKE_VERS: IKEv1의 경우 1, IKEv2의 경우 2
   • SHARED_SECRET: 사전 공유 키(공유 비밀번호)입니다. Cloud VPN 터널의 사전 공유 키는 피어 VPN 게이트웨이에서 상대 터널을 구성할 때 사용한 공유 비밀번호와 일치해야 합니다. 암호적으로 강력한 사전 공유 키를 생성하려면 다음 안내를 따르세요.

   정책 기반 VPN:

   • LOCAL_IP_RANGES: 쉼표로 구분된 Google Cloud IP 주소 범위의 목록입니다. 예를 들어 VPC 네트워크의 각 서브넷에 대해 CIDR 블록을 제공할 수 있습니다. 이것은 Cloud VPN의 관점에서 볼 때 왼쪽입니다.
   • REMOTE_IP_RANGES: 쉼표로 구분된 피어 네트워크 IP 주소 범위의 목록입니다. 이것은 Cloud VPN을 기준으로 오른쪽입니다.

   정책 기반 VPN 터널을 구성하려면 다음 명령어를 실행합니다.

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=LOCAL_IP_RANGES \
       --remote-traffic-selector=REMOTE_IP_RANGES \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

   경로 기반 VPN의 경우 로컬 및 원격 트래픽 선택기 모두 라우팅 옵션 및 트래픽 선택기에 정의된 대로 0.0.0.0/0입니다.

   경로 기반 VPN 터널을 구성하려면 다음 명령어를 실행합니다.

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=0.0.0.0/0 \
       --remote-traffic-selector=0.0.0.0/0 \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

2. 이전 단계의 --remote-traffic-selector 옵션에서 지정한 각 원격 IP 주소 범위에 대한 정적 경로를 만듭니다. 각 원격 IP 주소 범위에 대해 이 명령어를 반복합니다. ROUTE_NAME을 경로의 고유 이름으로 바꾸고 REMOTE_IP_RANGE를 적절한 원격 IP 주소 범위로 바꿉니다.

   gcloud compute routes create ROUTE_NAME \
       --destination-range=REMOTE_IP_RANGE \
       --next-hop-vpn-tunnel=TUNNEL_NAME \
       --network=NETWORK \
       --next-hop-vpn-tunnel-region=REGION \
       --project=PROJECT_ID