Crea un router Cloud per connettere una rete VPC a una rete peer

Questa pagina descrive la procedura di configurazione del router Cloud necessaria per scambiare le route tra una rete Virtual Private Cloud (VPC) o NCC Gateway e una rete peer. La rete peer può essere una rete on-premise, una rete ospitata da un altro provider cloud come AWS o Azure o anche un'altra rete VPC in Trusted Cloud by S3NS.

La procedura di configurazione del router Cloud è costituita da queste tre attività di alto livello:

  1. Crea un router Cloud.
  2. Configura un prodotto di connettività di rete in Trusted Cloud.
  3. Stabilisci sessioni BGP (Border Gateway Protocol) con un router sulla rete peer.

Prima di iniziare

gcloud

Se vuoi utilizzare gli esempi di riga di comando in questa guida, procedi nel seguente modo:

  1. Installa o esegui l'aggiornamento all'ultima versione di Google Cloud CLI.
  2. Imposta una regione e una zona predefinite.

API

Se vuoi utilizzare gli esempi di API in questa guida, configura l'accesso API.

Numero di sistema autonomo (ASN)

Quando crei un router Cloud, scegli l'ASN lato Googleper tutte le sessioni BGP utilizzate dal router Cloud. Le indicazioni per ogni prodotto e il modo in cui utilizzano ASN sono elencate in Trusted Cloud prodotti che utilizzano Cloud Router.

Crea un router Cloud

Per creare un router Cloud:

Se vuoi creare un router Cloud associato a uno spoke NCC Gateway, devi utilizzare le istruzioni di Google Cloud CLI o dell'API Cloud Router in questa sezione. Per saperne di più, vedi Aggiungere connessioni ibride a NCC Gateway.

Console

  1. Nella console Trusted Cloud , vai alla pagina Crea un Cloud Router.

    Vai a Crea un router Cloud

  2. Specifica i dettagli del router Cloud:

    • Nome: il nome del router Cloud. Questo nome viene visualizzato nella console Trusted Cloud e viene utilizzato da Google Cloud CLI per fare riferimento al router Cloud, ad esempio my-router.
    • (Facoltativo) Descrizione. Una descrizione del router Cloud.
    • Rete: la rete VPC che contiene le istanze che vuoi raggiungere, ad esempio my-network.
    • Regione: la regione in cui vuoi posizionare il router Cloud, ad esempio asia-east1.

    • ASN Google: qualsiasi ASN privato (64512-65534, 4200000000-4294967294) che non stai già utilizzando nella rete on-premise. Router Cloud richiede l'utilizzo di un ASN privato, ma l'ASN on-premise può essere pubblico o privato.

    • Intervallo keepalive peer BGP: l'intervallo tra due messaggi keepalive BGP successivi inviati al router peer. Questo valore deve essere un numero intero compreso tra 20 e 60 che specifica il numero di secondi per l'intervallo. Il valore predefinito è 20 secondi. Per saperne di più, consulta Gestire i timer BGP.

    • Identificatore BGP: facoltativo. L'identificatore BGP, a volte chiamato ID router, che identifica in modo univoco un router Cloud in una rete. Se omesso, i router Cloud con sessioni BGP IPv4 utilizzano uno degli indirizzi BGP IPv4 come identificatore BGP e l'aggiunta della prima interfaccia IPv6 a questo router Cloud compila automaticamente il campo.

      Per ulteriori informazioni, vedi Configura l'intervallo di identificatori BGP per un router Cloud.

  3. (Facoltativo) Per specificare route annunciate personalizzate, vai alla sezione Route annunciate. Per saperne di più, consulta la sezione Percorsi pubblicizzati.
    1. Per specificare Percorsi personalizzati, seleziona Crea percorsi personalizzati.
    2. Scegli se annunciare le subnet visibili al router Cloud. Se abiliti questa opzione, viene simulato il comportamento predefinito del router Cloud.
    3. Per aggiungere un percorso pubblicizzato, seleziona Aggiungi un percorso personalizzato e poi configuralo.
  4. Per salvare le impostazioni e creare un router Cloud, fai clic su Crea. Il nuovo router Cloud viene visualizzato nella pagina di elenco dei router Cloud. Per visualizzarne i dettagli e configurare una sessione BGP, selezionalo.

gcloud

Il comando gcloud compute routers create crea un nuovo router Cloud. Un router Cloud è associato a una rete VPC o a uno spoke del gateway NCC. Una volta creato, non puoi modificare la regione, la rete VPC associata o lo spoke NCC Gateway associato.

Il flag --set-advertisement-groups=ALL_SUBNETS è valido solo quando è impostato il flag --advertisement-mode=CUSTOM. Quando vengono specificati questo flag e questo valore, le pubblicità a livello di router includono intervalli di subnet locali in base alla modalità di routing dinamico della rete VPC.

Per ulteriori informazioni, vedi Pubblicità dell'intervallo di subnet.

Includi il flag --encrypted-interconnect-router solo se router Cloud gestisce le sessioni BGP per la VPN ad alta disponibilità su Cloud Interconnect.

  • Per creare un router Cloud associato a una regione di una rete VPC, utilizza il seguente comando:

    gcloud compute routers create ROUTER_NAME \
    --project=PROJECT_ID \
    --network=NETWORK \
    --region=REGION\
    --asn=ASN_NUMBER \
    [--advertisement-mode=ADVERTISEMENT_MODE] \
    [--set-advertisement-groups=ALL_SUBNETS] \
    [--set-advertisement-ranges=CUSTOM_ADVERTISED_RANGES] \
    [--bgp-identifier-range=ROUTER_IDENTIFIER_RANGE] \
    [--keepalive-interval=KEEPALIVE_TIMER] \
    [--encrypted-interconnect-router]

    Sostituisci quanto segue:

    • ROUTER_NAME: il nome del router Cloud

    • PROJECT_ID: l'ID progetto per il progetto che contiene router Cloud

    • NETWORK: la rete VPC che contiene il router Cloud

    • REGION: la regione che contiene il router Cloud

    • ASN_NUMBER: qualsiasi ASN privato (64512-65534, 4200000000-4294967294) che non stai già utilizzando nella rete on-premise

      Il router Cloud richiede l'utilizzo di un ASN privato, ma l'ASN on-premise può essere pubblico o privato.

    • ADVERTISEMENT_MODE: specifica la modalità di pubblicità a livello di router

      I valori validi sono CUSTOM o DEFAULT. Se ometti il flag --advertisement-mode, Trusted Cloud viene utilizzata la modalità DEFAULTdi pubblicità a livello di router. Per informazioni sul significato della modalità di annuncio a livello di router e sul suo effetto sui singoli annunci di sessione BGP, consulta Modalità di annuncio e Annunci effettivi.

    • CUSTOM_ADVERTISED_RANGES: valido solo quando --advertisement-mode=CUSTOM, un elenco facoltativo di intervalli di indirizzi IP personalizzati in formato CIDR o singoli indirizzi IP da includere nelle pubblicità a livello di router

      I singoli indirizzi IPv4 vengono interpretati come CIDR con una subnet mask /32, mentre i singoli indirizzi IPv6 vengono interpretati come CIDR con una subnet mask /128. Per informazioni sul numero massimo di annunci di route personalizzate, consulta la sezione Limiti.

    • ROUTER_IDENTIFIER_RANGE: un intervallo di indirizzi IPv4 facoltativo che funge da identificatore univoco perrouter Cloudr

      Per ulteriori informazioni, consulta la sezione Configurare l'intervallo di identificatori BGP.

    • KEEPALIVE_TIMER: un tempo facoltativo, in secondi, che definisce il timer keepalive BGP

      I valori validi sono compresi tra 20 e 60 inclusi. Se ometti il flag --keepalive-interval, router Cloud utilizza un timer keepalive BGP di 20 secondi. Per ulteriori informazioni, consulta Timer keepalive.

  • Per creare un router Cloud associato a uno spoke NCC Gateway, utilizza il seguente comando.

    Utilizza il flag --advertisement-mode=CUSTOM per impostare la modalità di pubblicità a livello di router su CUSTOM in modo da poter specificare pubblicità di route personalizzate a livello di router.

    Per informazioni sull'effetto della modalità di annuncio a livello di router sui singoli annunci di sessione BGP, consulta Annunci effettivi.

    gcloud compute routers create ROUTER_NAME \
    --project=PROJECT_ID \
    --ncc-gateway=NCC_GATEWAY_URI \
    --region=REGION\
    --asn=ASN_NUMBER \
    --advertisement-mode=CUSTOM \
    --set-advertisement-ranges=CUSTOM_ADVERTISED_RANGES \
    [--bgp-identifier-range=ROUTER_IDENTIFIER_RANGE] \
    [--keepalive-interval=KEEPALIVE_TIMER] \

    Sostituisci quanto segue:

    • ROUTER_NAME: il nome del router Cloud

    • PROJECT_ID: l'ID progetto per il progetto che contiene router Cloud

    • NCC_GATEWAY_URI: l'URI completo del gateway NCC associato al router. Il formato dell'URI segue questo pattern: https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/spokes/GATEWAY_SPOKE_NAME

    • REGION: la regione che contiene il router Cloud

    • ASN_NUMBER: qualsiasi ASN privato (64512-65534, 4200000000-4294967294) che non stai già utilizzando nella rete on-premise

      Il router Cloud richiede l'utilizzo di un ASN privato, ma l'ASN on-premise può essere pubblico o privato.

    • --advertisement-mode=CUSTOM: imposta la modalità di pubblicità a livello di router su CUSTOM in modo da poter specificare le pubblicità di route personalizzate a livello di router.

      Per informazioni sull'effetto della modalità di annuncio a livello di router sui singoli annunci di sessione BGP, consulta Annunci effettivi.

    • CUSTOM_ADVERTISED_RANGES: l'elenco di intervalli di indirizzi IP personalizzati in formato CIDR o di singoli indirizzi IP da includere nelle pubblicità a livello di router

      I singoli indirizzi IPv4 vengono interpretati come CIDR con una subnet mask /32, mentre i singoli indirizzi IPv6 vengono interpretati come CIDR con una subnet mask /128. Per informazioni sul numero massimo di annunci di route personalizzate, consulta Limiti.

    • ROUTER_IDENTIFIER_RANGE: un intervallo di indirizzi IPv4 facoltativo che funge da identificatore univoco per il router Cloud.

      Per ulteriori informazioni, consulta la sezione Configurare l'intervallo di identificatori BGP.

    • KEEPALIVE_TIMER: un tempo facoltativo, in secondi, che definisce il timer keepalive BGP

      I valori validi sono compresi tra 20 e 60 inclusi. Se ometti il flag --keepalive-interval, router Cloud utilizza un timer keepalive BGP di 20 secondi. Per ulteriori informazioni, consulta Timer keepalive.

Terraform

Utilizza il modulo Terraform Trusted Cloud per Router Cloud.

module "cloud_router" {
  source  = "terraform-google-modules/cloud-router/google"
  version = "~> 7.0"

  name   = "my-router"
  region = "us-central1"

  bgp = {
    # The ASN (16550, 64512 - 65534, 4200000000 - 4294967294) can be any private ASN
    # not already used as a peer ASN in the same region and network or 16550 for Partner Interconnect.
    asn = "65001"
  }

  project = var.project_id
  network = module.vpc.network_name
}

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

API

Il metodo routers.insert crea un nuovo router Cloud. Un router Cloud è associato a una rete VPC o a uno spoke del gateway NCC. Una volta creato, non puoi modificare la regione, la rete VPC associata o lo spoke NCC Gateway associato.

Il flag "advertisedGroups": [ALL_SUBNETS] è valido solo quando bgp.advertiseMode: CUSTOM, quando bgp.advertisedGroups: [ALL_SUBNETS], le pubblicità a livello di router includono intervalli di subnet locali in base alla modalità di routing dinamico della rete VPC. Per ulteriori informazioni, vedi Pubblicità dell'intervallo di subnet.

Il flag encryptedInterconnectRouter è un parametro booleano per indicare se il router Cloud gestisce le sessioni BGP per la VPN ad alta disponibilità su Cloud Interconnect.

  • Per creare un router Cloud associato a una regione di una rete VPC, utilizza la seguente richiesta:

         POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers
     {
       "name": "ROUTER_NAME",
       "network": "NETWORK",
       "encryptedInterconnectRouter": True|False,
       "bgp": {
         "asn": "ASN_NUMBER",
         "advertiseMode": "ADVERTISEMENT_MODE",
         "advertisedGroups": [ALL_SUBNETS],
         "advertisedIpRanges": [
            {
               "range": CUSTOM_ADVERTISED_RANGE,
               "description": CUSTOM_ADVERTISED_RANGE_DESCRIPTION
            }, ...
         ],
         "identifierRange": ROUTER_IDENTIFIER_RANGE,
         "keepaliveInterval": KEEPALIVE_TIMER
       }
     }

    Sostituisci quanto segue:

    • ROUTER_NAME: il nome del router Cloud

    • PROJECT_ID: l'ID progetto per il progetto che contiene router Cloud

    • NETWORK: la rete VPC che contiene il router Cloud

    • REGION: la regione che contiene il router Cloud

    • ASN_NUMBER: qualsiasi ASN privato (64512-65534, 4200000000-4294967294) che non stai già utilizzando nella rete on-premise

      Il router Cloud richiede l'utilizzo di un ASN privato, ma l'ASN on-premise può essere pubblico o privato.

    • ADVERTISEMENT_MODE: specifica la modalità di pubblicità a livello di router

      I valori validi sono CUSTOM o DEFAULT. Se ometti bgp.advertiseMode, Trusted Cloud utilizza la modalità di pubblicità DEFAULT a livello di router. Per informazioni sul significato della modalità di annuncio a livello di router e sul suo effetto sugli annunci delle singole sessioni BGP, consulta Modalità di annuncio e Annunci effettivi.

    • CUSTOM_ADVERTISED_RANGE e CUSTOM_ADVERTISED_RANGE_DESCRIPTION: chiavi in un dizionario che specificano una pubblicità di route personalizzata a livello di router

      bgp.advertisedIpRanges è l'elenco contenente ogni dizionario di annunci di itinerari personalizzati. La specifica di bgp.advertisedIpRanges richiede bgp.advertiseMode: CUSTOM. Ogni CUSTOM_ADVERTISED_RANGE è un intervallo di indirizzi IP in formato CIDR o un singolo indirizzo IP. I singoli indirizzi IPv4 vengono interpretati come CIDR con una subnet mask /32, mentre i singoli indirizzi IPv6 vengono interpretati come CIDR con una subnet mask /128. Per informazioni sul numero massimo di annunci di route personalizzate, consulta Limiti. Ogni CUSTOM_ADVERTISED_RANGE_DESCRIPTION è una stringa per descrivere la pubblicità.

    • ROUTER_IDENTIFIER_RANGE: definisce un intervallo di indirizzi IPv4 che funge da identificatore univoco per il router Cloud

      Per ulteriori informazioni, consulta la sezione Configurare l'intervallo di identificatori BGP.

    • KEEPALIVE_TIMER: un tempo facoltativo, in secondi, che definisce il timer keepalive BGP

      I valori validi sono compresi tra 20 e 60 inclusi. Se ometti bgp.keepaliveInterval, router Cloud utilizza un timer keepalive BGP di 20 secondi. Per ulteriori informazioni, consulta Timer keepalive.

    • encryptedInterconnectRouter: un parametro booleano per indicare se il router Cloud gestisce le sessioni BGP per HA VPN su Cloud Interconnect

  • Per creare un router Cloud associato a uno spoke NCC Gateway, utilizza la seguente richiesta.

    Il flag bgp.advertiseMode: CUSTOM imposta la modalità di pubblicità a livello di router su CUSTOM in modo da poter specificare pubblicità di route personalizzate a livello di router. Per informazioni sull'effetto della modalità di annuncio a livello di router sui singoli annunci di sessione BGP, consulta Annunci effettivi.

         POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/routers
     {
       "name": "ROUTER_NAME",
       "ncc_gateway": "NCC_GATEWAY_URI",
       "bgp": {
         "asn": "ASN_NUMBER",
         "advertiseMode": CUSTOM,
         "advertisedIpRanges": [
            {
               "range": CUSTOM_ADVERTISED_RANGE,
               "description": CUSTOM_ADVERTISED_RANGE_DESCRIPTION
            }, ...
         ],
         "identifierRange": ROUTER_IDENTIFIER_RANGE,
         "keepaliveInterval": KEEPALIVE_TIMER
       }
     }

    Sostituisci quanto segue:

    • ROUTER_NAME: il nome del router Cloud

    • PROJECT_ID: l'ID progetto per il progetto che contiene router Cloud

    • NCC_GATEWAY_URI: l'URI completo del gateway NCC associato al router. Il formato dell'URI segue questo pattern: https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/spokes/GATEWAY_SPOKE_NAME

    • REGION: la regione che contiene il router Cloud

    • ASN_NUMBER: qualsiasi ASN privato (64512-65534, 4200000000-4294967294) che non stai già utilizzando nella rete on-premise

      Il router Cloud richiede l'utilizzo di un ASN privato, ma l'ASN on-premise può essere pubblico o privato.

    • CUSTOM_ADVERTISED_RANGE e CUSTOM_ADVERTISED_RANGE_DESCRIPTION: chiavi in un dizionario che specificano una pubblicità di route personalizzata a livello di router

      bgp.advertisedIpRanges è l'elenco contenente ogni dizionario di annunci di itinerari personalizzati. La specifica di bgp.advertisedIpRanges richiede bgp.advertiseMode: CUSTOM. Ogni CUSTOM_ADVERTISED_RANGE è un intervallo di indirizzi IP in formato CIDR o un singolo indirizzo IP. I singoli indirizzi IPv4 vengono interpretati come CIDR con una subnet mask /32, mentre i singoli indirizzi IPv6 vengono interpretati come CIDR con una subnet mask /128. Per informazioni sul numero massimo di annunci di route personalizzate, consulta Limiti. Ogni CUSTOM_ADVERTISED_RANGE_DESCRIPTION è una stringa per descrivere la pubblicità.

    • ROUTER_IDENTIFIER_RANGE: definisce un intervallo di indirizzi IPv4 che funge da identificatore univoco per router Cloud

      Per ulteriori informazioni, consulta la sezione Configurare l'intervallo di identificatori BGP.

    • KEEPALIVE_TIMER: un tempo facoltativo, in secondi, che definisce il timer keepalive BGP

      I valori validi sono compresi tra 20 e 60 inclusi. Se ometti bgp.keepaliveInterval, router Cloud utilizza un timer keepalive BGP di 20 secondi. Per ulteriori informazioni, vedi timer keepalive.

Configura il prodotto di connettività di rete

Un router Cloud associato a una regione di una rete VPC può gestire le sessioni BGP per i seguenti prodotti di connettività:

Un router Cloud associato a uno spoke gateway NCC può gestire le sessioni BGP per i collegamenti VLAN associati allo spoke gateway NCC.

Cloud Interconnect

Per connettere una rete VPC a una rete on-premise utilizzando Cloud Interconnect e router Cloud, devi prima eseguire il provisioning di una connessione Cloud Interconnect.

Configuri router Cloud e le relative sessioni BGP quando crei i collegamenti VLAN per la connessione Cloud Interconnect. Consulta Creare collegamenti VLAN per Dedicated Interconnect e Creare collegamenti VLAN per Partner Interconnect.

Se esegui il deployment della VPN ad alta disponibilità su Cloud Interconnect, devi eseguire il deployment di due router Cloud:

  • Un router Cloud speciale per Cloud Interconnect che configuri per i collegamenti VLAN. Questo router Cloud garantisce che solo il traffico criptato dai gateway VPN ad alta disponibilità possa essere inviato al collegamento VLAN.

  • Un router Cloud normale che configuri per i tunnel VPN ad alta disponibilità.

Cloud VPN

Per connettere una rete VPC a una rete on-premise o multicloud utilizzando la VPN ad alta disponibilità erouter Cloudr, consulta Creare un gateway VPN ad alta disponibilità a un gateway VPN peer.

Per connettere una rete VPC a un'altra rete VPC utilizzando la VPN ad alta disponibilità e router Cloud, consulta Creare una VPN ad alta disponibilità tra reti Trusted Cloud .

Configuri router Cloud e le relative sessioni BGP quando crei i tunnel VPN ad alta disponibilità alla rete peer.

Appliance router

Per connettere una rete VPC a una rete peer utilizzando le appliance router in uno spoke ibrido di Network Connectivity Center, consulta Creare istanze di appliance router.

Spoke gateway NCC

Per configurare i collegamenti VLAN su uno spoke gateway NCC, vedi Aggiungere connessioni ibride a NCC Gateway.

Definizione di sessioni BGP

Quando configuri un prodotto di connettività di rete con router Cloud, stabilisci sessioni Border Gateway Protocol (BGP) tra router Cloud e il router sulla rete peer.

Puoi riutilizzare lo stesso router Cloud con diversi prodotti di connettività di rete. Tuttavia, ogni sessione BGP è univoca per il prodotto di connettività di rete (collegamento VLAN, tunnel Cloud VPN o istanza di appliance router) che configuri per l'utilizzo con router Cloud. Prodotti di connettività di rete diversi non possono utilizzare la stessa sessione BGP. A volte, potresti dover configurare più sessioni BGP per un prodotto di connettività di rete per ottenere una ridondanza sufficiente. Ad esempio, configuri più sessioni BGP quando utilizzi router Cloud con la VPN ad alta disponibilità.

Per stabilire sessioni BGP tra il router Cloud e il router sulla rete peer, consulta Stabilire sessioni BGP.

Passaggi successivi