שיטות מומלצות לשימוש ב-Cloud VPN

השיטות המומלצות הבאות יכולות לעזור לכם לתכנן ולהגדיר את Cloud VPN.

שימוש ב Cloud de Confiance by S3NS פרויקטים נפרדים למשאבי רשת

כדי להקל על הגדרת התפקידים וההרשאות של ניהול הזהויות והרשאות הגישה (IAM), מומלץ לשמור את המשאבים של Cloud VPN ו-Cloud Router בפרויקט נפרד משאר המשאבים של Cloud de Confiance .

ניתוב ויתירות כשל

בחירת ניתוב דינמי

בוחרים שער Cloud VPN שמשתמש בניתוב דינמי ובפרוטוקול Border Gateway Protocol ‏ (BGP). ‫Google ממליצה להשתמש ב-HA VPN ולפרוס מכשירים מקומיים שתומכים ב-BGP.

איך להגדיל את הזמינות של Cloud VPN

כדי להשיג זמינות גבוהה והסכם רמת שירות (SLA) טוב יותר, השתמשו ב-HA VPN עם BGP. אם ההגדרה שלכם דורשת נתיבים סטטיים, השתמשו ב-VPN קלאסי.

למידע נוסף, ראו סוגי VPN בסקירה הכללית של Cloud VPN.

הגדרת שער Cloud VPN שכנגד

מומלץ להשתמש בערכי ברירת המחדל מתבניות ההגדרות האישיות שסופקו על ידי Cloud de Confiance. בתבניות האלה מוגדרים בדרך כלל ערכים קצרים יותר לזמן החיים של IKE מאשר ערכי Cloud de Confiance ברירת המחדל, כדי להבטיח תאימות מקסימלית בין ספקי VPN של צד שלישי.

כדי למנוע ניתוקים או חוסר יציבות במנהרה, אל תשנו את ערכי משך החיים שנוצרו, אלא אם הספק החיצוני ממליץ במפורש על הגדרה אחרת.

שיטה מומלצת הפעולה המומלצת תיאור
התאמה לכל משך החיים של SA אם אתם מגדירים את המנהרות באופן ידני באמצעות ה-API, ‏Google Cloud CLI או Terraform, הגדירו את שלב 1 ל-36000 שניות ואת שלב 2 ל-10800 שניות. מידע נוסף זמין בטבלת הצפנים הנתמכים של IKE. חוסר התאמה בין משכי החיים של ה-SA גורם לניתוקים לסירוגין ולאובדן מנות במהלך רוטציית המפתחות.
שימוש בתבניות אם אתם משתמשים ב תבנית להורדה מהמסוף, אתם צריכים להשתמש בערכים המדויקים של משך החיים שמוגדרים בתבנית הזו. התבניות שהורדתם מותאמות לתאימות ספציפית לספק, אבל שתי נקודות הקצה חייבות להתאים.

בחירת הגדרת המנהרה המתאימה

בוחרים את הגדרת המנהרה המתאימה לפי מספר מנהרות ה-HA VPN:

  • אם יש לכם שתי מנהרות HA VPN, השתמשו בהגדרת מנהרה פעילה/לא פעילה.

  • אם יש לכם יותר משתי מנהרות HA VPN, צריך להשתמש בהגדרת מנהרה פעילה/פעילה.

למידע נוסף, קראו את הסעיפים הבאים בסקירה הכללית על Cloud VPN:

אמינות

השיטות המומלצות הבאות יכולות לעזור לשפר את האמינות של הגדרת Cloud VPN.

שימוש בלוחות בקרה מוגדרים מראש לניטור פרואקטיבי של מנהרות Cloud VPN

מומלץ להשתמש במרכזי הבקרה המוגדרים מראש במסוף Cloud VPN כדי לעקוב אחרי מנהרות Cloud VPN והתקינות הכוללת של הפרויקט בתצוגה אחת.

זו הדרך המהירה ביותר לזהות בעיות בביצועים ברמת הפרויקט.

  • נראות ברמת הפרויקט: בכרטיסייה Observability אפשר לבדוק את התקינות הכללית של כל המנהרות.

  • נראות ספציפית למנהרה: בכרטיסייה Monitoring אפשר לראות את היומנים המשולבים של מנהרות Cloud VPN ושל שערי Cloud VPN, כדי לאבחן במהירות בעיות ספציפיות למנהרה.

מידע נוסף זמין במאמר הצגת לוחות הבקרה של Monitoring.

הגדרת שער ה-VPN השכן עם צופן אחד בלבד לכל תפקיד צופן

‫Cloud VPN יכול לפעול כיוזם או כמשיב לבקשות IKE, בהתאם למקור התנועה כשנדרש שיוך אבטחה חדש.

כש-Cloud VPN יוזם חיבור דרך VPN, הוא מציע את אלגוריתמי ההצפנה שהוגדרו במנהרת VPN של Cloud VPN. אם לא הגדרתם את האלגוריתמים להצפנה, מנהרת Cloud VPN תציע את האלגוריתמים להצפנה לפי הסדר שמופיע בטבלאות של הצפנות נתמכות לכל תפקיד הצפנה. הצד המקביל שמקבל את ההצעה בוחר אלגוריתם.

אם הצד השכן יוזם את החיבור, Cloud VPN בוחר צופן מההצעה לפי אותו סדר שמוגדר או מוצג בטבלה לכל תפקיד של צופן.

יכול להיות שצופן ההצפנה שנבחר יהיה שונה, בהתאם לצד שיוזם את החיבור או לצד שמגיב. לדוגמה, הצופן שנבחר עשוי להשתנות עם הזמן כשנוצרים שיוכי אבטחה (SA) חדשים במהלך רוטציית מפתחות. שינוי בבחירת ההצפנה יכול להשפיע על מאפיינים חשובים של המנהרה, כמו ביצועים או MTU, ולכן כדאי להשתמש בבחירת הצפנה יציבה. מידע נוסף על MTU זמין במאמר שיקולים לגבי MTU.

כדי למנוע שינויים תכופים בבחירת הצופן, צריך להגדיר את שער ה-VPN המקביל ואת מנהרת VPN כך שיציעו ויקבלו רק צופן אחד לכל תפקיד צופן. הצופן הזה צריך להיות נתמך גם על ידי Cloud VPN וגם על ידי שער ה-VPN של העמית. אל תספקו רשימה של הצפנות לכל תפקיד הצפנה. השיטה המומלצת הזו מבטיחה ששני הצדדים של מנהרת Cloud VPN תמיד יבחרו באותו צופן IKE במהלך משא ומתן של IKE.

הכלי Cloud Location Finder עוזר לכם לזהות את האזורים והאזורים הגיאוגרפיים Cloud de Confiance by S3NS הקרובים ביותר למיקומים הפיזיים שלכם ברחבי העולם. בעזרת Cloud Location Finder אתם יכולים לקבל החלטות מושכלות לגבי Cloud de Confiance האזור שבו כדאי לפרוס את שערי ה-Cloud VPN, וכך לבצע אופטימיזציה של זמן האחזור, המיקום הגיאוגרפי והשימוש באנרגיה פחמנית. מידע נוסף זמין במאמר בנושא כלי לאיתור מיקומים ב-Cloud.

במנהרות HA VPN, צריך להגדיר את שתי מנהרות ה-HA VPN בשער ה-VPN של העמית כך שישתמשו באותם ערכים של הצפנה ושל זמן החיים של IKE Phase 2.

אבטחה

הגדרת כללים של חומת אש לשערי ה-VPN

יוצרים כללים מאובטחים של חומת אש לתעבורת נתונים שעוברת דרך Cloud VPN. מידע נוסף זמין בסקירה הכללית על הכללים של חומת האש ב-VPC.

שימוש במפתחות ששותפו מראש

‫Google ממליצה ליצור מפתח חזק ששותף מראש למנהרות Cloud VPN.

הגבלת כתובות IP לשערי VPN של עמיתים

הגבלת כתובות ה-IP שאפשר לציין עבור שער VPN של עמיתים מאפשרת למנוע יצירה של מנהרות VPN לא מורשות.

מידע נוסף זמין במאמר הגבלת כתובות IP לשערי VPN שכנים.

הגדרת הצופן החזק ביותר בשער ה-VPN של עמית

כשמגדירים את שער ה-VPN של העמית, בוחרים את ההצפנה החזקה ביותר לכל תפקיד הצפנה שנתמך גם על ידי שער ה-VPN של העמית וגם על ידי Cloud VPN.

סדר ההצעות שמופיע ב-Cloud VPN לא נקבע לפי עוצמה.

רשימה של הצפנות IKE נתמכות מופיעה במאמר צפנות IKE נתמכות.

המאמרים הבאים

  • כדי להשתמש בתרחישים של זמינות גבוהה וקצב העברה גבוה או בתרחישים של כמה רשתות משנה, אפשר לעיין במאמר בנושא הגדרות מתקדמות.
  • במאמר פתרון בעיות מוסבר איך לפתור בעיות נפוצות שעלולות לקרות כשמשתמשים ב-Cloud VPN.