En este documento, se describen las topologías recomendadas y el Acuerdo de Nivel de Servicio (ANS) de disponibilidad correspondiente para cada topología de VPN con alta disponibilidad. Para las topologías de VPN clásica, consultaTopologías de VPN clásica. Para obtener más información sobre Cloud VPN, incluidos ambos tipos de VPN, consulta Descripción general de Cloud VPN.
Para ver las definiciones de los términos que se usan en esta página, consulta Términos clave.
Descripción general
La VPN con alta disponibilidad admite una de las siguientes topologías recomendadas:
Conéctate Trusted Cloud a tu puerta de enlace de VPN de intercambio de tráfico. Esta topología requiere dos túneles VPN desde la puerta de enlace de VPN con alta disponibilidad para lograr el ANS de alta disponibilidad. En esta configuración, la VPN con alta disponibilidad tienen tres configuraciones típicas de puerta de enlace de intercambio de tráfico:
- Dos puertas de enlace de VPN de intercambio de tráfico separadas, cada una con su propia dirección IP.
- Una puerta de enlace de VPN de intercambio de tráfico con dos direcciones IP independientes.
- Una puerta de enlace de VPN de intercambio de tráfico con una dirección IP.
Conecta varias Trusted Cloud redes de VPC. Para conectar dos Trusted Cloudredes de VPC, debes crear una puerta de enlace de VPN con alta disponibilidad en cada red.
Conecta una puerta de enlace de VPN con alta disponibilidad a instancias de VM de Compute Engine. En esta topología, debes conectar una puerta de enlace de VPN con alta disponibilidad a una instancia de máquina virtual (VM) de Compute Engine. Tus instancias de VM pueden estar en la misma zona o en zonas diferentes.
El ANS de disponibilidad de la instancia de VM de Compute Engine determina el ANS de disponibilidad para la conexión de VPN.
VPN con alta disponibilidad a través de Cloud Interconnect. En esta topología, debes crear túneles VPN con alta disponibilidad para llevar tráfico encriptado con IPsec a través de adjuntos de VLAN de interconexión dedicada o de socio.. Tu puerta de enlace de VPN de intercambio de tráfico también puede tener direcciones IP internas. Para obtener más información y diagramas de arquitectura, consulta Arquitectura de implementación de la VPN con alta disponibilidad en Cloud Interconnect.
En Trusted Cloud by S3NS, todas las situaciones de puerta de enlace de intercambio de tráfico se representan con un solo recurso VPN de intercambio de tráfico externo.
Parámetros de configuración de alta disponibilidad para VPN con alta disponibilidad
En la siguiente tabla, se describen los SLA de disponibilidad que ofrecen las diferentes configuraciones de la VPN con alta disponibilidad:
| Topología | Descripción | ANS de disponibilidad |
|---|---|---|
| Conéctate Trusted Cloud a tu puerta de enlace de VPN de intercambio de tráfico. | Conecta una puerta de enlace de VPN con alta disponibilidad a una o dos puertas de enlace de VPN de intercambio de tráfico separadas | 99.99% |
| Conecta redes de VPC con puertas de enlace de VPN con alta disponibilidad | Conecta dos Trusted Cloud redes de VPC con una puerta de enlace de VPN con alta disponibilidad en cada red. | 99.99% |
| VPN con alta disponibilidad a las instancias de VM de Compute Engine en varias zonas | Conecta una puerta de enlace de VPN con alta disponibilidad a instancias de VM de Compute Engine con direcciones IP externas | 99.9% |
| VPN con alta disponibilidad a una sola instancia de VM de Compute Engine | Conecta una puerta de enlace de VPN con alta disponibilidad a una sola instancia de VM de Compute Engine con una dirección IP externa | El ANS de disponibilidad se determina según el ANS de disponibilidad que se proporciona para una sola instancia de VM de familia de máquinas con optimización de memoria para Compute Engine. Para obtener más información, consulta el Acuerdo de Nivel de Servicio (ANS) de Compute Engine. |
Para garantizar el ANS de disponibilidad máximo para tus conexiones de VPN con alta disponibilidad, te recomendamos que configures dos túneles desde tu puerta de enlace de VPN con alta disponibilidad a tu puerta de enlace de VPN de intercambio de tráfico o a otra puerta de enlace de VPN con alta disponibilidad. Asegúrate de que la puerta de enlace de VPN de intercambio de tráfico también esté configurada para recibir el mismo ANS de disponibilidad.
Para mantener la conectividad en caso de falla de uno de los túneles, conecta todas las interfaces de la puerta de enlace de VPN con alta disponibilidad a todas las interfaces de la puerta de enlace de intercambio de tráfico o a otra puerta de enlace de VPN con alta disponibilidad.
Conéctate Trusted Cloud a tu puerta de enlace de VPN de intercambio de tráfico
Existen tres opciones de configuración típicas de puerta de enlace de intercambio de tráfico para VPN con alta disponibilidad:
- Una puerta de enlace de VPN con alta disponibilidad a dos puertas de enlace de VPN de intercambio de tráfico separadas, cada una con su propia dirección IP
- Una puerta de enlace de VPN con alta disponibilidad a una puerta de enlace de VPN de intercambio de tráfico que usa dos direcciones IP separadas
- Una puerta de enlace de VPN con alta disponibilidad a una puerta de enlace de VPN de intercambio de tráfico que usa una dirección IP
Para establecer alguna de estas opciones de configuración, consulta la sección sobre cómo crear una VPN con alta disponibilidad a una puerta de enlace VPN de intercambio de tráfico.
Si implementas una puerta de enlace de VPN con alta disponibilidad con el tipo de pila IPV6_ONLY o IPV4_IPV6, tus túneles VPN pueden admitir el intercambio de tráfico IPv6. IPv6 también debe estar habilitada en las sesiones de BGP que creas para los túneles VPN. En esta situación, puedes asignar direcciones IPv6 a las subredes locales y de VPC en las siguientes topologías. Para obtener más información, consulta Compatibilidad con IPv6.
Conecta dos puertas de enlace de VPN de intercambio de tráfico
Si tu puerta de enlace de intercambio de tráfico está basada en hardware, tener una segunda proporciona redundancia y conmutación por error en ese lado de la conexión. Una segunda puerta de enlace física te permite tomar una de las puertas de enlace sin conexión para actualizaciones de software o demás tareas de mantenimiento programadas. También te protege si hay una falla en una de las puertas de enlace físicas.
En esta topología, una puerta de enlace de VPN con alta disponibilidad se conecta a dos puertas de enlace de VPN de intercambio de tráfico. Cada puerta de enlace de VPN de intercambio de tráfico tiene una interfaz y una dirección IP externa. La puerta de enlace de VPN con alta disponibilidad usa dos túneles, uno para cada puerta de enlace de VPN de intercambio de tráfico.
En Trusted Cloud, el REDUNDANCY_TYPE para esta configuración toma el valor TWO_IPS_REDUNDANCY.
En el siguiente ejemplo, se proporciona un ANS de disponibilidad del 99.99%.
Conecta una puerta de enlace de VPN de intercambio de tráfico con dos direcciones IP
En esta topología, se describe una puerta de enlace de VPN con alta disponibilidad que se conecta a una puerta de enlace de VPN de intercambio de tráfico que tiene dos direcciones IP externas distintas. La puerta de enlace de VPN con alta disponibilidad usa dos túneles, uno para cada dirección IP externa de la puerta de enlace de VPN de intercambio de tráfico.
En Trusted Cloud, el REDUNDANCY_TYPE de esta configuración toma el valor TWO_IPS_REDUNDANCY.
En el siguiente ejemplo, se proporciona un ANS de disponibilidad del 99.99%.
Conecta una puerta de enlace de VPN de intercambio de tráfico con una dirección IP
En esta topología, se describe una puerta de enlace de VPN con alta disponibilidad que se conecta a una puerta de enlace de VPN de intercambio de tráfico que tiene una dirección IP externa. La puerta de enlace de VPN con alta disponibilidad usa dos túneles, ambos orientados a la única dirección IP externa en la puerta de enlace de VPN de intercambio de tráfico.
En Trusted Cloud, el REDUNDANCY_TYPE para esta configuración toma el valor SINGLE_IP_INTERNALLY_REDUNDANT.
En el siguiente ejemplo, se proporciona un ANS de disponibilidad del 99.99%.
Configura para obtener un ANS de disponibilidad del 99.99%
Para cumplir con el ANS de disponibilidad del 99.99% en el lado de Trusted Cloud , debe haber un túnel desde cada una de las dos interfaces en la puerta de enlace de VPN con alta disponibilidad hacia las interfaces correspondientes en la puerta de enlace de intercambio de tráfico.
Si la puerta de enlace de intercambio de tráfico tiene dos interfaces, la configuración de dos túneles, uno desde cada interfaz de intercambio de tráfico a cada interfaz de puerta de enlace de VPN con alta disponibilidad, cumple los requisitos del ANS de disponibilidad del 99.99%. No es necesaria una configuración de malla completa para cumplir el ANS de disponibilidad del 99.99% en el lado de Trusted Cloud . En este caso, una malla completa se define como dos túneles desde cada interfaz de VPN con alta disponibilidad a cada una de las dos interfaces en la puerta de enlace de intercambio de tráfico. Para confirmar si tu proveedor de VPN recomienda una configuración de malla completa, consulta la documentación de tu puerta de enlace de VPN de intercambio de tráfico (local) o comunícate con tu proveedor de VPN.
En la configuración con dos interfaces de intercambio de tráfico, los túneles de cada una de las siguientes interfaces en la puerta de enlace de VPN con alta disponibilidad coinciden con las interfaces correspondientes en la puerta de enlace de intercambio de tráfico o las puertas de enlace:
- VPN con alta disponibilidad de
interface 0para intercambiar tráficointerface 0 - VPN con alta disponibilidad de
interface 1para intercambiar tráficointerface 1
En los diagramas se muestran ejemplos de dos puertas de enlace de VPN de intercambio de tráfico, dos interfaces y una puerta de enlace de VPN de intercambio de tráfico, dos interfaces.
Si solo hay una interfaz de intercambio de tráfico en una puerta de enlace de intercambio de tráfico, cada túnel de cada interfaz de puerta de enlace de VPN con alta disponibilidad debe conectarse a la interfaz de intercambio de tráfico única. Consulta el diagrama de una puerta de enlace de VPN de intercambio de tráfico, una interfaz.
En el siguiente ejemplo, no se proporciona un ANS de disponibilidad del 99.99%:
- VPN con alta disponibilidad de
interface 0para intercambiar tráficointerface 0
Opciones de enrutamiento activo-activo y activo-pasivo para VPN con alta disponibilidad
Si un túnel de Cloud VPN falla, se reinicia de forma automática. Si un dispositivo VPN virtual completo falla, Cloud VPN crea una nueva instancia automáticamente con la misma configuración. La puerta de enlace nueva y el túnel se conectan de forma automática.
Los túneles VPN conectados a las puertas de enlace de VPN con alta disponibilidad deben usar el enrutamiento dinámico (BGP). Según el método de configuración de las prioridades de ruta para los túneles VPN con alta disponibilidad, puedes crear una configuración de enrutamiento activa-activa o activa.pasiva. Para ambas configuraciones de enrutamiento, los dos túneles VPN permanecen activos.
En la siguiente tabla, se comparan las funciones de una configuración de enrutamiento activa-activa o activa-pasiva.
| Atributo | Activa-activa | Activa-pasiva |
|---|---|---|
| Capacidad de procesamiento | La capacidad de procesamiento de agregada efectiva es la capacidad de procesamiento combinada de ambos túneles. | Después de reducir de dos túneles activos a uno, la capacidad de procesamiento general efectiva se reduce a la mitad, lo que puede dar como resultado una conectividad más lenta o la pérdida de paquetes. |
| Anuncio de ruta | La puerta de enlace de intercambio de tráfico anuncia las rutas de la red de intercambio de tráfico con valores idénticos de discriminante de salidas múltiples (MED) para cada túnel. El Cloud Router que administra los túneles de Cloud VPN los importa como rutas dinámicas personalizadas en tu red de VPC con prioridades idénticas. El tráfico de salida enviado a tu red de intercambio de tráfico usa el enrutamiento de múltiples rutas de igual costo (ECMP). El mismo Cloud Router usa prioridades idénticas para anunciar rutas a tu red de VPC. La puerta de enlace de intercambio de tráfico usa ECMP para usar estas rutas a fin de enviar tráfico de salida a Trusted Cloud. |
La puerta de enlace de intercambio de tráfico anuncia las rutas de la red de intercambio de tráfico con valores MED diferentes para cada túnel. El Cloud Router que administra los túneles de Cloud VPN los importa como rutas dinámicas personalizadas en tu red de VPC con prioridades diferentes. El tráfico de salida que se envía a tu red de intercambio de tráfico usa la ruta con mayor prioridad, siempre que el túnel asociado esté disponible. El mismo Cloud Router usa diferentes prioridades para cada túnel para anunciar rutas a tu red de VPC. La puerta de enlace de intercambio de tráfico solo puede usar el túnel con mayor prioridad para enviar tráfico a Trusted Cloud. |
| Conmutación por error | Si el túnel está en mal estado, por ejemplo, debido a que DPD está inactivo, Cloud Router retira las rutas aprendidas cuyos siguientes saltos son el túnel no disponible. Si se produce una sesión de BGP, Cloud Router quita las rutas aprendidas cuyos próximos saltos son el túnel no disponible, sin que el túnel esté en mal estado. Este proceso de extracción puede demorar de 40 a 60 segundos, durante el cual se espera una pérdida de paquetes. |
Si el túnel está en mal estado, por ejemplo, debido a que DPD está inactivo, Cloud Router retira las rutas aprendidas cuyos siguientes saltos son el túnel no disponible. Si se produce una sesión de BGP, Cloud Router quita las rutas aprendidas cuyos próximos saltos son el túnel no disponible, sin que el túnel esté en mal estado. Este proceso de extracción puede demorar de 40 a 60 segundos, durante el cual se espera una pérdida de paquetes. Usa un túnel a la vez como máximo para que el segundo túnel pueda controlar todo el ancho de banda de salida en caso de que el primero falle y necesite realizar una conmutación por error. |
Enrutamiento activo-pasivo en topologías de malla completa
Si Cloud Router recibe el mismo prefijo con diferentes valores MED a través de una interfaz determinada de Cloud VPN, el servicio solo importa la ruta con la prioridad más alta a la red de VPC. Las demás rutas inactivas no se pueden ver en la consola de Trusted Cloud ni a través de Google Cloud CLI. Si la ruta con la prioridad más alta deja de estar disponible, Cloud Router la retira y, luego, importa automáticamente la siguiente mejor ruta a la red de VPC.
Usa varios túneles o puertas de enlace
Según la configuración de la puerta de enlace de intercambio de tráfico, es posible crear rutas de modo que parte del tráfico recorra un túnel y parte recorra otro por prioridades de ruta (valores MED). De manera similar, puedes ajustar la prioridad de base que Cloud Router usa para compartir las rutas de red de VPC. En estas situaciones se demuestran posibles opciones de configuración de enrutamiento que no son activas-activas ni activas-pasivas en su totalidad.
Opción de enrutamiento recomendada
Cuando se usa una única puerta de enlace de VPN con alta disponibilidad, recomendamos usar una configuración de enrutamiento activa-pasiva. Con esta configuración la capacidad del ancho de banda observada en el momento de la operación normal del túnel coincide con la capacidad del ancho de banda observada durante la conmutación por error. Este tipo de configuración es más fácil de administrar, ya que el límite del ancho de banda observado se mantiene constante, excepto en la situación de varias puertas de enlace descrita antes.
Cuando se usan varias puertas de enlace de VPN con alta disponibilidad, recomendamos usar una configuración de enrutamiento activa-activa. Con esta configuración la capacidad del ancho de banda observada en el momento de la operación normal del túnel es el doble que la capacidad máxima del ancho de banda. Sin embargo, esta configuración subprovisiona de manera eficaz los túneles y puede provocar la caída del tráfico en caso de conmutación por error.
Conecta redes de VPC con puertas de enlace de VPN con alta disponibilidad
Puedes conectar dos redes de Trusted Cloud VPC con una puerta de enlace de VPN con alta disponibilidad en cada red.
Puedes conectar más de dos redes de VPC con el enrutamiento transitivo. Para lograr el enrutamiento transitivo, crea una red de VPC de concentrador y conecta tus otras redes de VPC a este concentrador con conexiones de VPN con alta disponibilidad individuales.
Conecta redes de VPC
Puedes conectar dos redes de VPC con una puerta de enlace de VPN con alta disponibilidad en cada red. Cada puerta de enlace de VPN con alta disponibilidad identifica a la otra puerta de enlace por su nombre.
En el siguiente ejemplo, se proporciona un ANS de disponibilidad del 99.99%.
Para establecer esta configuración, consulta la sección sobre cómo crear dos puertas de enlace de VPN con alta disponibilidad configuradas por completo que se conecten entre sí.
Configura para obtener un ANS de disponibilidad del 99.99%
Para garantizar un ANS de disponibilidad del 99.99%, configura cada puerta de enlace de VPN con alta disponibilidad con dos túneles para que se cumplan las siguientes dos condiciones:
Tunnel 0conectainterface 0en una puerta de enlace de VPN con alta disponibilidad coninterface 0en la otra puerta de enlace de VPN con alta disponibilidad.Tunnel 1conectainterface 1en una puerta de enlace de VPN con alta disponibilidad coninterface 1en la otra puerta de enlace de VPN con alta disponibilidad.
Conecta una puerta de enlace de VPN con alta disponibilidad a instancias de VM de Compute Engine
Con la VPN con alta disponibilidad, puedes establecer una conexión segura entre una puerta de enlace de VPN con alta disponibilidad y las instancias de VM de Compute Engine que funcionan como dispositivos virtuales de red con una implementación de IPsec. Esta topología proporciona un ANS de disponibilidad del 99.9% cuando se configura correctamente.
Conecta la puerta de enlace de VPN con alta disponibilidad a varias instancias de VM
En esta topología, una puerta de enlace de VPN con alta disponibilidad se conecta a dos instancias de VM de Compute Engine. La puerta de enlace de VPN con alta disponibilidad y las VMs están en dos redes de nube privada virtual diferentes. Las dos VMs se encuentran en diferentes zonas y cada una tiene una dirección IP externa. Las instancias de VM se comportan como puertas de enlace de VPN de intercambio de tráfico.
Esta topología es especialmente útil cuando deseas conectar una VPN con alta disponibilidad a una VM de dispositivo virtual de red de terceros alojada en una instancia de VM de Compute Engine. Por ejemplo, con esta topología, puedes actualizar una de las VMs de dispositivos virtuales de red sin tiempo de inactividad a la conexión de VPN.
En el diagrama, la puerta de enlace de VPN con alta disponibilidad se encuentra en una red de VPC llamada network-a y las dos VMs están en network-b. Ambas redes de VPC se encuentran en us-central1. La puerta de enlace de
VPN con alta disponibilidad en network-a se configura con las direcciones IP externas de cada una de
las VMs en network-b.
Te recomendamos que uses esta topología para mejorar la disponibilidad.
En el siguiente ejemplo, se proporciona un ANS de disponibilidad del 99.9%.
Para establecer esta configuración, consulta Conecta una VPN con alta disponibilidad a las VMs de Compute Engine.
Configura para obtener un ANS de disponibilidad del 99.9%
Para cumplir con el ANS del 99.9%, debe haber al menos dos túneles desde cada una de las dos interfaces en la puerta de enlace de VPN con alta disponibilidad a las interfaces correspondientes en cada una de las VMs. Te recomendamos que uses esta topología para obtener un SLA de mayor disponibilidad.
Dos túneles en cada una de las siguientes interfaces en la puerta de enlace de VPN con alta disponibilidad se conectan a las interfaces en la VM:
Tunnel 0deinterface 0aus-central1-vm-aen la zonaus-central1-aTunnel 1deinterface 1aus-central1-vm-aen la zonaus-central1-aTunnel 2deinterface 0aus-central1-vm-ben la zonaus-central1-bTunnel 3deinterface 1aus-central1-vm-ben la zonaus-central1-b
Conecta la puerta de enlace de VPN con alta disponibilidad de la VPN con alta disponibilidad a una sola instancia de VM
La VPN con alta disponibilidad te permite conectar una puerta de enlace de VPN con alta disponibilidad a una instancia de máquina virtual (VM) de Compute Engine que funciona como un dispositivo virtual de red y ejecuta una implementación de VPN con IPsec. La puerta de enlace de VPN con alta disponibilidad y la VM están en dos VPC diferentes. La VM tiene una dirección IP externa.
La disponibilidad general se determina a través del ANS de disponibilidad que se proporciona para una sola instancia de VM de familia de máquinas con optimización de memoria para Compute Engine. Para obtener más información, consulta Acuerdo de Nivel de Servicio (ANS) de Compute Engine.
Para establecer esta configuración, consulta Conecta una VPN con alta disponibilidad a las VMs de Compute Engine.
Configura para obtener un ANS de disponibilidad del 99.9%
Para cumplir con el ANS de disponibilidad del 99.9%, debe haber dos túneles desde cada una de las dos interfaces en la puerta de enlace de VPN con alta disponibilidad hacia la interfaz de la VM de Compute Engine.
Dos túneles en cada una de las siguientes interfaces en la puerta de enlace de VPN con alta disponibilidad se conectan a las interfaces en VM:
Tunnel 0deinterface 0aus-central1-vm-aen la zonaus-central1-aTunnel 1deinterface 1aus-central1-vm-aen la zonaus-central1-a
¿Qué sigue?
- Para usar situaciones de alta disponibilidad y alta capacidad de procesamiento o situaciones de varias subredes, consulta Configuración avanzada.
- Para ayudarte a resolver problemas comunes que podrías encontrar cuando uses Cloud Interconnect, consulta Solución de problemas.