Topologi VPN dengan Ketersediaan Tinggi (HA)

Dokumen ini menjelaskan topologi yang direkomendasikan dan Perjanjian Tingkat Layanan (SLA) ketersediaan yang sesuai untuk setiap topologi VPN dengan ketersediaan tinggi (HA). Untuk topologi VPN Klasik, lihat Topologi VPN Klasik. Untuk mengetahui informasi selengkapnya tentang Cloud VPN, termasuk kedua jenis VPN, lihat ringkasan Cloud VPN.

Untuk definisi dari istilah yang digunakan di halaman ini, lihat Istilah penting.

Ringkasan

VPN dengan ketersediaan tinggi (HA) mendukung salah satu topologi yang direkomendasikan berikut:

Konfigurasi ketersediaan tinggi untuk HA VPN

Tabel berikut menguraikan SLA ketersediaan yang ditawarkan oleh berbagai konfigurasi VPN dengan ketersediaan tinggi (HA):

Topologi Deskripsi SLA ketersediaan
Menghubungkan Trusted Cloud ke gateway VPN peer Menghubungkan gateway VPN dengan ketersediaan tinggi (HA) ke satu atau dua gateway VPN peer yang terpisah 99,99%
Menghubungkan jaringan VPC menggunakan gateway VPN dengan Ketersediaan Tinggi (HA) Hubungkan dua Trusted Cloud jaringan VPC menggunakan gateway VPN dengan ketersediaan tinggi (HA) di setiap jaringan. 99,99%
VPN dengan ketersediaan tinggi (HA) ke instance VM Compute Engine di beberapa zona Menghubungkan gateway VPN dengan ketersediaan tinggi (HA) ke instance VM Compute Engine dengan alamat IP eksternal 99,9%
VPN dengan ketersediaan tinggi (HA) ke satu instance VM Compute Engine Menghubungkan gateway VPN dengan ketersediaan tinggi (HA) hanya ke satu instance VM Compute Engine dengan alamat IP eksternal SLA ketersediaan ditentukan oleh SLA ketersediaan yang diberikan untuk instance VM tunggal dari kelompok mesin yang dioptimalkan untuk memori untuk Compute Engine. Untuk mengetahui informasi selengkapnya, lihat Perjanjian Tingkat Layanan (SLA) Compute Engine.

Untuk membantu memastikan SLA ketersediaan maksimum untuk koneksi VPN dengan ketersediaan tinggi (HA), sebaiknya konfigurasikan dua tunnel dari gateway VPN dengan ketersediaan tinggi (HA) ke gateway VPN peer atau ke gateway VPN dengan ketersediaan tinggi (HA) lainnya. Pastikan gateway VPN peer juga dikonfigurasi untuk menerima SLA ketersediaan yang sama.

Untuk mempertahankan konektivitas jika terjadi kegagalan pada salah satu tunnel, hubungkan semua antarmuka gateway VPN dengan ketersediaan tinggi (HA) ke semua antarmuka gateway peer atau gateway VPN dengan ketersediaan tinggi (HA) lainnya.

Hubungkan Trusted Cloud ke gateway VPN peer Anda

Terdapat tiga konfigurasi gateway peer yang umum digunakan untuk VPN dengan ketersediaan tinggi (HA):

  • Gateway VPN dengan ketersediaan tinggi (HA) ke dua gateway VPN peer yang terpisah, masing-masing dengan alamat IP sendiri
  • Gateway VPN dengan ketersediaan tinggi (HA) ke satu gateway VPN peer yang menggunakan dua alamat IP terpisah
  • Gateway VPN dengan ketersediaan tinggi (HA) ke satu gateway VPN peer yang menggunakan satu alamat IP

Untuk menyiapkan salah satu konfigurasi ini, lihat Membuat VPN dengan ketersediaan tinggi (HA) ke gateway VPN peer.

Jika Anda men-deploy gateway VPN dengan ketersediaan tinggi (HA) dengan jenis stack IPV6_ONLY atau IPV4_IPV6, maka tunnel VPN Anda dapat mendukung pertukaran traffic IPv6. IPv6 juga harus diaktifkan di sesi BGP yang Anda buat untuk tunnel VPN. Dalam skenario ini, Anda dapat menetapkan alamat IPv6 ke subnet lokal dan subnet VPC dalam topologi berikut ini. Untuk mengetahui informasi selengkapnya, lihat Dukungan IPv6.

Menghubungkan dua gateway VPN peer

Jika gateway sisi peer Anda berbasis hardware, memiliki gateway sisi peer kedua berarti menyediakan redundansi dan failover di sisi koneksi tersebut. Gateway fisik kedua memungkinkan Anda mengambil salah satu gateway offline untuk upgrade software atau pemeliharaan terjadwal lainnya. Gateway ini juga melindungi Anda jika terjadi kegagalan di salah satu gateway fisik.

Dalam topologi ini, satu gateway VPN dengan ketersediaan tinggi (HA) terhubung ke dua gateway VPN peer. Setiap gateway VPN peer memiliki satu antarmuka dan satu alamat IP eksternal. Gateway VPN dengan ketersediaan tinggi (HA) menggunakan dua tunnel, yakni satu tunnel untuk setiap gateway VPN peer.

Di Trusted Cloud, REDUNDANCY_TYPE untuk konfigurasi ini menggunakan nilai TWO_IPS_REDUNDANCY.

Contoh berikut memberikan SLA ketersediaan 99,99%.

VPN dengan ketersediaan tinggi (HA) ke dua gateway VPN peer (lokal).
VPN dengan ketersediaan tinggi (HA) ke dua gateway VPN peer (lokal) (klik untuk memperbesar)

Menghubungkan satu gateway VPN peer dengan dua alamat IP

Topologi ini menjelaskan satu gateway VPN dengan ketersediaan tinggi (HA) yang terhubung ke satu gateway VPN peer yang memiliki dua alamat IP eksternal terpisah. Gateway VPN dengan ketersediaan tinggi (HA) menggunakan dua tunnel, satu tunnel ke setiap alamat IP eksternal di gateway VPN peer.

Di Trusted Cloud, REDUNDANCY_TYPE untuk konfigurasi ini menggunakan nilai TWO_IPS_REDUNDANCY.

Contoh berikut memberikan SLA ketersediaan 99,99%.

VPN dengan ketersediaan tinggi (HA) ke satu gateway VPN peer (lokal) dengan dua alamat IP.
VPN dengan ketersediaan tinggi (HA) ke satu gateway VPN peer (lokal) dengan dua alamat IP (klik untuk memperbesar)

Menghubungkan satu gateway VPN peer dengan satu alamat IP

Topologi ini menjelaskan satu gateway VPN dengan ketersediaan tinggi (HA) yang terhubung ke satu gateway VPN peer yang memiliki satu alamat IP eksternal. Gateway VPN dengan ketersediaan tinggi (HA) menggunakan dua tunnel, kedua tunnel menuju ke alamat IP eksternal tunggal di gateway VPN peer.

Di Trusted Cloud, REDUNDANCY_TYPE untuk konfigurasi ini menggunakan nilai SINGLE_IP_INTERNALLY_REDUNDANT.

Contoh berikut memberikan SLA ketersediaan 99,99%.

VPN dengan ketersediaan tinggi (HA) ke satu gateway VPN peer (lokal) dengan satu alamat IP.
VPN dengan ketersediaan tinggi (HA) ke satu gateway VPN peer (lokal) dengan satu alamat IP (klik untuk memperbesar)

Mengonfigurasi untuk SLA ketersediaan 99,99%

Untuk memenuhi SLA ketersediaan 99,99% di sisi Trusted Cloud , harus ada tunnel dari masing-masing dua antarmuka di gateway VPN dengan ketersediaan tinggi (HA) ke antarmuka yang sesuai di gateway peer.

Jika gateway peer memiliki dua antarmuka, lalu mengonfigurasi dua tunnel, satu dari setiap antarmuka peer ke setiap antarmuka gateway VPN dengan ketersediaan tinggi (HA), berarti memenuhi persyaratan untuk SLA ketersediaan 99,99%. Konfigurasi mesh penuh tidak diperlukan untuk SLA ketersediaan 99,99% di sisi Trusted Cloud . Dalam hal ini, mesh penuh didefinisikan sebagai dua tunnel dari setiap antarmuka VPN dengan ketersediaan tinggi (HA) ke masing-masing dari dua antarmuka di gateway peer. Untuk mengonfirmasi apakah vendor VPN Anda merekomendasikan konfigurasi mesh penuh, lihat dokumentasi untuk gateway VPN peer (lokal) atau hubungi vendor VPN Anda.

Dalam konfigurasi dengan dua antarmuka peer, tunnel di setiap antarmuka berikut di gateway VPN dengan ketersediaan tinggi (HA) cocok dengan antarmuka yang sesuai di gateway peer atau gateway:

  • VPN dengan ketersediaan tinggi (HA) interface 0 ke peer interface 0
  • VPN dengan ketersediaan tinggi (HA) interface 1 ke peer interface 1

Contohnya ditunjukkan dalam diagram untuk dua gateway VPN peer, dua antarmuka dan satu gateway VPN peer, dua antarmuka.

Jika hanya ada satu antarmuka peer di satu gateway peer, setiap tunnel dari setiap antarmuka gateway VPN dengan ketersediaan tinggi (HA) harus terhubung ke antarmuka peer tunggal. Lihat diagram untuk satu gateway VPN peer, satu antarmuka.

Contoh berikut tidak memberikan SLA ketersediaan 99,99%:

  • VPN dengan ketersediaan tinggi (HA) interface 0 ke peer interface 0
Topologi yang tidak menyediakan ketersediaan tinggi.
Topologi yang tidak menyediakan ketersediaan tinggi (klik untuk memperbesar)

Opsi pemilihan rute aktif-aktif dan aktif-pasif untuk VPN dengan ketersediaan tinggi (HA)

Jika tunnel Cloud VPN tidak aktif, tunnel tersebut akan dimulai ulang secara otomatis. Jika seluruh perangkat VPN virtual gagal, Cloud VPN akan otomatis membuat instance baru dengan konfigurasi yang sama. Gateway dan tunnel baru terhubung secara otomatis.

Tunnel VPN yang terhubung ke gateway VPN dengan ketersediaan tinggi (HA) harus menggunakan perutean dinamis (BGP). Bergantung pada cara Anda mengonfigurasi prioritas rute untuk tunnel VPN dengan ketersediaan tinggi (HA), Anda dapat membuat konfigurasi perutean aktif-aktif atau aktif-pasif. Untuk kedua konfigurasi perutean ini, kedua tunnel VPN tetap aktif.

Tabel berikut membandingkan fitur konfigurasi perutean aktif-aktif atau aktif-pasif.

Fitur Aktif-aktif Aktif-pasif
Throughput Throughput agregat efektif adalah throughput gabungan dari kedua tunnel. Setelah dikurangi dari dua tunnel aktif menjadi satu, throughput keseluruhan yang efektif akan dikurangi menjadi setengahnya, yang dapat mengakibatkan konektivitas yang lebih lambat atau paket yang hilang.
Pemberitahuan rute

Gateway peer Anda mengiklankan rute jaringan peer dengan nilai multi-exit discriminator (MED) yang identik untuk setiap tunnel.

Cloud Router yang mengelola tunnel Cloud VPN mengimpor rute ini sebagai rute dinamis kustom di jaringan VPC Anda dengan prioritas yang sama.

Traffic keluar yang dikirim ke jaringan peer Anda menggunakan pemilihan rute multilokasi yang setara (ECMP.

Cloud Router yang sama menggunakan prioritas yang sama untuk mengiklankan rute ke jaringan VPC Anda.

Gateway peer Anda menggunakan ECMP untuk menggunakan rute ini guna mengirim traffic keluar ke Trusted Cloud.

Gateway peer Anda mengiklankan rute jaringan peer dengan nilai MED yang berbeda untuk setiap tunnel.

Cloud Router yang mengelola tunnel Cloud VPN mengimpor rute ini sebagai rute dinamis kustom di jaringan VPC Anda dengan prioritas yang berbeda.

Traffic keluar yang dikirim ke jaringan peer Anda akan menggunakan rute dengan prioritas tertinggi, selama tunnel terkait tersedia.

Cloud Router yang sama menggunakan prioritas yang berbeda untuk setiap tunnel untuk memberitahukan rute ke jaringan VPC Anda.

Gateway peer Anda hanya dapat menggunakan tunnel dengan prioritas tertinggi untuk mengirim traffic ke Trusted Cloud.
Failover

Jika tunnel menjadi tidak responsif—misalnya, karena DPD tidak aktif, Cloud Router akan menarik rute yang dipelajari yang hop berikutnya adalah tunnel yang tidak tersedia.

Jika sesi BGP tidak aktif, Cloud Router akan menghapus rute yang dipelajari yang hop berikutnya adalah tunnel yang tidak tersedia, tanpa menyebabkan tunnel menjadi tidak responsif.

Proses penarikan dapat memakan waktu 40-60 detik, dan selama itu diperkirakan paket hilang.

Jika tunnel menjadi tidak responsif—misalnya, karena DPD tidak aktif, Cloud Router akan menarik rute yang dipelajari yang hop berikutnya adalah tunnel yang tidak tersedia.

Jika sesi BGP tidak aktif, Cloud Router akan menghapus rute yang dipelajari yang hop berikutnya adalah tunnel yang tidak tersedia, tanpa menyebabkan tunnel menjadi tidak responsif.

Proses penarikan dapat memerlukan waktu 40-60 detik, dan selama itu diperkirakan paket hilang.

Menggunakan maksimum satu tunnel pada satu waktu sehingga tunnel kedua mampu menangani semua bandwidth keluar Anda jika tunnel pertama gagal dan perlu mengalami failover.

Perutean aktif-pasif di topologi mesh penuh

Jika menerima awalan yang sama dengan nilai MED yang berbeda melalui antarmuka Cloud VPN tertentu, Cloud Router hanya akan mengimpor rute dengan prioritas tertinggi ke jaringan VPC. Rute tidak aktif lainnya tidak terlihat di Trusted Cloud konsol atau melalui Google Cloud CLI. Jika rute dengan prioritas tertinggi menjadi tidak tersedia, Cloud Router akan menariknya dan otomatis mengimpor rute terbaik berikutnya ke jaringan VPC.

Menggunakan beberapa tunnel atau gateway

Bergantung pada konfigurasi gateway peer, Anda dapat membuat rute sehingga beberapa traffic melintasi satu tunnel dan traffic lainnya melintasi tunnel lain karena prioritas rute (nilai MED). Demikian pula, Anda dapat menyesuaikan prioritas dasar yang digunakan Cloud Router untuk membagikan rute jaringan VPC Anda. Situasi ini menunjukkan kemungkinan konfigurasi perutean yang tidak sepenuhnya aktif-aktif maupun aktif-pasif.

Saat menggunakan satu gateway VPN dengan ketersediaan tinggi (HA), sebaiknya gunakan konfigurasi perutean aktif-pasif. Dengan konfigurasi ini, kapasitas bandwidth yang diamati pada saat operasi tunnel normal akan sesuai dengan kapasitas bandwidth yang diamati selama failover. Jenis konfigurasi ini lebih mudah dikelola karena batas bandwidth yang diamati tetap konstan, kecuali untuk skenario multi-gateway yang dijelaskan sebelumnya.

Saat menggunakan beberapa gateway VPN dengan ketersediaan tinggi (HA), sebaiknya gunakan konfigurasi pemilihan rute aktif-aktif. Dengan konfigurasi ini, kapasitas bandwidth yang diamati pada saat operasi tunnel normal adalah dua kali lipat dari kapasitas bandwidth maksimum. Namun, konfigurasi ini secara efektif sesuai dengan penyediaan tunnel dan dapat menyebabkan penurunan traffic jika terjadi failover.

Menghubungkan jaringan VPC menggunakan gateway VPN dengan Ketersediaan Tinggi (HA)

Anda dapat menghubungkan dua jaringan VPC Trusted Cloud menggunakan gateway VPN dengan ketersediaan tinggi (HA) di setiap jaringan.

Anda dapat menghubungkan lebih dari dua jaringan VPC menggunakan perutean transitif. Untuk mencapai perutean transitif, buat jaringan VPC hub dan hubungkan jaringan VPC lainnya ke hub ini menggunakan koneksi VPN dengan ketersediaan tinggi (HA) individual.

Menghubungkan jaringan VPC

Anda dapat menghubungkan dua jaringan VPC bersama menggunakan gateway VPN dengan ketersediaan tinggi (HA) di setiap jaringan. Setiap gateway VPN dengan ketersediaan tinggi (HA) mengidentifikasi gateway lainnya berdasarkan namanya.

Contoh berikut memberikan SLA ketersediaan 99,99%.

Gateway VPN dengan ketersediaan tinggi (HA) antara jaringan Trusted Cloud .
Gateway VPN dengan ketersediaan tinggi (HA) di antara jaringan Trusted Cloud (klik untuk memperbesar)

Untuk menyiapkan konfigurasi ini, lihat Membuat dua gateway VPN dengan ketersediaan tinggi (HA) yang dikonfigurasi sepenuhnya yang terhubung satu sama lain.

Mengonfigurasi untuk SLA ketersediaan 99,99%

Untuk membantu memastikan SLA ketersediaan 99,99%, konfigurasi setiap gateway VPN dengan ketersediaan tinggi (HA) dengan dua tunnel sehingga kedua hal berikut berlaku:

  • Tunnel 0 menghubungkan interface 0 di satu gateway VPN dengan ketersediaan tinggi (HA) ke interface 0 di gateway VPN dengan ketersediaan tinggi (HA) lainnya.
  • Tunnel 1 menghubungkan interface 1 di satu gateway VPN dengan ketersediaan tinggi (HA) ke interface 1 di gateway VPN dengan ketersediaan tinggi (HA) lainnya.

Menghubungkan gateway VPN dengan ketersediaan tinggi (HA) ke instance VM Compute Engine

Dengan VPN HA, Anda dapat membuat koneksi yang aman antara gateway VPN HA dan instance VM Compute Engine yang berfungsi sebagai peralatan virtual jaringan dengan implementasi IPsec. Topologi ini memberikan SLA ketersediaan 99,9% jika dikonfigurasi dengan benar.

Menghubungkan gateway VPN dengan ketersediaan tinggi (HA) ke beberapa instance VM

Dalam topologi ini, gateway VPN dengan ketersediaan tinggi (HA) terhubung ke dua instance VM Compute Engine. Gateway VPN dengan ketersediaan tinggi (HA) dan VM berada di dua jaringan Virtual Private Cloud yang berbeda. Kedua VM berada di zona yang berbeda, dengan setiap VM memiliki alamat IP eksternal. Instance VM berperilaku seperti gateway VPN peer.

Topologi ini sangat berguna saat Anda ingin menghubungkan VPN dengan ketersediaan tinggi (HA) ke VM perangkat virtual jaringan pihak ketiga yang dihosting di instance VM Compute Engine. Misalnya, dengan menggunakan topologi ini, Anda dapat mengupgrade salah satu VM peralatan virtual jaringan tanpa menyebabkan gangguan pada koneksi VPN.

Dalam diagram, gateway VPN dengan ketersediaan tinggi (HA) berada di jaringan VPC bernama network-a, dan dua VM berada di network-b. Kedua jaringan VPC berada di us-central1. Gateway VPN dengan ketersediaan tinggi (HA) di network-a dikonfigurasi dengan alamat IP eksternal setiap VM di network-b. Sebaiknya gunakan topologi ini untuk meningkatkan ketersediaan.

Contoh berikut memberikan SLA ketersediaan 99,9%.

Topologi yang menghubungkan gateway VPN dengan ketersediaan tinggi (HA) ke dua instance VM Compute Engine dengan setiap VM berada di zona yang berbeda.
Topologi yang menghubungkan gateway VPN dengan ketersediaan tinggi (HA) ke dua instance VM Compute Engine dengan setiap VM berada di zona yang berbeda (klik untuk memperbesar)

Untuk menyiapkan konfigurasi ini, lihat Menghubungkan VPN dengan ketersediaan tinggi (HA) ke VM Compute Engine.

Mengonfigurasi untuk SLA ketersediaan 99,9%

Untuk memenuhi SLA 99,9%, harus ada minimal dua tunnel dari masing-masing dua antarmuka di gateway VPN dengan ketersediaan tinggi (HA) ke antarmuka yang sesuai di setiap VM. Sebaiknya gunakan topologi ini untuk mendapatkan SLA ketersediaan yang lebih tinggi.

Dua tunnel di setiap antarmuka berikut di gateway VPN dengan ketersediaan tinggi (HA) terhubung ke antarmuka di VM:

  • Tunnel 0 dari interface 0 hingga us-central1-vm-a di zona us-central1-a
  • Tunnel 1 dari interface 1 hingga us-central1-vm-a di zona us-central1-a
  • Tunnel 2 dari interface 0 hingga us-central1-vm-b di zona us-central1-b
  • Tunnel 3 dari interface 1 hingga us-central1-vm-b di zona us-central1-b

Menghubungkan VPN dengan ketersediaan tinggi (HA) gateway VPN dengan ketersediaan tinggi (HA) ke satu instance VM

Dengan HA VPN, Anda dapat menghubungkan gateway HA VPN ke instance virtual machine (VM) Compute Engine yang berfungsi sebagai perangkat virtual jaringan dan menjalankan penerapan VPN IPsec. Gateway VPN HA dan VM berada di dua VPC yang berbeda. VM memiliki alamat IP eksternal.

Ketersediaan keseluruhan ditentukan oleh SLA ketersediaan yang diberikan untuk satu instance VM dari kelompok mesin yang dioptimalkan untuk memori untuk Compute Engine. Untuk mengetahui informasi selengkapnya, lihat Perjanjian Tingkat Layanan (SLA) Compute Engine.

Topologi yang menghubungkan gateway VPN dengan ketersediaan tinggi (HA) ke VM Compute Engine.
Topologi yang menghubungkan gateway VPN dengan ketersediaan tinggi (HA) ke VM Compute Engine (klik untuk memperbesar)

Untuk menyiapkan konfigurasi ini, lihat Menghubungkan VPN dengan ketersediaan tinggi (HA) ke VM Compute Engine.

Mengonfigurasi untuk SLA ketersediaan 99,9%

Untuk memenuhi SLA ketersediaan 99,9%, harus ada dua tunnel dari masing-masing dua antarmuka di gateway VPN dengan ketersediaan tinggi (HA) ke antarmuka VM Compute Engine.

Dua tunnel di setiap antarmuka berikut di gateway VPN dengan ketersediaan tinggi (HA) terhubung ke antarmuka di VM:

  • Tunnel 0 dari interface 0 hingga us-central1-vm-a di zona us-central1-a
  • Tunnel 1 dari interface 1 hingga us-central1-vm-a di zona us-central1-a

Langkah berikutnya

  • Untuk menggunakan skenario ketersediaan tinggi dan throughput tinggi atau beberapa skenario subnet, lihat Konfigurasi lanjutan.
  • Untuk membantu memecahkan masalah umum yang mungkin Anda alami saat menggunakan Cloud VPN, lihat Pemecahan masalah.