הגדרת שער ה-VPN של העמית

בדף הזה מוסבר איך להשלים את הגדרת ה-VPN.

כדי להשלים את ההגדרה, צריך להגדיר את המשאבים הבאים בשער ה-VPN של העמית:

• מנהרות VPN תואמות ל-Cloud VPN
• סשנים של Border Gateway Protocol ‏ (BGP) אם משתמשים בניתוח דינמי עם Cloud Router
• כללי חומת אש
• הגדרות IKE

לשיטות מומלצות להגדרת שער עמיתים, אפשר לעיין במסמכי התיעוד של שער העמיתים או לפנות ליצרן. במאמר שימוש ברשתות VPN של צד שלישי יש מדריכים שמתארים חלק מהמכשירים והשירותים של צד שלישי שנתמכים. בנוסף, אפשר להוריד תבניות מסוימות להגדרת מכשירים של צד שלישי מהמסוף של Cloud de Confiance . מידע נוסף זמין במאמר הורדת תבנית הגדרת VPN של עמית.

מידע נוסף על Cloud VPN זמין במקורות המידע הבאים:

• לפני שמגדירים Cloud VPN, כדאי לעיין בשיטות המומלצות.

• מידע נוסף על Cloud VPN זמין בסקירה הכללית על Cloud VPN.

• הגדרות של המונחים שמופיעים בדף הזה מפורטות בקטע מונחים מרכזיים.

הגדרת משאבי שער VPN חיצוניים של עמיתים ל-HA VPN

ב-HA VPN, מגדירים משאב של שער VPN חיצוני עמית שמייצג את שער העמית הפיזי ב- Cloud de Confiance by S3NS. אפשר גם ליצור את המשאב הזה כמשאב עצמאי ולהשתמש בו בהמשך.

כדי ליצור משאב חיצוני של שער VPN עמית, צריך את הערכים הבאים משער עמית פיזי, שיכול להיות גם שער מבוסס תוכנה של צד שלישי. כדי שחיבור ה-VPN יתבסס, הערכים של משאב שער ה-VPN של עמית חיצוני צריכים להיות זהים להגדרה בשער העמית הפיזי:

• מספר הממשקים בשער ה-VPN הפיזי
• כתובת או כתובות IP חיצוניות של שערים או ממשקים של עמיתים
• כתובות IP של נקודות קצה של BGP
• המפתח ששותף מראש (סוד לשימוש עם טוקן צרכן) של IKE
• מספר ה-ASN

כשמגדירים את סשני ה-BGP עבור HA VPN ומפעילים IPv6, אפשר להגדיר כתובות IPv6 של הנתב הבא. אם לא מגדירים אותן באופן ידני, Cloud de Confiance מקצה באופן אוטומטי את כתובות ה-IPv6 האלה של הצעד הבא.

כדי לאפשר תנועה של IPv4 ו-IPv6 (dual-stack) במנהרות HA VPN, צריך לקבל את כתובת ה-IPv6 של הצעד הבא שהוקצתה לעמית BGP. לאחר מכן, צריך להגדיר את כתובת ה-IPv6 של הניתוב הבא כשמגדירים את מנהרות ה-VPN במכשיר ה-VPN של העמית. למרות שמגדירים כתובות IPv6 בממשקי המנהרות של כל מכשיר, הכתובות האלה משמשות רק להגדרת הצעד הבא של IPv6. מסלולי IPv6 מפורסמים דרך IPv6 NLRI על IPv4 BGP peering. דוגמאות להגדרות של כתובת הצעד הבא ב-IPv6 מופיעות במאמר הגדרה של רשתות VPN של צד שלישי לתעבורת IPv4 ו-IPv6.

כדי ליצור משאב עצמאי של שער VPN חיצוני עמית, מבצעים את השלבים הבאים.

gcloud compute external-vpn-gateways create mygateway \
  --interfaces 0=35.254.128.120,1=35.254.128.121

Creating external VPN gateway...done.
NAME       REDUNDANCY_TYPE
mygateway  TWO_IPS_REDUNDANCY

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/externalVpnGateways
  {
    "name": "mygateway",
    "interfaces": [
      {
        "id": 0,
        "ipAddress": "35.254.128.120"
      },
      {
        "id": 1,
        "ipAddress": "35.254.128.121"
      },
    ],
    "redundancyType": "TWO_IPS_REDUNDANCY"
  }

הגדרת מנהרות VPN

כדי ליצור מנהרות תואמות לכל מנהרת Cloud VPN שיצרתם, אפשר לעיין במסמכי התיעוד של שער ה-VPN השכן.

ב-HA VPN, מגדירים שתי מנהרות בשער העמית. מנהרה אחת בשער השכן צריכה להתאים למנהרת Cloud VPN ב-interface 0. מנהרה נוספת בשער השכן צריכה להתאים למנהרת Cloud VPN ב-interface 1.

כל מנהרה בשער השכן צריכה להשתמש גם בכתובת IP חיצונית ייחודית כדי ששער ה-HA VPN יוכל להשתמש בה.

הגדרת סשנים של BGP לניתוב דינמי

במקרה של ניתוב דינמי בלבד, מגדירים את שער ה-VPN של הרשת השכנה כך שיתמוך בסשנים של BGP עבור רשתות המשנה של הרשת השכנה שרוצים לפרסם ב-Cloud Router.

כדי להגדיר את שער ה-VPN של העמית, משתמשים במספרי מערכות אוטונומיות (ASN) ובכתובות ה-IP של Cloud Router ובמידע משער ה-VPN של Cloud. כדי לקבל את מספר ה-ASN של Google, את מספרי ה-ASN של רשתות עמיתות שהוגדרו ואת כתובות ה-IP של BGP, משתמשים בסיכום המידע של Cloud Router.

אם אתם מגדירים HA VPN כדי לאפשר תעבורת IPv4 ו-IPv6 (dual-stack), אתם צריכים להגדיר את שער ה-VPN של ה-BGP עם כתובת ה-IPv6 של הנתב הבא שהוקצתה ל-BGP peer.

ב-HA VPN, מספר ה-ASN של Google – שהוא מספר ה-ASN של שער ה-VPN השכן מנקודת המבט של שער ה-VPN השכן שלכם – זהה בשתי המנהרות.

אפשר גם להגדיר את סשני ה-BGP לשימוש באימות MD5.

הגדרת כללים לחומת אש

בחיבורי HA VPN שמשתמשים ב-IPv6, צריך להגדיר את חומות האש כך שיאפשרו תעבורת IPv6.

הוראות להגדרת כללים של חומת אש עבור רשת עמיתים מופיעות במאמר הגדרת כללים של חומת אש.

הגדרת IKE

אתם יכולים להגדיר IKE בשער ה-VPN של עמיתים לניתוב דינמי, לניתוב מבוסס-מסלול ולניתוב על סמך מדיניות.

מנהרות HA VPN חייבות להשתמש ב-IKE v2 כדי לתמוך בתנועת IPv6.

כדי להגדיר את שער ה-VPN ואת המנהרה של עמית ה-IKE, משתמשים בפרמטרים שבטבלה הבאה.

מידע על חיבור Cloud VPN לפתרונות VPN מסוימים של צד שלישי זמין במאמר בנושא שימוש ב-VPN של צד שלישי עם Cloud VPN. מידע על הגדרות הצפנה ואימות של IPsec זמין במאמר בנושא הצפנות IKE נתמכות.

לפרוטוקולים IKEv1 ו-IKEv2

פרמטרים נוספים ל-IKEv1 בלבד

הגדרת בוררי תנועה

כדי לתמוך בתנועה של IPv4 ו-IPv6, צריך להגדיר את בוררי התנועה בשער ה-VPN של העמית ל-0.0.0.0/0,::/0.

כדי לתמוך רק בתנועת נתונים ב-IPv4, מגדירים את בוררי התנועה בשער ה-VPN של העמית ל-0.0.0.0/0.

המאמרים הבאים

• כדי להוריד תבנית הגדרה למכשיר ה-VPN של עמית, אפשר לעיין במאמר בנושא הורדה של תבנית הגדרה של VPN של עמית.
• הוראות להגדרת כללים של חומת אש עבור רשת שכנה מפורטות במאמר הגדרת כללים של חומת אש.
• כדי להשתמש בתרחישים של זמינות גבוהה ושל תפוקה גבוהה, או בתרחישים של כמה רשתות משנה, אפשר לעיין במאמר בנושא הגדרות מתקדמות.
• כדי לעזור לכם לפתור בעיות נפוצות שאתם עלולים להיתקל בהן כשאתם משתמשים ב-Cloud VPN, תוכלו לעיין במאמר בנושא פתרון בעיות.