יצירת שער VPN קלאסי באמצעות ניתוב סטטי

בדף הזה מוסבר איך להשתמש בניתוב סטטי כדי ליצור שער VPN קלאסי ומנהרה אחת. המנהרה הזו היא מנהרה מבוססת-מדיניות או מבוססת-ניתוב.

ב-VPN מבוסס-ניתוב, מציינים רק את בורר התנועה המרוחק. אם אתם צריכים לציין בורר תעבורת נתונים מקומי, צרו מנהרת Cloud VPN שמשתמשת בניתוב על סמך מדיניות במקום זאת.

רשת VPN קלאסית לא תומכת ב-IPv6.

מידע נוסף על Cloud VPN זמין במקורות המידע הבאים:

אפשרויות ניתוב

כשמשתמשים במסוף Cloud de Confiance כדי ליצור מנהרת מבוססת-מדיניות,‏ VPN קלאסי מבצע את המשימות הבאות:

  • הגדרת בורר התנועה המקומית של המנהרה לטווח כתובות ה-IP שאתם מציינים.
  • מגדיר את בורר התנועה המרוחק של המנהרה לטווחי כתובות ה-IP שציינתם בשדה Remote network IP ranges (טווחי כתובות IP של הרשת המרוחקת).
  • לכל טווח בטווח כתובות ה-IP של הרשת המרוחקת, Cloud de Confiance by S3NS נוצר נתיב סטטי מותאם אישית שהיעד (הקידומת) שלו הוא ה-CIDR של הטווח, והניתוב הבא שלו הוא המנהרה.

אחרי שיוצרים מנהרת VPN קלאסי מבוססת-מדיניות, טווחי כתובות ה-IP שהזנתם בשדה Remote network IP ranges מופיעים כAdvertised IP ranges בדף הפרטים של מנהרת ה-VPN.

כשמשתמשים במסוף Cloud de Confiance כדי ליצור מנהרת מבוססת-ניתוב, VPN קלאסי מבצע את המשימות הבאות:

  • מגדיר את בוררי התנועה המקומיים והמרוחקים של המנהרה לכל כתובת IP‏ (0.0.0.0/0).
  • לכל טווח בRemote network IP ranges, Cloud de Confiance יוצר מסלול סטטי מותאם אישית שהיעד (הקידומת) שלו הוא ה-CIDR של הטווח והניתוב הבא שלו הוא המנהרה.

כשמשתמשים ב-Google Cloud CLI כדי ליצור מנהרה מבוססת-מדיניות או מנהרה מבוססת-ניתוב, מגדירים את בוררי התעבורה של המנהרה באותו אופן. עם זאת, מכיוון שיצירת מסלולים סטטיים מותאמים אישית מתבצעת באמצעות פקודות נפרדות, יש לכם יותר שליטה על המסלולים האלה.

מספר ה-CIDR שאפשר לציין בבורר תנועה תלוי בגרסת ה-IKE.

למידע חשוב על הרקע, אפשר לעיין במאמרים הבאים:

לפני שמתחילים

כדי להקל על הגדרת Cloud VPN, מגדירים את הפריטים הבאים ב- Cloud de Confiance :

  1. In the Cloud de Confiance console, on the project selector page, select or create a Cloud de Confiance project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Cloud de Confiance project.

  3. התקינו את ה-CLI של Google Cloud.

  4. הגדירו שה-CLI של gcloud ישתמש בזהות המאוחדת שלכם.

    איך נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת?

  5. כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה: 

    gcloud init

  1. אם אתם משתמשים ב-Google Cloud CLI, מגדירים את מזהה הפרויקט באמצעות הפקודה הבאה. ההוראות בדף הזה מניחות שהגדרתם את מזהה הפרויקט לפני הפעלת הפקודות.gcloud

        gcloud config set project PROJECT_ID

  1. אפשר גם לראות מזהה פרויקט שכבר הוגדר באמצעות הפקודה הבאה:

        gcloud config list --format='text(core.project)'

יצירת רשת VPC ותת-רשת בהתאמה אישית

לפני שיוצרים שער ומנהרה של VPN קלאסי, צריך ליצור רשת VPC ולפחות תת-רשת אחת.

יצירת שער ומנהרה

המסוף

הגדרת השער

  1. נכנסים לדף VPN במסוף Cloud de Confiance .

    מעבר אל VPN

  2. אם אתם יוצרים שער בפעם הראשונה, לוחצים על יצירת חיבור VPN.

  3. בוחרים באפשרות אשף להגדרת VPN.

  4. לוחצים על לחצן האפשרות VPN קלאסי.

  5. לוחצים על Continue.

  6. בדף Create a VPN connection (יצירת חיבור VPN), מציינים את הגדרות השער הבאות:

    • שם: השם של שער ה-VPN. אי אפשר לשנות את השם הזה בהמשך.
    • תיאור: אפשר להוסיף תיאור.
    • רשת: מציינים רשת VPC קיימת שבה רוצים ליצור את שער ה-VPN ואת המנהרה.
    • אזור: שערי Cloud VPN ומנהרות הם אובייקטים אזוריים. בוחרים Cloud de Confiance אזור שבו ימוקם השער. מופעים ומשאבים אחרים באזורים שונים יכולים להשתמש במנהרה לתעבורת נתונים יוצאת (egress), בכפוף לסדר המסלולים. כדי להשיג את הביצועים הטובים ביותר, כדאי למקם את השער והמנהרה באותו אזור כמו המשאבים הרלוונטיים של Cloud de Confiance .
    • כתובת IP: יוצרים או בוחרים כתובת IP חיצונית אזורית קיימת.

הגדרת מנהרות

  1. בקטע Tunnels, מציינים את ההגדרות הבאות עבור המנהרה החדשה:

    • שם: השם של מנהרת ה-VPN. אי אפשר לשנות את השם הזה בהמשך.
    • תיאור: אפשר להקליד תיאור.
    • כתובת ה-IP של עמית מרוחק: מציינים את כתובת ה-IP החיצונית של שער ה-VPN של העמית.
    • גרסת IKE: בוחרים את גרסת IKE המתאימה שנתמכת על ידי שער ה-VPN של עמית. עדיף להשתמש ב-IKEv2 אם הוא נתמך על ידי מכשיר ה-peer.
    • מפתח ששותף מראש של IKE: מציינים מפתח ששותף מראש (סוד משותף) שמשמש לאימות. המפתח ששותף מראש למנהרת Cloud VPN צריך להיות זהה למפתח שבו השתמשתם כשקבעתם את ההגדרה של המנהרה המקבילה בשער ה-VPN של ה-peer. כדי ליצור מפתח חזק שמוגדר מראש, פועלים לפי ההוראות במאמר יצירת מפתח חזק שמוגדר מראש.

    למנהרות מבוססות-מדיניות

    1. בקטע אפשרויות ניתוב, בוחרים באפשרות מבוסס-מדיניות.

    2. בקטע Remote network IP ranges (טווחי כתובות IP של רשת מרוחקת), מזינים רשימה של טווחי כתובות IP שמופרדים ברווחים ומשמשים את רשת הפירינג. זהו בורר התעבורה המרוחק, או הצד הימני מנקודת המבט של Cloud VPN.

      אחרי שיוצרים מנהרת VPN קלאסי מבוססת-מדיניות, טווחי כתובות ה-IP שהזנתם בשדה Remote network IP ranges מופיעים כ-Advertised IP ranges בדף הפרטים של מנהרת ה-VPN.

    3. בקטע טווחים מקומיים של כתובות IP, בוחרים אחת מהשיטות הבאות:

      • כדי לבחור טווח כתובות IP מקומי קיים, משתמשים בתפריט Local subnetworks (רשתות משנה מקומיות).
      • כדי להזין רשימה של טווחי כתובות IP שמופרדים ברווחים ומשמשים ברשת ה-VPC, משתמשים בשדה Local IP ranges (טווחי כתובות IP מקומיות). שיקולים חשובים מפורטים במאמר מנהרות מבוססות-מדיניות ובוררי תנועה.

    למנהרות מבוססות-נתיב

    1. בקטע אפשרויות ניתוב, בוחרים באפשרות לפי מסלול.
    2. בקטע Remote network IP ranges (טווחי כתובות IP של רשת מרוחקת), מזינים רשימה של טווחי כתובות IP שמופרדים ברווחים ומשמשים את רשת הפירינג. הטווחים האלה משמשים ליצירת מסלולים סטטיים בהתאמה אישית, שהצעד הבא שלהם הוא מנהרת ה-VPN הזו.

  2. אופציונלי: בוחרים הגדרת הצפנה. בוחרים באפשרות Default (ברירת מחדל) כדי להשתמש בהגדרות אבטחה אוטומטיות ומומלצות, או באפשרות Custom (התאמה אישית) כדי להגדיר את הצפנים באופן ידני. הוראות להגדרת הצפנות מפורטות במאמר הגדרת הצפנות.

  3. אם צריך ליצור עוד מנהרות באותו שער, לוחצים על הוספת מנהרה וחוזרים על השלב הקודם. אפשר גם להוסיף עוד מנהרות בהמשך.

  4. לוחצים על יצירה.

הגדרת הצפנות

אפשר להגדיר הצפנות כשיוצרים מנהרות Cloud VPN. אם לא מגדירים הצפנה, המערכת משתמשת בערכי ברירת המחדל. כדי להגדיר הצפנות:

  1. עוברים לקטע בחירת הצפנה ל-VPN.
  2. לוחצים על בהתאמה אישית.

  3. מגדירים את הצפנים לשלב 1 של IKE.

    1. בשורה הצפנה לוחצים על .
    2. בקטע New Cipher, בוחרים את צופן ההצפנה.
    3. לוחצים על סיום.
    4. כדי להוסיף עוד צפנים, לוחצים על הוספת צופן, בוחרים את צופן ההצפנה ולוחצים על סיום.

  4. לוחצים על Save.

  5. באופן דומה, מגדירים את הפרטים הבאים:

    • שלמות: בשורה שלמות, לוחצים על , בוחרים צפנים ואז לוחצים על שמירה.
    • ‫PRF: בשורה PRF, לוחצים על , בוחרים צפנים ואז לוחצים על שמירה.
    • ‫Diffie-Hellman (DH): בשורה Diffie-Hellman (DH), לוחצים על , בוחרים צפנים ואז לוחצים על שמירה.

  6. לוחצים על Save.

  7. בקטע IKE Phase 2, מגדירים את האפשרויות הבאות:

    • ‫Encryption: בוחרים אלגוריתם הצפנה אחד או יותר.
    • שלמות: בוחרים אלגוריתם אחד או יותר של שלמות.
    • ‫PFS: בוחרים אלגוריתם PFS אחד או יותר.

  8. לוחצים על Save.

gcloud

כדי ליצור שער Cloud VPN, מריצים את רצף הפקודות הבא. בפקודות, מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט
  • ‫NETWORK: השם של Cloud de Confiance הרשת
  • ‫REGION: Cloud de Confianceהאזור שבו יוצרים את השער והמנהרה
  • ‫GW_NAME: השם של השער
  • ‫GW_IP_NAME: שם לכתובת ה-IP החיצונית שמשמשת את השער
  • אופציונלי: --target-vpn-gateway-region הוא האזור שבו שער ה-VPN הקלאסי פועל. הערך שלו צריך להיות זהה לערך של --region. אם לא מציינים את האפשרות הזו, היא מוגדרת אוטומטית. האפשרות הזו מבטלת את ערך ברירת המחדל של המאפיין compute/region עבור הפעלת הפקודה הזו.

הגדרת משאבי השער

  1. יוצרים את אובייקט שער ה-VPN של היעד:

    gcloud compute target-vpn-gateways create GW_NAME \
   --network=NETWORK \
   --region=REGION \
   --project=PROJECT_ID

  2. שמירת כתובת IP חיצונית אזורית (סטטית):

    gcloud compute addresses create GW_IP_NAME \
   --region=REGION \
   --project=PROJECT_ID

  3. רושמים את כתובת ה-IP (כדי שאפשר יהיה להשתמש בה כשמגדירים את שער ה-VPN של עמית):

    gcloud compute addresses describe GW_IP_NAME \
   --region=REGION \
   --project=PROJECT_ID \
   --format='flattened(address)'

  4. יוצרים שלושה כללי העברה. הכללים האלה מנחים אתCloud de Confiance לשלוח תעבורה של ESP ‏ (IPsec),‏ UDP 500 ו-UDP 4500 אל השער:

    gcloud compute forwarding-rules create fr-GW_NAME-esp \
   --load-balancing-scheme=EXTERNAL \
   --network-tier=PREMIUM \
   --ip-protocol=ESP \
   --address=GW_IP_NAME \
   --target-vpn-gateway=GW_NAME \
   --region=REGION \
   --project=PROJECT_ID

    gcloud compute forwarding-rules create fr-GW_NAME-udp500 \
   --load-balancing-scheme=EXTERNAL \
   --network-tier=PREMIUM \
   --ip-protocol=UDP \
   --ports=500 \
   --address=GW_IP_NAME \
   --target-vpn-gateway=GW_NAME \
   --region=REGION \
   --project=PROJECT_ID

    gcloud compute forwarding-rules create fr-GW_NAME-udp4500 \
   --load-balancing-scheme=EXTERNAL \
   --network-tier=PREMIUM \
   --ip-protocol=UDP \
   --ports=4500 \
   --address=GW_IP_NAME \
   --target-vpn-gateway=GW_NAME \
   --region=REGION \
   --project=PROJECT_ID

יצירת מנהרת Cloud VPN

  1. בפקודות, מחליפים את מה שכתוב בשדות הבאים:

    • ‫TUNNEL_NAME: שם למנהרה
    • ‫ON_PREM_IP: כתובת ה-IP החיצונית של שער ה-VPN של הרשת העמיתה
    • ‫IKE_VERS: 1 ל-IKEv1 או 2 ל-IKEv2
    • ‫SHARED_SECRET: המפתח ששותף מראש (סוד משותף). המפתח ששותף מראש למנהרת Cloud VPN צריך להיות זהה למפתח שבו השתמשתם כשקבעתם את ההגדרה של המנהרה המקבילה בשער ה-VPN של ה-peer. כדי ליצור מפתח משותף מראש עם הצפנה חזקה, פועלים לפי ההוראות במאמר יצירת מפתח משותף מראש עם הצפנה חזקה.
    • אלה פרמטרים אופציונליים להגדרת אלגוריתמים להצפנה. אם לא מציינים ערך, המערכת משתמשת בערכי ברירת המחדל.
      • ‫PH1_ENCRYPT_ALGRTHS: רשימה מופרדת בפסיקים של אלגוריתמי הצפנה שנתמכים במשא ומתן של שיוך אבטחה (SA) בשלב 1 של IKE. אפשר לציין את האלגוריתמים בסדר ההעדפה שלכם.
      • ‫PH1_INTEGRITY_ALGRTHS: רשימה מופרדת בפסיקים של אלגוריתמים שלמות שנתמכים במשא ומתן של IKE SA בשלב 1. אתם יכולים לפרט את האלגוריתמים לפי סדר העדיפות שלכם.
      • ‫PH1_PRF_ALGRTHS: רשימה מופרדת בפסיקים של אלגוריתמים של פונקציה פסאודו-אקראית (PRF) שנתמכים לניהול משא ומתן על SA של IKE בשלב 1. אתם יכולים לפרט את האלגוריתמים לפי סדר העדיפות שלכם.
      • ‫PH1_DH_GROUP: רשימה מופרדת בפסיקים של אלגוריתמים של Diffie-Hellman ‏ (DH) שנתמכים במשא ומתן של IKE SA בשלב 1. אתם יכולים לפרט את האלגוריתמים לפי סדר העדיפות שלכם.
      • ‫PH2_ENCRYPT_ALGRTHS: רשימה מופרדת בפסיקים של אלגוריתמי הצפנה שנתמכים במשא ומתן של IKE SA בשלב 2. אתם יכולים לפרט את האלגוריתמים לפי סדר העדיפות שלכם.
      • ‫PH2_INTEGRITY_ALGRTHS: רשימה מופרדת בפסיקים של אלגוריתמים שלמות שנתמכים במשא ומתן של שלב 2 של IKE SA. אתם יכולים לפרט את האלגוריתמים לפי סדר העדיפות שלכם.
      • ‫PH2_PFS_ALGRTHS: רשימה מופרדת בפסיקים של אלגוריתמי PFS שנתמכים במשא ומתן של שלב 2 של IKE SA. אתם יכולים לפרט את האלגוריתמים לפי סדר העדיפות שלכם.

    ל-VPN מבוסס-מדיניות:

    • ‫LOCAL_IP_RANGES: רשימה של טווחי IP מופרדת בפסיקים.Cloud de Confiance לדוגמה, אפשר לספק את בלוק ה-CIDR של כל רשת משנה ברשת VPC. זהו הצד השמאלי מנקודת המבט של Cloud VPN.
    • ‫REMOTE_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות ה-IP של הרשת העמיתה. זהו הצד הימני מנקודת המבט של Cloud VPN.

    כדי להגדיר מנהרת VPN שמבוססת על מדיניות, מריצים את הפקודה הבאה:

    gcloud compute vpn-tunnels create TUNNEL_NAME \
    --peer-address=ON_PREM_IP \
    --ike-version=IKE_VERS \
    --shared-secret=SHARED_SECRET \
    --local-traffic-selector=LOCAL_IP_RANGES \
    --remote-traffic-selector=REMOTE_IP_RANGES \
    --target-vpn-gateway=GW_NAME \
    --region=REGION \
    --project=PROJECT_ID

    ב-VPN מבוסס-ניתוב, גם בבוררי התנועה המקומיים וגם בבוררי התנועה המרוחקים, הערך הוא 0.0.0.0/0, כפי שמוגדר באפשרויות הניתוב ובבוררי התנועה.

    כדי להגדיר מנהרת VPN מבוססת-ניתוב, מריצים את הפקודה הבאה:

    gcloud compute vpn-tunnels create TUNNEL_NAME \
    --peer-address=ON_PREM_IP \
    --ike-version=IKE_VERS \
    --shared-secret=SHARED_SECRET \
    --local-traffic-selector=0.0.0.0/0 \
    --remote-traffic-selector=0.0.0.0/0 \
    --target-vpn-gateway=GW_NAME \
    --region=REGION \
    --project=PROJECT_ID

    אפשר גם להגדיר אלגוריתמים להצפנה למנהרות שמבוססות על מדיניות ולמנהרות שמבוססות על נתיב. לדוגמה, כדי להגדיר אלגוריתמים להצפנה למנהרה שמבוססת על מדיניות, מריצים את הפקודה הבאה:

    gcloud compute vpn-tunnels create TUNNEL_NAME \
    --peer-address=ON_PREM_IP \
    --ike-version=IKE_VERS \
    --shared-secret=SHARED_SECRET \
    --local-traffic-selector=LOCAL_IP_RANGES \
    --remote-traffic-selector=REMOTE_IP_RANGES \
    --target-vpn-gateway=GW_NAME \
    --region=REGION \
    --project=PROJECT_ID \
    --phase1-encryption=PH1_ENCRYPT_ALGRTHS \
    --phase1-integrity=PH1_INTEGRITY_ALGRTHS \
    --phase1-prf=PH1_PRF_ALGRTHS \
    --phase1-dh=PH1_DH_GROUP \
    --phase2-encryption=PH2_ENCRYPT_ALGRTHS \
    --phase2-integrity=PH2_INTEGRITY_ALGRTHS \
    --phase2-pfs=PH2_PFS_ALGRTHS

    מידע נוסף על אלגוריתמי ההצפנה שנתמכים על ידי Cloud VPN זמין במאמר הצפנות IKE נתמכות.

  2. יוצרים נתיב סטטי לכל טווח כתובות IP מרוחק שצוין באפשרות --remote-traffic-selector בשלב הקודם. חוזרים על הפקודה הזו לכל טווח כתובות IP מרוחק. מחליפים את ROUTE_NAME בשם ייחודי לנתיב, ואת REMOTE_IP_RANGE בטווח כתובות ה-IP המתאים של המארח המרוחק.

    gcloud compute routes create ROUTE_NAME \
    --destination-range=REMOTE_IP_RANGE \
    --next-hop-vpn-tunnel=TUNNEL_NAME \
    --network=NETWORK \
    --next-hop-vpn-tunnel-region=REGION \
    --project=PROJECT_ID

השלמת ההגדרה

לפני שמשתמשים בשער חדש של Cloud VPN ובמנהרת ה-VPN המשויכת אליו, צריך לבצע את השלבים הבאים:

  1. מגדירים את שער ה-VPN של העמית ומגדירים בו את המנהרה המתאימה. הוראות מפורטות זמינות במאמרים הבאים:
  2. הגדרת כללים לחומת האש ב- Cloud de Confiance וברשת העמיתים לפי הצורך.
  3. בדיקת הסטטוס של מנהרת ה-VPN וכללי ההעברה

  4. כדי לראות את נתיבי ה-VPN, עוברים לטבלת הניתוב של הפרויקט ומסננים לפי Next hop type:VPN tunnel:

    לדף Routes

המאמרים הבאים

  • כדי לשלוט בכתובות ה-IP שמותרות לשערי VPN של רשתות שכנות, אפשר לעיין במאמר בנושא הגבלת כתובות IP לשערי VPN של רשתות שכנות.
  • כדי להשתמש בתרחישים של זמינות גבוהה ושל תפוקה גבוהה, או בתרחישים של כמה רשתות משנה, אפשר לעיין במאמר בנושא הגדרות מתקדמות.
  • כדי לעזור לכם לפתור בעיות נפוצות שאתם עלולים להיתקל בהן כשאתם משתמשים ב-Cloud VPN, תוכלו לעיין במאמר בנושא פתרון בעיות.