יצירת חיבור Classic VPN לאתר מרוחק

המסוף

1. עוברים לדף שמירת כתובת סטטית.

   איך מזמינים כתובת סטטית

2. בוחרים שם לכתובת החדשה.

3. מציינים אם זו כתובת IPv4 או IPv6. כתובות IPv6 יכולות להיות גלובליות בלבד, ואפשר להשתמש בהן רק עם איזוני עומסים גלובליים.

4. מציינים אם כתובת ה-IP הזו היא אזורית או גלובלית. אם אתם שומרים כתובת IP סטטית למכונה וירטואלית או למאזן עומסים אזורי, בוחרים באפשרות אזורי. אם אתם מזמינים כתובת IP סטטית למאזן עומסים גלובלי, בוחרים באפשרות Global.

5. אם זו כתובת IP אזורית, בוחרים את האזור שבו רוצים ליצור את הכתובת.

6. אופציונלי: בוחרים משאב לצירוף לכתובת ה-IP.

7. לוחצים על שמירה כדי לשמור את כתובת ה-IP.

gcloud

כדי לשמור כתובת IP חיצונית סטטית באמצעות gcloud compute, משתמשים בפקודה compute addresses create.

כדי לשמור כתובת IP גלובלית, משתמשים בשדות --global ו--ip-version. בשדה --ip-version, מציינים IPV4 או IPV6. כתובות IPv6 יכולות להיות גלובליות בלבד, ואפשר להשתמש בהן רק עם מאזני עומסים גלובליים.

מחליפים את ADDRESS_NAME בשם של הכתובת.

gcloud compute addresses create ADDRESS_NAME \
    --global \
    --ip-version [IPV4 | IPV6]

כדי לשמור כתובת IP אזורית, משתמשים בשדה --region:

gcloud compute addresses create ADDRESS_NAME  \
    --region=REGION

מחליפים את מה שכתוב בשדות הבאים:

• ‫ADDRESS_NAME: השם של הכתובת.
• ‫REGION: האזור שבו רוצים לשריין את הכתובת הזו. האזור הזה צריך להיות זהה לאזור של המשאב שאליו מוקצית כתובת ה-IP. כל כתובות ה-IP האזוריות הן IPv4.

משתמשים בפקודה compute addresses describe כדי לראות את התוצאה:

gcloud compute addresses describe ADDRESS_NAME

API

כדי ליצור כתובת IPv4 אזורית, קוראים לשיטה האזורית addresses.insert:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

גוף הבקשה צריך לכלול את הפרטים הבאים:

{
  "name": "ADDRESS_NAME"
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫ADDRESS_NAME: השם של הכתובת
• ‫REGION: שם האזור של הבקשה
• ‫PROJECT_ID: מזהה הפרויקט של הבקשה הזו

כדי להקצות כתובות IPv4 סטטיות גלובליות, קוראים ל-globalAddresses.insert:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

גוף הבקשה צריך לכלול את הפרטים הבאים:

{
  "name": "ADDRESS_NAME"
}

כדי להקצות כתובות IPv6 סטטיות גלובליות, קוראים ל-method‏ globalAddresses.insert:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

גוף הבקשה צריך לכלול את הפרטים הבאים:

{
  "name": "ADDRESS_NAME",
  "ipVersion": "IPV6"
}

כדי לראות את התוצאה, משתמשים ב-‎addresses.get method.

Terraform

אתם יכולים להשתמש במודול של Terraform כדי ליצור כתובת IP חיצונית.

בדוגמה הבאה, הארגומנטים של Terraform כוללים ערכים לדוגמה שאפשר לשנות. בדוגמה הזו נוצרות שלוש כתובות IPv4 חיצוניות אזוריות.

module "address" {
  source       = "terraform-google-modules/address/google"
  version      = "~> 4.0"
  project_id   = var.project_id # Replace this with your service project ID in quotes
  region       = "europe-west1"
  address_type = "EXTERNAL"
  names = [
    "regional-external-ip-address-1",
    "regional-external-ip-address-2",
    "regional-external-ip-address-3"
  ]
}

בדוגמה הבאה נוצרת כתובת IPv6 חיצונית גלובלית:

resource "google_compute_global_address" "default" {
  project      = var.project_id # Replace this with your service project ID in quotes
  name         = "ipv6-address"
  address_type = "EXTERNAL"
  ip_version   = "IPV6"
}

המסוף

1. נכנסים לדף VM instances.
   לדף VM instances
2. לוחצים על Create instance.
3. בקטע דיסק אתחול, מוודאים שבחרתם תמונת Linux. לדוגמה, Debian GNU/Linux.
4. לוחצים על Networking, Disks, Security, Management, Sole-tenancy (רשת, דיסקים, אבטחה, ניהול, דיירות יחידה).
5. לוחצים על Networking.
6. בקטע IP forwarding (העברת כתובות IP), בוחרים באפשרות Enable (הפעלה).
7. מציינים פרמטרים אחרים של המופע.
8. לוחצים על יצירה.

gcloud

כשיוצרים מכונה באמצעות gcloud, מוסיפים את הדגל --can-ip-forward לפקודה:

gcloud compute instances create ... --can-ip-forward

API

כשיוצרים מכונה, משתמשים בשדה canIpForward כדי להפעיל העברת IP.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances
{
  "canIpForward": true,
  ...other fields
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט שבו נוצרה המכונה.
• ‫ZONE: Cloud de Confiance האזור שבו נוצרה המכונה.

מידע נוסף זמין במאמר בנושא השיטה instances.insert.

Terraform

אתם יכולים להשתמש במשאב של Terraform כדי ליצור מכונה וירטואלית עם הפעלת העברת IP.

בדוגמה הזו, הארגומנטים של Terraform קיבלו ערכים שאפשר לשנות.

resource "google_compute_instance" "default" {
  project      = var.project_id # Replace this with your project ID in quotes
  zone         = "southamerica-east1-b"
  name         = "instance-next-hop"
  machine_type = "e2-medium"
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }
  network_interface {
    network = "default"
  }
  can_ip_forward = true
}

המסוף

1. נכנסים לדף Routes במסוף Cloud de Confiance .
   לדף Routes
2. לוחצים על יצירת מסלול.
3. מציינים שם ותיאור לנתיב.
4. בוחרים רשת קיימת שבה המסלול יחול.
5. מציינים טווח כתובות IP של יעד כדי להגדיר את היעד של המסלול.
6. מציינים עדיפות למסלול. העדיפות משמשת רק כדי לקבוע את סדר הניתוב אם למסלולים יש יעדים שווים. פרטים נוספים זמינים במאמר בנושא פרמטרים של נתיבים.
7. כדי שהניתוב יחול רק על מופעים עם תגי רשת תואמים, מציינים את התגים האלה בשדה Instance tags (תגי מופע). משאירים את השדה ריק כדי שהמסלול יחול על כל המופעים ברשת, או אם בוחרים במאזן עומסים פנימי מסוג TCP/UDP כנקודת הקפיצה הבאה של המסלול. תגי רשת לא חלים על מסלולים שבהם מאזן עומסים פנימי מסוג TCP/UDP מוגדר כצעד הבא.

8. בוחרים Next hop (הניתוב הבא) למסלול:

   • ציון מכונה מאפשר לכם לבחור מכונה לפי שם. התנועה תנותב למכונה הזו (או לכל מכונה חלופית עם אותו שם באותו אזור), גם אם כתובת ה-IP שלה משתנה.
   • הגדרה של כתובת IP מאפשרת להזין כתובת IP של מכונה קיימת ברשת ה-VPC. במאמר הצעדים הבאים והתכונות מפורטות הגבלות חשובות על כתובות IP תקפות של הצעד הבא.

9. לוחצים על יצירה.

gcloud

יוצרים נתיב סטטי חדש:

gcloud compute routes create ROUTE_NAME \
    --destination-range=DESTINATION_RANGE \
    --network=NETWORK \
    NEXT_HOP_SPECIFICATION

מחליפים את ערכי הפלייסהולדר:

• ‫ROUTE_NAME הוא שם המסלול.
• ‫DESTINATION_RANGE מייצג את כתובות ה-IP של היעד שאליהן המסלול הזה יחול. היעד הרחב ביותר האפשרי הוא 0.0.0.0/0.
• ‫NETWORK הוא השם של רשת ה-VPC שתכיל את המסלול.
• ‫NEXT_HOP_SPECIFICATION מייצג את הצעד הבא במסלול הסטטי. צריך לציין רק אחת מהאפשרויות הבאות כצעד הבא. מידע נוסף על הסוגים השונים של נקודות מעבר זמינות במאמר נקודות מעבר ותכונות.
  • ‫--next-hop-instance=INSTANCE_NAME ו---next-hop-instance-zone=ZONE: משתמשים בצעד הבא הזה כדי להפנות תנועה למכונה וירטואלית קיימת לפי שם ואזור. תעבורת הנתונים נשלחת לכתובת ה-IP הפנימית הראשית של ממשק הרשת של מכונת ה-VM, שנמצאת באותה רשת כמו המסלול.
  • ‫--next-hop-address=ADDRESS: משתמשים בניתוב הבא הזה כדי להפנות תנועה לכתובת ה-IP של מופע קיים של מכונה וירטואלית.

כדי שהניתוב הסטטי יחול רק על מכונות וירטואליות נבחרות לפי תג רשת, מוסיפים את הדגל --tags ומציינים תג רשת אחד או יותר. מידע נוסף על אופן הפעולה של תגי רשת ומסלולים סטטיים זמין במאמר בנושא מסלולים רלוונטיים. אפשר להשתמש בתגים עם כל נתיב סטטי.

מידע נוסף על התחביר של gcloud זמין במסמכי התיעוד של ה-SDK.

API

יוצרים נתיב סטטי חדש.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/routes
{
  "destRange": "DESTINATION_RANGE",
  "name": "ROUTE_NAME",
  "network": "NETWORK_NAME",
  "priority": PRIORITY,
  "NEXT_HOP_SPECIFICATION": VALUE
}

מחליפים את ערכי הפלייסהולדר:

• ‫PROJECT_ID הוא מזהה הפרויקט שבו נוצר המסלול.
• ‫DESTINATION_RANGE מייצג את כתובות ה-IP של היעד שאליהן המסלול הזה יחול. היעד הרחב ביותר האפשרי הוא 0.0.0.0/0.
• ROUTE_NAME שם לנתיב.
• ‫NETWORK_NAME הוא השם של רשת ה-VPC שתכיל את המסלול.
• ה-VALUE של NEXT_HOP_SPECIFICATION מייצג את הצעד הבא במסלול הסטטי. בשדה NEXT_HOP_SPECIFICATION, צריך לציין רק אחד מהשדות הבאים של הניתוב הבא: nextHopIp,‏ nextHopInstance. מידע נוסף על הסוגים השונים של הניתובים הבאים והתכונות זמין במאמר ניתובים הבאים ותכונות.

מידע נוסף זמין במאמר על השיטה routes.insert.

Terraform

אפשר ליצור נתיב סטטי באמצעות מודול של Terraform.

המסלול הסטטי הזה יוצר מסלול ברירת מחדל לאינטרנט.

module "google_compute_route" {
  source       = "../../modules/routes" #adding local path
  project_id   = var.project_id         # Replace this with your project ID in quotes
  network_name = "default"

  routes = [
    {
      name              = "egress-internet"
      description       = "route through IGW to access internet"
      destination_range = "0.0.0.0/0"
      tags              = ["egress-inet"]
      next_hop_internet = true
    }
  ]
}

המסוף

הגדרת השער

1. נכנסים לדף VPN במסוף Cloud de Confiance .

   מעבר אל VPN

2. אם אתם יוצרים שער בפעם הראשונה, לוחצים על יצירת חיבור VPN.

3. בוחרים באפשרות אשף הגדרת ה-VPN.

4. לוחצים על לחצן האפשרות VPN קלאסי.

5. לוחצים על Continue.

6. בדף Create a VPN connection (יצירת חיבור VPN), מציינים את הגדרות השער הבאות:

   • שם: השם של שער ה-VPN. אי אפשר לשנות את השם הזה בהמשך.
   • תיאור: אפשר להוסיף תיאור.
   • רשת: מציינים רשת VPC קיימת שבה רוצים ליצור את שער ה-VPN ואת המנהרה.
   • אזור: שערי Cloud VPN ומנהרות הם אובייקטים אזוריים. בוחרים Cloud de Confianceאזור שבו ימוקם השער. מופעים ומשאבים אחרים באזורים שונים יכולים להשתמש במנהרה לתעבורת נתונים יוצאת (egress), בכפוף לסדר המסלולים. כדי להשיג את הביצועים הטובים ביותר, כדאי למקם את השער והמנהרה באותו אזור כמו המשאבים הרלוונטיים של Cloud de Confiance .
   • כתובת IP: יוצרים או בוחרים כתובת IP חיצונית אזורית קיימת.

הגדרת מנהרות

1. בקטע Tunnels, מציינים את ההגדרות הבאות למנהרה החדשה:

   • שם: השם של מנהרת ה-VPN. אי אפשר לשנות את השם הזה בהמשך.
   • תיאור: אם רוצים, מקלידים תיאור.
   • כתובת ה-IP של עמית מרוחק: מציינים את כתובת ה-IP החיצונית של שער ה-VPN של העמית.
   • גרסת IKE: בוחרים את גרסת IKE המתאימה שנתמכת על ידי שער ה-VPN של העמית. עדיף להשתמש ב-IKEv2 אם הוא נתמך על ידי מכשיר ה-peer.
   • מפתח ששותף מראש של IKE: מציינים מפתח ששותף מראש (סוד משותף) שמשמש לאימות. המפתח ששותף מראש למנהרת Cloud VPN צריך להיות זהה למפתח שבו השתמשתם כשקבעתם את ההגדרה של המנהרה המקבילה בשער ה-VPN של ה-peer. כדי ליצור מפתח משותף חזק מבחינה קריפטוגרפית, פועלים לפי ההוראות האלה.
   • בחירת מנהרות מבוססות-מדיניות
   • בקטע אפשרויות ניתוב, בוחרים באפשרות מבוסס מדיניות.
   • בקטע Remote network IP ranges (טווח כתובות ה-IP של הרשת המרוחקת), מזינים רשימה של טווחי כתובות ה-IP שמשמשים את התעבורה המקומית בהגדרת ה-VPN המקומי, כשהם מופרדים באמצעות רווחים.
   • בשדה Local IP ranges (טווחים של כתובות IP מקומיות), מזינים את טווח הכתובות של כתובות ה-IP החיצוניות שיצרתם קודם עם קידומת של רשת משנה /32.
   • לוחצים על סיום.
   • לוחצים על יצירה.

gcloud

כדי ליצור שער Cloud VPN, מריצים את רצף הפקודות הבא. בפקודות, מחליפים את הערכים הבאים:

• ‫PROJECT_ID: מזהה הפרויקט
• ‫NETWORK: השם של Cloud de Confiance הרשת
• ‫REGION: Cloud de Confianceהאזור שבו יוצרים את השער והמנהרה
• ‫GW_NAME: השם של השער
• ‫GW_IP_NAME: שם לכתובת ה-IP החיצונית שמשמשת את השער
• אופציונלי: --target-vpn-gateway-region הוא האזור של שער ה-VPN הקלאסי שבו רוצים לפעול. הערך שלו צריך להיות זהה לערך של --region. אם לא מציינים את האפשרות הזו, היא מוגדרת אוטומטית. האפשרות הזו מבטלת את ערך ברירת המחדל של המאפיין compute/region עבור הפעלת הפקודה הזו.

הגדרת משאבי השער

1. יוצרים את אובייקט שער ה-VPN של היעד:

   gcloud compute target-vpn-gateways create GW_NAME \
      --network=NETWORK \
      --region=REGION \
      --project=PROJECT_ID
   

2. שמירת כתובת IP חיצונית אזורית (סטטית):

   gcloud compute addresses create GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

3. רושמים את כתובת ה-IP (כדי שאפשר יהיה להשתמש בה כשמגדירים את שער ה-VPN של עמית):

   gcloud compute addresses describe GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID \
      --format='flattened(address)'
   

4. יוצרים שלושה כללי העברה. הכללים האלה מנחים אתCloud de Confiance לשלוח תעבורת נתונים מסוג ESP ‏ (IPsec),‏ UDP 500 ו-UDP 4500 אל השער:

   gcloud compute forwarding-rules create fr-GW_NAME-esp \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=ESP \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp4500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=4500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

יצירת מנהרת Cloud VPN

1. בפקודות, מחליפים את הערכים הבאים:

   • ‫TUNNEL_NAME: שם למנהרה
   • ‫ON_PREM_IP: כתובת ה-IP החיצונית של שער ה-VPN של עמית
   • ‫IKE_VERS: 1 ל-IKEv1 או 2 ל-IKEv2
   • ‫SHARED_SECRET: המפתח המשותף מראש (סוד משותף). המפתח ששותף מראש למנהרת Cloud VPN צריך להיות זהה למפתח שבו השתמשתם כשקבעתם את ההגדרה של המנהרה המקבילה בשער ה-VPN של ה-peer. כדי ליצור מפתח משותף חזק מבחינה קריפטוגרפית, פועלים לפי ההוראות האלה.

   ל-VPN מבוסס-מדיניות:

   • ‫LOCAL_IP_RANGES: רשימה מופרדת בפסיקים שלCloud de Confiance טווחי כתובות IP. לדוגמה, אפשר לספק את בלוק ה-CIDR של כל רשת משנה ברשת VPC. זהו הצד השמאלי מנקודת המבט של Cloud VPN.
   • ‫REMOTE_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות ה-IP של רשת הפירינג. זה הצד הימני מנקודת המבט של Cloud VPN.

   כדי להגדיר מנהרת VPN שמבוססת על מדיניות, מריצים את הפקודה הבאה:

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=LOCAL_IP_RANGES \
       --remote-traffic-selector=REMOTE_IP_RANGES \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

   ב-VPN מבוסס-ניתוב, סלקטורי התנועה המקומיים והמרוחקים הם 0.0.0.0/0 כמו שמוגדר באפשרויות הניתוב וסלקטורי התנועה.

   כדי להגדיר מנהרת VPN מבוססת-ניתוב, מריצים את הפקודה הבאה:

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=0.0.0.0/0 \
       --remote-traffic-selector=0.0.0.0/0 \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

2. יוצרים נתיב סטטי לכל טווח כתובות IP מרוחקות שצוין באפשרות --remote-traffic-selector בשלב הקודם. חוזרים על הפקודה הזו לכל טווח כתובות IP מרוחקות. מחליפים את ROUTE_NAME בשם ייחודי לנתיב, ואת REMOTE_IP_RANGE בטווח המתאים של כתובות IP מרוחקות.

   ‫

   gcloud compute routes create ROUTE_NAME \
       --destination-range=REMOTE_IP_RANGE \
       --next-hop-vpn-tunnel=TUNNEL_NAME \
       --network=NETWORK \
       --next-hop-vpn-tunnel-region=REGION \
       --project=PROJECT_ID
   

   ‫