Crear una puerta de enlace de VPN clásica mediante enrutamiento estático

Console

Configura la puerta de enlace

1. En la consola de Google Cloud , ve a la página VPN.

   Ir a VPN

2. Si estás creando una puerta de enlace por primera vez, haz clic en Crear conexión de VPN.

3. Selecciona el Asistente de configuración de VPN.

4. Selecciona el botón de opción VPN clásica.

5. Haz clic en Continuar.

6. En la página Crear una conexión de VPN, especifica la siguiente configuración de puerta de enlace:

   • Nombre: El nombre de la puerta de enlace VPN. El nombre no se puede cambiar más adelante.
   • Descripción: Si lo deseas, agrega una descripción.
   • Red: Especifica una red de VPC existente en la que se creará la puerta de enlace de VPN y el túnel.
   • Región: Las puertas de enlace y túneles de Cloud VPN son objetos regionales. Elige una región donde se ubicará la puerta de enlace.Google Cloud Las instancias y otros recursos en diferentes regiones pueden usar el túnel para el tráfico de salida sujeto al orden de las rutas. Para obtener un mejor rendimiento, ubica la puerta de enlace y el túnel en la misma región que los recursos Google Cloud relevantes.
   • Dirección IP: Crea o elige una dirección IP externa regional existente.

Configura túneles

1. En la sección Túneles del túnel nuevo, especifica la siguiente configuración:

   • Nombre: El nombre del túnel VPN. El nombre no se puede cambiar más adelante.
   • Descripción: Opcionalmente, escribe una descripción.
   • Dirección IP de intercambio de tráfico remoto: Especifica la dirección IP externa de la puerta de enlace de VPN de intercambio de tráfico.
   • Versión de IKE: Elige la versión de IKE adecuada compatible con la puerta de enlace de VPN de intercambio de tráfico. Se prefiere IKEv2 si es compatible con el dispositivo de intercambio de tráfico.
   • Clave precompartida IKE: Proporciona una clave precompartida (secreto compartido) que se usa para la autenticación. La clave precompartida del túnel de Cloud VPN debe coincidir con la que se usa cuando configuras el túnel equivalente en la puerta de enlace de VPN de intercambio de tráfico. Para generar una clave precompartida criptográficamente segura, sigue las instrucciones en Genera una clave precompartida segura.

   Para túneles basados en políticas, sigue estos pasos

   1. En Opciones de enrutamiento, selecciona Basado en políticas.

   2. En Rangos de IP de red remota, proporciona una lista separada por espacios de los rangos de IP que usa la red de intercambio de tráfico. Este es el selector de tráfico remoto: el lado derecho desde la perspectiva de Cloud VPN.

      Después de crear un túnel de VPN clásica basado en políticas, los rangos de IP que ingresaste en el campo Rangos de IP de red remota aparecen como rangos de IP anunciados en la página de detalles del túnel VPN.

   3. En Rangos de IP locales, selecciona uno de los siguientes métodos:

      • Para elegir un rango de IP local existente, usa el menú Subredes locales.
      • Para ingresar una lista de rangos de IP separados por espacios que se usan en tu red de VPC, usa el campo Rangos de IP locales. Para obtener consideraciones importantes, consulta Túneles basados en políticas y selectores de tráfico.

   Para túneles basados en rutas, sigue estos pasos:

   1. En Routing options (Opciones de enrutamiento), selecciona Route-based (Enrutamiento según la ruta).
   2. En Rangos de IP de red remota, proporciona una lista separada por espacios de los rangos de IP que usa la red de intercambio de tráfico. Estos rangos se usan para crear rutas estáticas personalizadas cuyo siguiente salto es este túnel de VPN.

2. Opcional: Selecciona la configuración de cifrado. Selecciona Predeterminado para usar la configuración de seguridad automática y recomendada, o Personalizado para ordenar y configurar manualmente las codificaciones. Para conocer los pasos para configurar algoritmos de encriptación, consulta Configura algoritmos de encriptación.

3. Si necesitas crear más túneles en la misma puerta de enlace, haz clic en Agregar túnel y repite el paso anterior. También puedes agregar más túneles luego.

4. Haz clic en Crear.

gcloud

Para crear una puerta de enlace de Cloud VPN, completa la siguiente secuencia de comandos. En los comandos, reemplaza lo siguiente:

• PROJECT_ID: Es el ID del proyecto.
• NETWORK: El nombre de tu red Google Cloud
• REGION: La región deGoogle Cloud en la que creas la puerta de enlace y el túnel
• GW_NAME: El nombre de la puerta de enlace
• GW_IP_NAME: Un nombre para la dirección IP externa que usa la puerta de enlace
• Opcional: --target-vpn-gateway-region es la región de la puerta de enlace de VPN clásica en la que se debe operar. Su valor debe ser el mismo que el de --region. Si no se especifica, esta opción se configura de forma automática. Con esta opción se anula el valor predeterminado de la propiedad de procesamiento según región para esta invocación de comando.

Configura los recursos de la puerta de enlace

1. Crea el objeto de puerta de enlace VPN de destino.

   gcloud compute target-vpn-gateways create GW_NAME \
      --network=NETWORK \
      --region=REGION \
      --project=PROJECT_ID
   

2. Reserva una dirección IP externa regional (estática):

   gcloud compute addresses create GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

3. Anota la dirección IP (para que puedas usarla cuando configures tu puerta de enlace de VPN de intercambio de tráfico):

   gcloud compute addresses describe GW_IP_NAME \
      --region=REGION \
      --project=PROJECT_ID \
      --format='flattened(address)'
   

4. Crea tres reglas de reenvío; estas reglas le indican aGoogle Cloud que envíe tráfico ESP (IPsec), UDP 500 y UDP 4500 a la puerta de enlace:

   gcloud compute forwarding-rules create fr-GW_NAME-esp \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=ESP \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

   gcloud compute forwarding-rules create fr-GW_NAME-udp4500 \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --ip-protocol=UDP \
      --ports=4500 \
      --address=GW_IP_NAME \
      --target-vpn-gateway=GW_NAME \
      --region=REGION \
      --project=PROJECT_ID
   

Crea el túnel de Cloud VPN

1. En los comandos, reemplaza lo siguiente:

   • TUNNEL_NAME: Un nombre para el túnel
   • ON_PREM_IP: La dirección IP externa de la puerta de enlace VPN de intercambio de tráfico
   • IKE_VERS: 1 for IKEv1 or 2 for IKEv2
   • SHARED_SECRET: es tu clave precompartida (secreto compartido). La clave precompartida del túnel de Cloud VPN debe coincidir con la que se usa cuando configuras el túnel equivalente en la puerta de enlace de VPN de intercambio de tráfico. Para generar una clave precompartida criptográficamente segura, sigue las instrucciones en Genera una clave precompartida segura.
   • Los siguientes son parámetros opcionales para configurar algoritmos de cifrado. Si no se especifica, el sistema usa los valores predeterminados.
     • PH1_ENCRYPT_ALGRTHS: Es una lista separada por comas de los algoritmos de encriptación que se admiten para las negociaciones de la asociación de seguridad (SA) de la fase 1 de IKE. Puedes enumerar los algoritmos en el orden de tu preferencia.
     • PH1_INTEGRITY_ALGRTHS: Es una lista separada por comas de los algoritmos de integridad compatibles con las negociaciones de la SA de IKE de la fase 1. Puedes enumerar los algoritmos en el orden de tu preferencia.
     • PH1_PRF_ALGRTHS: Es una lista separada por comas de algoritmos de función seudoaleatoria (PRF) que se admiten para las negociaciones de SA de IKE de fase 1. Puedes enumerar los algoritmos en el orden de tu preferencia.
     • PH1_DH_GROUP: Es una lista separada por comas de los algoritmos Diffie-Hellman (DH) que se admiten para las negociaciones de SA de IKE de fase 1. Puedes enumerar los algoritmos en el orden de tu preferencia.
     • PH2_ENCRYPT_ALGRTHS: Es una lista separada por comas de los algoritmos de encriptación que se admiten para las negociaciones de SA de IKE de fase 2. Puedes enumerar los algoritmos en el orden de tu preferencia.
     • PH2_INTEGRITY_ALGRTHS: Es una lista separada por comas de los algoritmos de integridad que se admiten para las negociaciones de SA de IKE de fase 2. Puedes enumerar los algoritmos en el orden de tu preferencia.
     • PH2_PFS_ALGRTHS: Es una lista separada por comas de algoritmos de PFS compatibles con las negociaciones de SA de IKE de fase 2. Puedes enumerar los algoritmos en el orden de tu preferencia.

   Para la VPN basada en políticas, sigue estos pasos:

   • LOCAL_IP_RANGES: Es una lista delimitada por comas de los rangos de IP deGoogle Cloud . Por ejemplo, puedes suministrar el bloque CIDR para cada subred en una red de VPC. Este es el lado izquierdo desde la perspectiva de Cloud VPN.
   • REMOTE_IP_RANGES: Una lista delimitada por comas de los rangos de IP de la red de intercambio de tráfico. Este es el lado derecho desde la perspectiva de Cloud VPN.

   Para configurar un túnel VPN basado en políticas, ejecuta el siguiente comando:

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=LOCAL_IP_RANGES \
       --remote-traffic-selector=REMOTE_IP_RANGES \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

   En el caso de la VPN basada en rutas, los selectores de tráfico locales y remotos son 0.0.0.0/0 según lo que se define en las opciones de enrutamiento y los selectores de tráfico.

   Para configurar un túnel VPN basado en rutas, ejecuta el siguiente comando:

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=0.0.0.0/0 \
       --remote-traffic-selector=0.0.0.0/0 \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID
   

   También puedes configurar algoritmos de cifrado para los túneles basados en políticas y en rutas. Por ejemplo, para configurar algoritmos de cifrado para un túnel basado en políticas, ejecuta el siguiente comando:

   gcloud compute vpn-tunnels create TUNNEL_NAME \
       --peer-address=ON_PREM_IP \
       --ike-version=IKE_VERS \
       --shared-secret=SHARED_SECRET \
       --local-traffic-selector=LOCAL_IP_RANGES \
       --remote-traffic-selector=REMOTE_IP_RANGES \
       --target-vpn-gateway=GW_NAME \
       --region=REGION \
       --project=PROJECT_ID \
       --phase1-encryption=PH1_ENCRYPT_ALGRTHS \
       --phase1-integrity=PH1_INTEGRITY_ALGRTHS \
       --phase1-prf=PH1_PRF_ALGRTHS \
       --phase1-dh=PH1_DH_GROUP \
       --phase2-encryption=PH2_ENCRYPT_ALGRTHS \
       --phase2-integrity=PH2_INTEGRITY_ALGRTHS \
       --phase2-pfs=PH2_PFS_ALGRTHS
   

   Para obtener más información sobre los algoritmos de cifrado compatibles con Cloud VPN, consulta Algoritmos de cifrado IKE admitidos.

2. Crea una ruta estática para cada rango de IP remota que especificaste en la opción --remote-traffic-selector del paso anterior. Repite este comando para cada rango de IP remota. Reemplaza ROUTE_NAME por un nombre único para la ruta y reemplaza REMOTE_IP_RANGE por el rango de IP remota adecuado.

   gcloud compute routes create ROUTE_NAME \
       --destination-range=REMOTE_IP_RANGE \
       --next-hop-vpn-tunnel=TUNNEL_NAME \
       --network=NETWORK \
       --next-hop-vpn-tunnel-region=REGION \
       --project=PROJECT_ID