Oracle Cloud Infrastructure - Dokumentation

VPN-Verbindung zu Google Cloud

Der Site-to-Site-VPN-Service von Oracle Cloud Infrastructure (OCI) bietet eine sichere IPSec-Verbindung zwischen einem On-Premise-Netzwerk und einem virtuellen Cloud-Netzwerk (VCN). Sie können auch Site-to-Site-VPN verwenden, um OCI-Ressourcen mit anderen Cloud-Serviceanbietern zu verbinden.

Dieses Thema enthält eine Best Practices-Konfiguration für einen IPSec-VPN-Tunnel zwischen OCI und Google Cloud mit dem OCI Site-to-Site-VPN-Service und dem Google Cloud-VPN-Service.

Hinweis

In diesem Dokument wird davon ausgegangen, dass Sie bereits ein virtuelles Cloud-Netzwerk (VCN) und ein dynamisches Routinggateway (DRG) bereitgestellt haben und alle VCN-Routentabellen und Sicherheitslisten konfiguriert haben, die für dieses Szenario und alle Äquivalente in Google Cloud erforderlich sind.

Routingtyp: In diesem Szenario wird Border Gateway Protocol (BGP) verwendet, um Routen zwischen Google Cloud und OCI auszutauschen. BGP wird für Site-to-Site-VPN bevorzugt, wenn möglich. Optional kann auch statisches Routing zwischen Google Cloud und OCI verwendet werden.

Sie können die Site-to-Site-VPN-Version prüfen, die von der IPSec-Verbindung auf einer IPSec-Verbindungsseite auf der Registerkarte IPSec-Verbindungsinformationen verwendet wird.

Eine Liste der vom Hersteller unterstützten IPSec-Parameter für alle OCI-Regionen finden Sie unter Unterstützte IPSec-Parameter.

Google Cloud - VPN-Konfiguration starten
  1. Im Google Cloud-Hauptportal:
    1. Blenden Sie das Hauptmenü in der oberen linken Ecke ein
    2. Scrollen Sie nach unten zu Hybrid Connectivity.
    3. Wählen Sie VPN aus.
  2. Wählen Sie auf der nächsten Seite den Link VPN-Verbindung erstellen aus, um den Workflow zum Erstellen einer IPSec-VPN-Verbindung zu starten.
  3. Wählen Sie unter VPN-Optionen die Option High-availability (HA) VPN aus, und wählen Sie unten die Schaltfläche Continue.
  4. Erstellen Sie ein Cloud-HA-VPN-Gateway. Geben Sie folgende Details ein:
    • Name: Geben Sie dem VPN-Gateway einen Namen.
    • Netzwerk: Wählen Sie die VPC aus, mit der sich das VPN IPSec verbindet.

    • Region: Wählen Sie die Region für das VPN-Gateway

      Wenn Sie die Konfiguration des VPN-Gateways abgeschlossen haben, wählen Sie die Schaltfläche Erstellen und fortfahren aus, um fortzufahren.

  5. Auf der nächsten Seite wird die öffentliche IP des Google Cloud VPN-Endpunkts angezeigt.

    Speichern Sie die öffentliche IP einer der Schnittstellen, öffnen Sie die OCI-konsole in einem separaten Fenster, und setzen sie den Konfigurationsprozess fort. Sie kehren später zurück, um die Google Cloud-Konfiguration abzuschließen, nachdem die OCI-IPSec-Verbindung bereitgestellt wurde.

OCI - CPE-Objekt erstellen
  1. öffnen Sie das Navigationsmenü , und wählen Sie Networking aus. Wählen Sie unter Kundenkonnektivität die Option Customer-Premises-Geräte aus.
  2. Wählen Sie Customer-Premises Equipment erstellen aus.
  3. Geben Sie folgende Werte ein:
    • In Compartment erstellen: Wählen Sie das Compartment für das gewünschte VCN aus.
    • Name: Ein aussagekräftiger Name für das CPE-Objekt. Er muss nicht eindeutig sein und kann später in der Konsole nicht geändert werden (Sie können ihn jedoch mit der API ändern). Geben Sie keine vertraulichen Informationen ein.

      In diesem Beispiel wird TO_GCP als Name verwendet.

    • IP-Adresse: Geben Sie die öffentliche IP-Adresse des Google Cloud-VPN-Gateways ein.
    • CPE-Anbieter: Wählen Sie Sonstige aus.
  4. Wählen Sie CPE erstellen aus.
OCI - IPsec-Verbindung erstellen
  1. öffnen Sie das Navigationsmenü , und wählen Sie Networking aus. Wählen Sie unter Kundenkonnektivität die Option Site-to-Site-VPN aus.
  2. Wählen Sie IPSec-Verbindung erstellen aus.
  3. Geben Sie folgende Werte ein:
    • Erstellen in Compartment: Übernehmen Sie die Vorgabe (das VCN-Compartment).
    • Name: Geben Sie einen aussagekräftigen Namen für die IPSec-Verbindung ein. Er muss nicht eindeutig sein und kann später geändert werden. Geben Sie keine vertraulichen Informationen ein.
    • Compartment Customer Premises Equipment: Übernehmen Sie die Vorgabe (das Compartment des VCN).
    • Customer-Premises Equipment: Wählen Sie das zuvor erstellte CPE-Objekt namens TO_GOOGLE_CLOUD aus.
    • Compartment dynamisches Routinggateway: Übernehmen Sie die Vorgabe (das VCN-Compartment).
    • Dynamisches Routinggateway: Wählen Sie das zuvor erstellte DRG aus.
    • CIDR mit statischer Route: Geben Sie die Standardroute 0.0.0.0/0 ein. Da BGP für den aktiven Tunnel verwendet wird, ignoriert OCI diese Route. Dieser Eintrag ist für den zweiten Tunnel der IPsec-Verbindung erforderlich, der standardmäßig statisches Routing verwendet, in diesem Szenario jedoch nicht verwendet wird. Wenn Sie statisches Routing für diese Verbindung verwenden möchten, geben sie statische Routen ein, die die virtuellen Google Cloud-Netzwerke darstellen. Für jede IPsec-Verbindung können bis zu 10 statische Routen konfiguriert werden.

    • Stellen Sie sicher, dass OCI die ausgewählte /30-Adresse für die internen Tunnel-IPs unterstützt. OCI lässt die Verwendung folgender IP-Bereiche für Innentunnel-IPs nicht zu:

      • 169.254.10.0-169.254.19.255
      • 169.254.100.0-169.254.109.255
      • 169.254.192.0-169.254.201.255
  4. Geben Sie die folgenden Details auf der Registerkarte Tunnel 1 ein (erforderlich):
    • Name: Geben Sie einen aussagekräftigen Namen für den Tunnel ein (Beispiel: GCP-TUNNEL-1). Er muss nicht eindeutig sein und kann später geändert werden. Geben Sie keine vertraulichen Informationen ein.
    • Benutzerdefiniertes Shared Secret angeben: Der Pre-Shared Key, der von IPSec für diesen Tunnel verwendet wird. Aktivieren Sie dieses Kontrollkästchen, wenn Sie einen benutzerdefinierten Schlüssel verwenden möchten. Wenn keine Auswahl angegeben wird, wird eine für Sie generiert.
    • IKE-Version: Wählen Sie IKEv2 aus.
    • Routingtyp: Wählen Sie Dynamisches B GP-Routing aus. Wählen Sie Statisches Routing aus, wenn Sie statisches Routing verwenden möchten.
    • BGP-ASN: Geben Sie die von Google Cloud verwendete BGP-ASN ein Die Google Cloud-BGP-ASN wird in den nachfolgenden Schritten konfiguriert. In diesem Szenario wird die BGP-ASN 65000 für Google Cloud verwendet.
    • Innere IPv4-Tunnelschnittstelle - CPE: Geben Sie die von Google Cloud verwendete BGP-IP-Adresse ein Verwenden Sie die vollständige CIDR-Notation für diese IP-Adresse. Dies muss eine linklokale Adresse sein. In diesem Szenario wird das CIDR 169.254.20.0/30 für die BGP-IP-Adressen verwenden.
    • Innere IPv4-Tunnelschnittstelle - Oracle: Geben Sie die von OCI verwendete BGP-IP-Adresse an. Nehmen Sie diese IP-Adresse in die CIDR-Notation auf. Dies muss eine linklokale Adresse sein. In diesem Szenario wird das CIDR 169.254.20.0/30 für die BGP-IP-Adressen verwenden.
  5. Wählen Sie Erweiterte Optionen anzeigen für den Tunnel, und ändern sie die Lebensdauer der Phase 1 und Phase 2 so, dass sie mit der Google Cloud-Seite übereinstimmen, wie hier aufgeführt: https://cloud.google.com/network-connectivity/docs/vpn/concepts/supported-ike-ciphers.

    Die Lebenszeiten von Phase 1 und Phase 2 sind davon abhängig, ob Sie IKEv1 oder IKEv2 verwenden. Google Cloud-Seite Diese lauten:

    • Gültigkeitsdauer des Phase-1-IKE-Sessionschlüssels in Sekunden = 36.000 Sekunden
    • Gültigkeitsdauer des Phase-2-IPsec-Sessionschlüssels in Sekunden = 10.800 Sekunden

    Behalten Sie für alle anderen Einstellungen die Standardwerte bei.

  6. Wählen Sie IPSec-Verbindung erstellen aus.

    Die IPSec-Verbindung wird erstellt und auf der Seite angezeigt. Die Verbindung hat kurzfristig den Status Provisioning.

OCI - Oracle-VPN-IP-Adresse und Shared Secret speichern

Nachdem die IPSec-Verbindung bereitgestellt wurde, speichern Sie die Site-to-Site-VPN-IP-Adresse, die als CPE-IP im Google Cloud-Portal und als Shared Secret für den Tunnel verwendet werden soll.

  1. Navigieren Sie zur IPSec-Verbindung in der OCI-Konsole.

    Entscheiden Sie, welcher Tunnel als primärer Tunnel verwendet werden soll. Speichern Sie die IP-Adresse des Site-to-Site-VPN-Tunnels. Wählen Sie als Nächstes den Tunnelnamen des Tunnels, der in die Tunnelansicht aufgenommen werden soll.

  2. Klicken Sie unter dem Tunnel auf den Link, um das Shared Secret anzuzeigen. Speichern Sie es. Das Shared Secret wird verwendet, um die IPSec-VPN-Konfiguration in Google Cloud abzuschließen.
Google Cloud - VPN Peer Gateway erstellen

  1. Kehren Sie zum Google Cloud VPN-Konfigurationsfenster zurück.
  2. Wählen Sie unter Peer VPN Gateway die Option On-prem or Non Google Cloud aus.
  3. Blenden Sie die Liste Peer VPN gateway name ein, und wählen Sie Create new VPN peer gateway aus.
  4. Die Seite Add a peer VPN gateway wird aufgerufen. Geben Sie folgende Details ein:
  5. Klicken Sie unten auf die Schaltfläche Erstellen, um fortzufahren. Sie kehren zum Workflow VPN erstellen zurück.
Google Cloud - Cloud-Router erstellen
  1. Blenden Sie die Liste Cloud Router ein, und wählen Sie Create new router aus.
  2. Die Seite Create a router wird aufgerufen. Geben Sie folgende Details ein:
    • Name: Geben Sie dem Cloud-Router einen Namen.

    • Google-ASN: Geben Sie die Google-BGP-ASN ein, die auch bei der Konfiguration der IPSec-Verbindung in OCI verwendet wird.

      Behalten Sie alle anderen Optionen als Standard bei.

  3. Wenn Sie die Konfiguration des Cloud-Routers abgeschlossen haben, wählen Sie die Schaltfläche Erstellen aus, um fortzufahren.

    Sie kehren zum Workflow VPN erstellen zurück.

Google Cloud - Konfiguration des VPN-Tunnels abschließen
Vollständige Konfiguration des VPN-Tunnels. Geben Sie folgende Details ein:
  • Cloud Router: Wählen Sie den im vorherigen Schritt konfigurierten Cloud Router aus.
  • Associated Cloud VPN gateway IP: Entspricht der in OCI konfigurierten IP-Adresse des CPE-Objekts.
  • Associated peer VPN Gateway interface: Entspricht der Oracle-VPN-IP-Adresse des OCI-VPN-Tunnels. Siehe OCI - Oracle-VPN-IP-Adresse und Shared Secret speichern.
  • Name: Geben Sie dem VPN-Tunnel einen Namen.
  • IKE-Version: Wählen Sie IKEv2 (empfohlen). Wenn Sie IKEv1 verwenden, stellen Sie sicher, dass IKEv1 auch für den VPN-Tunnel unter der IPSec-Verbindung in OCI konfiguriert ist.

  • IKE-Pre-Shared Key: Gleichen Sie das Shared Secret des VPN-Tunnels in der IPSec-Verbindung in OCI ab. Siehe OCI - Oracle-VPN-IP-Adresse und Shared Secret speichern. Behalten Sie alle anderen Optionen als Standard bei.

    Wenn Sie die Konfiguration des VPN-Tunnels abgeschlossen haben, wählen Sie Erstellen und fortfahren aus.

Google Cloud - BGP-Sessions konfigurieren

In diesem Schritt wird die BGP-Session für einen IPSec-Tunnel konfiguriert. Die BGP-Einstellungen müssen mit der OCI-Seite der Konfiguration übereinstimmen, die in OCI - Verbindung IPSec erstellen konfiguriert ist.

  1. Wählen Sie unter "BGP-Session" für den VPN-Tunnel die Schaltfläche Konfigurieren.
  2. Geben Sie auf der Seite BGP-Session erstellen für den Tunnel die folgenden Details ein:
    • Name: Geben Sie der BGP-Session einen Namen.
    • Peer ASN: Geben Sie die BGP-ASN ein. Die BGP-ASN von Oracle für die kommerzielle Cloud ist 31898, mit Ausnahme der Region Serbia Central (Jovanovac) mit 14544.
    • BGP-IP des Cloud-Routers: Gleichen Sie die IP-Adresse ab, die für IPv4 Inside Tunnel Interface - CPE von Tunnel 1 in OCI - Create IPSec Connection konfiguriert ist. Verwenden Sie in diesem Feld keine CIDR-Notation.
    • BGP-Peer-IP: Gleichen Sie die IP-Adresse ab, die für die IPv4-interne Tunnelschnittstelle - Oracle von Tunnel 1 in OCI - IPSec-Verbindung erstellen konfiguriert ist. Verwenden Sie in diesem Feld keine CIDR-Notation.

    • BGP-Peer: Wählen Sie Aktiviert aus.

      Behalten Sie alle anderen Optionen als Standard bei.

  3. Wenn Sie die Konfiguration der BGP-Session abgeschlossen haben, wählen Sie Speichern und fortfahren aus, um zur Seite BGP-Sessions konfigurieren zurückzukehren.
  4. Wählen Sie die Schaltfläche BGP-Konfiguration speichern, um fortzufahren.
  5. Die Seite Zusammenfassung und Erinnerung wird aufgerufen.

    VPN tunnel status und BGP status werden als Established angezeigt.

  6. Wählen Sie unten OK, um die Konfiguration abzuschließen.
Verifizierung

Navigieren Sie zur IPSec-Verbindung in OCI und zu den Site-to-Site-VPN-Verbindungen in Google Cloud, um den Status des Tunnels zu prüfen.

Der OCI-Tunnel unter der IPSec-Verbindung zeigt den IPSec-Status Up an, um einen operativen Tunnel zu bestätigen.

Im IPv4-BGP-Status wird ebenfalls Up angezeigt, was eine eingerichtete BGP-Session angibt.

Navigieren Sie zu den Cloud-VPN-Tunneln in der Google Cloud-Konsole. Sowohl für einen VPN-Tunnelstatus als auch für einen BGP-Sessionstatus muss Established angezeigt werden.

Ein Monitoring-Service ist auch in OCI verfügbar, um Cloud-Ressourcen aktiv und passiv Zu überwachen. Informationen zum Monitoring für OCI Site-to-Site-VPN finden Sie unter Site-to-Site-VPN-Metriken.

Bei Problemen finden Sie weitere Informationen unter Site-to-Site-VPN - Fehlerbehebung.