GCP VPN 隧道作为互联网连接的默认网关

Question

我正在为我们的办公室设置具有站点到站点 VPN 的 Google 计算引擎虚拟机。

我希望虚拟机通过 VPN 隧道发送/接收所有流量。 默认情况下，它通过 VPN 隧道与本地主机通信，但它直接与 Internet 主机通信（不通过 VPN 隧道）。我不想要这种直接的互联网交流。

如何将 VPN 隧道设为虚拟机的默认网关？
感谢您的帮助。

Answer 1

1. 请注意，最初是 VPC network has a default route；即具有以下特征的路线：
   
   目的地：0.0.0.0/0
   下一跳：默认 Internet 网关

2. 您可以删除默认路由并将其替换为自定义路由以引导其他地方的流量，包括“互联网”流量。具体来说：

   • 如果使用带有静态路由（基于路由的 VPN 或基于策略的 VPN）的 VPN 隧道，您只需创建具有以下特征的新的自定义静态路由：
     
     目的地：0.0.0.0/0
     下一跳：所需的 VPN 隧道，按名称

只需确保远程流量选择器（在 Google 端配置）为 0.0.0.0/0。这必须与远程（对等网络）端的本地流量选择器匹配。

您可以在创建 VPN 隧道时手动创建路由；请参阅这些指南的 gcloud 版本：policy-based 和 route-based。

对于现有隧道，您始终可以简单地添加自定义静态路由，请查看以下文档以帮助您：

Static route parameters

Adding a static route

• 如果使用带有动态 (BGP) 路由的 VPN 隧道，流量选择器默认为 0.0.0.0/0，但您需要配置对等网络的路由器以通告具有 0.0.0.0/0 目标的路由到与 VPN 隧道关联的云端路由器。然后，云端路由器会自动将自定义动态路由应用到 VPC 网络。要将自定义动态路由应用于网络所有区域的所有虚拟机，请确保 VPC 网络的动态路由模式为全局动态路由。

有关动态路由模式及其如何影响自定义动态路由的详细信息，请查看以下链接：（routing_for_hybrid_networks 和 switch-dynamic-routing）。

1. 一旦他们有了目的地为 0.0.0.0/0 的自定义路由和适当的下一跳，他们就可以删除默认路由；也就是说，具有以下特征的那个：
   
   目的地：0.0.0.0/0
   下一跳：默认 Internet 网关

请注意，自定义静态路由的路由优先级可以在 VPC 网络中配置，但自定义动态路由的优先级基于来自对等路由器的路由的 MED。

Answer 2

如何将 VPN 隧道设置为虚拟的默认网关 机器？

通过 VPC 中的 VPN 终端节点创建到您的网络的 VPC 路由 (0.0.0.0/0)。给它比默认网关更高的优先级（更低的数字）。对于下一跃点，请指定 IP 地址或实例 ID（如果您有自己的软件 VPN）或 VPN 隧道（如果是 Google VPN 网关）。

您还可以使用Instance tags 仅路由特定实例而不是整个 VPC 网络的流量。