Google Cloud Interconnect : relier un parc de cartes SIM à votre VPC par Partner Interconnect, sans Internet

Par Aurélie, M2M Network.

En bref : Google Cloud Interconnect relie un réseau d’entreprise à un réseau VPC de Google Cloud sans passer par l’Internet public, soit par un port physique chez Google (Dedicated Interconnect), soit par un fournisseur de services déjà raccordé à Google (Partner Interconnect). Pour des cartes SIM, le trafic sort du réseau mobile par un APN privé (réseau mobile) dédié, traverse un pare-feu administré par le client, puis un fournisseur d’interconnexion le remet sur un rattachement VLAN (VLAN attachment) relié à un Cloud Router, par exemple dans la région europe-west9 (Paris). Google le précise : Cloud Interconnect ne chiffre pas le trafic par défaut, MACsec et HA VPN over Cloud Interconnect servent à le faire.

Ce guide, pour architectes cloud, responsables réseau et RSSI qui veulent relier des objets connectés à Google Cloud sans Internet, s’en tient à ce qui est propre à Google. Le principe commun à tous les clouds est expliqué dans notre guide de l’interconnexion cloud privée pour l’IoT.

Google Cloud Interconnect : Dedicated ou Partner

Sous le nom Cloud Interconnect, Google range aussi Cross-Cloud Interconnect (vers un autre cloud) et Cross-Site Interconnect (entre sites). Pour un parc de cartes SIM, seuls Dedicated et Partner Interconnect comptent : Google indique qu’avec eux les adresses internes du VPC sont joignables depuis le réseau raccordé, sans NAT ni tunnel VPN.

Dedicated Interconnect est une connexion physique directe, dans une installation de colocation où vous placez votre propre routeur : fibre monomode, LACP, EBGP-4 multihop et VLAN 802.1Q. Elle se commande de 1 à 8 circuits de 10, de 100 ou de 400 Gbit/s, et le type de lien ne peut plus être changé ensuite. Google envoie une lettre d’autorisation (LOA-CFA) que vous remettez au prestataire chargé du raccordement.

Partner Interconnect passe par un fournisseur qui dispose déjà de liaisons physiques avec Google. Google le conseille quand votre centre de données ne peut pas atteindre une installation Dedicated Interconnect, ou quand vos besoins ne justifient pas 10 Gbit/s. Chaque rattachement VLAN se dimensionne en douze paliers, de 50 Mbit/s à 50 Gbit/s, selon ce que le fournisseur propose sur le site. Google ne répond ni de ce que fournit ce tiers, ni de ce qui se passe hors de son réseau.

Rattachement VLAN, Cloud Router et clé d’appairage

Le rattachement VLAN est la connexion logique entre un réseau externe et une seule région d’un réseau VPC. On l’associe à un projet, à une région et à un Cloud Router ; un Cloud Router n’appartenant qu’à un réseau VPC, le rattachement est lié à ce réseau.

Le Cloud Router échange les routes en BGP. Les blocs d’adresses des APN annoncés par votre routeur deviennent des routes dynamiques personnalisées du VPC ; en retour, il annonce les sous-réseaux du VPC, ceux de sa seule région en routage dynamique régional, ceux de toutes les régions en mode global. Pour Partner Interconnect, son numéro de système autonome (ASN) doit être 16550. Les adresses du réseau sur site et du VPC ne doivent pas se chevaucher : les blocs des cartes SIM se réservent avant les sous-réseaux.

Créer un rattachement Partner génère une clé d’appairage (pairing key) à remettre au fournisseur. Google demande de la traiter comme sensible jusqu’à la configuration, car elle permettrait à un tiers de se raccorder à votre réseau ; elle ne sert qu’une fois.

Partner Interconnect de niveau 2 ou de niveau 3

  • Niveau 2. Vous établissez vous-même une session BGP entre chaque Cloud Router et votre routeur, pour chaque rattachement, avec l’identifiant de VLAN lu chez le fournisseur. Dans une chaîne de cartes SIM, ce routeur « sur site » est côté réseau mobile, après le pare-feu.
  • Niveau 3. Le fournisseur établit les sessions BGP, configurées automatiquement, et le rattachement peut être pré-activé pour passer du trafic dès sa configuration. Contrepartie : les valeurs MED ne traversent pas ce type de connexion, donc aucune priorité de routes dans un sens comme dans l’autre.

Sans pré-activation, un rattachement ne passe aucun trafic avant que vous l’ayez activé, ce qui permet de vérifier le fournisseur raccordé. L’offre varie selon les villes : à Paris, Google liste 14 fournisseurs, dont Colt, Digital Realty et EuNetworks en niveau 2 seulement, Free Pro et OVHcloud en niveau 3 seulement, Equinix, InterCloud, Orange ou Zayo dans les deux ; à Marseille, trois (Console Connect by PCCW Global, DE-CIX, Digital Realty).

Dedicated, Partner niveau 2, Partner niveau 3 : le tableau

CritèreDedicated InterconnectPartner, niveau 2Partner, niveau 3
Raccordement physiqueVotre routeur, en colocation avec GoogleRéseau du fournisseurRéseau du fournisseur
Capacité1 à 8 circuits de 10, 100 ou 400 Gbit/s50 Mbit/s à 50 Gbit/s par rattachement50 Mbit/s à 50 Gbit/s par rattachement
Session BGPConfigurée par vousConfigurée par vousÉtablie par le fournisseur
Mise en serviceLOA-CFA, raccordement, testsClé d’appairage, activationClé d’appairage, activation ou pré-activation
Priorités de routes (MED)PossiblesPossiblesImpossibles
MACsecVotre routeur ↔ bordure GoogleFournisseur ↔ bordure GoogleFournisseur ↔ bordure Google
En France, selon Google4 installations à Paris, 1 à Marseille12 fournisseurs à Paris, 3 à Marseille11 fournisseurs à Paris, 2 à Marseille

Disponibilité 99,9 % ou 99,99 % : ce que Google exige

Les deux configurations prescrites reposent sur le domaine de disponibilité de périphérie (edge availability domain, que Google appelle aussi zone de disponibilité métropolitaine) : chaque métropole en compte deux, zone1 et zone2, jamais en maintenance en même temps, alors que les maintenances ne sont pas coordonnées entre métropoles.

  • 99,9 %, production non critique. Au moins deux rattachements dans une seule région, sur les deux domaines d’une même métropole, chez le même fournisseur, avec au moins un Cloud Router.
  • 99,99 %, recommandé par Google. Au moins quatre rattachements, deux par région, dans deux régions Google Cloud, même si vos machines virtuelles n’en occupent qu’une ; une métropole par région ; un Cloud Router par paire ; routage dynamique global.

Point capital : en Partner Interconnect, le SLA de Google ne couvre que le tronçon entre le VPC et le réseau du fournisseur. Le chemin qui part de l’APN n’en fait pas partie ; un SLA de bout en bout suppose un engagement du fournisseur. Google recommande aussi que chaque domaine porte seul tout le trafic de production, et des rattachements actifs en parallèle avec une répartition par flux.

Google Cloud Interconnect à Paris et à Marseille

Sur les 43 régions que Google annonce, la France n’en compte qu’une : europe-west9, à Paris, avec trois zones (europe-west9-a, europe-west9-b et europe-west9-c).

Pour Dedicated Interconnect, Google publie quatre installations à Paris, chacune dans les deux domaines et associée à europe-west9 comme région à faible latence : Digital Realty Paris PAR7, Global Switch (Paris), DATA4 Paris Marcoussis et Telehouse Paris 2 (Voltaire, Léon Frot). À Marseille, Digital Realty Marseille MRS1-3 porte les deux domaines dans le même bâtiment, sans région à faible latence indiquée. Dans les deux villes, Google indique des liens de 10 et 100 Gbit/s compatibles MACsec.

Conséquence pour la redondance. Dedicated Interconnect admet une variante à 99,99 % sur une seule région : quatre connexions dans une métropole, sur deux combinaisons d’installation et de domaine, commandées en groupe PRODUCTION_CRITICAL, avec des rattachements dans la région à faible latence. Paris entre dans ce cadre, sous réserve que Google accepte la paire d’installations. En Partner Interconnect, le 99,99 % exige deux régions : la seconde paire, raccordée par exemple à Marseille, appartient forcément à une région hors de France, par laquelle Google peut faire passer le trafic si toute une région est touchée. Le 99,9 % sur Paris seule reste possible.

Chiffrer le trafic : MACsec et HA VPN over Cloud Interconnect

Privé ne veut pas dire chiffré. MACsec pour Cloud Interconnect (norme IEEE 802.1AE) chiffre au niveau 2 entre votre routeur et la bordure de Google en Dedicated ; en Partner, entre la bordure de Google et le routeur du fournisseur, avec qui le client doit s’assurer que le trafic reste chiffré dans son réseau. Il ne chiffre pas le transit à l’intérieur de Google et n’est pas facturé en supplément. Il fonctionne sur tous les liens de 100 et 400 Gbit/s ; en 10 Gbit/s, dans certaines installations seulement, sur demande au responsable de compte. Google recommande la suite GCM-AES-256-XPN.

HA VPN over Cloud Interconnect monte des tunnels IPsec sur les rattachements VLAN, en Dedicated comme en Partner, avec des passerelles à adresses internes possibles. Contraintes :

  • le chiffrement se choisit à la création du rattachement et ne s’ajoute pas ensuite ;
  • deux niveaux, deux Cloud Routers : l’un pour l’interconnexion, l’autre pour le VPN ;
  • charge utile de 1 354 à 1 386 octets, 250 000 paquets par seconde par tunnel, 50 Gbit/s par rattachement chiffré, moins de 5 ms de latence ajoutée ;
  • aucun SLA avec un seul rattachement ; 99,99 % en multirégion, 99,9 % sur une région.

Pour des cartes SIM, l’extrémité IPsec côté client est un équipement placé après le pare-feu, pas l’objet. Google conseille de combiner MACsec, IPsec et TLS.

Des cartes SIM jusqu’au VPC : les tronçons du chemin

TronçonCe qui s’y passeQui l’exploite
APN dédiéSeules les cartes SIM du client y entrentL’opérateur des cartes SIM
Pare-feuFiltre les flux vers le VPC et vers les objetsLe client, qui en écrit les règles
Liaison privéeTransporte le trafic jusqu’à l’emplacement Google, hors InternetLe fournisseur d’interconnexion
Rattachement VLAN et Cloud RouterReçoit en BGP les blocs des APN, annonce les sous-réseaux du VPCGoogle, dans le projet du client
Réseau VPCInstances joignables par leurs adresses internesLe client

Pour joindre des API Google plutôt qu’une machine du VPC, l’accès privé à Google pour les hôtes sur site évite les adresses publiques, avec des annonces de routes personnalisées sur le Cloud Router. Le même chemin vers d’autres clouds est détaillé pour les cartes SIM et AWS Direct Connect et pour les cartes SIM et Azure ExpressRoute.

Préparer un raccordement de cartes SIM à Google Cloud

  1. Fixer la cible : projet, réseau VPC, région (europe-west9 pour Paris) et disponibilité, 99,9 % ou 99,99 % avec une seconde région.
  2. Réserver le plan d’adressage : blocs des APN, sous-réseaux du VPC et réseaux des sites, sans chevauchement ; routage global pour le 99,99 % en Partner Interconnect.
  3. Créer l’APN et le filtrage : cartes SIM dans un APN privé dédié, puis règles du pare-feu des cartes SIM, tout refusé sauf les flux nécessaires.
  4. Décider du chiffrement d’abord : MACsec se choisit avec le fournisseur, HA VPN exige des rattachements créés chiffrés.
  5. Créer le Cloud Router (ASN 16550) et une paire de rattachements Partner sur les deux domaines ; noter les clés d’appairage.
  6. Commander au fournisseur d’interconnexion : clés, emplacement, capacité ; Google envoie un courriel quand la configuration est faite.
  7. Activer chaque rattachement après avoir vérifié le fournisseur, ou le pré-activer en niveau 3.
  8. Établir ou contrôler BGP : session à configurer en niveau 2, routes reçues à vérifier dans tous les cas.
  9. Tester la bascule : couper un rattachement, vérifier qu’un seul domaine absorbe le trafic.

Ce que propose M2M Network

M2M Network sépare les cartes SIM de chaque client dans un APN dédié et fait passer leurs flux par un pare-feu que le client administre lui-même. Le trafic est ensuite livré en VPN, en MPLS ou en VPLS jusqu’aux sites du client, ou directement dans son cloud par interconnexion cloud privée, sans passer par Internet : AWS, Azure, OVHcloud, et aussi Google Cloud. L’APN privé classique reste disponible. Pour étudier le raccordement de votre parc à Google Cloud, contactez l’équipe M2M Network. Pour héberger vos serveurs en France, le groupe MUONA propose aussi Guardis, sur une infrastructure certifiée ISO 27001 et HDS.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

    Questions fréquentes

    Qu’est-ce que Google Cloud Interconnect ?

    C’est l’ensemble des services de Google Cloud qui relient un réseau externe à un réseau VPC sans passer par l’Internet public. Dedicated Interconnect fournit une connexion physique dans une installation de colocation, à partir de 10 Gbit/s ; Partner Interconnect passe par un fournisseur de services déjà raccordé à Google, avec des rattachements VLAN de 50 Mbit/s à 50 Gbit/s. Dans les deux cas, les routes s’échangent en BGP avec un Cloud Router.

    Quelle différence entre Partner Interconnect de niveau 2 et de niveau 3 ?

    En niveau 2, vous configurez vous-même une session BGP entre votre routeur et le Cloud Router, pour chaque rattachement VLAN. En niveau 3, le fournisseur établit ces sessions automatiquement et le rattachement peut être pré-activé, mais les valeurs MED ne passent pas, ce qui empêche de fixer des priorités de routes. Tous les fournisseurs ne proposent pas les deux, et l’offre change d’une ville à l’autre.

    Google Cloud Interconnect est-il disponible à Paris ?

    Oui. Google publie quatre installations Dedicated Interconnect à Paris (Digital Realty PAR7, Global Switch, DATA4 Paris Marcoussis, Telehouse Paris 2 Voltaire), associées à la région europe-west9, et une à Marseille (Digital Realty MRS1-3). Sa liste de fournisseurs Partner Interconnect compte 14 noms à Paris et 3 à Marseille.

    Le trafic Google Cloud Interconnect est-il chiffré ?

    Non, pas par défaut, selon Google. MACsec chiffre le lien de niveau 2 entre votre routeur, ou celui du fournisseur en Partner Interconnect, et le routeur de bordure de Google. HA VPN over Cloud Interconnect ajoute des tunnels IPsec au-dessus des rattachements VLAN, à condition que ceux-ci aient été créés chiffrés.

    Peut-on atteindre 99,99 % de disponibilité en restant en France ?

    En Partner Interconnect, une partie de la topologie sort de France : Google exige deux régions, et la France n’en compte qu’une, europe-west9 (Paris). Les deux métropoles de raccordement peuvent être Paris et Marseille, mais la seconde paire de rattachements appartient à une autre région. Dedicated Interconnect admet en revanche une variante à 99,99 % sur une seule région, avec quatre connexions dans une même métropole.

    Les cartes SIM ont-elles besoin d’une adresse IP publique pour joindre un VPC Google ?

    Non. Google indique que les adresses internes du VPC sont directement joignables depuis le réseau raccordé par Cloud Interconnect, sans NAT ni tunnel VPN. Les blocs d’adresses attribués aux cartes SIM dans l’APN sont annoncés en BGP au Cloud Router ; ils ne doivent pas chevaucher les sous-réseaux du VPC.

    Sources