Aggiunta di una connessione nella console

Per aggiungere una connessione VPN a un gateway VPN esistente, attenersi alla seguente procedura:

1. Evidenziare la riga del gateway con cui si desidera lavorare nella tabella Gateway VPN, quindi fare clic su Crea connessione dal menu Azioni Azioni.

   In alternativa, nella pagina dei dettagli del gateway, puoi fare clic su Crea nella sezione delle connessioni VPN.

2. Definisci una connessione tra questo gateway e una rete esterna al tuo VPC specificando le seguenti informazioni:

   • Nome della connessione VPN- Inserisci un nome per la connessione, ad esempio my-connection.

   • Tipo di connessione- Selezionare il tipo di connessione statica o dinamica.

   • Indirizzo del gateway peer- Specificare l'indirizzo IP del gateway VPN per la rete esterna al proprio VPC.

     Una volta configurata la connessione VPN, non è possibile modificare il tipo di indirizzo del gateway peer da indirizzo IP a FQDN, né da FQDN a indirizzo IP.

   • ASN del peer (solo basato su route dinamiche)- Se si seleziona Dinamico come tipo di connessione, è necessario specificare l'ASN del peer. Questo valore identifica la rete peer esterna con cui la VPN scambia le rotte.

   • Stabilisci modalità- Selezionare Bidirezionale o Solo peer.

     • La modalità bidirezionale avvia le negoziazioni del protocollo IKE (o i processi di ricodifica delle chiavi) da entrambe le parti del gateway VPN.
     • La modalità Solo peer consente al peer di avviare le negoziazioni del protocollo IKE per questa connessione gateway VPN. Il peer è anche responsabile dell'avvio del processo di rekeying dopo che è stato stabilito il collegamento.

     Se il tuo dispositivo peer è dietro un dispositivo NAT e non ha un indirizzo IP pubblico, assicurati di specificare Solo peer.

   • Chiave preimpostata- Specificare la chiave di autenticazione del gateway VPN per la rete esterna al proprio VPC. La chiave precondivisa è una stringa di cifre esadecimali o una passphrase di caratteri ASCII stampabili. Per essere compatibile con la maggior parte dei tipi di gateway peer, questa stringa deve seguire queste regole:

     • Può essere una combinazione di cifre, caratteri minuscoli o maiuscoli o i seguenti caratteri speciali: - + & ! @ # $ % ^ * ( ) . , :
     • La lunghezza della stringa deve essere compresa tra 6 e 128 caratteri.
     • Non può iniziare con 0x o 0s.

   • Distribuisci traffico (solo VPN basate su rotte)- Abilitare questa opzione per distribuire automaticamente il traffico tra le gallerie attive del gateway VPN quando l'hop successivo di una rotta VPC è la connessione VPN. Questa opzione è utile per massimizzare il throughput quando due tunnel VPN si connettono alla rete peer remota. Se questa opzione non è abilitata, il gateway VPN sceglie il tunnel con l'IP pubblico più piccolo come percorso primario e passa al tunnel secondario solo se il primario si guasta. Per ulteriori informazioni, vedere Caso d'uso 4: Distribuzione del traffico per una VPN basata su percorsi.

   • CIDR IBM locali (solo VPN basate sulla politica)- Specifica uno o più CIDR nel VPC che vuoi connettere tramite il tunnel VPN.

   • CIDR peer (solo VPN basate sulla politica)- Specificare uno o più CIDR nell'altra rete che si desidera connettere tramite il tunnel VPN. La sovrapposizione dell'intervallo di sottoreti tra sottoreti locali e peer non è consentita.

3. Nella sezione Dettagli tunnel (solo basato su route dinamiche), specificare gli IP del tunnel e dell'interfaccia peer necessari per il routing dinamico con BGP.

   • IP interfaccia tunnel- Specificare l'indirizzo IP assegnato al lato gateway VPN del tunnel VPN.

   • IP interfaccia peer- Specificare l'indirizzo IP assegnato al lato della rete remota del tunnel VPN. Questo indirizzo è il dispositivo on-premises o il gateway VPN peer.

     Gli IP del tunnel e dell'interfaccia peer devono essere continui e appartenere alla stessa sottorete /30. Questa sottorete fornisce quattro indirizzi IP, ma il primo (indirizzo di rete) e l'ultimo (indirizzo di broadcast) sono riservati. Ad esempio, nella sottorete 192.168.0.0/30, gli IP utilizzabili sono 192.168.0.1 e 192.168.0.2. Se si assegna 192.168.0.1 all'interfaccia del tunnel 1, l'interfaccia del peer 1 deve essere 192.168.0.2. Analogamente, per il Tunnel 2, utilizzare una sottorete /30 diversa, ad esempio 192.168.0.4/30. In questo caso, assegnare 192.168.0.5 all'interfaccia del tunnel 2 e 192.168.0.6 all'interfaccia del peer 2.

4. Per configurare la modalità con cui il gateway VPN invia i messaggi per verificare che il gateway peer sia attivo, specificare le seguenti informazioni nella sezione " Rilevamento peer inattivo ".

   • Azione- L'azione da intraprendere nel caso in cui un gateway peer smetta di rispondere. Ad esempio, seleziona Restart se vuoi che il gateway rinegozi immediatamente la connessione.
   • Intervallo (sec.)- Frequenza con cui verificare che il gateway peer sia attivo. Per impostazione predefinita, i messaggi vengono inviati ogni 2 secondi.
   • Timeout (sec.)- Tempo di attesa per una risposta dal gateway peer. Per impostazione predefinita, un gateway peer viene considerato inattivo se non si riceve una risposta entro 10 secondi.

5. Nella sezione "Politiche", specificare le opzioni Internet Key Exchange (IKE) e IPsec ( Internet Protocol ) da utilizzare per la negoziazione della connessione nelle Fasi 1 e 2.

   • Selezionare " Auto " se si desidera che il gateway tenti di stabilire automaticamente la connessione.

   • Selezionare o creare criteri personalizzati se:

     • È necessario applicare particolari requisiti di sicurezza.
     • Il gateway VPN dell'altra rete non supporta le proposte di sicurezza negoziate automaticamente durante la configurazione.

     IKEv1 supporta solo un singolo algoritmo. Se la connessione VPN utilizza un criterio IKEv1, anche il criterio IPsec associato deve contenere un solo algoritmo. I criteri IPsec con algoritmi multipli non sono supportati da IKEv1.

6. Nella sezione Opzioni avanzate, è possibile personalizzare le identità IKE locali e peer invece di utilizzare l'identità IKE predefinita. È possibile specificare al massimo un'identità IKE peer.

   Per i gateway VPN basati su criteri, puoi configurare al massimo un'identità IKE locale. Per i gateway VPN basati sull'instradamento, se vuoi configurare un'identità IKE locale, devi fornirne due. È possibile inserire i valori relativi ai membri oppure lasciare vuoti i campi di immissione.

   • Identità IKE locali- Selezionare un tipo per l'identità IKE locale, quindi immetterne il valore. Ad esempio, è possibile inserire un singolo indirizzo IPv4 a 4 ottetti (9.168.3.4), un FQDN (my-vpn.example.com), un hostname (my-host) o un ID chiave base64-encoded (MTIzNA==).

     • La modalità di instradamento statico è composta da due membri in modalità attivo - attivo, dove la prima identità si applica al primo membro e la seconda identità si applica al secondo membro. Se non si specificano identità IKE locali, il tipo è un indirizzo IPv4 e il valore è l'indirizzo IP pubblico del tunnel di connessione VPN del membro.

     • La modalità politica è composta da due membri in modalità standby attivo. L'identità IKE locale si applica al membro attivo. Se non si specifica alcun valore, l'identità IKE locale corrisponde all'indirizzo IP pubblico del gateway VPN.

   • Identità IKE peer- Selezionare un tipo per l'identità IKE peer, quindi immetterne il valore. Ad esempio, è possibile inserire un indirizzo IPv4 (9.168.3.4), un FQDN (my-vpn.example.com), un nome host (my-host) o un ID chiave base64-encoded (MTIzNA==).

     L'identità IKE del peer si applica al membro attivo. Se non si specifica un valore, utilizzare l'indirizzo IPv4 o l'FQDN del gateway peer.

7. Esaminare il pannello Riepilogo, quindi fare clic su Crea connessione VPN.

Aggiunta di una connessione dalla CLI

Prima di iniziare, configura il tuo ambiente CLI.

Per creare una connessione VPN dalla CLI, immetti il seguente comando:

ibmcloud is vpn-gateway-connection-create CONNECTION_NAME VPN_GATEWAY PEER PRESHARED_KEY
[--vpc VPC] [--admin-state-up true | false]
[--routing-protocol bgp | none]
[--dead-peer-detection-action restart | clear | hold | none]
[--distribute-traffic true | false]
[--dead-peer-detection-interval INTERVAL] [--dead-peer-detection-timeout TIMEOUT] [--ike-policy IKE_POLICY_ID]
[--ipsec-policy IPSEC_POLICY_ID] [--peer-cidr CIDR1 --peer-cidr CIDR2 ... --local-cidr CIDR1 --local-cidr CIDR2 ...]
[[--local-ike-identity-type fqdn | hostname | ipv4_address | key_id --local-ike-identity-value VALUE] |
[--local-ike-identities LISTENER_POLICIES_JSON | @LISTENER_POLICIES_JSON_FILE]]
[--peer-asn]
[--tunnels NEIGHBOR_IP TUNNEL_INTERFACE_IP]
[--peer-ike-identity-type fqdn | hostname | ipv4_address | key_id --peer-ike-identity-value VALUE]
[--establish-mode bidirectional | peer_only] [--output JSON] [-q, --quiet]
ibmcloud is vpn-gateway-connection-create CONNECTION_NAME VPN_GATEWAY PEER PRESHARED_KEY

Dove:

CONNECTION_NAME

Il nome della connessione.

VPN_GATEWAY

L'ID del gateway VPN.

PEER

L'indirizzo IP o FQDN del gateway VPN peer.

PRESHARED_KEY

La chiave pre-condivisa.

--vpc

L'ID o il nome del VPC. Questo campo è obbligatorio solo per specificare la risorsa univoca in base al suo nome all'interno di questa VPC.

--admin-state-up

Se impostato su “ false ”, la connessione al gateway VPN viene interrotta. Il valore di questo campo può essere true o false.

--routing-protocol

Determina se la modalità è statica o dinamica. Il valore di questo campo può essere bgp o none. Impostare il valore su bgp per la VPN dinamica basata sulle rotte.

--dead-peer-detection-action

L'azione di rilevamento dei peer inattivi. Il valore di questo campo può essere restart, clear, hold, o none. (Predefinito: restart).

--dead-peer-detection-interval

Intervallo di rilevamento dei peer inattivi, espresso in secondi (impostazione predefinita: 2).

--dead-peer-detection-timeout

Il timeout per il rilevamento dei peer inattivi, espresso in secondi (impostazione predefinita: 10).

--distribute-traffic

Impostare su " true " per distribuire il traffico tra i tunnel Up della connessione gateway VPN quando il next hop di una rotta VPC è la connessione VPN. Questo valore può essere “ true ” oppure “ false ”. Per ulteriori informazioni, vedere Distribuzione del traffico per una VPN basata su route.

--ike-policy

L'ID della politica IKE.

--ipsec-policy

L'ID della politica IPsec.

--local-ike-identity-type

Il tipo di identità IKE locale. Il valore di questo campo può essere fqdn, hostname, ipv4_address, o key_id.

--local-ike-identity-value

Il valore dell'identità IKE locale.

--local-ike-identities

L'ID dell'identità IKE locale. LOCAL_IKE_IDENTITIES_JSON | @LOCAL_IKE_IDENTITIES_JSON_FILE in JSON o in un file JSON.

--peer-asn

Identifica la rete peer esterna nel routing dinamico con cui la VPN scambia le rotte.

--tunnels

Specifica gli IP delle interfacce tunnel e peer necessari per il routing dinamico con BGP. Questo campo contiene il valore dell'indirizzo IP delle interfacce locali (tunnel) e remote (peer). Gli IP del tunnel e dell'interfaccia peer devono essere continui e appartenere alla stessa subnet /30.

-peer-cidr

I CIDR corrispondenti alla risorsa.

-local-cidr

Il CIDR locale della risorsa.

-peer-ike-identity-type

Il tipo di identità IKE peer. Il valore di questo campo può essere ipv4_address, fqdn, hostname, o key_id.

--peer-ike-identity-value

Il valore dell'identità IKE peer.

I gateway VPN basati su criteri possono avere una sola identità IKE locale.

Se un gateway VPN basato su route ha identità IKE locali specificate, devono essere almeno due; la prima identità si applica al primo membro del gateway VPN e la seconda identità si applica al secondo membro.

--establish-mode

Questo campo può essere bidirectional o peer_only. La modalità bidirezionale avvia le negoziazioni del protocollo IKE (o i processi di ricodifica delle chiavi) da entrambe le parti del gateway VPN. La modalità solo peer consente al peer di avviare le negoziazioni del protocollo IKE per questa connessione gateway VPN. Il peer è anche responsabile dell'avvio del processo di rekeying dopo che è stato stabilito il collegamento. Se la rekeying non si verifica, la connessione del gateway VPN viene rimossa dopo la scadenza della sua durata.

-output

Specifica che il formato di uscita è JSON.

-q, --quiet

Sopprime l'output dettagliato.

Aggiunta di un CIDR locale a una connessione gateway VPN dalla CLI

Prima di iniziare, configura il tuo ambiente CLI.

Per aggiungere un CIDR locale a una connessione gateway VPN dalla CLI, immetti il seguente comando:

Questo comando è supportato solo dai gateway VPN in modalità politica.

ibmcloud is vpn-gateway-connection-local-cidr-add VPN_GATEWAY CONNECTION PREFIX_ADDRESS PREFIX_LENGTH [--vpc VPC] [--output JSON] [-q, --quiet]

Dove:

VPN_GATEWAY

L'ID del gateway VPN.

CONNECTION

L'ID o il nome della connessione VPN.

PREFIX_ADDRESS

La parte di indirizzo del prefisso del CIDR.

PREFIX_LENGTH

La parte di lunghezza del prefisso del CIDR.

--output value

L'output in formato JSON.

-q, --quiet

Sopprime l'output dettagliato.

ibmcloud is vpn-gateway-connection-local-cidr-add my-vpn-gateway my-connection 3.3.3.0/24

Aggiunta di un CIDR peer a una connessione gateway VPN dalla CLI

Prima di iniziare, configura il tuo ambiente CLI.

Per aggiungere un CIDR peer a una connessione gateway VPN dalla CLI, immettere il seguente comando:

Questo comando è supportato solo dal gateway VPN in modalità normativa.

ibmcloud is vpn-gateway-connection-peer-cidr-add VPN_GATEWAY CONNECTION PREFIX_ADDRESS PREFIX_LENGTH [--vpc VPC] [--output JSON] [-q, --quiet]

Dove:

VPN_GATEWAY

ID del gateway VPN.

CONNECTION

ID o nome della connessione VPN.

PREFIX_ADDRESS

Parte dell'indirizzo del prefisso del CIDR.

PREFIX_LENGTH

Parte relativa alla lunghezza del prefisso nel CIDR.

--output value

Output in formato JSON.

-q, --quiet

Sopprimi l'output dettagliato.

ibmcloud is vpn-gateway-connection-peer-cidr-add my-vpn-gateway my-connection 4.4.4.0/24

Aggiunta di una connessione con l'API

Per creare una connessione VPN con l'API, attieniti alla seguente procedura:

1. Configura il tuo ambiente API con le variabili corrette.

2. Memorizzare eventuali variabili aggiuntive da utilizzare nei comandi API, ad esempio:

   • vpnGatewayId- L'identificativo del gateway VPN.

     export vpnGatewayId=<your_vpn_gateway_id>
     

   • ikePolicyId- L'identificativo univoco per questa normativa IKE.

     export ikePolicyId=<your_ike_policy_id>
     

   • ipsecPolicyId- L'identificativo univoco per questa politica IPsec.

     export ipsecPolicyId=<your_ipsec_policy_id>
     

3. Quando tutte le variabili vengono avviate, creare la connessione gateway VPN. Ad esempio,

      # To create a connection for policy-based VPN, use the following command:
      curl -X POST "$vpc_api_endpoint/v1/vpn_gateways/$vpnGatewayId/connections?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token" \
        -d '{
            "name": "my-vpn-connection",
            "psk": "'$psk'",
            "dead_peer_detection": {
                "action": "restart",
                "interval": 2,
                "timeout": 10
            },
            "local": {
                "cidrs": "'$localCidrs'"
            },
            "peer": {
                "cidrs": "'$remoteCidrs'",
                "address": "7.8.9.10"
            }
            "ike_policy": {
                "id": "'$ikePolicyId'"
            },
            "ipsec_policy": {
                "id": "'$ipsecPolicyId'"
            }
        }'
   

      # For a static route-based VPN connection, use the following command:
      curl -X POST "$vpc_api_endpoint/v1/vpn_gateways/$vpnGatewayId/connections?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token" \
        -d '{
            "name": "my-vpn-connection",
            "routing_protocol": "none",
            "psk": "'$psk'",
            "distribute_traffic":true,
            "dead_peer_detection": {
                "action": "restart",
                "interval": 2,
                "timeout": 10
            },
            "ike_policy": {
                "id": "'$ikePolicyId'"
            },
            "ipsec_policy": {
                "id": "'$ipsecPolicyId'"
            }
        }'
   

     # For a dynamic route-based VPN connection, use the following command:
    curl -X POST "$vpc_api_endpoint/v1/vpn_gateways/$vpnGatewayId/connections?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token" \
        -H "Content-Type: application/json" \
        -H "Accept: application/json" \
        -H "X-Correlation-ID: 0ba2d683-cce9-404f-9b8e-463543888ff9" \
        -d '{
            "name": "vpn-new-connection",
            "psk": "'$psk'",
            "dead_peer_detection": {
                "action": "restart",
                "interval": 2,
                "timeout": 10
            },
            "distribute_traffic": true,
            "establish_mode": "bidirectional",
            "peer": {
                "address": "9.168.3.4",
                "asn": 64543
            },
            "routing_protocol": "bgp",
            "tunnels": [
            {
                "neighbor_ip": { "address": "192.168.0.2" },
                "tunnel_interface_ip": { "address": "192.168.0.1" }
            },
            {
                "neighbor_ip": { "address": "192.168.0.6" },
                "tunnel_interface_ip": { "address": "192.168.0.5" }
            }
            ]
        }'
   

4. (Facoltativo) Per creare una connessione utilizzando le opzioni di configurazione avanzate:

   curl -X POST "$vpc_api_endpoint/v1/vpn_gateways/$vpnGatewayId/connections?version=$api_version&generation=2"  \
         -H "Authorization: Bearer $iam_token"      -d '{  \
         "name": "my-advanced-vpn-connection",
         "establish_mode": "peer_only",
         "psk": "'$psk'",
         "dead_peer_detection": {
             "action": "restart",
             "interval": 2,
             "timeout": 10
         },
         "local": {
             "cidrs": "'$localCidrs'",
             "ike_identities": [
                 {
                     "type": "key_id",
                     "value": "dGVzdGtleQ=="
                 }
             ]
         },
         "peer": {
             "cidrs": "'$remoteCidrs'",
             "ike_identity": {
                 "type": "hostname",
                 "value": "cisco-asa"
             },
             "fqdn": "on-prem.test.com"
         }
         "ike_policy": {
             "id": "'$ikePolicyId'"
         },
         "ipsec_policy": {
             "id": "'$ipsecPolicyId'"
         },
         "distribute_traffic":true
     }'
   

Aggiunta di un CIDR locale a una connessione gateway VPN con l'API

Per aggiungere un CIDR locale a una connessione gateway VPN con l'API, attieniti alla seguente procedura:

Questa API è supportata solo dai gateway VPN in modalità politica.

1. Configura il tuo ambiente API con le variabili corrette.

2. Memorizzare eventuali variabili aggiuntive da utilizzare nei comandi API, ad esempio:

   • vpnGatewayId- L'identificativo del gateway VPN.

     export vpnGatewayId=<your_vpn_gateway_id>
     

   • connectionId- L'identificativo univoco per questa connessione VPN.

     export connectionId=<your_connection_id>
     

   • cidr_prefix- La parte dell'indirizzo relativa al prefisso nel formato CIDR.

     export cidr_prefix=<your_cidr_prefix>
     

   • prefix_length- La parte relativa alla lunghezza del prefisso nel CIDR.

     export prefix_length=<your_prefix_length>
     

3. Quando tutte le variabili vengono avviate, aggiungere un CIDR locale a una connessione gateway VPN. Ad esempio,

      curl -X PUT "$vpc_api_endpoint/v1/vpn_gateways/$vpnGatewayId/connections/$connectionId/local_cidrs/${cidr_prefix}/${prefix_length}?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token"
   

Aggiunta di un CIDR peer a una connessione gateway VPN con l'API

Per aggiungere un CIDR peer a una connessione gateway VPN con l'API, attieniti alla seguente procedura:

Questa API è supportata solo dai gateway VPN in modalità politica.

1. Configura il tuo ambiente API con le variabili corrette.

2. Memorizzare eventuali variabili aggiuntive da utilizzare nei comandi API, ad esempio:

   • vpnGatewayId- L'identificativo del gateway VPN

     export vpnGatewayId=<your_vpn_gateway_id>
     

   • connectionId- L'identificativo univoco per questa connessione VPN

     export connectionId=<your_connection_id>
     

   • cidr_prefix- La parte dell'indirizzo relativa al prefisso del CIDR

     export cidr_prefix=<your_cidr_prefix>
     

   • prefix_length- La parte relativa alla lunghezza del prefisso nel CIDR.

     export prefix_length=<your_prefix_length>
     

3. Quando tutte le variabili vengono avviate, aggiungi un CIDR peer a una connessione gateway VPN. Ad esempio,

      curl -X PUT "$vpc_api_endpoint/v1/vpn_gateways/$vpnGatewayId/connections/$connectionId/peer_cidrs/${cidr_prefix}/${prefix_length}?version=$api_version&generation=2" \
        -H "Authorization: Bearer $iam_token"
   

Per visualizzare il set completo di API per i gateway VPN site-to-site, consultare il riferimento API VPC.

Aggiunta di una connessione utilizzando Terraform

Per aggiungere una connessione utilizzando Terraform, esegui questo comando:

   resource "ibm_is_vpn_gateway_connection" "is_vpn_gateway_connection" {
     name                 = "my-vpn-gateway-connection"
     vpn_gateway    = ibm_is_vpn_gateway.is_vpn_gateway.id
     peer_address   =  "7.8.9.10"
     preshared_key = var.presharedkey
     local_cidrs        = [var.localCIDR]
     peer_cidrs        = [var.peerCIDR]
   }

Il seguente esempio Terraform crea una connessione gateway VPN:

resource "ibm_is_vpn_gateway_connection" "is_vpn_gateway_connection" {
  name           = "my-vpn-gateway-connection"
  vpn_gateway    = ibm_is_vpn_gateway.is_vpn_gateway.id
  preshared_key  = "VPNDemoPassword"
  establish_mode = "bidirectional"
  peer {
    cidrs   = [var.peerCIDR]
    address = "7.8.9.10"
  }
  local {
    cidrs = [var.localCIDR]
  }
  ike_policy   = ibm_is_ike_policy.is_ike_policy.id
  ipsec_policy = ibm_is_ipsec_policy.is_ipsec_policy.id
}

Il seguente esempio di Terraform crea una connessione VPN per un gateway VPN basato su route con la funzione di distribuzione del traffico abilitata:

resource "ibm_is_vpn_gateway_connection" "test_VPNGatewayConnection1" {
    name = "example-vpn-gateway-connection"
    vpn_gateway = "${ibm_is_vpn_gateway.example.id}"
    peer_address = "${ibm_is_vpn_gateway.example.public_ip_address}"
    preshared_key = "VPNDemoPassword"
    distribute-traffic = true
}

Il seguente esempio di Terraform crea una connessione VPN utilizzando le opzioni di configurazione avanzate:

resource "ibm_is_vpn_gateway_connection" "is_vpn_gateway_connection" {
  name           = "to-prem"
  vpn_gateway    = ibm_is_vpn_gateway.is_vpn_gateway.id
  preshared_key  = "test123"
  establish_mode = "peer_only"
  peer {
    cidrs   = ["192.168.0.0/24"]
    ike_identity {
      type  = "ipv4_address"
      value = "192.168.0.1"
    }
    fqdn = "on-prem.test.com"
  }
  local {
    cidrs = ["10.10.20.0/28"]
  }
}

Il seguente esempio Terraform crea una connessione VPN dinamica per un gateway VPN basato su route con BGP:

resource "ibm_is_vpn_gateway" "example" {
  name      = "example-vpn-gateway"
  subnet    = ibm_is_subnet.example.id
  mode      = "route"
  local_asn = 64522
}
resource "ibm_is_vpn_gateway_connection" "example" {
  name               = "example-vpn-gateway-connection"
  vpn_gateway        = ibm_is_vpn_gateway.example.id
  preshared_key      = "VPNDemoPassword"
  distribute_traffic = true
  routing_protocol   = "bgp"
  local {
    ike_identities {
      type  = "fqdn"
      value = "fqdn.example.com"
    }
    ike_identities {
      type  = "fqdn"
      value = "fqdn.example.com"
    }
  }
  peer {
    ike_identity {
      type  = "fqdn"
      value = "example.fqdn.com"
    }
    fqdn = "peer-vpn.example.com"
    asn  = 65534
  }
  tunnel {
    neighbor_ip         = "192.168.1.8"
    tunnel_interface_ip = "10.0.0.8"
  }
  tunnel {
    neighbor_ip         = "192.168.1.6"
    tunnel_interface_ip = "10.0.0.6"
  }
}

Per ulteriori informazioni, vedi Registro Terraform.