基于WireGuard在GCP上配置动态路由的技术问询

能否通过WireGuard隧道向GCP Cloud Router通告BGP路由？

实现方式 #

使用terraform管理GCP资源。

网络架构 #

本地网络与GCP网络的具体配置如下：

• 本地网络
  • WireGuard端点：10.1.1.1，隧道IP：192.168.1.2，接口：wg0
  • 静态IP服务器：1.2.3.4、5.6.7.8
• GCP网络
  • 含单子网10.2.2.0/24的VPC
  • WireGuard端点：10.2.2.2，隧道IP：192.168.1.3，接口：wg0

已在两个WireGuard端点间建立VPN隧道。

期望路由规则 #

希望GCP网络可通过VPN隧道访问本地服务器1.2.3.4和5.6.7.8，GCP侧路由规则要求：

• 1.2.3.4：下一跳为10.2.2.2
• 5.6.7.8：下一跳为10.2.2.2
• 其余流量走默认路由

当前路由配置 #

已通过两条静态路由实现上述规则，但静态路由为全局资源。未来计划扩展至多区域GCP架构，每个区域配置独立WireGuard隧道，而GCP不支持区域级静态路由，因此动态路由是最优方案。

WireGuard配合动态路由的疑问 #

无BGP经验，据了解需完成以下步骤：

1. 从本地网络通过BGP通告1.2.3.4和5.6.7.8的路由（调研发现BIRD是可行方案，但不确定是否冗余）
2. 在GCP上部署Cloud Router
3. 配置Cloud Router通过10.2.2.2的VPN隧道接收BGP路由

不确定第三步是否可行，虽找到第三方VPN互操作文档，但未明确WireGuard是否支持。如何配置GCP Cloud Router通过WireGuard VPN隧道接收BGP路由？

替代方案 #

调研到的区域级路由实现方案包括Forwarding Rules和Policy-Based Routes，但两者均需配置负载均衡器，对于仅需两条静态路由的场景过于冗余。

内容的提问来源于stack exchange，提问作者Adama