BYOIP в Alibaba Cloud: собствен /23 или по-голям като Elastic IP адреси

Насочвате route обекта за диапазона си към ASN на Alibaba Cloud и подавате тикет. След като тикетът бъде одобрен, Alibaba Cloud анонсира диапазона от региона, посочен в него.

Какво приема Alibaba Cloud

От документацията на Alibaba Cloud, в деня на проверката:

• Размер. /23 или по-голям: „Prefixes longer than /23, such as /24, are not supported.“ (превод: „Префикси, по-дълги от /23, например /24, не се поддържат.“) Само IPv4.
• Регистър. Диапазонът „must be registered with a Regional Internet Registry (RIR)“ (превод: „трябва да е регистриран в регионален интернет регистър (RIR)“). Alibaba Cloud не публикува нищо за статус PA, PI или legacy, нито на чие име трябва да е диапазонът.
• Кой анонсира. Alibaba Cloud, от AS45102. „You cannot use your own ASN.“ (превод: „Не можете да използвате собствен ASN.“)
• Региони. US (Silicon Valley), US (Virginia), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Japan (Tokyo), Indonesia (Jakarta), Germany (Frankfurt) и UK (London). Не и континентален Китай.
• История. Alibaba Cloud може да провери диапазон и да отхвърли такъв с „adverse records and a history of malicious activity“ (превод: „неблагоприятни записи и история на злонамерена дейност“) (как да поддържате блока чист).
• Цена. „The BYOIP feature is free of charge.“ (превод: „Функцията BYOIP е безплатна.“) Таксата за конфигурация на EIP, за държане на Elastic IP адрес, се опрощава, а Вие плащате за честотна лента.
• Срок. Около един месец, „depending on the time it takes for Alibaba Cloud to apply for and advertise the IP addresses“ (превод: „в зависимост от времето, нужно на Alibaba Cloud да заяви и анонсира IP адресите“).

Преди да започнете

Route обект с origin AS45102. Alibaba Cloud Ви моли да зададете origin за диапазона си на AS45102 в регистъра за маршрутизиране, следвайки инструкциите на собствения Ви регистър, и да проверите резултата в RADb. В RIPE Database изглежда така; диапазоните за документация са все /24, затова префиксът е заместител:

route:    <your-prefix>/23
descr:    Example B.V.
origin:   AS45102
mnt-by:   EXAMPLE-MNT
source:   RIPE

Валиден ROA. Alibaba Cloud прехвърля това на Вас: ако ROA стане невалиден, мрежите, които правят route origin validation, отхвърлят маршрута, а Alibaba Cloud може да спре да го анонсира. Страницата му не описва ROA подробно. Маршрут от AS45102 е валиден само ако ROA посочва AS45102 за префикса така, както е анонсиран, затова създайте точно този (RPKI и ROA).

Какво трябва да съдържа тикетът. Диапазона, региона и потвърждение, че origin вече е AS45102. „No other information is required at this time.“ (превод: „Към момента не е нужна друга информация.“) Alibaba Cloud не иска сертификат, токен или Letter of Authorization.

Стъпка по стъпка

1. Обновете регистъра за маршрутизиране. Създайте или променете route обекта така, че origin да е AS45102, след това го потвърдете в RADb, например с whois -h whois.radb.net <your-prefix>/23.
2. Създайте ROA за AS45102 във Вашия регистър.
3. Подайте тикет с искане за BYOIP, с диапазона, региона и потвърждението за промяната на origin. Ако искате анонсиране чрез BGP (Multi-ISP) Pro, посочете го в същия тикет.
4. Изчакайте оценката. Представител се свързва с Вас, ако е нужно още нещо, и „to discuss and finalize the terms“ (превод: „за да обсъдите и финализирате условията“), затова поддържайте данните си за контакт актуални. След одобрение Alibaba Cloud анонсира диапазона от региона с AS45102 и го добавя в списъка си за защита.
5. Разпределете EIP. В конзолата Elastic IP Address изберете региона и щракнете Apply for Specific EIP. Можете също да добавите диапазона в IP address pool и да разпределяте от него. Функцията за пулове е изключена по подразбиране и Вашият account manager я включва.
6. Проверете отвън. Валидаторът на RIPEstat трябва да отчете диапазона като валиден за AS45102:

curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=45102&prefix=<your-prefix>/23"

Капани

• /24 не стига. Два /24 стават само ако са двете половини на един /23, като тогава route обектът и ROA покриват /23.
• Квотата за пулове е половин /23. По подразбиране IP address pools съдържат „a combined maximum of 256 IP addresses across all pools in the region“ (превод: „общо най-много 256 IP адреса във всички пулове в региона“). Поискайте повече от account manager, преди да добавите целия диапазон в пулове.
• EIP стои зад NAT. Собственият FAQ на Alibaba Cloud казва, че EIP не е native public IP: когато ECS инстанция използва такъв, трафикът ѝ минава през NAT. Софтуер, който трябва да вижда публичния си адрес на инстанцията, трябва да отчете това.
• Само таксуване по честотна лента. EIP от Вашия диапазон са pay-as-you-go по фиксирана честотна лента и могат да се присъединяват само към инстанции на Internet Shared Bandwidth, таксувани по същия начин.
• Напускането също отнема месец. Оттеглянето на диапазон отнема горе-долу колкото внасянето му, затова планирайте изхода заедно с входа.

Ако наемате блока

Alibaba Cloud не публикува правило на чие име трябва да е регистриран диапазонът и не иска Letter of Authorization. Нужното е в регистъра, затова го прави държателят. Държателят създава route обекта с origin AS45102, за което е нужен неговият maintainer, и ROA за AS45102, поддържан валиден през целия наем. Едва тогава можете да потвърдите промяната на origin в тикета си. Наемът трябва и да покрива поне /23.

Къде се вписва RTM Networks

Отдаваме под наем /24 и по-големи блокове от нашето собствено адресно пространство в RIPE NCC, включително /23, който изисква Alibaba Cloud (наем на IPv4), и продаваме блокове в регионите на RIPE NCC, ARIN и APNIC. За адреси, наети от нас, създаваме route обекта и ROA за AS45102. Ако са Ви нужни по-малко от 512 адреса на ECS инстанция, анонсираме блок сами и го доставяме през GRE или WireGuard, във всякакъв размер до един адрес (GRE и WireGuard тунели). Други доставчици: ръководства за BYOIP.