BYOIP в Azure: собствени IPv4 адреси като custom IP prefix

Доказвате, че диапазонът е Ваш, с ROA, който посочва ASN на Microsoft, и сертификат в неговия WHOIS/RDAP запис, след това го предоставяте и извличате от него public IP prefixes и адреси.

Това ръководство следва унифицирания модел, за диапазон, използван в един регион, чрез Azure CLI. Диапазон не може да премине към глобалния/регионалния модел, родител с регионални деца, без да бъде въведен отново.

Какво приема Azure

От документацията на Microsoft, в деня на проверката:

• Размер. Унифициран префикс „must be between /21 and /24“ (превод: „трябва да е между /21 и /24“). Глобален родител също е от /21 до /24, с регионални деца от /22 до /26.
• Регистър и име. Диапазонът „must be owned by you and registered under your name“ (превод: „трябва да е Ваш и регистриран на Ваше име“) в регионален интернет регистър, сред които ARIN, RIPE NCC и APNIC. Нищо за статус PA, PI или legacy.
• Кой анонсира. Microsoft, под AS8075, или AS8070 за US Gov Cloud. Страниците на Microsoft за BYOIP не документират опция за собствен ASN. CLI командата в стъпка 1, az network custom-ip prefix create, все пак има параметър --asn, описан само като „The ASN for CIDR advertising“ (превод: „ASN за анонсиране на CIDR“), затова попитайте Microsoft, преди да разчитате на него.
• Региони. Един регион на префикс и по подразбиране пет префикса на регион, повече при заявка.
• Цена. „There's no charge to provision or use custom IP prefixes“ (превод: „Няма такса за предоставяне или използване на custom IP prefixes“), нито за извлечените от тях public IP prefixes и адреси. Трафикът се таксува по тарифите за изходящ интернет трафик.
• Срок. Около 30 минути за предоставяне и три до четири часа за глобално въвеждане в експлоатация.
• Ограничения. Без Internet Routing Preference, Global Tier, ExpressRoute Microsoft peering или Standard v2 public IPs. Reverse DNS работи от Вашите собствени зони в Azure DNS, Windows Server Activation може да отнеме до седмица, а предоставен диапазон не може да смени абонамента (subscription).

Преди да започнете

ROA за AS8075, с дължина на префикса точно такава, каквато Microsoft ще анонсира, и дата на изтичане, покриваща времето, през което искате да бъде анонсиран (RPKI и ROA). Предвидете поне 24 часа, за да го види Microsoft. Microsoft препоръчва и ROA за всеки ASN, който анонсира диапазона днес.

Двойка ключове и самоподписан сертификат, създадени с OpenSSL:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Сертификатът в WHOIS/RDAP записа на префикса, включително маркерите BEGIN и END, без интервали и нови редове:

Подписано съобщение за упълномощаване: ID на абонамента Ви, префиксът и датата на изтичане на ROA, в този ред:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft не иска Letter of Authorization, нито route обект.

Стъпка по стъпка

01Предоставете диапазона в съществуваща resource group. В регион с availability zones го направете zone-redundant или го закрепете към една зона:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Изчакайте Provisioned. commissionedState, който връща az network custom-ip prefix show, преминава от Provisioning в Provisioned. Ранен ValidationFailed означава, че ROA, сертификатът или съобщението не са минали проверката; полето FailedReason казва кое.

03Извлечете адреси. Създайте public IP prefix от диапазона, след това адреси Standard SKU от него, и ги закачете към VM или load balancers; те още не са анонсирани.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Въведете в експлоатация (commission). Ако диапазонът е активен другаде, две едновременни анонсирания „could potentially create BGP routing instability or traffic loss“ (превод: „биха могли да причинят нестабилност на BGP маршрутизацията или загуба на трафик“). Първо го въведете в експлоатация вътре в региона (Commission, после опцията само за региона, в портала, или -NoInternetAdvertise в PowerShell), тествайте, оттеглете старото анонсиране, след това го въведете глобално:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Докато е Commissioning, диапазонът е частично анонсиран, първо от региона, после от мрежата на Microsoft под AS8075, докато стане Commissioned.

Грешки, които струват един ден

• Сертификатът в descr. За RIPE NCC Microsoft казва remarks, докато AWS чете descr и изрично не remarks, така че блок, който се премества между двата облака, изисква промяна на записа.
• Дата, която не съвпада. Датата в подписаното съобщение е датата на изтичане на ROA, във формат yyyymmdd; ако няма такава, Microsoft казва да изберете датата, до която искате диапазонът да бъде анонсиран.
• ROA с грешна дължина. Несъответствие с предоставяния префикс завършва с InvalidPrefixLengthInROA.
• Напускане в грешен ред. Изтрийте всеки извлечен public IP prefix, след това изведете диапазона от експлоатация (три до четири часа), преди да промените или изтриете ROA. Иначе Microsoft продължава да анонсира диапазон, който вече не е упълномощен да анонсира.

Ако наемате блока

Пречката е правилото на Microsoft: диапазонът „must be owned by you and registered under your name“ (превод: „трябва да е Ваш и регистриран на Ваше име“). Блок, регистриран само на наемодателя, не отговаря на това, както е написано, а Microsoft не казва дали присвояване (assignment) на Вас в рамките на разпределението на държателя се зачита, затова попитайте държателя и Microsoft, преди да подпишете. След това държателят създава ROA за AS8075 и добавя Вашия сертификат в remarks на записа. Reverse DNS също изисква държателя: Azure го обслужва само от обратна зона, която хоствате в Azure DNS и която държателят делегира на Вас. Не е нужен Letter of Authorization.

Къде се вписва RTM Networks

Отдаваме под наем /24 и по-големи блокове от нашето собствено адресно пространство в RIPE NCC и продаваме блокове в регионите на RIPE NCC, ARIN и APNIC. За адреси, наети от нас, регистрираме присвояването на Вашата организация, създаваме ROA за AS8075 и добавяме Вашия сертификат в записа в регистъра (наем на IPv4). Ако Microsoft иска повече от присвояване на Ваше име, покупката на блока решава въпроса (покупка на IPv4). Ако нямате собствен LIR, спонсорираме PI и legacy адреси и AS номера (спонсорство). За по-малко от 256 адреса на Azure VM анонсираме блок и го доставяме през WireGuard, тъй като Azure блокира GRE, във всякакъв размер до един адрес (WireGuard тунели). Други доставчици: ръководства за BYOIP.