BYOIP в Google Cloud: собствени IPv4 адреси в Compute Engine

Доказвате контрол над блока с ROA, който посочва ASN на Google, и PTR запис с име, което Google Ви дава, след това изрязвате от него делегирани префикси и създавате от тях статични външни адреси.

Това ръководство обхваща IPv4 в конфигурацията, която Google препоръчва, регионален (v2) префикс на Premium Tier, чрез gcloud CLI. Глобалните адреси за глобални load balancers използват по-старата v1 конфигурация, а проектът Ви първо трябва да е в allowlist.

Какво приема Google Cloud

От документацията на Google Cloud, в деня на проверката:

• Размер. Public advertised prefix от „/16 to /24“ (превод: „от /16 до /24“) при Premium Tier, по подразбиране, или „/16 to /23“ (превод: „от /16 до /23“) при Standard Tier, който е в Preview. Можете да го разделите до блокове /28.
• Регистър. Google дава връзки към инструкции за ROA за всеки регионален регистър, сред тях ARIN, RIPE NCC и APNIC. Не публикува нищо за статус PA, PI или legacy, нито на чие име трябва да е блокът.
• Кой анонсира. Google, от AS396982 при Premium Tier или AS19527 при Standard Tier. Не документира опция за анонсиране от собствен ASN.
• Без застъпване. „Google does not support overlapping BYOIP route announcements“ (превод: „Google Cloud не поддържа застъпващи се BYOIP анонси на маршрути“): нито префиксът, нито която и да е част от него може да се анонсира другаде, докато Google го анонсира.
• Региони. Всеки делегиран префикс обслужва един регион или глобалния обхват. Страниците на Google за BYOIP не посочват изключени региони.
• Цена. „There are no charges for idle or in-use IP addresses.“ (превод: „Няма такси за неизползвани или използвани IP адреси.“)
• Срок. „Approximately 2 weeks“ (превод: „около 2 седмици“) за v2 префикс след валидирането, „approximately 4 weeks“ (превод: „около 4 седмици“) за v1 и глобални префикси. Предоставянето „cannot be accelerated“ (превод: „не може да се ускори“).
• Ресурси. Повечето от тези, които приемат статичен външен адрес, но не GKE nodes и Pods, нито външният адрес на Cloud VPN gateway. Адресите не могат да се преместват между проекти.

Преди да започнете

ROA за ASN на Google. При Premium Tier той посочва префикса, точната му дължина и AS396982. При Standard Tier посочва AS19527, или в отделен ROA за всеки префикс, който ще предоставите, което Google препоръчва, или в един ROA с максимална дължина /24 (RPKI и ROA).

Втори ROA за Вашия собствен ASN. Google препоръчва такъв със същите данни и Вашия ASN като origin, така че мрежите, които правят route origin validation, да не третират префикса като невалиден, ако някога го анонсирате сами.

Контрол над reverse DNS. Google проверява собствеността с PTR запис, а не с токен в записа в регистъра. Избирате неизползван адрес в префикса, Google връща име (своята споделена тайна), а Вие публикувате PTR запис за този адрес, който сочи към това име под Вашия домейн.

Нищо друго от регистъра. Google не иска сертификат, Letter of Authorization или route обект. От негова страна Ви трябва ролята Compute Public IP Admin (roles/compute.publicIpAdmin) в проекта.

Стъпка по стъпка

01Създайте public advertised prefix, като посочите адреса, който ще използвате за DNS валидирането:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

За Standard Tier използвайте gcloud beta и добавете --network-tier=STANDARD.

02Публикувайте PTR записа. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' дава името. Ако то е 55kk88tt00, а домейнът Ви е example.net, тогава dig +short -x 203.0.113.144 трябва да връща 55kk88tt00.example.net.

03Стартирайте валидирането:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Статусът става VALIDATED или REVERSE_DNS_LOOKUP_FAILED, ако Google не може да намери записа. Предоставянето е приключило, когато describe с --format='value(status)' показва PREFIX_CONFIGURATION_COMPLETE.

04Делегирайте блок на регион. Това може да стане, докато чакате:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Създайте адреси. Регионалните публични делегирани префикси, създадени след 13 декември 2025 г., позволяват единични адреси:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

По-старите префикси и глобалните адреси приемат цели блокове, чрез delegated-sub-prefixes create --create-addresses. Закачете адресите към VM или forwarding rules. Те още не са достъпни.

06Анонсирайте. Уверете се, че никоя друга мрежа не анонсира блока. Първо анонсирайте делегирания префикс, който Google пренася вътре в собствената си мрежа, след това advertised prefix, който излиза в интернет от всички точки на присъствие на Google:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Отвън валидаторът на RIPEstat трябва да отчете префикса като валиден за AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Грешки, които струват един ден

• Две мрежи анонсират. Застъпването включва и по-специфичен маршрут: /24, анонсиран другаде в рамките на /23, който внасяте, се брои. Google предупреждава за „unexpected routing and packet loss“ (превод: „неочаквана маршрутизация и загуба на пакети“).
• v1 се анонсира сам. Глобален (v1) префикс се анонсира веднага щом делегираният му префикс бъде предоставен. Google казва да не създавате делегирани префикси, докато някой друг анонсира блока.
• Изтекъл ROA. Ако ROA изтече и не го подновите в рамките на четири седмици от известието на Google за подновяване, Google спира да анонсира префикса.
• Имената и регионите са фиксирани. Преименуването на префикс означава изтриване и повторно създаване, а преместването на делегиран префикс в друг регион „can take approximately eight weeks“ (превод: „може да отнеме около осем седмици“). Избирайте имена като pap-203-0-113-0-24 и делегирайте само това, в което сте сигурни.
• Твърде ранно премахване на ROA. След като изтриете public advertised prefix, изчакайте 14 дни, преди да премахнете ROA за ASN на Google.

Ако наемате блока

Google не публикува правило на чие име трябва да е регистриран блокът и не иска Letter of Authorization. Двете му проверки, ROA и PTR записът, са при държателя на наетия блок. Държателят създава ROA за AS396982 или AS19527 и този за Вашия ASN, ако го искате. Държателят също създава PTR записа с името от Google или делегира обратната зона на блока към сървъри за имена, които контролирате Вие. Договорете ROA да се подновява, докато Google анонсира блока, и да се запази 14 дни след напускането Ви.

Къде се вписва RTM Networks

Отдаваме под наем /24 и по-големи блокове от нашето собствено адресно пространство в RIPE NCC и продаваме блокове в регионите на RIPE NCC, ARIN и APNIC. За адреси, наети от нас, създаваме ROA за ASN на Google и PTR записа с името от Google (наем на IPv4). Ако са Ви нужни по-малко от 256 адреса на Compute Engine VM, анонсираме блок сами и го доставяме през GRE или WireGuard, във всякакъв размер до един адрес (GRE и WireGuard тунели). Как се натрупва почасовата такса за IPv4 при големите облаци: реалната цена на IPv4 в облака. Други доставчици: ръководства за BYOIP.