BYOIP в UpCloud: собствени IP адреси в Private Cloud

За Cloud Servers в публичните зони на UpCloud начинът да използвате собствен блок е тунел, който това ръководство също описва.

Какво приема UpCloud

От документацията на UpCloud, в деня на проверката:

• Само Private Cloud. Private Cloud изпълнява Вашите Cloud Servers на dedicated хостове. UpCloud казва, че „offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).“ (превод: „предлага възможност за dedicated публични IP блокове и е възможно да използвате собствени IP блокове (BYOIP).“)
• Чрез търговския екип. Мрежовият му FAQ пита „Can I bring my own IPs or IP range?“ (превод: „Мога ли да внеса собствени IP или IP диапазон?“) и отговаря: „Yes, you can do this in our Private Cloud. Contact our sales team for more information.“ (превод: „Да, можете да го направите в нашия Private Cloud. Свържете се с търговския ни екип за повече информация.“) UpCloud не документира стъпки в конзолата, API или CLI за това.
• Къде. Private Cloud се намира в родителска публична зона, една от 15-те локации на UpCloud.
• Условия. Страницата за Private Cloud отговаря на „Can I bring my own IPs?“ (превод: „Мога ли да внеса собствени IP?“) с: „Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.“ (превод: „Да. UpCloud поддържа Bring Your Own IP (BYOIP). Вашите префикси могат да се анонсират през BGP (при условие на валидиране и LOA). Наличността и изискванията за размер на префикса зависят от целевия регион.“)
• Не е публикувано. Кои регистри приема UpCloud, origin ASN, цена за самия BYOIP и срокът.
• Цена на Private Cloud. Конфигурациите започват от 3190 € на месец, по оферта за всеки клиент.
• Публичните зони използват адреси на UpCloud. Cloud Server получава по подразбиране един IPv4 и един IPv6 адрес и може да има до пет публични IPv4 адреса. Допълнителните IPv4 адреси се таксуват на час.
• Floating IPs също са на UpCloud. Те са IPv4 адреси, които акаунтът Ви резервира, таксувани на адрес, и се местят между Cloud Servers в един и същ център за данни. Не са налични за IPv6.

Преди да започнете

UpCloud посочва две изисквания, валидиране и Letter of Authorization, а останалото оставя за разговора с търговския екип. Подгответе това, което иска всеки доставчик, анонсиращ адреси на клиенти, и потвърдете всяка точка:

1. /24 или по-голям. UpCloud казва, че изискванията за размер на префикса зависят от региона, а мрежите филтрират всичко по-малко от /24.
2. Записът в регистъра. Знайте кой регистър държи блока (например ARIN, RIPE NCC или APNIC) и коя организация посочва записът.
3. ROA за анонсиращия ASN, на UpCloud или Вашия, с максимална дължина, равна на това, което се анонсира (RPKI и ROA). Създайте го, след като UpCloud посочи ASN.
4. Route обект със същия ASN като origin.
5. Letter of Authorization, който UpCloud иска, подписан от държателя на блока и посочващ UpCloud като мрежата, която ще го пренася.

Пътят през тунел

За Cloud Servers в публичните зони или докато тече разговорът за Private Cloud, тунел поставя блока Ви на сървъра, без UpCloud да променя нищо. Мрежа, която може да анонсира блока, го анонсира, а GRE или WireGuard тунел пренася трафика му до сървъра Ви и обратно (как работи тунелът).

Сървърът запазва IPv4 адреса, който UpCloud му е присвоил. Този адрес е външният край на тунела: другата страна изпраща капсулирани пакети към него, а мрежата на UpCloud вижда обикновен трафик между два публични адреса. Наетият блок пътува вътре в тунела. Конфигурирате адресите му на тунелния или loopback интерфейса и сървърът отговаря на тях, сякаш са локални.

• Отговорите се връщат през тунела. Добавете policy route, така че трафикът от блока да излиза през тунела. Изпратен направо, той би носил адрес на източника, който UpCloud никога не е присвоявал на сървъра, а мрежите филтрират такъв трафик.
• Отворете защитната стена на UpCloud в двете посоки. Ако я използвате, имайте предвид, че е stateless: правилата трябва изрично да разрешават входящия и изходящия трафик. Правилата ѝ съответстват на TCP, UDP или ICMP. За GRE, който е IP протокол 47, оставете протокола на All и ограничете правилото до адреса на другия край. За WireGuard разрешете неговия UDP порт.
• Задайте MTU. 1476 байта за GRE, около 1420 за WireGuard, с MSS clamping, ако сървърът маршрутизира блока нататък към виртуални машини.
• Всякакъв размер. Тунелът доставя по-малко от 256 адреса, до един-единствен, което BYOIP никога не прави.

Капани

• Преместването спира при адреси на клиента. Функцията Relocate Server на UpCloud премества сървър между зони Public и Private Cloud в един и същ център за данни, с едно мрежово ограничение: „The server cannot have IP addresses from a dedicated, customer-owned IP network.“ (превод: „Сървърът не може да има IP адреси от dedicated IP мрежа, притежавана от клиента.“) Планирайте къде ще живее блокът Ви, преди да мигрирате.
• Безплатният пробен период блокира портове. По време на безплатния пробен период на UpCloud някои портове са блокирани, а мрежата работи със 100 Mbit/s. След първото плащане всеки порт освен 25 е отворен, затова тествайте тунел след това.

Ако наемате блока

UpCloud не публикува нищо за наети адреси или на чие име трябва да е записът в регистъра, затова попитайте търговския екип на UpCloud, когато се свържете с тях. За BYOIP в Private Cloud държателят поема регистровата страна: ROA за ASN, който UpCloud посочи, route обекта и Letter of Authorization, който UpCloud иска. При тунел в UpCloud не се променя нищо: мрежата в другия край анонсира блока, а държателят трябва само да упълномощи тази мрежа.

Къде се вписва RTM Networks

Отдаваме под наем /24 и по-големи блокове от нашето собствено адресно пространство в RIPE NCC и продаваме блокове в регионите на RIPE NCC, ARIN и APNIC. Всеки наем включва ROA, route обекта, PTR записи и Letter of Authorization, когато Ви е нужно (наем на IPv4). За Private Cloud създаваме ROA за ASN, който UpCloud посочи, и подписваме Letter of Authorization, а също спонсорираме AS номера за организации, които нямат собствен LIR (спонсорство на ASN). За Cloud Servers в публичните зони анонсираме блока сами и го доставяме през GRE или WireGuard, във всякакъв размер до един адрес (GRE и WireGuard тунели). Други доставчици: ръководства за BYOIP.