BYOIP u Alibaba Cloud: vlastní /23 a větší jako Elastic IP adresy

Route objekt pro váš rozsah nasměrujete na ASN Alibaba Cloud a podáte tiket. Po schválení tiketu Alibaba Cloud announcuje rozsah z regionu, který jste v něm uvedli.

Co Alibaba Cloud přijímá

Podle dokumentace Alibaba Cloud v den, kdy jsme ji kontrolovali:

• Velikost. /23 nebo větší: „Prefixes longer than /23, such as /24, are not supported.“ (překlad: „Prefixy delší než /23, například /24, nejsou podporovány.“) Jen IPv4.
• Registr. Rozsah „must be registered with a Regional Internet Registry (RIR)“ (překlad: „musí být registrován u regionálního internetového registru (RIR)“). Alibaba Cloud nic nezveřejňuje o statusu PA, PI nebo legacy ani o tom, na čí jméno musí být rozsah registrován.
• Kdo je origin. Alibaba Cloud, z AS45102. „You cannot use your own ASN.“ (překlad: „Vlastní ASN použít nemůžete.“)
• Regiony. US (Silicon Valley), US (Virginia), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Japan (Tokyo), Indonesia (Jakarta), Germany (Frankfurt) a UK (London). Ne pevninská Čína.
• Historie. Alibaba Cloud může rozsah prověřit a odmítnout takový, který má „adverse records and a history of malicious activity“ (překlad: „nepříznivé záznamy a historii škodlivé činnosti“) (jak udržet blok čistý).
• Cena. „The BYOIP feature is free of charge.“ (překlad: „Funkce BYOIP je zdarma.“) Konfigurační poplatek za EIP, za držení Elastic IP adresy, se neúčtuje a platíte za šířku pásma.
• Doba. Asi jeden měsíc, „depending on the time it takes for Alibaba Cloud to apply for and advertise the IP addresses“ (překlad: „podle toho, jak dlouho bude Alibaba Cloud trvat, než o IP adresy požádá a announcuje je“).

Než začnete

Route objekt s originem AS45102. Alibaba Cloud vás žádá, abyste v routing registru nastavili origin pro svůj rozsah na AS45102 podle pokynů svého registru a výsledek ověřili v RADb. V databázi RIPE to vypadá takto; dokumentační rozsahy jsou všechny /24, takže prefix je zástupný:

route:    <your-prefix>/23
descr:    Example B.V.
origin:   AS45102
mnt-by:   EXAMPLE-MNT
source:   RIPE

Platný ROA. Alibaba Cloud to nechává na vaší odpovědnosti: pokud se ROA stane neplatným, sítě, které provádějí route origin validation, routu zahodí a Alibaba Cloud ji může přestat announcovat. Jeho stránka ROA podrobně nepopisuje. Routa z AS45102 je platná jen tehdy, když ROA uvádí AS45102 pro prefix tak, jak je announcován, takže vytvořte právě takový (RPKI a ROA).

Co tiket potřebuje. Rozsah, region a potvrzení, že origin je nyní AS45102. „No other information is required at this time.“ (překlad: „Žádné další informace nyní nejsou potřeba.“) Alibaba Cloud nežádá žádný certifikát, token ani Letter of Authorization.

Krok za krokem

1. Aktualizujte routing registr. Vytvořte nebo změňte route objekt tak, aby jeho origin byl AS45102, a pak to ověřte v RADb, například příkazem whois -h whois.radb.net <your-prefix>/23.
2. Vytvořte ROA pro AS45102 u svého registru.
3. Podejte tiket se žádostí o BYOIP, s rozsahem, regionem a potvrzením změny originu. Pokud chcete announcement přes BGP (Multi-ISP) Pro, uveďte to ve stejném tiketu.
4. Počkejte na posouzení. Zástupce se vám ozve, pokud je potřeba něco dalšího, a „to discuss and finalize the terms“ (překlad: „aby projednal a dojednal podmínky“), proto mějte kontaktní údaje aktuální. Po schválení Alibaba Cloud announcuje rozsah z regionu s AS45102 a přidá ho na svůj seznam bezpečnostní ochrany.
5. Přidělte EIP. V konzoli Elastic IP Address vyberte region a klikněte na Apply for Specific EIP. Rozsah můžete také přidat do IP address pool a přidělovat z něj. Funkce poolů je ve výchozím stavu vypnutá a zapne ji váš account manager.
6. Ověřte zvenčí. Validátor RIPEstat by měl rozsah pro AS45102 označit jako platný:

curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=45102&prefix=<your-prefix>/23"

Úskalí

• /24 nestačí. Dvě /24 vyhovují jen tehdy, když jsou to dvě poloviny jedné /23, a route objekt i ROA pak pokrývají /23.
• Kvóta poolů je polovina /23. Ve výchozím stavu IP address pools pojmou „a combined maximum of 256 IP addresses across all pools in the region“ (překlad: „dohromady nejvýše 256 IP adres ve všech poolech v regionu“). Než do poolů přidáte celý rozsah, požádejte account managera o víc.
• EIP je za NAT. Vlastní FAQ Alibaba Cloud uvádí, že EIP není nativní veřejná IP: když ji instance ECS používá, její provoz prochází přes NAT. Software, který potřebuje na instanci vidět svou veřejnou adresu, s tím musí počítat.
• Jen účtování podle šířky pásma. EIP z vašeho rozsahu jsou pay-as-you-go podle pevné šířky pásma a mohou se připojit jen k instancím Internet Shared Bandwidth účtovaným stejně.
• Odchod trvá také měsíc. Stažení rozsahu trvá zhruba stejně dlouho jako jeho přinesení, takže odchod plánujte spolu s příchodem.

Pokud si blok pronajímáte

Alibaba Cloud nezveřejňuje žádné pravidlo o tom, na čí jméno musí být rozsah registrován, a nežádá Letter of Authorization. To, co potřebuje, je v registru, takže to udělá držitel. Držitel vytvoří route objekt s originem AS45102, k čemuž je potřeba jeho maintainer, a ROA pro AS45102, platný po celou dobu pronájmu. Teprve pak můžete změnu originu potvrdit ve svém tiketu. Pronájem také musí pokrývat alespoň /23.

Kde se uplatní RTM Networks

Pronajímáme bloky /24 a větší z našeho vlastního adresního prostoru u RIPE NCC, včetně /23, kterou Alibaba Cloud vyžaduje (pronájem IPv4), a prodáváme bloky v regionech RIPE NCC, ARIN a APNIC. Pro prostor pronajatý od nás vytvoříme route objekt i ROA pro AS45102. Pokud na instanci ECS potřebujete méně než 512 adres, blok announcujeme sami a doručíme ho přes GRE nebo WireGuard, v libovolné velikosti až po jedinou adresu (tunely GRE a WireGuard). Další poskytovatelé: návody BYOIP.