BYOIP u Google Cloud: vlastní IPv4 adresy v Compute Engine

Kontrolu nad blokem prokážete ROA, který uvádí ASN Google, a záznamem PTR se jménem, které vám Google dá, pak z něj vyříznete delegované prefixy a z nich vytvoříte statické externí adresy.

Tento návod popisuje IPv4 v konfiguraci, kterou Google doporučuje, tedy regionální (v2) prefix na Premium Tier, přes gcloud CLI. Globální adresy pro globální load balancery používají starší konfiguraci v1 a váš projekt musí být nejprve na allowlistu.

Co Google Cloud přijímá

Podle dokumentace Google Cloud v den, kdy jsme ji kontrolovali:

• Velikost. Public advertised prefix „/16 to /24“ (překlad: „/16 až /24“) na Premium Tier, výchozí úrovni, nebo „/16 to /23“ (překlad: „/16 až /23“) na Standard Tier, který je v Preview. Rozdělit ho můžete až na bloky /28.
• Registr. Google odkazuje na pokyny k ROA pro každý regionální registr, mezi nimi ARIN, RIPE NCC a APNIC. Nic nezveřejňuje o statusu PA, PI nebo legacy ani o tom, na čí jméno musí blok být.
• Kdo je origin. Google, z AS396982 na Premium Tier nebo AS19527 na Standard Tier. Žádnou možnost announcovat z vlastního ASN nedokumentuje.
• Žádný překryv. „Google does not support overlapping BYOIP route announcements“ (překlad: „Google Cloud nepodporuje překrývající se announcementy rout BYOIP“): prefix ani žádná jeho část nesmí být announcovány jinde, dokud je announcuje Google.
• Regiony. Každý delegovaný prefix slouží jednomu regionu, nebo globálnímu rozsahu. Stránky Google o BYOIP nejmenují žádné vyloučené regiony.
• Cena. „There are no charges for idle or in-use IP addresses.“ (překlad: „Za nepoužívané ani používané IP adresy se nic neúčtuje.“)
• Doba. „Approximately 2 weeks“ (překlad: „přibližně 2 týdny“) u prefixu v2 po validaci, „approximately 4 weeks“ (překlad: „přibližně 4 týdny“) u v1 a globálních. Provisioning „cannot be accelerated“ (překlad: „nelze urychlit“).
• Prostředky. Většina těch, které přijímají statickou externí adresu, ale ne uzly a Pody GKE ani externí adresa brány Cloud VPN. Adresy se nemohou přesouvat mezi projekty.

Než začnete

ROA pro ASN Google. Na Premium Tier uvádí prefix, jeho přesnou délku a AS396982. Na Standard Tier uvádí AS19527, buď v jednom ROA pro každý prefix, který budete provisionovat, což Google doporučuje, nebo v jednom ROA s maximální délkou /24 (RPKI a ROA).

Druhý ROA pro vaše vlastní ASN. Google doporučuje ROA se stejnými údaji a vaším ASN jako originem, aby sítě provádějící route origin validation nepovažovaly prefix za neplatný, pokud ho někdy budete announcovat sami.

Kontrola nad reverzní DNS. Google ověřuje vlastnictví záznamem PTR, ne tokenem v záznamu v registru. Vyberete nepoužitou adresu v prefixu, Google vrátí jméno (své sdílené tajemství) a vy zveřejníte záznam PTR pro tuto adresu, který ukazuje na toto jméno pod vaší doménou.

Nic dalšího z registru. Google nežádá žádný certifikát, Letter of Authorization ani route objekt. Na jeho straně potřebujete na projektu roli Compute Public IP Admin (roles/compute.publicIpAdmin).

Krok za krokem

01Vytvořte public advertised prefix a uveďte adresu, kterou použijete pro validaci DNS:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Pro Standard Tier použijte gcloud beta a přidejte --network-tier=STANDARD.

02Zveřejněte záznam PTR. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' vrátí jméno. Pokud je to 55kk88tt00 a vaše doména je example.net, pak dig +short -x 203.0.113.144 musí vrátit 55kk88tt00.example.net.

03Spusťte validaci:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Stav se změní na VALIDATED, nebo REVERSE_DNS_LOOKUP_FAILED, pokud Google záznam nenajde. Provisioning je hotový, když describe s --format='value(status)' ukáže PREFIX_CONFIGURATION_COMPLETE.

04Delegujte blok do regionu. To může běžet, zatímco čekáte:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Vytvořte adresy. Delegované prefixy vytvořené po 13. prosinci 2025 umožňují jednotlivé adresy:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Starší prefixy a globální adresy berou celé bloky, přes delegated-sub-prefixes create --create-addresses. Adresy připojte k VM nebo forwarding rules. Zatím nejsou dosažitelné.

06Announcujte. Ujistěte se, že blok neannouncuje žádná jiná síť. Nejprve announcujte delegovaný prefix, který Google přenáší uvnitř své vlastní sítě, pak advertised prefix, který jde na internet ze všech bodů přítomnosti Google:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Zvenčí by měl validátor RIPEstat prefix pro AS396982 označit jako platný: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Chyby, které stojí den

• Dvě sítě announcují. Překryv zahrnuje i specifičtější routu: počítá se i /24 announcovaná jinde uvnitř /23, kterou přinášíte. Google varuje před „unexpected routing and packet loss“ (překlad: „neočekávaným směrováním a ztrátou paketů“).
• v1 se announcuje sám. Globální (v1) prefix se announcuje, jakmile je provisionován jeho delegovaný prefix. Google říká nevytvářet delegované prefixy, dokud blok announcuje někdo jiný.
• Propadlý ROA. Pokud ROA vyprší a neobnovíte ho do čtyř týdnů od upozornění Google na obnovu, Google přestane prefix announcovat.
• Jména a regiony jsou pevné. Přejmenování prefixu znamená jeho smazání a nové vytvoření a přesun delegovaného prefixu do jiného regionu „can take approximately eight weeks“ (překlad: „může trvat přibližně osm týdnů“). Volte jména jako pap-203-0-113-0-24 a delegujte jen to, čím jste si jistí.
• Příliš brzké odstranění ROA. Po smazání public advertised prefixu počkejte 14 dní, než odstraníte ROA pro ASN Google.

Pokud si blok pronajímáte

Google nezveřejňuje žádné pravidlo o tom, na čí jméno je blok registrován, a nežádá Letter of Authorization. Obě jeho kontroly, ROA i záznam PTR, jsou u pronajatého bloku v rukou držitele. Držitel vytvoří ROA pro AS396982 nebo AS19527 a pokud chcete, i ten pro vaše ASN. Držitel také vytvoří záznam PTR se jménem od Google, nebo deleguje reverzní zónu bloku na jmenné servery, které ovládáte. Dohodněte se, že ROA bude obnovován po celou dobu, kdy Google blok announcuje, a ponechán 14 dní po vašem odchodu.

Kde se uplatní RTM Networks

Pronajímáme bloky /24 a větší z našeho vlastního adresního prostoru u RIPE NCC a prodáváme bloky v regionech RIPE NCC, ARIN a APNIC. U prostoru pronajatého od nás vytvoříme ROA pro ASN Google a záznam PTR se jménem od Google (pronájem IPv4). Pokud na VM v Compute Engine potřebujete méně než 256 adres, blok announcujeme sami a doručíme ho přes GRE nebo WireGuard, v libovolné velikosti až po jedinou adresu (tunely GRE a WireGuard). Jak se hodinový poplatek za IPv4 u velkých cloudů sčítá: skutečné náklady na IPv4 v cloudu. Další poskytovatelé: návody BYOIP.