BYOIP u UpCloud: vlastní IP adresy v Private Cloud

U Cloud Serverů ve veřejných zónách UpCloud je cestou k vlastnímu bloku tunel, který tento návod také popisuje.

Co UpCloud přijímá

Podle dokumentace UpCloud v den, kdy jsme ji kontrolovali:

• Jen Private Cloud. Private Cloud provozuje vaše Cloud Servery na dedikovaných hostitelích. UpCloud uvádí, že „offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).“ (překlad: „nabízí možnost dedikovaných veřejných bloků IP a je možné využít vlastní bloky IP (BYOIP).“)
• Přes obchod. Jeho FAQ k sítím se ptá „Can I bring my own IPs or IP range?“ a odpovídá: „Yes, you can do this in our Private Cloud. Contact our sales team for more information.“ (překlad: „Mohu přinést vlastní IP nebo rozsah IP? Ano, můžete to udělat v našem Private Cloud. Pro více informací kontaktujte náš obchodní tým.“) UpCloud pro to nedokumentuje žádné kroky v konzoli, API ani CLI.
• Kde. Private Cloud leží uvnitř nadřazené veřejné zóny, jedné z 15 lokalit UpCloud.
• Podmínky. Stránka o Private Cloud odpovídá na „Can I bring my own IPs?“ takto: „Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.“ (překlad: „Mohu přinést vlastní IP? Ano. UpCloud podporuje Bring Your Own IP (BYOIP). Vaše prefixy lze announcovat přes BGP (s výhradou validace a LOA). Dostupnost a požadavky na velikost prefixu závisí na cílovém regionu.“)
• Nezveřejněno. Které registry UpCloud přijímá, origin ASN, cena za samotný BYOIP a doba dodání.
• Cena Private Cloud. Konfigurace začínají na 3 190 € měsíčně, na nabídku pro každého zákazníka.
• Veřejné zóny používají adresy UpCloud. Cloud Server dostane ve výchozím stavu jednu IPv4 a jednu IPv6 adresu a může mít až pět veřejných IPv4 adres. Dodatečné IPv4 adresy se účtují po hodinách.
• Floating IP jsou také adresy UpCloud. Jsou to IPv4 adresy, které si váš účet rezervuje, účtované za adresu, a přesouvají se mezi Cloud Servery ve stejném datacentru. Pro IPv6 k dispozici nejsou.

Než začnete

UpCloud jmenuje dva požadavky, validaci a Letter of Authorization, a zbytek nechává na rozhovoru s obchodem. Připravte si, co žádá každý poskytovatel, který announcuje prostor zákazníků, a každý bod si potvrďte:

1. /24 nebo větší. UpCloud uvádí, že požadavky na velikost prefixu závisí na regionu, a sítě filtrují vše menší než /24.
2. Záznam v registru. Vězte, který registr blok drží (například ARIN, RIPE NCC nebo APNIC) a kterou organizaci záznam uvádí.
3. ROA pro announcující ASN, UpCloud nebo vaše, s maximální délkou nastavenou na to, co se announcuje (RPKI a ROA). Vytvořte ho, jakmile UpCloud ASN uvede.
4. Route objekt se stejným ASN jako originem.
5. Letter of Authorization, který UpCloud žádá, podepsaný držitelem bloku a uvádějící UpCloud jako síť, která ho bude přenášet.

Cesta tunelem

Pro Cloud Servery ve veřejných zónách, nebo zatímco probíhá rozhovor o Private Cloud, dostane tunel váš blok na server, aniž by UpCloud cokoli měnil. Síť, která blok announcovat může, to udělá a tunel GRE nebo WireGuard přenáší její provoz na váš server a zpět (jak tunel funguje).

Server si ponechá IPv4 adresu, kterou mu přidělil UpCloud. Ta je vnějším koncem tunelu: druhá strana na ni posílá zapouzdřené pakety a síť UpCloud vidí běžný provoz mezi dvěma veřejnými adresami. Pronajatý blok putuje uvnitř tunelu. Jeho adresy nakonfigurujete na rozhraní tunelu nebo loopback a server na nich odpovídá, jako by byly lokální.

• Odpovědi jdou zpět tunelem. Přidejte policy route, aby provoz z bloku odcházel tunelem. Odeslaný přímo by nesl zdrojovou adresu, kterou UpCloud serveru nikdy nepřidělil, a sítě takový provoz filtrují.
• Otevřete firewall UpCloud oběma směry. Pokud ho používáte, mějte na paměti, že je bezstavový: pravidla musí výslovně povolit příchozí i odchozí provoz. Jeho pravidla odpovídají TCP, UDP nebo ICMP. Pro GRE, což je IP protokol 47, nechte protokol na All a omezte pravidlo na adresu vzdáleného konce. Pro WireGuard povolte jeho UDP port.
• Nastavte MTU. 1 476 bajtů pro GRE, kolem 1 420 pro WireGuard, s MSS clampingem, pokud server směruje blok dál na virtuální stroje.
• Libovolná velikost. Tunel doručí méně než 256 adres, až po jedinou, což BYOIP nikdy neumožní.

Úskalí

• Přemístění končí u adres ve vlastnictví zákazníka. Funkce Relocate Server od UpCloud přesouvá server mezi zónami Public a Private Cloud ve stejném datacentru, s jedním síťovým omezením: „The server cannot have IP addresses from a dedicated, customer-owned IP network.“ (překlad: „Server nesmí mít IP adresy z dedikované IP sítě ve vlastnictví zákazníka.“) Než začnete migrovat, naplánujte, kde bude váš blok.
• Zkušební verze blokuje porty. Během bezplatné zkušební verze UpCloud jsou některé porty blokované a síť běží na 100 Mbit/s. Po první platbě je otevřený každý port kromě 25, takže tunel testujte až potom.

Pokud si blok pronajímáte

UpCloud nezveřejňuje nic o pronajatém prostoru ani o tom, čí jméno musí záznam v registru nést, proto se na to při kontaktu zeptejte obchodního týmu UpCloud. U BYOIP v Private Cloud zajistí stranu registru držitel: ROA pro ASN, které UpCloud uvede, route objekt a Letter of Authorization, který UpCloud žádá. U tunelu se u UpCloud nic nemění: blok announcuje síť na druhém konci a držitel musí autorizovat jen tuto síť.

Kde se uplatní RTM Networks

Pronajímáme bloky /24 a větší z našeho vlastního adresního prostoru u RIPE NCC a prodáváme bloky v regionech RIPE NCC, ARIN a APNIC. Každý pronájem zahrnuje ROA, route objekt, záznamy PTR a Letter of Authorization, kdykoli ho potřebujete (pronájem IPv4). Pro Private Cloud vytvoříme ROA pro ASN, které UpCloud uvede, a podepíšeme Letter of Authorization. Organizacím, které neprovozují vlastní LIR, sponzorujeme čísla AS (sponzorství ASN). Pro Cloud Servery ve veřejných zónách blok announcujeme sami a doručíme ho přes GRE nebo WireGuard, v libovolné velikosti až po jedinou adresu (tunely GRE a WireGuard). Další poskytovatelé: návody BYOIP.