BYOIP hos AWS: tag dine egne IPv4-adresser med til EC2

Du beviser, at du kontrollerer intervallet, med et certifikat i dets registerpost og en ROA, der nævner AWS' ASN'er, klargør det i en adressepulje og tildeler Elastic IP-adresser fra den, som du ville gøre fra AWS' egne. Adresser, du tager med, faktureres ikke den timebaserede pris for offentlig IPv4.

Denne guide dækker EC2 via AWS CLI. Det samme interval kan også gå til AWS Global Accelerator, som har sin egen proces, eller via VPC IP Address Manager (IPAM), som tilføjer en DNS-baseret måde at bevise kontrol på og muligheden for at annoncere fra dit eget ASN.

Hvad AWS accepterer

Fra AWS' dokumentation, den dag vi tjekkede:

• Størrelse. Det mest specifikke IPv4-interval, du kan tage med, er en /24.
• Register. ARIN, RIPE NCC eller APNIC, og registreret til en virksomhed eller institution, aldrig til en person.
• Historik. AWS kan tjekke intervallets omdømme og afvise et, hvis adresser har en dårlig historik (at holde en blok ren).
• Legacy-adresser accepteres, men kræver stadig en ROA.
• Én region ad gangen pr. interval, og fem intervaller pr. region som standard; AWS Support kan hæve det.
• Hvor. Alle kommercielle regioner undtagen regionerne i Kina, og en liste over Local Zones.
• Rør ikke routingregistret. AWS opdaterer selv RADb, og en manuel ændring, der omfatter AWS' ASN, får klargøringen til at mislykkes.

Før du går i gang

En ROA for AWS' ASN'er. Den skal autorisere AS16509 og AS14618 og ethvert ASN, der annoncerer intervallet i dag, med den maksimale længde sat til størrelsen på det interval, du tager med. I AWS GovCloud (US)-regionerne nævner ROA'en i stedet AS8987, og i AWS European Sovereign Cloud AS16509 og AS214101; via IPAM sætter du den til /24, så du kan dele blokken. Flytter du intervallet fra dit eget netværk, så opret først ROA'en for dit nuværende ASN, så intet, der virker nu, bliver ugyldigt (RPKI og ROA'er). En ROA kan være op til 24 timer om at nå AWS.

Et nøglepar og et certifikat, lavet med OpenSSL 1.0.2 eller nyere:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Certifikatet i registerposten, på én linje, inklusive BEGIN- og END-markeringerne. Hvor det skal stå, afhænger af registret, og feltet betyder noget:

Du kan fjerne certifikatet, når klargøringen er færdig.

Trin for trin

01Signér autorisationsbeskeden. Beskeden nævner din konto, intervallet og en udløbsdato:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Klargør intervallet i den region, hvor du vil bruge det:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Vent på det. Status går fra pending-provision til provisioned. AWS siger, at de fleste intervaller er færdige inden for to timer, og at nogle tager op til en uge; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 viser, hvor det står.

04Forbered, og skift så. For at holde nedetiden kort tildeler du Elastic IP-adresser fra den nye pulje og tilknytter dem, før intervallet annonceres. aws ec2 describe-public-ipv4-pools giver puljens ID, og aws ec2 allocate-address --public-ipv4-pool <pool-id> tager en adresse fra den.

05Annoncér. Stop med at annoncere intervallet alle andre steder, og kør så:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS anbefaler først at trække intervallet tilbage fra andre steder; mens en anden annoncerer det, kan AWS ikke love, at trafikken til det når AWS' netværk. Du skal annoncere præcis det interval, du klargjorde, aldrig en del af det.

06Tjek det udefra. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr skal vise certifikatet, og RIPEstats validator skal kalde intervallet gyldigt for AS16509: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Fejl, der koster en dag

• Certifikatet i det forkerte felt. For RIPE NCC læser AWS descr og udtrykkeligt ikke remarks. Azure vil have det modsatte, så en blok, der flyttes mellem de to clouds, kræver, at posten ændres.
• En ROA med den forkerte maksimale længde. AWS kræver, at den svarer til størrelsen på det interval, du tager med, eller /24 via IPAM. En længere indbyder til kapring, og AWS forbeholder sig retten til at stoppe med at annoncere et interval, hvis ROA'er ikke følger reglerne.
• At annoncere en del af intervallet. AWS annoncerer præcis det, du klargjorde. Vil du bruge et mindre interval, skal du fjerne klargøringen og klargøre igen.
• To netværk, der annoncerer på samme tid. Trafikken deles mellem dem, og AWS fejlsøger det ikke.

Dit eget ASN

Via VPC IPAM kan AWS annoncere dit interval fra dit eget ASN i stedet for sit eget. Du tilføjer det samme certifikat i dit ASN's registerpost (for RIPE NCC som en descr-linje på aut-num), opretter en ekstra ROA, der nævner dit ASN, og AWS anbefaler et ASPA-objekt, der angiver AS16509 og AS14618 som dine udbydere; uden dem fejler de routes, AWS videregiver for dig, ASPA-valideringen. Du kan til enhver tid skifte origin tilbage til AWS' ASN, og til dit højst én gang i timen.

Hvis du lejer blokken

Lejede adresser virker, forudsat at registret viser dem som indehavet af en organisation. Indehaveren tager sig af registersiden: certifikatet i inetnum-posten, som kun indehaverens maintainer kan redigere, og ROA'en for AS16509 og AS14618. Resten gør du fra din AWS-konto.

Hvor RTM Networks passer ind

Vi lejer /24'er og større ud fra vores egne RIPE NCC-adresser og sælger blokke i RIPE NCC-, ARIN- og APNIC-regionerne. For adresser, du lejer af os, tilføjer vi dit AWS-certifikat i registerposten og opretter ROA'en for AWS' ASN'er, så klargøringen er det eneste trin, der er tilbage til dig (lej IPv4). Har du brug for færre end 256 adresser på en EC2-instans, kan vi i stedet levere dem over en tunnel (GRE- og WireGuard-tunneler). Hvordan timeprisen for IPv4 løber op, og hvornår det betaler sig at tage dine egne med: den reelle pris for IPv4 i skyen. Andre udbydere: BYOIP-guider.