BYOIP hos Google Cloud: tag dine egne IPv4-adresser med til Compute Engine

Du beviser kontrol over blokken med en ROA, der nævner Googles ASN, og en PTR-post med et navn, Google giver dig, skærer så delegerede præfikser ud af den og opretter statiske eksterne adresser fra dem.

Denne guide dækker IPv4 i den konfiguration, Google anbefaler, et regionalt (v2) præfiks på Premium Tier, via gcloud CLI. Globale adresser til globale load balancere bruger den ældre v1-konfiguration, og dit projekt skal først på en allowlist.

Hvad Google Cloud accepterer

Fra Google Clouds dokumentation, den dag vi tjekkede:

• Størrelse. Et public advertised prefix på “/16 to /24” (oversættelse: “/16 til /24”) på Premium Tier, standarden, eller “/16 to /23” (oversættelse: “/16 til /23”) på Standard Tier, som er i Preview. Du kan dele det ned i blokke på /28.
• Register. Google linker til ROA-instruktioner for hvert regionalt register, blandt dem ARIN, RIPE NCC og APNIC. Google offentliggør intet om PA-, PI- eller legacy-status, eller om hvis navn blokken skal stå i.
• Hvem der er origin. Google, fra AS396982 på Premium Tier eller AS19527 på Standard Tier. Der er ingen dokumenteret mulighed for at annoncere fra dit eget ASN.
• Intet overlap. “Google does not support overlapping BYOIP route announcements” (oversættelse: “Google Cloud understøtter ikke overlappende BYOIP-annonceringer af routes”): hverken præfikset eller nogen del af det må annonceres andetsteds, mens Google annoncerer det.
• Regioner. Hvert delegeret præfiks betjener én region eller det globale scope. Googles BYOIP-sider nævner ingen udelukkede regioner.
• Pris. “There are no charges for idle or in-use IP addresses.” (oversættelse: “Der er ingen gebyrer for ledige IP-adresser eller IP-adresser i brug.”)
• Tid. “Approximately 2 weeks” (oversættelse: “Cirka 2 uger”) for et v2-præfiks efter valideringen, “approximately 4 weeks” (oversættelse: “cirka 4 uger”) for v1 og globale. Klargøringen “cannot be accelerated” (oversættelse: “kan ikke fremskyndes”).
• Ressourcer. De fleste af dem, der tager en statisk ekstern adresse, men ikke GKE-noder og Pods eller den eksterne adresse på en Cloud VPN-gateway. Adresser kan ikke flyttes mellem projekter.

Før du går i gang

En ROA for Googles ASN. På Premium Tier nævner den præfikset, dets præcise længde og AS396982. På Standard Tier nævner den AS19527, enten i én ROA for hvert præfiks, du vil klargøre, som Google anbefaler, eller i én ROA med en maksimal længde på /24 (RPKI og ROA'er).

En ekstra ROA for dit eget ASN. Google anbefaler en med de samme oplysninger og dit ASN som origin, så netværk, der laver route origin validation, ikke behandler præfikset som ugyldigt, hvis du en dag selv annoncerer det.

Kontrol over reverse DNS. Google tjekker ejerskab med en PTR-post, ikke med et token i registerposten. Du vælger en ubrugt adresse i præfikset, Google returnerer et navn (sin delte hemmelighed), og du offentliggør en PTR-post for den adresse, der peger på det navn under dit domæne.

Intet andet fra registret. Google beder hverken om certifikat, Letter of Authorization eller route-objekt. På Googles side skal du have rollen Compute Public IP Admin (roles/compute.publicIpAdmin) på projektet.

Trin for trin

01Opret public advertised prefix, og angiv den adresse, du vil bruge til DNS-valideringen:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Til Standard Tier bruger du gcloud beta og tilføjer --network-tier=STANDARD.

02Offentliggør PTR-posten. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' giver navnet. Er det 55kk88tt00, og er dit domæne example.net, skal dig +short -x 203.0.113.144 returnere 55kk88tt00.example.net.

03Sæt valideringen i gang:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Status skifter til VALIDATED, eller REVERSE_DNS_LOOKUP_FAILED, hvis Google ikke kan finde posten. Klargøringen er færdig, når describe med --format='value(status)' viser PREFIX_CONFIGURATION_COMPLETE.

04Delegér en blok til en region. Det kan køre, mens du venter:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Opret adresser. Regionale offentlige delegerede præfikser oprettet efter den 13. december 2025 tillader enkeltadresser:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Ældre præfikser og globale adresser tager hele blokke, via delegated-sub-prefixes create --create-addresses. Tilknyt adresserne til VM'er eller forwarding rules. De kan endnu ikke nås.

06Annoncér. Sørg for, at intet andet netværk annoncerer blokken. Annoncér først det delegerede præfiks, som Google fører inde i sit eget netværk, og så det advertised prefix, der går ud på internettet fra alle Googles points of presence:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Udefra skal RIPEstats validator kalde præfikset gyldigt for AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Fejl, der koster en dag

• To netværk, der annoncerer. Overlap omfatter en mere specifik route: en /24, der annonceres andetsteds inden for en /23, du tager med, tæller. Google advarer om “unexpected routing and packet loss” (oversættelse: “uventet routing og pakketab”).
• v1 annoncerer sig selv. Et globalt (v1) præfiks annonceres, så snart dets delegerede præfiks er klargjort. Google siger, at du ikke skal oprette delegerede præfikser, før ingen andre annoncerer blokken.
• En udløbet ROA. Udløber ROA'en, og du ikke fornyer den inden for fire uger efter Googles meddelelse om fornyelse, stopper Google med at annoncere præfikset.
• Navne og regioner ligger fast. At omdøbe et præfiks betyder at slette og genoprette det, og at flytte et delegeret præfiks til en anden region “can take approximately eight weeks” (oversættelse: “kan tage cirka otte uger”). Vælg navne som pap-203-0-113-0-24, og delegér kun det, du er sikker på.
• At fjerne ROA'en for tidligt. Når du har slettet et public advertised prefix, skal du vente 14 dage, før du fjerner ROA'en for Googles ASN.

Hvis du lejer blokken

Google offentliggør ingen regel om, i hvis navn blokken er registreret, og beder ikke om en Letter of Authorization. Begge Googles tjek, ROA'en og PTR-posten, ligger hos indehaveren af en lejet blok. Indehaveren opretter ROA'en for AS396982 eller AS19527, og den for dit ASN, hvis du vil have den. Indehaveren opretter også PTR-posten med Googles navn eller delegerer blokkens reverse-zone til navneservere, du kontrollerer. Aftal, at ROA'en fornyes, så længe Google annoncerer blokken, og beholdes i 14 dage, efter at du er gået.

Hvor RTM Networks passer ind

Vi lejer /24'er og større ud fra vores egne RIPE NCC-adresser og sælger blokke i RIPE NCC-, ARIN- og APNIC-regionerne. For adresser, du lejer af os, opretter vi ROA'en for Googles ASN og PTR-posten med Googles navn (lej IPv4). Har du brug for færre end 256 adresser på en Compute Engine-VM, annoncerer vi selv en blok og leverer den over GRE eller WireGuard, i enhver størrelse ned til en enkelt adresse (GRE- og WireGuard-tunneler). Hvordan timeprisen for IPv4 løber op hos de store clouds: den reelle pris for IPv4 i skyen. Andre udbydere: BYOIP-guider.