AWS BYOIP: tooge oma IPv4 aadressid EC2-sse

Tõestate, et kontrollite vahemikku, sertifikaadiga selle registrikirjes ja ROA-ga, mis nimetab AWS-i ASN-e, valmistate selle ette aadressikogumisse ja eraldate sellest Elastic IP aadresse samamoodi nagu AWS-i enda omadest. Toodud aadressidele ei rakendata avaliku IPv4 tunnitasu.

See juhend käsitleb EC2-d AWS CLI kaudu. Sama vahemiku saab viia ka AWS Global Acceleratorisse, millel on oma protsess, või VPC IP Address Manageri (IPAM) kaudu, mis lisab DNS-il põhineva kontrolli tõestamise viisi ja võimaluse kuulutada välja oma ASN-ilt.

Mida AWS aktsepteerib

AWS-i dokumentatsiooni järgi kontrollimise päeval:

• Suurus. Kõige spetsiifilisem IPv4 vahemik, mida saate tuua, on /24.
• Register. ARIN, RIPE NCC või APNIC ning registreeritud ettevõttele või asutusele, mitte kunagi eraisikule.
• Ajalugu. AWS võib kontrollida vahemiku mainet ja lükata tagasi vahemiku, mille aadressidel on halb ajalugu (ploki puhtana hoidmine).
• Legacy-ruum on aktsepteeritud, kuid vajab samuti ROA-d.
• Üks regioon korraga vahemiku kohta ja vaikimisi viis vahemikku regiooni kohta; AWS Support saab seda tõsta.
• Kus. Kõik kommertsregioonid peale Hiina regioonide ning loend Local Zone'idest.
• Ärge puudutage marsruutimisregistrit. AWS uuendab RADb-d ise ning käsitsi tehtud muudatus, mis sisaldab AWS-i ASN-i, paneb ettevalmistuse ebaõnnestuma.

Enne alustamist

ROA AWS-i ASN-idele. See peab volitama AS16509 ja AS14618 ning iga ASN-i, mis vahemikku täna välja kuulutab, maksimaalse pikkusega, mis on seatud toodava vahemiku suurusele. AWS GovCloud (US) regioonides nimetab ROA selle asemel AS8987 ja AWS European Sovereign Cloudis AS16509 ja AS214101; IPAM-i kaudu seadke see /24-le, et saaksite plokki jagada. Kui kolite vahemikku oma võrgust, looge esmalt ROA oma praegusele ASN-ile, et miski praegu töötav ei muutuks kehtetuks (RPKI ja ROA-d). ROA jõudmine AWS-i võib võtta kuni 24 tundi.

Võtmepaar ja sertifikaat, tehtud OpenSSL 1.0.2 või uuemaga:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Sertifikaat registrikirjes, ühel real, koos BEGIN- ja END-märgenditega. Kuhu see läheb, sõltub registrist, ja väli on oluline:

Sertifikaadi võite eemaldada, kui ettevalmistus on lõppenud.

Samm-sammult

01Allkirjastage volitussõnum. Sõnum nimetab Teie konto, vahemiku ja aegumiskuupäeva:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Valmistage vahemik ette regioonis, kus seda kasutate:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Oodake. Staatus muutub pending-provision-ist provisioned-iks. AWS ütleb, et enamik vahemikke lõpeb kahe tunni jooksul ja mõned võtavad kuni nädala; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 näitab, kus see on.

04Valmistuge, siis lülitage ümber. Seisaku lühikesena hoidmiseks eraldage uuest kogumist Elastic IP aadressid ja kinnitage need enne vahemiku väljakuulutamist. aws ec2 describe-public-ipv4-pools annab kogumi ID ja aws ec2 allocate-address --public-ipv4-pool <pool-id> võtab sellest aadressi.

05Kuulutage välja. Lõpetage vahemiku väljakuulutamine mujal, seejärel:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS soovitab vahemiku esmalt teistest kohtadest tagasi võtta; kui keegi teine seda välja kuulutab, ei saa AWS lubada, et selle liiklus jõuab tema võrku. Peate välja kuulutama täpselt ettevalmistatud vahemiku, mitte kunagi selle osa.

06Kontrollige väljastpoolt. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr peaks näitama sertifikaati ja RIPEstati validaator peaks nimetama vahemiku AS16509 jaoks kehtivaks: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Vead, mis maksavad päeva

• Sertifikaat vales väljas. RIPE NCC puhul loeb AWS välja descr ja selgelt mitte remarks. Azure soovib vastupidist, seega vajab kahe pilve vahel kolitud plokk kirje muutmist.
• Vale maksimaalse pikkusega ROA. AWS nõuab, et see võrduks toodava vahemiku suurusega või IPAM-i kaudu /24-ga. Toodavast vahemikust spetsiifilisem maksimaalne pikkus kutsub esile alamprefiksi kaaperdamist ja AWS jätab endale õiguse lõpetada sellise vahemiku väljakuulutamine, mille ROA-d ei järgi tema reegleid.
• Vahemiku osa väljakuulutamine. AWS kuulutab välja täpselt selle, mille ette valmistasite. Väiksema vahemiku kasutamiseks tühistage ettevalmistus ja valmistage uuesti ette.
• Kaks võrku kuulutavad korraga. Liiklus jaguneb nende vahel ja AWS ei hakka seda tõrkeotsinguga lahendama.

Teie oma ASN

VPC IPAM-i kaudu saab AWS Teie vahemiku välja kuulutada Teie oma ASN-ilt enda oma asemel. Lisate sama sertifikaadi oma ASN-i registrikirjesse (RIPE NCC puhul descr reana aut-num-il), loote teise ROA, mis nimetab Teie ASN-i, ja AWS soovitab ASPA objekti, mis loetleb AS16509 ja AS14618 Teie teenusepakkujatena; ilma nendeta ei läbi marsruudid, mida AWS Teie eest edasi annab, ASPA valideerimist. Päritolu saate igal ajal tagasi AWS-i ASN-ile lülitada ja enda omale kõige rohkem kord tunnis.

Kui rendite ploki

Renditud ruum töötab, kui register näitab selle omanikuna organisatsiooni. Registripoolse töö teeb omanik: sertifikaat inetnum kirjes, mida saab muuta ainult omaniku maintainer, ja ROA AS16509 ja AS14618 jaoks. Ülejäänu teete oma AWS-i kontolt.

Kuhu RTM Networks sobib

Rendime /24 ja suuremaid plokke oma RIPE NCC aadressiruumist ning müüme plokke RIPE NCC, ARIN-i ja APNIC-u piirkondades. Meilt renditud ruumi jaoks lisame Teie AWS-i sertifikaadi registrikirjesse ja loome ROA AWS-i ASN-idele, nii et Teile jääb ainult ettevalmistuse samm (IPv4 rent). Kui vajate EC2 instantsil alla 256 aadressi, saame need toimetada hoopis tunneli kaudu (GRE- ja WireGuardi tunnelid). Kuidas IPv4 tunnitasu kokku kasvab ja millal oma aadresside toomine end ära tasub: pilve IPv4 tegelik hind. Teised teenusepakkujad: BYOIP juhendid.