Azure BYOIP: tooge oma IPv4 aadressid custom IP prefixina

Tõestate, et vahemik on Teie oma, ROA-ga, mis nimetab Microsofti ASN-i, ja sertifikaadiga selle WHOIS/RDAP-kirjes, seejärel valmistate selle ette ja tuletate sellest public IP prefixeid ja aadresse.

See juhend järgib ühtset mudelit (unified model) ühes regioonis kasutatava vahemiku jaoks, Azure CLI kaudu. Vahemik ei saa lülituda globaalsele/regionaalsele mudelile, regionaalsete alamprefiksitega vanemprefiksile, ilma uuesti sisse toomata.

Mida Azure aktsepteerib

Microsofti dokumentatsiooni järgi kontrollimise päeval:

• Suurus. Ühtse mudeli prefiks „must be between /21 and /24“ (tõlge: „peab olema vahemikus /21 kuni /24“). Globaalne vanemprefiks on samuti /21 kuni /24, regionaalsete alamprefiksitega /22 kuni /26.
• Register ja nimi. Vahemik „must be owned by you and registered under your name“ (tõlge: „peab kuuluma Teile ja olema registreeritud Teie nimele“) regionaalses internetiregistris, nende hulgas ARIN, RIPE NCC ja APNIC. PA, PI või legacy staatuse kohta mitte midagi.
• Kes kuulutab välja. Microsoft, AS8075 all, või US Gov Cloudi puhul AS8070. Microsofti BYOIP lehed ei dokumenteeri oma ASN-i võimalust. 1. sammu CLI käsk az network custom-ip prefix create loetleb küll parameetri --asn, mida kirjeldatakse ainult kui „The ASN for CIDR advertising“ (tõlge: „ASN CIDR-i väljakuulutamiseks“), seega küsige Microsoftilt enne, kui sellele loodate.
• Regioonid. Üks regioon prefiksi kohta ja vaikimisi viis prefiksit regiooni kohta, soovi korral rohkem.
• Hind. „There's no charge to provision or use custom IP prefixes“ (tõlge: „Custom IP prefixite ettevalmistamise ega kasutamise eest tasu ei võeta“), samuti mitte neist tuletatud public IP prefixite ja aadresside eest. Liiklus arveldatakse interneti väljuva liikluse hindadega.
• Ajakava. Umbes 30 minutit ettevalmistamiseks ja kolm kuni neli tundi globaalseks kasutuselevõtuks.
• Piirangud. Ei Internet Routing Preference'it, Global Tieri, ExpressRoute Microsoft peeringut ega Standard v2 public IP-sid. Pöörd-DNS töötab Teie enda tsoonidest Azure DNS-is, Windows Server Activation võib võtta kuni nädala ja ettevalmistatud vahemik ei saa tellimust (subscription) vahetada.

Enne alustamist

ROA AS8075 jaoks, prefiksi pikkusega täpselt sellisena, nagu Microsoft selle välja kuulutab, ja aegumiskuupäevaga, mis katab aja, mil soovite seda välja kuulutada (RPKI ja ROA-d). Varuge vähemalt 24 tundi, et Microsoft seda näeks. Microsoft soovitab ka ROA-d igale ASN-ile, mis vahemikku täna välja kuulutab.

Võtmepaar ja iseallkirjastatud sertifikaat, tehtud OpenSSL-iga:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Sertifikaat prefiksi WHOIS/RDAP-kirjes, koos BEGIN- ja END-märgenditega, ilma tühikute ja reavahetusteta:

Allkirjastatud volitussõnum: Teie tellimuse ID, prefiks ja ROA aegumiskuupäev, selles järjekorras:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft ei küsi Letter of Authorizationit ega route-objekti.

Samm-sammult

01Valmistage vahemik ette olemasolevas ressursigrupis. Käideldavustsoonidega regioonis tehke see tsoonide üleseks (zone-redundant) või kinnitage see ühte tsooni:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Oodake olekut Provisioned. Käsu az network custom-ip prefix show tagastatud commissionedState muutub Provisioning-ust Provisioned-iks. Varajane ValidationFailed tähendab, et ROA, sertifikaat või sõnum ei läbinud kontrolli; väli FailedReason ütleb, milline.

03Tuletage aadressid. Looge vahemikust public IP prefix, seejärel sellest Standard SKU aadressid, ja kinnitage need VM-idele või koormusjaoturitele; neid ei ole veel välja kuulutatud.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Võtke kasutusele (commission). Kui vahemik on mujal aktiivne, „could potentially create BGP routing instability or traffic loss“ (tõlge: „võivad kaks samaaegset väljakuulutust tekitada BGP marsruutimise ebastabiilsust või liikluse kadu“). Võtke see esmalt kasutusele regiooni sees (portaalis Commission ja seejärel ainult regiooni valik või PowerShellis -NoInternetAdvertise), testige, võtke vana väljakuulutus tagasi ja seejärel võtke see kasutusele globaalselt:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Olekus Commissioning on vahemik osaliselt välja kuulutatud, esmalt regioonist, seejärel Microsofti võrgust AS8075 all, kuni see on Commissioned.

Vead, mis maksavad päeva

• Sertifikaat descr'is. RIPE NCC puhul ütleb Microsoft remarks, samas kui AWS loeb descr'i ja selgelt mitte remarks'i, seega vajab kahe pilve vahel kolitav plokk kirje muutmist.
• Kuupäev, mis ei klapi. Allkirjastatud sõnumi kuupäev on ROA aegumiskuupäev kujul yyyymmdd; kui seda ei ole, ütleb Microsoft, et valige kuupäev, milleni soovite vahemikku välja kuulutada.
• Vale pikkusega ROA. Lahknevus ettevalmistatava prefiksiga ebaõnnestub veaga InvalidPrefixLengthInROA.
• Lahkumine vales järjekorras. Kustutage iga tuletatud public IP prefix, seejärel võtke vahemik kasutuselt maha (kolm kuni neli tundi), enne kui muudate või kustutate ROA. Vastasel juhul jätkab Microsoft sellise vahemiku väljakuulutamist, mille väljakuulutamiseks tal enam volitust ei ole.

Kui rendite ploki

Takistuseks on Microsofti reegel, mille järgi peab vahemik kuuluma Teile ja olema registreeritud Teie nimele. Ainult rendileandjale registreeritud plokk ei vasta sellele sõna-sõnalt ja Microsoft ei ütle, kas Teile tehtud assignment omaniku eraldise sees loeb, seega küsige enne allkirjastamist omanikult ja Microsoftilt. Omanik loob seejärel ROA AS8075 jaoks ja lisab Teie sertifikaadi kirje remarks-i. Pöörd-DNS vajab samuti omanikku: Azure teenindab seda ainult pöördtsoonist, mida majutate Azure DNS-is ja mille omanik Teile delegeerib. Letter of Authorizationit ei ole vaja.

Kuhu RTM Networks sobib

Rendime /24 ja suuremaid plokke oma RIPE NCC aadressiruumist ning müüme plokke RIPE NCC, ARIN-i ja APNIC-u piirkondades. Meilt renditud ruumi jaoks registreerime assignment'i Teie organisatsioonile, loome ROA AS8075 jaoks ja lisame Teie sertifikaadi registrikirjesse (IPv4 rent). Kui Microsoft soovib rohkemat kui Teie nimele tehtud assignment'i, lahendab ploki ostmine selle (IPv4 ost). Kui Teil ei ole oma LIR-i, sponsoreerime PI- ja legacy-ruumi ning AS-numbreid (sponsorlus). Alla 256 aadressi jaoks Azure'i VM-il kuulutame ploki välja ja toimetame selle WireGuardi kaudu, sest Azure blokeerib GRE, mis tahes suuruses kuni ühe aadressini (WireGuardi tunnelid). Teised teenusepakkujad: BYOIP juhendid.