Google Cloud BYOIP: tooge oma IPv4 aadressid Compute Engine'i

Tõestate ploki kontrolli ROA-ga, mis nimetab Google'i ASN-i, ja PTR-kirjega, mis kannab Google'i antud nime, seejärel lõikate sellest välja delegeeritud prefiksid ja loote neist staatilised välisaadressid.

See juhend käsitleb IPv4 Google'i soovitatud konfiguratsioonis, regionaalset (v2) prefiksit Premium Tieril, gcloud CLI kaudu. Globaalsete koormusjaoturite globaalsed aadressid kasutavad vanemat v1 konfiguratsiooni ja Teie projekt peab esmalt olema lubatud loendis (allowlist).

Mida Google Cloud aktsepteerib

Google Cloudi dokumentatsiooni järgi kontrollimise päeval:

• Suurus. Public advertised prefix „/16 to /24“ (tõlge: „/16 kuni /24“) Premium Tieril, mis on vaikimisi, või „/16 to /23“ (tõlge: „/16 kuni /23“) Standard Tieril, mis on Preview-järgus. Saate selle jagada kuni /28 plokkideni.
• Register. Google viitab iga regionaalse registri ROA-juhistele, nende hulgas ARIN, RIPE NCC ja APNIC. See ei avalda midagi PA, PI või legacy staatuse kohta ega selle kohta, kelle nimel plokk peab olema.
• Kes kuulutab välja. Google, Premium Tieril AS396982-lt või Standard Tieril AS19527-lt. See ei dokumenteeri võimalust kuulutada välja oma ASN-ilt.
• Kattumist ei tohi olla. „Google does not support overlapping BYOIP route announcements“ (tõlge: „Google Cloud ei toeta kattuvaid BYOIP marsruutide väljakuulutusi“): ei prefiksit ega selle osa ei tohi mujal välja kuulutada, kuni Google seda välja kuulutab.
• Regioonid. Iga delegeeritud prefiks teenindab ühte regiooni või globaalset ulatust. Google'i BYOIP lehed ei nimeta ühtegi välistatud regiooni.
• Hind. „There are no charges for idle or in-use IP addresses.“ (tõlge: „Jõude või kasutusel olevate IP-aadresside eest tasu ei võeta.“)
• Ajakava. „Approximately 2 weeks“ (tõlge: „umbes 2 nädalat“) v2 prefiksi jaoks pärast valideerimist, „approximately 4 weeks“ (tõlge: „umbes 4 nädalat“) v1 ja globaalsete jaoks. Ettevalmistust „cannot be accelerated“ (tõlge: „ei saa kiirendada“).
• Ressursid. Enamik neist, mis võtavad staatilise välisaadressi, kuid mitte GKE sõlmed ja Podid ega Cloud VPN lüüsi välisaadress. Aadresse ei saa projektide vahel liigutada.

Enne alustamist

ROA Google'i ASN-ile. Premium Tieril nimetab see prefiksi, selle täpse pikkuse ja AS396982. Standard Tieril nimetab see AS19527, kas ühes ROA-s iga ettevalmistatava prefiksi kohta, mida Google soovitab, või ühes ROA-s maksimaalse pikkusega /24 (RPKI ja ROA-d).

Teine ROA Teie oma ASN-ile. Google soovitab sama andmetega ROA-d, kus päritoluks on Teie ASN, et marsruudi päritolu valideerivad võrgud ei peaks prefiksit kehtetuks, kui seda kunagi ise välja kuulutate.

Pöörd-DNS-i kontroll. Google kontrollib omandit PTR-kirjega, mitte registrikirje tokeniga. Valite prefiksis kasutamata aadressi, Google tagastab nime (selle jagatud saladuse) ja avaldate selle aadressi jaoks PTR-kirje, mis osutab sellele nimele Teie domeeni all.

Registrist mitte midagi muud. Google ei küsi sertifikaati, Letter of Authorizationit ega route-objekti. Selle poolel vajate projektis rolli Compute Public IP Admin (roles/compute.publicIpAdmin).

Samm-sammult

01Looge public advertised prefix, nimetades aadressi, mida kasutate DNS-i valideerimiseks:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Standard Tieri jaoks kasutage gcloud beta ja lisage --network-tier=STANDARD.

02Avaldage PTR-kirje. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' annab nime. Kui see on 55kk88tt00 ja Teie domeen on example.net, peab dig +short -x 203.0.113.144 tagastama 55kk88tt00.example.net.

03Käivitage valideerimine:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Olek muutub VALIDATED-iks või REVERSE_DNS_LOOKUP_FAILED-iks, kui Google kirjet ei leia. Ettevalmistus on lõppenud, kui describe koos --format='value(status)'-ga näitab PREFIX_CONFIGURATION_COMPLETE.

04Delegeerige plokk regioonile. Seda saab teha ootamise ajal:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Looge aadressid. Pärast 13. detsembrit 2025 loodud regionaalsed avalikud delegeeritud prefiksid lubavad üksikaadresse:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Vanemad prefiksid ja globaalsed aadressid võtavad terveid plokke, käsuga delegated-sub-prefixes create --create-addresses. Kinnitage aadressid VM-idele või forwarding rule'idele. Need ei ole veel kättesaadavad.

06Kuulutage välja. Veenduge, et ükski teine võrk plokki välja ei kuuluta. Kuulutage esmalt välja delegeeritud prefiks, mida Google kannab oma võrgu sees, seejärel advertised prefix, mis läheb internetti kõigist Google'i kohalolekupunktidest:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Väljastpoolt peaks RIPEstati validaator nimetama prefiksi AS396982 jaoks kehtivaks: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Vead, mis maksavad päeva

• Kaks võrku kuulutavad. Kattumine hõlmab spetsiifilisemat marsruuti: mujal välja kuulutatud /24 Teie toodava /23 sees loeb. Google hoiatab „unexpected routing and packet loss“ eest (tõlge: „ootamatu marsruutimine ja pakettide kadu“).
• v1 kuulutab end ise välja. Globaalne (v1) prefiks kuulutatakse välja kohe, kui selle delegeeritud prefiks on ette valmistatud. Google ütleb, et ärge looge delegeeritud prefikseid enne, kui keegi teine plokki välja ei kuuluta.
• Aegunud ROA. Kui ROA aegub ja Te ei uuenda seda nelja nädala jooksul pärast Google'i uuendusteadet, lõpetab Google prefiksi väljakuulutamise.
• Nimed ja regioonid on fikseeritud. Prefiksi ümbernimetamine tähendab selle kustutamist ja uuesti loomist ning delegeeritud prefiksi teise regiooni viimine „can take approximately eight weeks“ (tõlge: „võib võtta umbes kaheksa nädalat“). Valige nimed nagu pap-203-0-113-0-24 ja delegeerige ainult seda, milles olete kindel.
• ROA liiga varajane eemaldamine. Pärast public advertised prefixi kustutamist oodake 14 päeva, enne kui eemaldate ROA Google'i ASN-ile.

Kui rendite ploki

Google ei avalda reeglit selle kohta, kelle nimele plokk on registreeritud, ega küsi Letter of Authorizationit. Selle kaks kontrolli, ROA ja PTR-kirje, on mõlemad renditud ploki omaniku käes. Omanik loob ROA AS396982 või AS19527 jaoks ja soovi korral ka Teie ASN-i oma. Omanik loob ka PTR-kirje Google'i nimega või delegeerib ploki pöördtsooni Teie kontrollitavatele nimeserveritele. Leppige kokku, et ROA-d uuendatakse nii kaua, kui Google plokki välja kuulutab, ja hoitakse 14 päeva pärast Teie lahkumist.

Kuhu RTM Networks sobib

Rendime /24 ja suuremaid plokke oma RIPE NCC aadressiruumist ning müüme plokke RIPE NCC, ARIN-i ja APNIC-u piirkondades. Meilt renditud ruumi jaoks loome ROA Google'i ASN-ile ja PTR-kirje Google'i nimega (IPv4 rent). Kui vajate Compute Engine'i VM-il alla 256 aadressi, kuulutame ploki ise välja ja toimetame selle GRE või WireGuardi kaudu, mis tahes suuruses kuni ühe aadressini (GRE- ja WireGuardi tunnelid). Kuidas IPv4 tunnitasu suurtes pilvedes kokku kasvab: pilve IPv4 tegelik hind. Teised teenusepakkujad: BYOIP juhendid.