AWS ja BYOIP: tuo omat IPv4-osoitteesi EC2:een

Todistat hallitsevasi aluetta varmenteella sen rekisteritietueessa ja ROA:lla, joka nimeää AWS:n ASN:t, provisioit sen osoitepooliin ja varaat siitä Elastic IP -osoitteita kuten AWS:n omista. Tuomistasi osoitteista ei veloiteta julkisen IPv4:n tuntimaksua.

Tämä opas käsittelee EC2:ta AWS CLI:n kautta. Saman alueen voi viedä myös AWS Global Acceleratoriin, jolla on oma prosessinsa, tai VPC IP Address Managerin (IPAM) kautta, joka lisää DNS-pohjaisen tavan todistaa hallinta ja mahdollisuuden ilmoittaa omalta ASN:ltä.

Mitä AWS hyväksyy

AWS:n dokumentaation mukaan tarkistuspäivänämme:

• Koko. Tarkin IPv4-alue, jonka voit tuoda, on /24.
• Rekisteri. ARIN, RIPE NCC tai APNIC, ja rekisteröity yritykselle tai laitokselle, ei koskaan henkilölle.
• Historia. AWS voi tarkistaa alueen maineen ja hylätä sellaisen, jonka osoitteilla on huono tausta (lohkon pitäminen puhtaana).
• Legacy-avaruus hyväksytään, mutta se tarvitsee silti ROA:n.
• Yksi Region kerrallaan aluetta kohden, ja oletuksena viisi aluetta Regionia kohden; AWS Support voi nostaa rajaa.
• Missä. Kaikki kaupalliset Regionit paitsi Kiinan Regionit, sekä joukko Local Zoneja.
• Älä koske reititysrekisteriin. AWS päivittää RADb:n itse, ja käsin tehty muutos, joka sisältää AWS:n ASN:n, saa provisioinnin epäonnistumaan.

Ennen kuin aloitat

ROA AWS:n ASN:ille. Sen on valtuutettava AS16509 ja AS14618 sekä mikä tahansa aluetta nyt ilmoittava ASN, ja maksimipituudeksi asetetaan tuomasi alueen koko. AWS GovCloud (US) -alueilla ROA nimeää sen sijaan AS8987:n ja AWS European Sovereign Cloudissa AS16509:n ja AS214101:n; IPAMin kautta aseta se /24:ään, jotta voit jakaa lohkon. Jos siirrät alueen omasta verkostasi, luo ensin ROA nykyiselle ASN:llesi, jottei mikään nyt toimiva muutu epäkelvoksi (RPKI ja ROA:t). ROA:n tavoittaminen AWS:ään voi kestää 24 tuntia.

Avainpari ja varmenne, tehtynä OpenSSL 1.0.2:lla tai uudemmalla:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Varmenne rekisteritietueessa, yhdellä rivillä, BEGIN- ja END-merkinnät mukaan lukien. Paikka riippuu rekisteristä, ja kentällä on väliä:

Voit poistaa varmenteen, kun provisiointi on valmis.

Vaihe vaiheelta

01Allekirjoita valtuutusviesti. Viesti nimeää tilisi, alueen ja vanhenemispäivän:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Provisioi alue siinä Regionissa, jossa käytät sitä:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Odota. Tila muuttuu pending-provision-tilasta provisioned-tilaan. AWS:n mukaan useimmat alueet valmistuvat kahdessa tunnissa ja jotkin vievät viikon; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 näyttää tilanteen.

04Valmistele, sitten vaihda. Katkon lyhentämiseksi varaa Elastic IP -osoitteet uudesta poolista ja liitä ne ennen kuin aluetta ilmoitetaan. aws ec2 describe-public-ipv4-pools antaa poolin tunnisteen, ja aws ec2 allocate-address --public-ipv4-pool <pool-id> ottaa siitä osoitteen.

05Ilmoita. Lopeta alueen ilmoittaminen muualta, ja sitten:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS suosittelee vetämään alueen ensin pois muista sijainneista; niin kauan kuin joku muu ilmoittaa sitä, AWS ei voi luvata, että sen liikenne tavoittaa sen verkon. Sinun on ilmoitettava täsmälleen provisioimasi alue, ei koskaan sen osaa.

06Tarkista ulkopuolelta. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr pitäisi näyttää varmenne, ja RIPEstatin validaattorin pitäisi pitää aluetta kelvollisena AS16509:lle: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Virheet, jotka maksavat päivän

• Varmenne väärässä kentässä. RIPE NCC:n osalta AWS lukee descr-kenttää ja nimenomaan ei remarks-kenttää. Azure haluaa päinvastoin, joten pilvestä toiseen siirretty lohko vaatii tietueen muuttamista.
• ROA väärällä maksimipituudella. AWS edellyttää, että se on sama kuin tuomasi alueen koko, tai /24 IPAMin kautta. Tuomaasi aluetta tarkempi maksimipituus kutsuu aliprefiksikaappauksiin, ja AWS pidättää oikeuden lopettaa sellaisen alueen ilmoittamisen, jonka ROA:t eivät noudata sen sääntöjä.
• Alueen osan ilmoittaminen. AWS ilmoittaa täsmälleen sen, mitä provisioit. Pienemmän alueen käyttämiseksi poista provisiointi ja provisioi uudelleen.
• Kaksi verkkoa ilmoittaa yhtä aikaa. Liikenne jakautuu niiden välille, eikä AWS selvitä sitä.

Oma ASN:si

VPC IPAMin kautta AWS voi ilmoittaa alueesi omalta ASN:ltäsi oman sijaan. Lisäät saman varmenteen ASN:si rekisteritietueeseen (RIPE NCC:ssä descr-rivinä aut-num-objektiin), luot toisen ROA:n, joka nimeää ASN:si, ja AWS suosittelee ASPA-objektia, joka luettelee AS16509:n ja AS14618:n palveluntarjoajinasi; ilman niitä reitit, jotka AWS välittää puolestasi, eivät läpäise ASPA-validointia. Voit vaihtaa originin takaisin AWS:n ASN:ään milloin tahansa ja omaasi enintään kerran tunnissa.

Jos vuokraat lohkon

Vuokrattu avaruus toimii, kunhan rekisteri näyttää sen olevan organisaation hallussa. Haltija hoitaa rekisteripuolen: varmenteen inetnum-tietueeseen, jota vain haltijan maintainer voi muokata, ja ROA:n AS16509:lle ja AS14618:lle. Loput teet AWS-tililtäsi.

Missä RTM Networks auttaa

Vuokraamme /24-lohkoja ja suurempia omasta RIPE NCC -osoiteavaruudestamme ja myymme lohkoja RIPE NCC:n, ARINin ja APNICin alueilla. Meiltä vuokratulle avaruudelle lisäämme AWS-varmenteesi rekisteritietueeseen ja luomme ROA:n AWS:n ASN:ille, joten provisiointi on ainoa sinulle jäävä vaihe (vuokraa IPv4). Jos tarvitset EC2-instanssille alle 256 osoitetta, voimme toimittaa ne sen sijaan tunnelin kautta (GRE- ja WireGuard-tunnelit). Miten IPv4:n tuntimaksu kertyy ja milloin oman tuominen kannattaa: julkisen IPv4:n todellinen hinta pilvessä. Muut palveluntarjoajat: BYOIP-oppaat.