Azure ja BYOIP: omat IPv4-osoitteesi custom IP prefix -alueena

Todistat alueen omaksesi ROA:lla, joka nimeää Microsoftin ASN:n, ja varmenteella sen WHOIS/RDAP-tietueessa, sitten provisioit sen ja johdat siitä public IP prefix -alueita ja osoitteita.

Tämä opas noudattaa unified-mallia yhdellä alueella käytettävälle alueelle Azure CLI:n kautta. Alue ei voi vaihtaa global/regional-malliin, eli yläprefiksiin alueellisine aliprefikseineen, ilman uutta käyttöönottoa.

Mitä Azure hyväksyy

Microsoftin dokumentaation mukaan tarkistuspäivänämme:

• Koko. Unified-prefiksin ”must be between /21 and /24” (suomennos: ”on oltava /21:n ja /24:n väliltä”). Globaali yläprefiksi on myös /21–/24, ja sen alueelliset aliprefiksit /22–/26.
• Rekisteri ja nimi. Alueen ”must be owned by you and registered under your name” (suomennos: ”on oltava sinun omistamasi ja rekisteröity nimiisi”) alueellisessa internetrekisterissä, joihin kuuluvat ARIN, RIPE NCC ja APNIC. PA-, PI- tai legacy-tilasta ei mitään.
• Kuka ilmoittaa. Microsoft, AS8075:llä, tai US Gov Cloudissa AS8070:llä. Microsoftin BYOIP-sivut eivät dokumentoi vaihtoehtoa omalle ASN:lle. Vaiheen 1 CLI-komento az network custom-ip prefix create kuitenkin listaa --asn-parametrin, jonka kuvaus on vain ”The ASN for CIDR advertising” (suomennos: ”ASN CIDR-ilmoitusta varten”), joten kysy Microsoftilta ennen kuin luotat siihen.
• Alueet. Yksi alue prefiksiä kohden ja oletuksena viisi prefiksiä alueella, pyynnöstä enemmän.
• Hinta. ”There's no charge to provision or use custom IP prefixes” (suomennos: ”custom IP -prefiksien provisioinnista tai käytöstä ei veloiteta”), eikä niistä johdetuista public IP prefix -alueista ja osoitteista. Liikenne laskutetaan internetin lähtevän liikenteen hinnoin.
• Aikataulu. Noin 30 minuuttia provisiointiin ja kolmesta neljään tuntia maailmanlaajuiseen käyttöönottoon.
• Rajoitukset. Ei Internet Routing Preferenceä, Global Tieriä, ExpressRoute Microsoft peeringiä eikä Standard v2 -julkisia IP-osoitteita. Käänteinen DNS toimii omista vyöhykkeistäsi Azure DNS:ssä, Windows Server Activation voi kestää viikon, eikä provisioitu alue voi vaihtaa tilausta.

Ennen kuin aloitat

ROA AS8075:lle, prefiksin pituus täsmälleen sellaisena kuin Microsoft sen ilmoittaa ja vanhenemispäivä, joka kattaa ajan, jonka haluat sen olevan ilmoitettuna (RPKI ja ROA:t). Varaa vähintään 24 tuntia, jotta Microsoft näkee sen. Microsoft suosittelee myös ROA:ta jokaiselle ASN:lle, joka ilmoittaa aluetta nyt.

Avainpari ja itse allekirjoitettu varmenne, tehtynä OpenSSL:llä:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Varmenne prefiksin WHOIS/RDAP-tietueessa, BEGIN- ja END-merkinnät mukaan lukien, ilman välilyöntejä tai rivinvaihtoja:

Allekirjoitettu valtuutusviesti: tilauksesi tunniste, prefiksi ja ROA:n vanhenemispäivä, tässä järjestyksessä:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft ei pyydä Letter of Authorizationia eikä route-objektia.

Vaihe vaiheelta

01Provisioi alue olemassa olevaan resurssiryhmään. Saatavuusvyöhykkeitä käyttävällä alueella tee siitä vyöhykeredundantti tai kiinnitä se yhteen vyöhykkeeseen:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Odota Provisioned-tilaa. Komennon az network custom-ip prefix show palauttama commissionedState muuttuu Provisioning-tilasta Provisioned-tilaan. Varhainen ValidationFailed tarkoittaa, ettei ROA, varmenne tai viesti läpäissyt tarkistusta; FailedReason-kenttä kertoo, mikä.

03Johda osoitteet. Luo alueesta public IP prefix, sitten siitä Standard SKU -osoitteet, ja liitä ne virtuaalikoneisiin tai kuormantasaajiin; niitä ei vielä ilmoiteta.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Ota käyttöön (commission). Jos alue on käytössä muualla, kaksi yhtäaikaista ilmoitusta ”could potentially create BGP routing instability or traffic loss” (suomennos: ”voi aiheuttaa BGP-reitityksen epävakautta tai liikenteen menetystä”). Ota se ensin käyttöön alueen sisällä (portaalissa Commission ja sitten vain alueen kattava vaihtoehto, tai PowerShellissä -NoInternetAdvertise), testaa, vedä vanha ilmoitus pois ja ota se käyttöön maailmanlaajuisesti:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Aluetta ilmoitetaan osittain Commissioning-tilan aikana, ensin alueelta ja sitten Microsoftin verkosta AS8075:llä, kunnes se on Commissioned.

Virheet, jotka maksavat päivän

• Varmenne descr-kentässä. RIPE NCC:n osalta Microsoft sanoo remarks, kun taas AWS lukee descr-kenttää ja nimenomaan ei remarks-kenttää, joten pilvestä toiseen siirtyvä lohko vaatii tietueen muuttamista.
• Päivämäärä, joka ei täsmää. Allekirjoitetun viestin päivämäärä on ROA:n vanhenemispäivä muodossa yyyymmdd; jos sellaista ei ole, Microsoft neuvoo valitsemaan päivän, johon asti haluat alueen olevan ilmoitettuna.
• ROA väärällä pituudella. Ristiriita provisioimasi prefiksin kanssa epäonnistuu virheellä InvalidPrefixLengthInROA.
• Lähteminen väärässä järjestyksessä. Poista jokainen johdettu public IP prefix ja poista sitten alue käytöstä (kolmesta neljään tuntia) ennen kuin muutat tai poistat ROA:n. Muuten Microsoft jatkaa sellaisen alueen ilmoittamista, jota sillä ei enää ole valtuutusta ilmoittaa.

Jos vuokraat lohkon

Microsoftin sääntö on este: alueen ”must be owned by you and registered under your name” (suomennos: ”on oltava sinun omistamasi ja rekisteröity nimiisi”). Vain vuokranantajalle rekisteröity lohko ei täytä tätä sellaisenaan, eikä Microsoft kerro, kelpaako sinulle tehty osoitus haltijan allokaation sisällä, joten kysy haltijalta ja Microsoftilta ennen kuin allekirjoitat. Haltija luo sitten ROA:n AS8075:lle ja lisää varmenteesi tietueen remarks-kenttään. Käänteinen DNS tarvitsee myös haltijaa: Azure palvelee sitä vain käänteisvyöhykkeestä, jota ylläpidät Azure DNS:ssä ja jonka haltija delegoi sinulle. Letter of Authorizationia ei tarvita.

Missä RTM Networks auttaa

Vuokraamme /24-lohkoja ja suurempia omasta RIPE NCC -osoiteavaruudestamme ja myymme lohkoja RIPE NCC:n, ARINin ja APNICin alueilla. Meiltä vuokratulle avaruudelle rekisteröimme osoituksen organisaatiollesi, luomme ROA:n AS8075:lle ja lisäämme varmenteesi rekisteritietueeseen (vuokraa IPv4). Jos Microsoft vaatii enemmän kuin nimiisi tehdyn osoituksen, lohkon ostaminen ratkaisee asian (osta IPv4). Jos et ylläpidä omaa LIRiä, sponsoroimme PI- ja legacy-avaruutta sekä AS-numeroita (sponsorointi). Alle 256 osoitteelle Azure-virtuaalikoneessa ilmoitamme lohkon ja toimitamme sen WireGuardilla, koska Azure estää GRE:n, missä tahansa koossa yksittäiseen osoitteeseen asti (WireGuard-tunnelit). Muut palveluntarjoajat: BYOIP-oppaat.