Google Cloud ja BYOIP: tuo omat IPv4-osoitteesi Compute Engineen

Todistat lohkon hallinnan ROA:lla, joka nimeää Googlen ASN:n, ja PTR-tietueella, joka kantaa Googlen antamaa nimeä, sitten lohkot siitä delegoituja prefiksejä ja luot niistä staattisia ulkoisia osoitteita.

Tämä opas käsittelee IPv4:ää Googlen suosittelemassa kokoonpanossa, alueellisena (v2) prefiksinä Premium Tierillä, gcloud CLI:n kautta. Globaalien kuormantasaajien globaalit osoitteet käyttävät vanhempaa v1-kokoonpanoa, ja projektisi on ensin oltava sallittujen listalla.

Mitä Google Cloud hyväksyy

Google Cloudin dokumentaation mukaan tarkistuspäivänämme:

• Koko. Public advertised prefix, ”/16 to /24” (suomennos: ”/16–/24”) Premium Tierillä, joka on oletus, tai ”/16 to /23” (suomennos: ”/16–/23”) Standard Tierillä, joka on Preview-vaiheessa. Voit jakaa sen /28-lohkoihin asti.
• Rekisteri. Google linkittää ROA-ohjeet kullekin alueelliselle rekisterille, muun muassa ARINille, RIPE NCC:lle ja APNICille. Se ei julkaise mitään PA-, PI- tai legacy-tilasta eikä siitä, kenen nimissä lohkon on oltava.
• Kuka ilmoittaa. Google, AS396982:sta Premium Tierillä tai AS19527:stä Standard Tierillä. Se ei dokumentoi vaihtoehtoa ilmoittaa omalta ASN:ltä.
• Ei päällekkäisyyttä. ”Google does not support overlapping BYOIP route announcements” (suomennos: ”Google Cloud ei tue päällekkäisiä BYOIP-reitti-ilmoituksia”): prefiksiä tai mitään sen osaa ei saa ilmoittaa muualta, kun Google ilmoittaa sitä.
• Alueet. Kukin delegoitu prefiksi palvelee yhtä aluetta tai globaalia laajuutta. Googlen BYOIP-sivut eivät nimeä poissuljettuja alueita.
• Hinta. ”There are no charges for idle or in-use IP addresses.” (suomennos: ”Joutilaista tai käytössä olevista IP-osoitteista ei veloiteta.”)
• Aikataulu. ”Approximately 2 weeks” (suomennos: ”noin 2 viikkoa”) v2-prefiksille validoinnin jälkeen, ”approximately 4 weeks” (suomennos: ”noin 4 viikkoa”) v1- ja globaaleille. Provisiointia ”cannot be accelerated” (suomennos: ”ei voi nopeuttaa”).
• Resurssit. Useimmat staattisen ulkoisen osoitteen ottavat resurssit, mutta eivät GKE:n nodet ja Podit eivätkä Cloud VPN -yhdyskäytävän ulkoinen osoite. Osoitteet eivät voi siirtyä projektien välillä.

Ennen kuin aloitat

ROA Googlen ASN:lle. Premium Tierillä se nimeää prefiksin, sen tarkan pituuden ja AS396982:n. Standard Tierillä se nimeää AS19527:n, joko yhdessä ROA:ssa kutakin provisioitavaa prefiksiä kohden, mitä Google suosittelee, tai yhdessä ROA:ssa, jonka maksimipituus on /24 (RPKI ja ROA:t).

Toinen ROA omalle ASN:llesi. Google suosittelee sellaista samoilla tiedoilla ja omalla ASN:lläsi originina, jotta route origin validationia tekevät verkot eivät pidä prefiksiä epäkelpona, jos joskus ilmoitat sen itse.

Käänteisen DNS:n hallinta. Google tarkistaa omistuksen PTR-tietueella, ei rekisteritietueen tokenilla. Valitset prefiksistä käyttämättömän osoitteen, Google palauttaa nimen (sen jaetun salaisuuden), ja julkaiset tälle osoitteelle PTR-tietueen, joka osoittaa tähän nimeen verkkotunnuksesi alla.

Rekisteristä ei muuta. Google ei pyydä varmennetta, Letter of Authorizationia eikä route-objektia. Sen puolella tarvitset projektissa Compute Public IP Admin -roolin (roles/compute.publicIpAdmin).

Vaihe vaiheelta

01Luo public advertised prefix ja nimeä osoite, jota käytät DNS-validointiin:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Standard Tierille käytä gcloud beta -komentoa ja lisää --network-tier=STANDARD.

02Julkaise PTR-tietue. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' antaa nimen. Jos se on 55kk88tt00 ja verkkotunnuksesi on example.net, komennon dig +short -x 203.0.113.144 on palautettava 55kk88tt00.example.net.

03Käynnistä validointi:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Tila muuttuu VALIDATED-tilaksi tai REVERSE_DNS_LOOKUP_FAILED-tilaksi, jos Google ei löydä tietuetta. Provisiointi on valmis, kun describe valitsimella --format='value(status)' näyttää PREFIX_CONFIGURATION_COMPLETE.

04Delegoi lohko alueelle. Tämän voi tehdä odottaessa:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Luo osoitteet. 13. joulukuuta 2025 jälkeen luodut alueelliset julkiset delegoidut prefiksit sallivat yksittäiset osoitteet:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Vanhemmat prefiksit ja globaalit osoitteet ottavat kokonaisia lohkoja komennolla delegated-sub-prefixes create --create-addresses. Liitä osoitteet virtuaalikoneisiin tai forwarding ruleihin. Niitä ei vielä tavoiteta.

06Ilmoita. Varmista, ettei mikään muu verkko ilmoita lohkoa. Ilmoita ensin delegoitu prefiksi, jota Google kuljettaa omassa verkossaan, sitten advertised prefix, joka menee internetiin kaikista Googlen läsnäolopisteistä:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Ulkopuolelta katsottuna RIPEstatin validaattorin pitäisi pitää prefiksiä kelvollisena AS396982:lle: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Virheet, jotka maksavat päivän

• Kaksi verkkoa ilmoittaa. Päällekkäisyyteen kuuluu tarkempi reitti: muualla ilmoitettu /24 tuomasi /23:n sisällä lasketaan. Google varoittaa ”unexpected routing and packet loss” (suomennos: ”odottamattomasta reitityksestä ja pakettihäviöstä”).
• v1 ilmoittaa itsensä. Globaali (v1) prefiksi ilmoitetaan heti, kun sen delegoitu prefiksi on provisioitu. Googlen mukaan delegoituja prefiksejä ei pidä luoda ennen kuin kukaan muu ei ilmoita lohkoa.
• Rauennut ROA. Jos ROA vanhenee etkä uusi sitä neljän viikon kuluessa Googlen uusimisilmoituksesta, Google lopettaa prefiksin ilmoittamisen.
• Nimet ja alueet ovat kiinteitä. Prefiksin uudelleennimeäminen tarkoittaa sen poistamista ja uudelleen luomista, ja delegoidun prefiksin siirtäminen toiselle alueelle ”can take approximately eight weeks” (suomennos: ”voi kestää noin kahdeksan viikkoa”). Valitse nimiä kuten pap-203-0-113-0-24 ja delegoi vain se, mistä olet varma.
• ROA:n poistaminen liian aikaisin. Kun olet poistanut public advertised prefixin, odota 14 päivää ennen kuin poistat ROA:n Googlen ASN:lle.

Jos vuokraat lohkon

Google ei julkaise sääntöä siitä, kenen nimiin lohko on rekisteröity, eikä pyydä Letter of Authorizationia. Sen kaksi tarkistusta, ROA ja PTR-tietue, ovat molemmat vuokratun lohkon haltijan käsissä. Haltija luo ROA:n AS396982:lle tai AS19527:lle sekä ASN:llesi, jos haluat sellaisen. Haltija myös luo PTR-tietueen Googlen nimellä tai delegoi lohkon käänteisvyöhykkeen hallitsemillesi nimipalvelimille. Sopikaa, että ROA uusitaan niin kauan kuin Google ilmoittaa lohkoa ja pidetään voimassa 14 päivää lähtösi jälkeen.

Missä RTM Networks auttaa

Vuokraamme /24-lohkoja ja suurempia omasta RIPE NCC -osoiteavaruudestamme ja myymme lohkoja RIPE NCC:n, ARINin ja APNICin alueilla. Meiltä vuokratulle avaruudelle luomme ROA:n Googlen ASN:lle ja PTR-tietueen Googlen nimellä (vuokraa IPv4). Jos tarvitset Compute Engine -virtuaalikoneelle alle 256 osoitetta, ilmoitamme lohkon itse ja toimitamme sen GRE- tai WireGuard-yhteydellä, missä tahansa koossa yksittäiseen osoitteeseen asti (GRE- ja WireGuard-tunnelit). Miten IPv4:n tuntimaksu kertyy suurissa pilvissä: julkisen IPv4:n todellinen hinta pilvessä. Muut palveluntarjoajat: BYOIP-oppaat.