UpCloud ja BYOIP: omat IP-osoitteesi Private Cloudissa

UpCloudin julkisten vyöhykkeiden Cloud Servereillä tapa käyttää omaa lohkoa on tunneli, jonka tämä opas myös käsittelee.

Mitä UpCloud hyväksyy

UpCloudin dokumentaation mukaan tarkistuspäivänämme:

• Vain Private Cloud. Private Cloud ajaa Cloud Serverisi dedikoiduilla isännillä. UpCloudin mukaan se ”offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).” (suomennos: ”tarjoaa mahdollisuuden dedikoituihin julkisiin IP-lohkoihin, ja omia IP-lohkoja on mahdollista käyttää (BYOIP).”)
• Myynnin kautta. Sen verkko-FAQ kysyy ”Can I bring my own IPs or IP range?” (suomennos: ”Voinko tuoda omat IP:ni tai IP-alueeni?”) ja vastaa: ”Yes, you can do this in our Private Cloud. Contact our sales team for more information.” (suomennos: ”Kyllä, voit tehdä tämän Private Cloudissamme. Ota yhteyttä myyntitiimiimme saadaksesi lisätietoja.”) UpCloud ei dokumentoi sille konsoli-, API- tai CLI-vaiheita.
• Missä. Private Cloud sijaitsee julkisen emovyöhykkeen sisällä, yhdessä UpCloudin 15 sijainnista.
• Ehdot. Private Cloud -sivu vastaa kysymykseen ”Can I bring my own IPs?” (suomennos: ”Voinko tuoda omat IP:ni?”): ”Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.” (suomennos: ”Kyllä. UpCloud tukee Bring Your Own IP -palvelua (BYOIP). Prefiksisi voidaan ilmoittaa BGP:llä (validoinnin ja LOA:n edellytyksin). Saatavuus ja prefiksin kokovaatimukset riippuvat kohdealueesta.”)
• Ei julkaistu. Mitkä rekisterit UpCloud hyväksyy, origin-ASN, BYOIP:n oma hinta ja toimitusaika.
• Private Cloudin hinta. Kokoonpanot alkaen 3 190 € kuukaudessa, asiakaskohtaisella tarjouksella.
• Julkiset vyöhykkeet käyttävät UpCloudin osoitteita. Cloud Server saa oletuksena yhden IPv4- ja yhden IPv6-osoitteen ja voi saada enintään viisi julkista IPv4-osoitetta. Lisä-IPv4-osoitteet laskutetaan tunneittain.
• Floating IP:t ovat myös UpCloudin. Ne ovat tilisi varaamia IPv4-osoitteita, laskutetaan osoitekohtaisesti ja siirtyvät saman konesalin Cloud Serverien välillä. Niitä ei ole saatavilla IPv6:lle.

Ennen kuin aloitat

UpCloud nimeää kaksi vaatimusta, validoinnin ja Letter of Authorizationin, ja jättää loput keskusteluun myynnin kanssa. Valmistele se, mitä jokainen asiakkaan avaruutta ilmoittava palveluntarjoaja pyytää, ja vahvista jokainen kohta:

1. /24 tai suurempi. UpCloudin mukaan prefiksin kokovaatimukset riippuvat alueesta, ja verkot suodattavat kaiken /24:ää pienemmän.
2. Rekisteritietue. Tiedä, missä rekisterissä lohko on (esimerkiksi ARIN, RIPE NCC tai APNIC) ja minkä organisaation tietue nimeää.
3. ROA ilmoittavalle ASN:lle, UpCloudin tai omallesi, maksimipituutena se, mitä ilmoitetaan (RPKI ja ROA:t). Luo se, kun UpCloud nimeää ASN:n.
4. Route-objekti, originina sama ASN.
5. Letter of Authorization, jota UpCloud pyytää, lohkon haltijan allekirjoittamana ja UpCloudin nimeävänä verkoksi, joka sitä kuljettaa.

Tunnelireitti

Julkisten vyöhykkeiden Cloud Servereillä, tai sillä välin kun Private Cloud -keskustelu on kesken, tunneli vie lohkosi palvelimelle ilman, että UpCloud muuttaa mitään. Verkko, joka voi ilmoittaa lohkon, tekee sen, ja GRE- tai WireGuard-tunneli kuljettaa sen liikenteen palvelimellesi ja takaisin (miten tunneli toimii).

Palvelin pitää UpCloudin sille osoittaman IPv4-osoitteen. Se osoite on tunnelin ulompi pää: toinen puoli lähettää sille kapseloituja paketteja, ja UpCloudin verkko näkee tavallista liikennettä kahden julkisen osoitteen välillä. Vuokrattu lohko kulkee tunnelin sisällä. Määrität sen osoitteet tunneli- tai loopback-rajapintaan, ja palvelin vastaa niissä kuin ne olisivat paikallisia.

• Vastaukset palaavat tunnelin kautta. Lisää policy-reitti, jotta lohkon liikenne lähtee tunnelin kautta. Suoraan lähetettynä sen lähdeosoite olisi osoite, jota UpCloud ei ole koskaan osoittanut palvelimelle, ja verkot suodattavat sellaista liikennettä.
• Avaa UpCloudin palomuuri molempiin suuntiin. Jos käytät sitä, huomaa, että se on tilaton: sääntöjen on sallittava saapuva ja lähtevä liikenne erikseen. Sen säännöt vastaavat TCP:tä, UDP:tä tai ICMP:tä. GRE:lle, joka on IP-protokolla 47, jätä protokollaksi All ja rajaa sääntö toisen pään osoitteeseen. WireGuardille salli sen UDP-portti.
• Aseta MTU. 1 476 tavua GRE:lle, noin 1 420 WireGuardille, ja MSS clamping, jos palvelin reitittää lohkon edelleen virtuaalikoneille.
• Mikä tahansa koko. Tunneli toimittaa alle 256 osoitetta, yksittäiseen osoitteeseen asti, mihin BYOIP ei koskaan pysty.

Sudenkuopat

• Siirto pysähtyy asiakkaan omistamiin osoitteisiin. UpCloudin Relocate Server -toiminto siirtää palvelimen Public ja Private Cloudin vyöhykkeiden välillä samassa konesalissa yhdellä verkkorajoituksella: ”The server cannot have IP addresses from a dedicated, customer-owned IP network.” (suomennos: ”Palvelimella ei voi olla IP-osoitteita dedikoidusta, asiakkaan omistamasta IP-verkosta.”) Suunnittele, missä lohkosi on, ennen kuin siirryt.
• Ilmainen kokeilu estää portteja. UpCloudin ilmaisen kokeilun aikana osa porteista on estetty ja verkko toimii 100 Mbit/s:n nopeudella. Ensimmäisen maksun jälkeen kaikki portit paitsi 25 ovat auki, joten testaa tunneli sen jälkeen.

Jos vuokraat lohkon

UpCloud ei julkaise mitään vuokratusta avaruudesta tai siitä, kenen nimeä rekisteritietueen on kannettava, joten kysy sitä UpCloudin myyntitiimiltä, kun otat siihen yhteyttä. Private Cloudin BYOIP:ssä haltija hoitaa rekisteripuolen: ROA:n UpCloudin nimeämälle ASN:lle, route-objektin ja Letter of Authorizationin, jota UpCloud pyytää. Tunnelissa UpCloudilla ei muutu mikään: toisen pään verkko ilmoittaa lohkon, ja haltijan tarvitsee vain valtuuttaa tämä verkko.

Missä RTM Networks auttaa

Vuokraamme /24-lohkoja ja suurempia omasta RIPE NCC -osoiteavaruudestamme ja myymme lohkoja RIPE NCC:n, ARINin ja APNICin alueilla. Jokaiseen vuokraukseen sisältyvät ROA, route-objekti, PTR-tietueet ja Letter of Authorization aina kun tarvitset sellaisen (vuokraa IPv4). Private Cloudia varten luomme ROA:n UpCloudin nimeämälle ASN:lle ja allekirjoitamme Letter of Authorizationin, ja sponsoroimme AS-numeroita organisaatioille, jotka eivät ylläpidä omaa LIRiä (ASN-sponsorointi). Julkisten vyöhykkeiden Cloud Servereille ilmoitamme lohkon itse ja toimitamme sen GRE- tai WireGuard-yhteydellä, missä tahansa koossa yksittäiseen osoitteeseen asti (GRE- ja WireGuard-tunnelit). Muut palveluntarjoajat: BYOIP-oppaat.