Le BYOIP avec moins de 256 adresses : ce qui marche sous un /24

Aucun fournisseur cloud ou d'hébergement n'accepte moins d'un /24 en BYOIP (bring your own IP, l'importation de vos propres adresses), et aucun ne le pourrait. Les réseaux d'Internet rejettent les routes plus petites qu'un /24 : un /25 annoncé seul n'atteindrait presque personne. S'il vous faut vos propres adresses, mais moins de 256, trois solutions fonctionnent, et trois ne fonctionnent pas.

Pourquoi un /24 est le plancher

Chaque réseau d'Internet tient une table de routes et, pour que cette table reste gérable, presque tous n'acceptent pas de routes IPv4 plus petites qu'un /24 et écartent sans bruit tout ce qui est plus long. Un /25, un /28 ou une adresse isolée ne peuvent être joints que dans un /24 qu'un réseau annonce en entier.

C'est pourquoi le BYOIP d'aucun fournisseur ne descend sous un /24 (les guides par fournisseur) ; Alibaba Cloud commence même plus haut, à un /23. Ce n'est pas un choix commercial que le fournisseur pourrait faire autrement pour vous. Un bloc plus petit ne serait tout simplement pas joignable depuis la plus grande partie d'Internet.

Option 1 : prendre le /24 entier

S'il vous faut une centaine d'adresses, un /24 complet est souvent moins excessif qu'il n'y paraît, et c'est la réponse la plus propre. Vous l'apportez à votre fournisseur par sa procédure BYOIP habituelle, il est annoncé comme n'importe quel autre bloc, et vous avez de la marge pour grandir. En louer un évite l'investissement d'un achat, et nos prix de location sont publiés (tarifs). Azure exige que le bloc soit enregistré à votre nom, et la liste des statuts acceptés par Oracle Cloud exclut ASSIGNED PA, le statut habituel de l'espace d'adressage IP loué : vérifiez donc ces deux-là avec nous d'abord.

L'inconvénient est simple : vous payez 256 adresses alors que vous en utilisez moins.

Option 2 : un tunnel livre exactement ce qu'il vous faut

Un réseau qui annonce un /24 complet peut en remettre une partie plus petite à votre serveur par un tunnel : un /29, un /28 ou une seule adresse. Le trafic destiné à ces adresses arrive au réseau qui annonce le bloc, passe par un tunnel GRE ou WireGuard jusqu'à votre serveur, et votre serveur utilise les adresses comme si elles étaient configurées localement (comment fonctionne le tunnel).

Ce que cela vous apporte :

• N'importe quel fournisseur. Cela fonctionne là où le BYOIP n'est pas proposé du tout, chez Hetzner Cloud par exemple (Hetzner), car le fournisseur n'a qu'à transporter le tunnel.
• Des adresses qui restent les vôtres. Quand vous déménagez, le tunnel suit votre serveur, et les adresses, leur réputation et chaque liste d'autorisation où elles figurent vous suivent.
• Ni ASN ni ROA à gérer de votre côté. Le réseau à l'autre bout annonce le bloc.

Les coûts sont ceux de tout tunnel : le trafic fait un détour par l'autre extrémité du tunnel, la capacité du tunnel fixe un plafond, et le MTU est un peu plus petit que sur un lien direct. Pour la plupart des services qui ont besoin de quelques adresses stables, aucun de ces trois points ne pèse beaucoup.

Option 3 : les adresses supplémentaires du fournisseur

La plupart des fournisseurs vendent des adresses IPv4 supplémentaires issues de leurs propres réserves, sous forme d'IP de basculement (failover), d'IP flottantes ou d'Elastic IP. Elles s'ajoutent vite et fonctionnent immédiatement. Mais elles appartiennent au fournisseur : elles restent derrière vous quand vous partez, les listes d'autorisation de vos partenaires doivent changer, et vous héritez de la réputation laissée par l'utilisateur précédent.

Cela convient à des adresses qui doivent seulement fonctionner, chez un seul fournisseur, pour l'instant.

Ce qui ne marche pas

• Annoncer vous-même un /25 ou plus petit en BGP. Il sera filtré presque partout, quelle que soit la qualité de votre session et de votre ROA.
• Demander à un cloud d'importer un /26. Le BYOIP de chaque fournisseur demande un /24 ou plus : un bloc plus petit est donc refusé avant même le début du provisionnement.
• Répartir un /24 entre deux clouds en BYOIP. Chez la plupart des fournisseurs, une plage ne vit qu'à un seul endroit à la fois. Un tunnel peut servir des parties d'un bloc à plusieurs endroits ; le BYOIP, en général, non.

Que choisir

La place de RTM Networks

Nous faisons les deux premières. Nous louons des /24 et plus pour le BYOIP, avec le ROA, l'enregistrement au registre et la lettre d'autorisation préparés pour votre fournisseur, et nous livrons des blocs plus petits par GRE ou WireGuard à un serveur chez n'importe quel fournisseur, jusqu'à une seule adresse (tunnels GRE et WireGuard). Dites-nous combien d'adresses il vous faut et où sont vos serveurs, et nous vous dirons laquelle des deux convient.