BYOIP chez Alibaba Cloud : votre /23 ou plus en adresses Elastic IP

Vous faites pointer l'objet route de votre plage vers l'ASN d'Alibaba Cloud et ouvrez un ticket. Une fois le ticket approuvé, Alibaba Cloud annonce la plage depuis la région que vous y avez indiquée.

Ce qu'Alibaba Cloud accepte

D'après la documentation d'Alibaba Cloud, le jour de notre vérification :

• Taille. Un /23 ou plus : « Prefixes longer than /23, such as /24, are not supported. » (traduction : « Les préfixes plus longs que /23, comme /24, ne sont pas pris en charge. ») IPv4 uniquement.
• Registre. La plage « must be registered with a Regional Internet Registry (RIR) » (traduction : « doit être enregistrée auprès d'un registre Internet régional (RIR) »). Alibaba Cloud ne publie rien sur le statut PA, PI ou legacy, ni sur le nom au titre duquel la plage doit être enregistrée.
• Qui annonce. Alibaba Cloud, depuis AS45102. « You cannot use your own ASN. » (traduction : « Vous ne pouvez pas utiliser votre propre ASN. »)
• Régions. US (Silicon Valley), US (Virginia), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Japan (Tokyo), Indonesia (Jakarta), Germany (Frankfurt) et UK (London). Pas la Chine continentale.
• Historique. Alibaba Cloud peut examiner une plage et refuser celle qui présente des « adverse records and a history of malicious activity » (traduction : « antécédents défavorables et un historique d'activité malveillante ») (garder un bloc propre).
• Prix. « The BYOIP feature is free of charge. » (traduction : « La fonction BYOIP est gratuite. ») Les frais de configuration d'EIP, pour détenir une adresse Elastic IP, sont supprimés, et vous payez la bande passante.
• Délai. Environ un mois, « depending on the time it takes for Alibaba Cloud to apply for and advertise the IP addresses » (traduction : « selon le temps qu'il faut à Alibaba Cloud pour demander et annoncer les adresses IP »).

Avant de commencer

Un objet route avec l'origine AS45102. Alibaba Cloud vous demande de fixer l'origin de votre plage à AS45102 dans le registre de routage, en suivant les instructions de votre registre, et de vérifier le résultat dans RADb. Dans la base de données RIPE, cela ressemble à ceci ; les plages de documentation sont toutes des /24, le préfixe est donc un espace réservé :

route:    <your-prefix>/23
descr:    Example B.V.
origin:   AS45102
mnt-by:   EXAMPLE-MNT
source:   RIPE

Un ROA valide. Alibaba Cloud en fait votre responsabilité : si le ROA devient invalide, les réseaux qui pratiquent la validation de l'origine des routes rejettent la route, et Alibaba Cloud peut cesser de l'annoncer. Sa page ne détaille pas le ROA. Une route depuis AS45102 n'est valide que si un ROA nomme AS45102 pour le préfixe tel qu'il est annoncé : créez donc celui-là (RPKI et ROA).

Ce que le ticket doit contenir. La plage, la région et la confirmation que l'origine est désormais AS45102. « No other information is required at this time. » (traduction : « Aucune autre information n'est requise pour le moment. ») Alibaba Cloud ne demande ni certificat, ni jeton, ni lettre d'autorisation (LOA).

Étape par étape

1. Mettez à jour le registre de routage. Créez ou modifiez l'objet route pour que son origine soit AS45102, puis vérifiez-le dans RADb, par exemple avec whois -h whois.radb.net <your-prefix>/23.
2. Créez le ROA pour AS45102 auprès de votre registre.
3. Ouvrez un ticket de demande de BYOIP, avec la plage, la région et la confirmation du changement d'origine. Si vous voulez l'annonce BGP (Multi-ISP) Pro, dites-le dans le même ticket.
4. Attendez l'évaluation. Un représentant vous contacte s'il faut davantage, et « to discuss and finalize the terms » (traduction : « pour discuter et arrêter les conditions »), gardez donc vos coordonnées à jour. Après approbation, Alibaba Cloud annonce la plage depuis la région avec AS45102 et l'ajoute à sa liste de protection de sécurité.
5. Allouez des EIP. Dans la console Elastic IP Address, choisissez la région et cliquez sur Apply for Specific EIP. Vous pouvez aussi ajouter la plage à un IP address pool et allouer depuis celui-ci. La fonction de pool est désactivée par défaut, et votre chargé de compte l'active.
6. Vérifiez depuis l'extérieur. Le validateur de RIPEstat doit déclarer la plage valide pour AS45102 :

curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=45102&prefix=<your-prefix>/23"

Les pièges

• Un /24 ne suffit pas. Deux /24 ne conviennent que s'ils sont les deux moitiés d'un même /23, et l'objet route et le ROA couvrent alors le /23.
• Le quota des pools est la moitié d'un /23. Par défaut, les IP address pools contiennent « a combined maximum of 256 IP addresses across all pools in the region » (traduction : « un maximum cumulé de 256 adresses IP pour tous les pools de la région »). Demandez-en davantage à votre chargé de compte avant d'ajouter toute la plage à des pools.
• Une EIP se trouve derrière du NAT. La FAQ d'Alibaba Cloud elle-même indique qu'une EIP n'est pas une IP publique native : quand une instance ECS en utilise une, son trafic passe par du NAT. Un logiciel qui doit voir son adresse publique sur l'instance doit en tenir compte.
• Facturation à la bande passante uniquement. Les EIP de votre plage sont facturées à l'usage selon une bande passante fixe, et ne peuvent rejoindre que des instances Internet Shared Bandwidth facturées de la même façon.
• Partir prend aussi un mois. Retirer une plage prend à peu près autant de temps que l'apporter : prévoyez la sortie en même temps que l'entrée.

Si vous louez le bloc

Alibaba Cloud ne publie aucune règle sur le nom au titre duquel la plage doit être enregistrée, et ne demande pas de lettre d'autorisation. Ce qu'il exige se trouve dans le registre, c'est donc le titulaire qui s'en charge. Le titulaire crée l'objet route avec l'origine AS45102, ce qui demande le mainteneur du titulaire, et le ROA pour AS45102, maintenu valide pendant toute la location. Ce n'est qu'ensuite que vous pouvez confirmer le changement d'origine dans votre ticket. La location doit aussi couvrir au moins un /23.

La place de RTM Networks

Nous louons des /24 et plus grands depuis notre propre espace d'adresses RIPE NCC, y compris le /23 que demande Alibaba Cloud (louer de l'IPv4), et vendons des blocs dans les régions du RIPE NCC, de l'ARIN et de l'APNIC. Pour un espace loué chez nous, nous créons l'objet route et le ROA pour AS45102. S'il vous faut moins de 512 adresses sur une instance ECS, nous annonçons nous-mêmes un bloc et le livrons par GRE ou WireGuard, dans toute taille jusqu'à une seule adresse (tunnels GRE et WireGuard). Autres fournisseurs : guides BYOIP.