BYOIP chez UpCloud : vos propres adresses IP dans un Private Cloud

Pour les Cloud Servers des zones publiques d'UpCloud, la façon d'utiliser votre propre bloc est un tunnel, que ce guide couvre aussi.

Ce qu'UpCloud accepte

D'après la documentation d'UpCloud, le jour de notre vérification :

• Private Cloud uniquement. Le Private Cloud fait tourner vos Cloud Servers sur des hôtes dédiés. UpCloud indique qu'il « offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP). » (traduction : « offre la possibilité de blocs IP publics dédiés, et il est possible d'utiliser vos propres blocs IP (BYOIP). »)
• Via les ventes. Sa FAQ réseau demande « Can I bring my own IPs or IP range? » (traduction : « Puis-je apporter mes propres IP ou ma propre plage IP ? ») et répond : « Yes, you can do this in our Private Cloud. Contact our sales team for more information. » (traduction : « Oui, vous pouvez le faire dans notre Private Cloud. Contactez notre équipe commerciale pour en savoir plus. ») UpCloud ne documente aucune étape en console, API ou CLI pour cela.
• Où. Un Private Cloud se trouve au sein d'une zone publique parente, l'un des 15 sites d'UpCloud.
• Conditions. La page Private Cloud répond à « Can I bring my own IPs? » (traduction : « Puis-je apporter mes propres IP ? ») par : « Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region. » (traduction : « Oui. UpCloud prend en charge le Bring Your Own IP (BYOIP). Vos préfixes peuvent être annoncés via BGP (sous réserve de validation et de LOA). La disponibilité et les exigences de taille de préfixe dépendent de la région cible. »)
• Non publié. Quels registres UpCloud accepte, l'ASN d'origine, un prix pour le BYOIP lui-même et le délai.
• Prix du Private Cloud. Les configurations commencent à 3 190 € par mois, sur devis pour chaque client.
• Les zones publiques utilisent les adresses d'UpCloud. Un Cloud Server reçoit une adresse IPv4 et une IPv6 par défaut et peut avoir jusqu'à cinq adresses IPv4 publiques. Les adresses IPv4 supplémentaires sont facturées à l'heure.
• Les floating IPs sont aussi celles d'UpCloud. Ce sont des adresses IPv4 que votre compte réserve, facturées par adresse, et qui se déplacent entre Cloud Servers d'un même centre de données. Elles ne sont pas disponibles en IPv6.

Avant de commencer

UpCloud nomme deux exigences, la validation et une lettre d'autorisation, et laisse le reste à l'échange avec les ventes. Préparez ce que demande tout fournisseur qui annonce de l'espace client, et confirmez chaque point :

1. Un /24 ou plus. UpCloud indique que les exigences de taille de préfixe dépendent de la région, et les réseaux filtrent ce qui est plus petit qu'un /24.
2. L'objet du registre. Sachez quel registre détient le bloc (l'ARIN, le RIPE NCC ou l'APNIC, par exemple) et quelle organisation l'objet nomme.
3. Un ROA pour l'ASN qui annonce, celui d'UpCloud ou le vôtre, avec une longueur maximale égale à ce qui est annoncé (RPKI et ROA). Créez-le une fois qu'UpCloud a nommé l'ASN.
4. Un objet route avec le même ASN comme origine.
5. Une lettre d'autorisation, qu'UpCloud demande, signée par le titulaire du bloc et nommant UpCloud comme réseau qui le transportera.

La voie du tunnel

Pour les Cloud Servers des zones publiques, ou pendant l'échange sur le Private Cloud, un tunnel place votre bloc sur le serveur sans qu'UpCloud change quoi que ce soit. Un réseau capable d'annoncer le bloc l'annonce, et un tunnel GRE ou WireGuard achemine son trafic jusqu'à votre serveur et retour (comment fonctionne le tunnel).

Le serveur garde l'adresse IPv4 qu'UpCloud lui a attribuée. Cette adresse est l'extrémité extérieure du tunnel : l'autre côté lui envoie des paquets encapsulés, et le réseau d'UpCloud voit du trafic ordinaire entre deux adresses publiques. Le bloc loué voyage à l'intérieur du tunnel. Vous configurez ses adresses sur l'interface du tunnel ou sur la loopback, et le serveur y répond comme si elles étaient locales.

• Les réponses repartent par le tunnel. Ajoutez une route de politique pour que le trafic du bloc sorte par le tunnel. Envoyé directement, il porterait une adresse source qu'UpCloud n'a jamais attribuée au serveur, et les réseaux filtrent ce trafic.
• Ouvrez le pare-feu d'UpCloud dans les deux sens. Si vous l'utilisez, notez qu'il est sans état : les règles doivent autoriser explicitement le trafic entrant et sortant. Ses règles portent sur TCP, UDP ou ICMP. Pour GRE, le protocole IP 47, laissez le protocole sur All et limitez la règle à l'adresse de l'autre extrémité. Pour WireGuard, autorisez son port UDP.
• Réglez la MTU. 1 476 octets pour GRE, environ 1 420 pour WireGuard, avec du MSS clamping si le serveur route le bloc vers des machines virtuelles.
• Toute taille. Un tunnel livre moins de 256 adresses, jusqu'à une seule, ce que le BYOIP ne permet jamais.

Les pièges

• Le déplacement s'arrête aux adresses du client. La fonction Relocate Server d'UpCloud déplace un serveur entre zones Public et Private Cloud d'un même centre de données, avec une limite réseau : « The server cannot have IP addresses from a dedicated, customer-owned IP network. » (traduction : « Le serveur ne peut pas avoir d'adresses IP issues d'un réseau IP dédié appartenant au client. ») Planifiez où vit votre bloc avant de migrer.
• L'essai gratuit bloque des ports. Pendant l'essai gratuit d'UpCloud, certains ports sont bloqués et le réseau tourne à 100 Mbit/s. Après le premier paiement, tous les ports sauf le 25 sont ouverts : testez donc un tunnel après cela.

Si vous louez le bloc

UpCloud ne publie rien sur l'espace loué ni sur le nom que doit porter l'objet du registre, posez donc la question à l'équipe commerciale d'UpCloud quand vous la contactez. Pour le BYOIP en Private Cloud, le titulaire s'occupe du côté registre : le ROA pour l'ASN qu'UpCloud indique, l'objet route, et la lettre d'autorisation qu'UpCloud demande. Avec un tunnel, rien ne change chez UpCloud : le réseau à l'autre extrémité annonce le bloc, et le titulaire n'a qu'à autoriser ce réseau.

La place de RTM Networks

Nous louons des /24 et plus grands depuis notre propre espace d'adresses RIPE NCC, et vendons des blocs dans les régions du RIPE NCC, de l'ARIN et de l'APNIC. Chaque location inclut le ROA, l'objet route, les enregistrements PTR et une lettre d'autorisation chaque fois que vous en avez besoin (louer de l'IPv4). Pour un Private Cloud, nous créons le ROA pour l'ASN qu'UpCloud indique et signons la lettre d'autorisation, et nous parrainons des numéros d'AS pour les organisations qui ne sont pas elles-mêmes LIR (parrainage d'ASN). Pour les Cloud Servers des zones publiques, nous annonçons nous-mêmes le bloc et le livrons par GRE ou WireGuard, dans toute taille jusqu'à une seule adresse (tunnels GRE et WireGuard). Autres fournisseurs : guides BYOIP.