BYOIP u AWS-u: vlastite IPv4 adrese u EC2

Kontrolu nad rasponom dokazujete certifikatom u njegovu zapisu registra i ROA-om koji navodi AWS-ove ASN-ove, osiguravate ga u skup adresa i iz njega dodjeljujete Elastic IP adrese kao iz AWS-ovih vlastitih. Adrese koje donesete ne podliježu satnoj naknadi za javni IPv4.

Ovaj vodič obuhvaća EC2 putem AWS CLI-ja. Isti raspon može ići i u AWS Global Accelerator, koji ima vlastiti postupak, ili kroz VPC IP Address Manager (IPAM), koji dodaje način dokazivanja kontrole putem DNS-a i mogućnost najave s vlastitog ASN-a.

Što AWS prihvaća

Prema AWS-ovoj dokumentaciji, na dan kada smo provjerili:

• Veličina. Najspecifičniji IPv4 raspon koji možete donijeti je /24.
• Registar. ARIN, RIPE NCC ili APNIC, i registriran na tvrtku ili instituciju, nikada na fizičku osobu.
• Povijest. AWS može provjeriti ugled raspona i odbiti onaj s adresama loše povijesti (kako blok održati čistim).
• Legacy prostor se prihvaća, ali i dalje treba ROA.
• Samo jedna regija u jednom trenutku po rasponu, i prema zadanim postavkama pet raspona po regiji; AWS Support to može povećati.
• Gdje. Sve komercijalne regije osim kineskih te popis Local Zones.
• Ne dirajte registar usmjeravanja. AWS sam ažurira RADb, a ručna promjena koja uključuje AWS-ov ASN uzrokuje neuspjeh osiguravanja.

Prije nego što počnete

ROA za AWS-ove ASN-ove. Mora ovlastiti AS16509 i AS14618 te svaki ASN koji danas najavljuje raspon, s najvećom duljinom postavljenom na veličinu raspona koji donosite. U regijama AWS GovCloud (US) ROA umjesto toga navodi AS8987, a u AWS European Sovereign Cloudu AS16509 i AS214101; preko IPAM-a postavite je na /24 kako biste blok mogli podijeliti. Ako raspon selite iz vlastite mreže, najprije izradite ROA za svoj trenutačni ASN, kako ništa što sada radi ne bi postalo nevaljano (RPKI i ROA). ROA može do AWS-a stizati do 24 sata.

Par ključeva i certifikat, izrađeni s OpenSSL-om 1.0.2 ili novijim:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Certifikat u zapisu registra, u jednom retku, uključujući oznake BEGIN i END. Gdje ide ovisi o registru, a polje je važno:

Certifikat možete ukloniti kada osiguravanje završi.

Korak po korak

01Potpišite autorizacijsku poruku. Poruka navodi vaš račun, raspon i datum isteka:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Osigurajte raspon u regiji u kojoj ćete ga koristiti:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Pričekajte. Status prelazi iz pending-provision u provisioned. AWS navodi da većina raspona završi u roku od dva sata, a neki traju do tjedan dana; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 pokazuje dokle je stigao.

04Pripremite, zatim prebacite. Kako bi zastoj bio kratak, dodijelite Elastic IP adrese iz novog skupa i pridružite ih prije nego što se raspon najavi. aws ec2 describe-public-ipv4-pools daje ID skupa, a aws ec2 allocate-address --public-ipv4-pool <pool-id> iz njega uzima adresu.

05Najavite. Prestanite najavljivati raspon bilo gdje drugdje, a zatim:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS preporučuje da raspon najprije povučete s drugih lokacija; dok ga netko drugi najavljuje, AWS ne može jamčiti da promet za njega stiže u njegovu mrežu. Morate najaviti točno raspon koji ste osigurali, nikada njegov dio.

06Provjerite izvana. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr treba prikazati certifikat, a RIPEstatov validator treba raspon proglasiti valjanim za AS16509: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Pogreške koje koštaju dan

• Certifikat u pogrešnom polju. Za RIPE NCC AWS čita descr, a izričito ne remarks. Azure traži suprotno, pa blok koji se seli između tih dvaju oblaka traži izmjenu zapisa.
• ROA s pogrešnom najvećom duljinom. AWS traži da bude jednaka veličini raspona koji donosite ili /24 preko IPAM-a. Najveća duljina specifičnija od raspona koji donosite poziva na otmice podprefiksa, a AWS zadržava pravo prestati najavljivati raspon čiji ROA-ovi ne slijede njegova pravila.
• Najava dijela raspona. AWS najavljuje točno ono što ste osigurali. Za manji raspon poništite osiguravanje i osigurajte ponovno.
• Dvije mreže najavljuju istodobno. Promet se dijeli između njih, a AWS to neće rješavati.

Vaš vlastiti ASN

Preko VPC IPAM-a AWS može vaš raspon najavljivati s vašeg vlastitog ASN-a umjesto sa svojega. Isti certifikat dodajete u zapis registra svog ASN-a (za RIPE NCC kao redak descr u aut-num), izrađujete drugi ROA koji navodi vaš ASN, a AWS preporučuje ASPA objekt koji navodi AS16509 i AS14618 kao vaše pružatelje; bez njih rute koje AWS prosljeđuje za vas ne prolaze ASPA validaciju. Ishodište možete u bilo kojem trenutku vratiti na AWS-ov ASN, a na vaš najviše jednom na sat.

Ako blok uzimate u najam

Iznajmljeni prostor radi, pod uvjetom da registar pokazuje da ga drži organizacija. Stranu registra obavlja nositelj: certifikat u zapisu inetnum, koji može uređivati samo nositeljev maintainer, i ROA za AS16509 i AS14618. Ostatak radite sami iz svog AWS računa.

Gdje se uklapa RTM Networks

Iznajmljujemo /24 i veće blokove iz vlastitog adresnog prostora RIPE NCC-a i prodajemo blokove u regijama RIPE NCC-a, ARIN-a i APNIC-a. Za prostor iznajmljen od nas dodajemo vaš AWS certifikat u zapis registra i izrađujemo ROA za AWS-ove ASN-ove, pa vam ostaje samo osiguravanje (najam IPv4). Ako vam na EC2 instanci treba manje od 256 adresa, možemo ih umjesto toga isporučiti preko tunela (GRE i WireGuard tuneli). Kako se satna naknada za IPv4 zbraja i kada se isplati donijeti vlastite adrese: stvarni trošak IPv4 u oblaku. Drugi pružatelji: BYOIP vodiči.