BYOIP u Azureu: vlastite IPv4 adrese kao custom IP prefix

Da je raspon vaš dokazujete ROA-om koji navodi Microsoftov ASN i certifikatom u njegovu WHOIS/RDAP zapisu, zatim ga osiguravate i iz njega izvodite public IP prefixe i adrese.

Ovaj vodič slijedi objedinjeni (unified) model, za raspon koji se koristi u jednoj regiji, putem Azure CLI-ja. Raspon ne može prijeći na globalni/regionalni model, nadređeni prefiks s regionalnim podređenima, bez ponovnog uvođenja.

Što Azure prihvaća

Prema Microsoftovoj dokumentaciji, na dan kada smo provjerili:

• Veličina. Objedinjeni prefiks „must be between /21 and /24“ (prijevod: „mora biti između /21 i /24“). Globalni nadređeni prefiks također je od /21 do /24, s regionalnim podređenima od /22 do /26.
• Registar i ime. Raspon „must be owned by you and registered under your name“ (prijevod: „mora biti u vašem vlasništvu i registriran na vaše ime“) kod regionalnog internetskog registra, među kojima su ARIN, RIPE NCC i APNIC. Ništa o statusu PA, PI ili legacy.
• Tko je ishodište. Microsoft, pod AS8075, ili AS8070 za US Gov Cloud. Microsoftove stranice o BYOIP-u ne dokumentiraju opciju vlastitog ASN-a. Naredba CLI-ja iz 1. koraka, az network custom-ip prefix create, ipak navodi parametar --asn, opisan samo kao „The ASN for CIDR advertising“ (prijevod: „ASN za najavu CIDR-a“), pa pitajte Microsoft prije nego što na to računate.
• Regije. Jedna regija po prefiksu, i prema zadanim postavkama pet prefiksa po regiji, više na zahtjev.
• Cijena. „There's no charge to provision or use custom IP prefixes“ (prijevod: „Za osiguravanje ili korištenje custom IP prefixa nema naknade“), kao ni za public IP prefixe i adrese izvedene iz njih. Promet se naplaćuje po cijenama internetskog izlaznog prometa.
• Vrijeme. Oko 30 minuta za osiguravanje i tri do četiri sata za globalno puštanje u rad.
• Ograničenja. Bez Internet Routing Preference, Global Tier, ExpressRoute Microsoft peeringa i Standard v2 javnih IP adresa. Reverzni DNS radi iz vaših vlastitih zona u Azure DNS-u, Windows Server Activation može potrajati do tjedan dana, a osigurani raspon ne može promijeniti pretplatu.

Prije nego što počnete

ROA za AS8075, s duljinom prefiksa točno onakvom kakvom će ga Microsoft najavljivati i datumom isteka koji pokriva vrijeme koliko ga želite najavljivati (RPKI i ROA). Računajte s najmanje 24 sata dok ga Microsoft ne vidi. Microsoft također preporučuje ROA za svaki ASN koji danas najavljuje raspon.

Par ključeva i samopotpisani certifikat, izrađeni s OpenSSL-om:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Certifikat u WHOIS/RDAP zapisu prefiksa, uključujući oznake BEGIN i END, bez razmaka i prijeloma redaka:

Potpisana autorizacijska poruka: ID vaše pretplate, prefiks i datum isteka ROA-a, tim redom:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft ne traži LOA ni route objekt.

Korak po korak

01Osigurajte raspon, u postojećoj grupi resursa. U regiji sa zonama dostupnosti učinite ga zonski redundantnim ili ga vežite uz jednu zonu:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Pričekajte Provisioned. commissionedState koji vraća az network custom-ip prefix show prelazi iz Provisioning u Provisioned. Rani ValidationFailed znači da ROA, certifikat ili poruka nisu prošli provjeru; polje FailedReason kaže što.

03Izvedite adrese. Izradite public IP prefix iz raspona, zatim iz njega adrese Standard SKU, i pridružite ih VM-ovima ili load balancerima; još se ne najavljuju.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Pustite u rad. Ako je raspon aktivan negdje drugdje, dvije istodobne najave „could potentially create BGP routing instability or traffic loss“ (prijevod: „mogle bi uzrokovati nestabilnost BGP usmjeravanja ili gubitak prometa“). Najprije ga pustite u rad unutar regije (u portalu Commission, zatim opcija samo za regiju, ili -NoInternetAdvertise u PowerShellu), testirajte, povucite staru najavu, a zatim ga pustite u rad globalno:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Dok je u stanju Commissioning, raspon se djelomično najavljuje, najprije iz regije, zatim iz Microsoftove mreže pod AS8075, sve dok ne bude Commissioned.

Pogreške koje koštaju dan

• Certifikat u descr. Za RIPE NCC Microsoft kaže remarks, dok AWS čita descr, a izričito ne remarks, pa blok koji se seli između tih dvaju oblaka traži izmjenu zapisa.
• Datum koji se ne podudara. Datum u potpisanoj poruci je datum isteka ROA-a, u obliku yyyymmdd; ako ga nema, Microsoft kaže da odaberete datum do kojeg želite da se raspon najavljuje.
• ROA s pogrešnom duljinom. Nepodudaranje s prefiksom koji osiguravate završava kao InvalidPrefixLengthInROA.
• Odlazak pogrešnim redoslijedom. Izbrišite svaki izvedeni public IP prefix, zatim povucite raspon iz rada (tri do četiri sata) prije nego što izmijenite ili izbrišete ROA. U suprotnom Microsoft nastavlja najavljivati raspon za čiju najavu više nije ovlašten.

Ako blok uzimate u najam

Prepreka je Microsoftovo pravilo: raspon „must be owned by you and registered under your name“ (prijevod: „mora biti u vašem vlasništvu i registriran na vaše ime“). Blok registriran samo na najmodavca to ne ispunjava kako je napisano, a Microsoft ne kaže računa li se dodjela vama unutar nositeljeve alokacije, pa pitajte nositelja i Microsoft prije potpisivanja. Nositelj zatim izrađuje ROA za AS8075 i dodaje vaš certifikat u remarks zapisa. Za reverzni DNS također treba nositelj: Azure ga poslužuje samo iz reverzne zone koju hostate u Azure DNS-u i koju vam nositelj delegira. LOA nije potrebno.

Gdje se uklapa RTM Networks

Iznajmljujemo /24 i veće blokove iz vlastitog adresnog prostora RIPE NCC-a i prodajemo blokove u regijama RIPE NCC-a, ARIN-a i APNIC-a. Za prostor iznajmljen od nas registriramo dodjelu vašoj organizaciji, izrađujemo ROA za AS8075 i dodajemo vaš certifikat u zapis registra (najam IPv4). Ako Microsoft želi više od dodjele na vaše ime, kupnja bloka to rješava (kupnja IPv4). Ako nemate vlastiti LIR, sponzoriramo PI i legacy prostor te AS brojeve (sponzorstvo). Za manje od 256 adresa na Azure VM-u najavljujemo blok i isporučujemo ga preko WireGuarda, jer Azure blokira GRE, u bilo kojoj veličini sve do jedne adrese (WireGuard tuneli). Drugi pružatelji: BYOIP vodiči.