BYOIP u Google Cloudu: vlastite IPv4 adrese u Compute Engineu

Kontrolu nad blokom dokazujete ROA-om koji navodi Googleov ASN i PTR zapisom koji nosi ime koje vam Google daje, a zatim iz njega izdvajate delegirane prefikse i iz njih izrađujete statične vanjske adrese.

Ovaj vodič obuhvaća IPv4 u konfiguraciji koju Google preporučuje, regionalni (v2) prefiks na Premium Tieru, putem gcloud CLI-ja. Globalne adrese za globalne load balancere koriste stariju konfiguraciju v1, a vaš projekt najprije mora biti na popisu dopuštenih.

Što Google Cloud prihvaća

Prema dokumentaciji Google Clouda, na dan kada smo provjerili:

• Veličina. Public advertised prefix od „/16 to /24“ (prijevod: „/16 do /24“) na Premium Tieru, zadanom, ili „/16 to /23“ (prijevod: „/16 do /23“) na Standard Tieru, koji je u fazi Preview. Možete ga podijeliti sve do blokova /28.
• Registar. Google povezuje upute za ROA za svaki regionalni registar, među njima ARIN, RIPE NCC i APNIC. Ne objavljuje ništa o statusu PA, PI ili legacy, ni o tome na čije ime blok mora glasiti.
• Tko je ishodište. Google, s AS396982 na Premium Tieru ili AS19527 na Standard Tieru. Ne dokumentira opciju najave s vlastitog ASN-a.
• Bez preklapanja. „Google does not support overlapping BYOIP route announcements“ (prijevod: „Google Cloud ne podržava preklapajuće BYOIP najave ruta“): ni prefiks ni bilo koji njegov dio ne smije se najavljivati negdje drugdje dok ga Google najavljuje.
• Regije. Svaki delegirani prefiks služi jednoj regiji ili globalnom opsegu. Googleove stranice o BYOIP-u ne navode isključene regije.
• Cijena. „There are no charges for idle or in-use IP addresses.“ (prijevod: „Za neaktivne ili korištene IP adrese nema naknada.“)
• Vrijeme. „Approximately 2 weeks“ (prijevod: „otprilike 2 tjedna“) za v2 prefiks nakon validacije, „approximately 4 weeks“ (prijevod: „otprilike 4 tjedna“) za v1 i globalne. Osiguravanje „cannot be accelerated“ (prijevod: „ne može se ubrzati“).
• Resursi. Većina onih koji primaju statičnu vanjsku adresu, ali ne GKE čvorovi i Podovi ni vanjska adresa Cloud VPN gatewaya. Adrese se ne mogu premještati između projekata.

Prije nego što počnete

ROA za Googleov ASN. Na Premium Tieru navodi prefiks, njegovu točnu duljinu i AS396982. Na Standard Tieru navodi AS19527, bilo u jednom ROA-u za svaki prefiks koji ćete osigurati, što Google preporučuje, bilo u jednom ROA-u s najvećom duljinom /24 (RPKI i ROA).

Drugi ROA za vaš vlastiti ASN. Google preporučuje jedan s istim podacima i vašim ASN-om kao ishodištem, kako mreže koje provode validaciju ishodišta rute ne bi prefiks smatrale nevaljanim ako ga ikad budete najavljivali sami.

Kontrola nad reverznim DNS-om. Google vlasništvo provjerava PTR zapisom, a ne tokenom u zapisu registra. Odaberete nekorištenu adresu u prefiksu, Google vraća ime (svoju dijeljenu tajnu), a vi objavljujete PTR zapis za tu adresu koji pokazuje na to ime pod vašom domenom.

Ništa drugo iz registra. Google ne traži certifikat, LOA ni route objekt. Na njegovoj strani treba vam uloga Compute Public IP Admin (roles/compute.publicIpAdmin) na projektu.

Korak po korak

01Izradite public advertised prefix, navodeći adresu koju ćete koristiti za DNS validaciju:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Za Standard Tier koristite gcloud beta i dodajte --network-tier=STANDARD.

02Objavite PTR zapis. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' daje ime. Ako je to 55kk88tt00, a vaša domena example.net, tada dig +short -x 203.0.113.144 mora vratiti 55kk88tt00.example.net.

03Pokrenite validaciju:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Status postaje VALIDATED ili REVERSE_DNS_LOOKUP_FAILED ako Google ne može pronaći zapis. Osiguravanje je završeno kada describe s --format='value(status)' prikaže PREFIX_CONFIGURATION_COMPLETE.

04Delegirajte blok regiji. To može teći dok čekate:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Izradite adrese. Regionalni javni delegirani prefiksi izrađeni nakon 13. prosinca 2025. dopuštaju pojedinačne adrese:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Stariji prefiksi i globalne adrese primaju cijele blokove, putem delegated-sub-prefixes create --create-addresses. Pridružite adrese VM-ovima ili pravilima prosljeđivanja (forwarding rules). Još nisu dostupne.

06Najavite. Provjerite da nijedna druga mreža ne najavljuje blok. Najprije najavite delegirani prefiks, koji Google prenosi unutar svoje mreže, a zatim advertised prefix, koji ide na internet sa svih Googleovih točaka prisutnosti:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Izvana RIPEstatov validator treba prefiks proglasiti valjanim za AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Pogreške koje koštaju dan

• Dvije mreže najavljuju. Preklapanje uključuje i specifičniju rutu: /24 najavljen negdje drugdje unutar /23 koji donosite se računa. Google upozorava na „unexpected routing and packet loss“ (prijevod: „neočekivano usmjeravanje i gubitak paketa“).
• v1 se najavljuje sam. Globalni (v1) prefiks najavljuje se čim je njegov delegirani prefiks osiguran. Google kaže da ne izrađujete delegirane prefikse dok blok najavljuje netko drugi.
• Istekli ROA. Ako ROA istekne, a vi ga ne obnovite u roku od četiri tjedna od Googleove obavijesti o obnovi, Google prestaje najavljivati prefiks.
• Imena i regije su fiksni. Preimenovanje prefiksa znači njegovo brisanje i ponovnu izradu, a premještanje delegiranog prefiksa u drugu regiju „can take approximately eight weeks“ (prijevod: „može trajati otprilike osam tjedana“). Odaberite imena poput pap-203-0-113-0-24 i delegirajte samo ono u što ste sigurni.
• Prerano uklanjanje ROA-a. Nakon što izbrišete public advertised prefix, pričekajte 14 dana prije nego što uklonite ROA za Googleov ASN.

Ako blok uzimate u najam

Google ne objavljuje pravilo o tome na čije ime blok mora biti registriran i ne traži LOA. Obje njegove provjere, ROA i PTR zapis, kod iznajmljenog bloka su u rukama nositelja. Nositelj izrađuje ROA za AS396982 ili AS19527 te onaj za vaš ASN ako ga želite. Nositelj također izrađuje PTR zapis s Googleovim imenom ili reverznu zonu bloka delegira poslužiteljima imena koje vi kontrolirate. Dogovorite da se ROA obnavlja dokle god Google najavljuje blok i da ostaje 14 dana nakon vašeg odlaska.

Gdje se uklapa RTM Networks

Iznajmljujemo /24 i veće blokove iz vlastitog adresnog prostora RIPE NCC-a i prodajemo blokove u regijama RIPE NCC-a, ARIN-a i APNIC-a. Za prostor iznajmljen od nas izrađujemo ROA za Googleov ASN i PTR zapis s Googleovim imenom (najam IPv4). Ako vam na Compute Engine VM-u treba manje od 256 adresa, blok najavljujemo sami i isporučujemo ga preko GRE-a ili WireGuarda, u bilo kojoj veličini sve do jedne adrese (GRE i WireGuard tuneli). Kako se satna naknada za IPv4 zbraja kod velikih oblaka: stvarni trošak IPv4 u oblaku. Drugi pružatelji: BYOIP vodiči.