AWS BYOIP: saját IPv4-címek az EC2-ben

Azt, hogy Ön rendelkezik a tartomány felett, egy tanúsítvánnyal bizonyítja a registry-bejegyzésében és egy, az AWS ASN-jeit megnevező ROA-val, majd egy címkészletbe provisionálja, és abból oszt ki Elastic IP-címeket, ahogy az AWS saját címeiből tenné. A behozott címekre nem vonatkozik az óradíjas nyilvános IPv4-díj.

Ez az útmutató az EC2-t írja le az AWS CLI-n keresztül. Ugyanez a tartomány az AWS Global Acceleratorba is kerülhet, amelynek saját folyamata van, vagy a VPC IP Address Manageren (IPAM) keresztül, amely DNS-alapú bizonyítási módot és a saját ASN-ről való bejelentés lehetőségét is kínálja.

Mit fogad az AWS

Az AWS dokumentációja szerint, azon a napon, amikor ellenőriztük:

• Méret. A legspecifikusabb behozható IPv4-tartomány egy /24.
• Nyilvántartó. ARIN, RIPE NCC vagy APNIC, és vállalkozás vagy intézmény nevére regisztrálva, magánszemélyére soha.
• Előélet. Az AWS ellenőrizheti a tartomány hírnevét, és elutasíthatja, ha rossz előéletű címeket tartalmaz (hogyan tartsa tisztán a blokkot).
• A legacy címteret elfogadja, de ahhoz is ROA kell.
• Tartományonként egyszerre egy régió, és alapból régiónként öt tartomány; az AWS Support ezt megemelheti.
• Hol. Minden kereskedelmi régióban, a kínai régiók kivételével, és Local Zone-ok egy listáján.
• Ne nyúljon a routing registryhez. Az AWS maga frissíti a RADb-t, és egy kézi módosítás, amely tartalmazza az AWS ASN-jét, a provisioning sikertelenségét okozza.

Mielőtt elkezdi

ROA az AWS ASN-jeire. Engedélyeznie kell az AS16509-et és az AS14618-at, valamint minden ASN-t, amely ma bejelenti a tartományt, a maximális hosszt pedig a behozott tartomány méretére kell állítani. Az AWS GovCloud (US) régiókban a ROA ehelyett az AS8987-et nevezi meg, az AWS European Sovereign Cloudban pedig az AS16509-et és az AS214101-et; IPAM-en keresztül állítsa /24-re, hogy a blokkot feloszthassa. Ha a tartományt a saját hálózatáról költözteti, először a jelenlegi ASN-jére hozza létre a ROA-t, hogy semmi, ami most működik, ne váljon érvénytelenné (RPKI és ROA-k). A ROA akár 24 óra alatt ér el az AWS-hez.

Kulcspár és tanúsítvány, OpenSSL 1.0.2-vel vagy újabbal készítve:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

A tanúsítvány a registry-bejegyzésben, egy sorban, a BEGIN és END jelölőkkel együtt. Hogy hová kerül, az a nyilvántartótól függ, és a mező számít:

A tanúsítványt a provisioning befejezése után eltávolíthatja.

Lépésről lépésre

01Írja alá az engedélyezési üzenetet. Az üzenet megnevezi a fiókját, a tartományt és egy lejárati dátumot:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Provisionálja a tartományt abban a régióban, ahol használni fogja:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Várjon. Az állapot pending-provision-ről provisioned-re vált. Az AWS szerint a legtöbb tartomány két órán belül elkészül, némelyik egy hétig is tart; az aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 mutatja, hol tart.

04Készítse elő, aztán váltson. Hogy a kiesés rövid legyen, osszon ki Elastic IP-címeket az új készletből, és csatolja őket, mielőtt a tartományt bejelentik. Az aws ec2 describe-public-ipv4-pools megadja a készlet azonosítóját, az aws ec2 allocate-address --public-ipv4-pool <pool-id> pedig kivesz belőle egy címet.

05Hirdesse meg. Szüntesse meg a tartomány bejelentését minden más helyen, majd:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

Az AWS azt javasolja, hogy először más helyekről vonja vissza a tartományt; amíg valaki más bejelenti, az AWS nem ígérheti, hogy a forgalma eljut a hálózatához. Pontosan a provisionált tartományt kell meghirdetnie, soha nem egy részét.

06Ellenőrizze kívülről. A whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr parancsnak mutatnia kell a tanúsítványt, a RIPEstat validátorának pedig érvényesnek kell mondania a tartományt az AS16509-re: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Hibák, amelyek egy napba kerülnek

• A tanúsítvány rossz mezőben. A RIPE NCC-nél az AWS a descr mezőt olvassa, kifejezetten nem a remarks-ot. Az Azure az ellenkezőjét kéri, így egy blokk, amely a két felhő között költözik, a bejegyzés módosítását igényli.
• ROA rossz maximális hosszal. Az AWS megköveteli, hogy egyezzen a behozott tartomány méretével, vagy IPAM-en keresztül /24 legyen. A behozott tartománynál specifikusabb maximális hossz al-prefix-eltérítéseket tesz lehetővé, és az AWS fenntartja a jogot, hogy leállítsa egy olyan tartomány hirdetését, amelynek ROA-i nem követik a szabályait.
• A tartomány egy részének meghirdetése. Az AWS pontosan azt hirdeti, amit provisionált. Kisebb tartomány használatához deprovisionáljon, és provisionáljon újra.
• Két hálózat egyszerre jelenti be. A forgalom megoszlik közöttük, és az AWS ezt nem hárítja el.

A saját ASN-je

A VPC IPAM-en keresztül az AWS a saját ASN-jéről is bejelentheti a tartományát a sajátja helyett. Ugyanazt a tanúsítványt hozzáadja az ASN registry-bejegyzéséhez (a RIPE NCC-nél descr sorként az aut-num-on), létrehoz egy második ROA-t az Ön ASN-jére, az AWS pedig egy ASPA objektumot javasol, amely az AS16509-et és az AS14618-at sorolja fel szolgáltatóiként; ezek nélkül az AWS által Ön helyett továbbadott útvonalak megbuknak az ASPA-validáción. Az origint bármikor visszaválthatja az AWS ASN-jére, a sajátjára pedig legfeljebb óránként egyszer.

Ha bérli a blokkot

A bérelt címtér működik, feltéve, hogy a registry szervezet tulajdonában mutatja. A registry-oldalt a jogosult végzi: a tanúsítványt az inetnum bejegyzésben, amelyet csak a jogosult maintainere szerkeszthet, és a ROA-t az AS16509-re és az AS14618-ra. A többit Ön végzi az AWS-fiókjából.

Hol segít az RTM Networks

/24-eket és nagyobbakat bérbe adunk saját RIPE NCC-címterünkből, és blokkokat értékesítünk a RIPE NCC, az ARIN és az APNIC régiójában. A tőlünk bérelt címtérnél mi adjuk hozzá az AWS-tanúsítványát a registry-bejegyzéshez, és mi hozzuk létre a ROA-t az AWS ASN-jeire, így csak a provisioning marad Önre (IPv4 bérlése). Ha 256-nál kevesebb címre van szüksége egy EC2-példányon, alagúton át is eljuttathatjuk őket (GRE- és WireGuard-alagutak). Hogyan adódik össze az óradíjas IPv4-díj, és mikor éri meg a saját címek behozatala: a felhős IPv4 valódi költsége. Más szolgáltatók: BYOIP-útmutatók.