Azure BYOIP: saját IPv4-címek custom IP prefixként

Azt, hogy a tartomány az Öné, egy, a Microsoft ASN-jét megnevező ROA-val és a WHOIS/RDAP-bejegyzésében elhelyezett tanúsítvánnyal bizonyítja, majd provisionálja, és public IP prefixeket és címeket származtat belőle.

Ez az útmutató az egységes (unified) modellt követi, egy régióban használt tartományhoz, az Azure CLI-n keresztül. Egy tartomány nem válthat át a globális/regionális modellre, vagyis egy szülőre regionális gyermekekkel, újbóli onboarding nélkül.

Mit fogad az Azure

A Microsoft dokumentációja szerint, azon a napon, amikor ellenőriztük:

• Méret. Egy unified prefix „must be between /21 and /24” (fordítás: „/21 és /24 között kell lennie”). Egy globális szülő szintén /21 és /24 közötti, /22 és /26 közötti regionális gyermekekkel.
• Nyilvántartó és név. A tartománynak „must be owned by you and registered under your name” (fordítás: „az Ön tulajdonában kell lennie, és az Ön nevére kell regisztrálva lennie”) egy regionális internet-nyilvántartónál, köztük az ARIN-nál, a RIPE NCC-nél és az APNIC-nál. A PA, PI vagy legacy státuszról semmi.
• Ki az origin. A Microsoft, AS8075 alatt, vagy a US Gov Cloudban AS8070 alatt. A Microsoft BYOIP-oldalai nem dokumentálnak lehetőséget saját ASN-re. Az 1. lépés CLI-parancsa, az az network custom-ip prefix create, felsorol ugyan egy --asn paramétert, amelyet csak így ír le: „The ASN for CIDR advertising” (fordítás: „Az ASN a CIDR hirdetéséhez”), ezért kérdezze meg a Microsoftot, mielőtt számít rá.
• Régiók. Prefixenként egy régió, és alapból régiónként öt prefix, kérésre több.
• Ár. „There's no charge to provision or use custom IP prefixes” (fordítás: „A custom IP prefixek provisionálása és használata díjmentes”), és a belőlük származtatott public IP prefixek és címek sem kerülnek pénzbe. A forgalmat internetes kimenő díjjal számlázzák.
• Időtartam. Nagyjából 30 perc a provisioning, és három-négy óra a globális commissioning.
• Korlátok. Nincs Internet Routing Preference, Global Tier, ExpressRoute Microsoft peering és Standard v2 public IP. A reverse DNS az Ön saját zónáiból fut az Azure DNS-ben, a Windows Server Activation egy hétig is tarthat, és egy provisionált tartomány nem válthat előfizetést.

Mielőtt elkezdi

ROA az AS8075-re, a prefixhosszal pontosan úgy, ahogy a Microsoft hirdetni fogja, és olyan lejárati dátummal, amely lefedi azt az időt, ameddig a hirdetést szeretné (RPKI és ROA-k). Számoljon legalább 24 órával, amíg a Microsoft látja. A Microsoft azt is javasolja, hogy legyen ROA minden ASN-re, amely ma bejelenti a tartományt.

Kulcspár és önaláírt tanúsítvány, OpenSSL-lel készítve:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

A tanúsítvány a prefix WHOIS/RDAP-bejegyzésében, a BEGIN és END jelölőkkel együtt, szóközök és sortörések nélkül:

Aláírt engedélyezési üzenet: az előfizetés azonosítója, a prefix és a ROA lejárati dátuma, ebben a sorrendben:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

A Microsoft nem kér meghatalmazó levelet és route objektumot.

Lépésről lépésre

01Provisionálja a tartományt egy meglévő erőforráscsoportban. Rendelkezésre állási zónákkal rendelkező régióban tegye zónaredundánssá, vagy rögzítse egy zónához:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Várja meg a Provisioned állapotot. Az az network custom-ip prefix show által visszaadott commissionedState Provisioning-ról Provisioned-re vált. Egy korai ValidationFailed azt jelenti, hogy a ROA, a tanúsítvány vagy az üzenet nem ment át az ellenőrzésen; a FailedReason mező megmondja, melyik.

03Származtasson címeket. Hozzon létre public IP prefixet a tartományból, majd abból Standard SKU-címeket, és csatolja őket VM-ekhez vagy terheléselosztókhoz; ezeket még nem hirdetik.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Commissioning. Ha a tartomány máshol él, két egyidejű bejelentés „could potentially create BGP routing instability or traffic loss” (fordítás: „BGP-útválasztási instabilitást vagy forgalomvesztést okozhat”). Először a régión belül commissionálja (a portálon Commission, majd a csak régiós lehetőség, vagy PowerShellben -NoInternetAdvertise), teszteljen, vonja vissza a régi bejelentést, majd commissionálja globálisan:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

A tartományt Commissioning állapotban részben hirdetik, először a régióból, aztán a Microsoft hálózatáról AS8075 alatt, amíg Commissioned nem lesz.

Hibák, amelyek egy napba kerülnek

• A tanúsítvány a descr mezőben. A RIPE NCC-nél a Microsoft a remarks mezőt kéri, az AWS viszont a descr mezőt olvassa, kifejezetten nem a remarks-ot, így egy blokk, amely a két felhő között költözik, a bejegyzés módosítását igényli.
• Nem egyező dátum. Az aláírt üzenetben szereplő dátum a ROA lejárati dátuma, yyyymmdd formában; ha nincs ilyen, a Microsoft szerint azt a dátumot válassza, ameddig a tartomány hirdetését szeretné.
• ROA rossz hosszal. Ha nem egyezik a provisionált prefixszel, InvalidPrefixLengthInROA hibával bukik.
• Rossz sorrendben való távozás. Töröljön minden származtatott public IP prefixet, majd decommissionálja a tartományt (három-négy óra), mielőtt módosítja vagy törli a ROA-t. Különben a Microsoft tovább hirdet egy tartományt, amelynek bejelentésére már nincs felhatalmazása.

Ha bérli a blokkot

A Microsoft szabálya az akadály: a fent idézett mondat szerint a tartománynak az Ön tulajdonában kell lennie, és az Ön nevére kell regisztrálva lennie. Egy csak a bérbeadó nevére regisztrált blokk ennek szó szerint nem felel meg, és a Microsoft nem mondja meg, hogy egy Önre szóló assignment a jogosult allokációján belül elég-e, ezért kérdezze meg a jogosultat és a Microsoftot, mielőtt aláír. Ezután a jogosult létrehozza a ROA-t az AS8075-re, és hozzáadja az Ön tanúsítványát a bejegyzés remarks mezőjéhez. A reverse DNS-hez is a jogosult kell: az Azure csak az Azure DNS-ben Ön által üzemeltetett reverse zónából szolgálja ki, amelyet a jogosult delegál Önre. Letter of Authorization nem kell.

Hol segít az RTM Networks

/24-eket és nagyobbakat bérbe adunk saját RIPE NCC-címterünkből, és blokkokat értékesítünk a RIPE NCC, az ARIN és az APNIC régiójában. A tőlünk bérelt címtérnél az assignmentet az Ön szervezetére regisztráljuk, létrehozzuk a ROA-t az AS8075-re, és hozzáadjuk az Ön tanúsítványát a registry-bejegyzéshez (IPv4 bérlése). Ha a Microsoft többet kér egy az Ön nevére szóló assignmentnél, a blokk megvásárlása megoldja (IPv4 vásárlása). Ha nem üzemeltet saját LIR-t, szponzoráljuk a PI- és legacy címteret és az AS-számokat (szponzorálás). 256-nál kevesebb címhez egy Azure VM-en bejelentünk egy blokkot, és WireGuardon át juttatjuk el, mivel az Azure blokkolja a GRE-t, bármilyen méretben, egyetlen címig (WireGuard-alagutak). Más szolgáltatók: BYOIP-útmutatók.