Google Cloud BYOIP: saját IPv4-címek a Compute Engine-ben

A blokk feletti rendelkezést egy, a Google ASN-jét megnevező ROA-val és egy olyan PTR-rekorddal bizonyítja, amely a Google-tól kapott nevet hordozza, majd delegált prefixeket vág ki belőle, és azokból statikus külső címeket hoz létre.

Ez az útmutató az IPv4-et írja le a Google által javasolt konfigurációban, egy regionális (v2) prefixszel Premium Tieren, a gcloud CLI-n keresztül. A globális load balancerekhez való globális címek a régebbi v1-es konfigurációt használják, és ehhez a projektjének előbb egy engedélyezőlistára kell kerülnie.

Mit fogad a Google Cloud

A Google Cloud dokumentációja szerint, azon a napon, amikor ellenőriztük:

• Méret. Egy public advertised prefix „/16 to /24” (fordítás: „/16 és /24 között”) Premium Tieren, az alapértelmezésen, vagy „/16 to /23” (fordítás: „/16 és /23 között”) Standard Tieren, amely Preview állapotú. Egészen /28-as blokkokig feloszthatja.
• Nyilvántartó. A Google minden regionális nyilvántartóhoz, köztük az ARIN-hoz, a RIPE NCC-hez és az APNIC-hoz, ROA-útmutatót linkel. Semmit nem közöl a PA, PI vagy legacy státuszról, sem arról, kinek a nevén kell lennie a blokknak.
• Ki az origin. A Google, Premium Tieren AS396982-ről, Standard Tieren AS19527-ről. Nem dokumentál lehetőséget a saját ASN-ről való bejelentésre.
• Nincs átfedés. „Google does not support overlapping BYOIP route announcements” (fordítás: „A Google Cloud nem támogatja az átfedő BYOIP-útvonalbejelentéseket”): sem a prefixet, sem annak egy részét nem jelentheti be máshol, amíg a Google bejelenti.
• Régiók. Minden delegált prefix egy régiót vagy a globális hatókört szolgálja ki. A Google BYOIP-oldalai nem neveznek meg kizárt régiókat.
• Ár. „There are no charges for idle or in-use IP addresses.” (fordítás: „A használaton kívüli és a használatban lévő IP-címekért nincs díj.”)
• Időtartam. A validálás után v2-prefixnél „approximately 2 weeks” (fordítás: „nagyjából 2 hét”), v1-es és globális prefixeknél „approximately 4 weeks” (fordítás: „nagyjából 4 hét”). A provisioning „cannot be accelerated” (fordítás: „nem gyorsítható”).
• Erőforrások. A legtöbb, amely statikus külső címet fogad, de nem a GKE-node-ok és -Podok, és nem egy Cloud VPN gateway külső címe. A címek nem költözhetnek projektek között.

Mielőtt elkezdi

ROA a Google ASN-jére. Premium Tieren a prefixet, annak pontos hosszát és az AS396982-t nevezi meg. Standard Tieren az AS19527-et, vagy minden provisionálandó prefixhez külön ROA-ban, ahogy a Google javasolja, vagy egyetlen ROA-ban /24-es maximális hosszal (RPKI és ROA-k).

Egy második ROA a saját ASN-jére. A Google ugyanazokkal az adatokkal és a saját ASN-jével mint originnel javasol egyet, hogy a route origin validationt végző hálózatok ne tekintsék érvénytelennek a prefixet, ha valaha maga jelenti be.

Rendelkezés a reverse DNS felett. A Google a tulajdont egy PTR-rekorddal ellenőrzi, nem egy registry-bejegyzésbeli tokennel. Kiválaszt egy nem használt címet a prefixben, a Google visszaad egy nevet (a közös titkát), Ön pedig erre a címre közzétesz egy PTR-rekordot, amely a domainje alatti névre mutat.

Más semmi a registryből. A Google nem kér tanúsítványt, meghatalmazó levelet vagy route objektumot. A Google oldalán a projekten a Compute Public IP Admin szerepkör (roles/compute.publicIpAdmin) kell.

Lépésről lépésre

01Hozza létre a public advertised prefixet, megnevezve a DNS-validáláshoz használt címet:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Standard Tierhez használja a gcloud beta parancsot, és adja hozzá a --network-tier=STANDARD kapcsolót.

02Tegye közzé a PTR-rekordot. A gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' megadja a nevet. Ha ez 55kk88tt00, és a domainje example.net, akkor a dig +short -x 203.0.113.144 parancsnak 55kk88tt00.example.net. értéket kell visszaadnia.

03Indítsa el a validálást:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Az állapot VALIDATED lesz, vagy REVERSE_DNS_LOOKUP_FAILED, ha a Google nem találja a rekordot. A provisioning akkor kész, amikor a describe a --format='value(status)' kapcsolóval PREFIX_CONFIGURATION_COMPLETE értéket mutat.

04Delegáljon egy blokkot egy régióra. Ez várakozás közben is futhat:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Hozzon létre címeket. A 2025. december 13. után létrehozott regionális nyilvános delegált prefixek egyedi címeket is megengednek:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

A régebbi prefixek és a globális címek teljes blokkokat vesznek fel, a delegated-sub-prefixes create --create-addresses paranccsal. Csatolja a címeket VM-ekhez vagy forwarding rule-okhoz. Még nem érhetők el.

06Jelentse be. Győződjön meg róla, hogy más hálózat nem jelenti be a blokkot. Először a delegált prefixet jelentse be, amelyet a Google a saját hálózatán belül szállít, aztán az advertised prefixet, amely a Google összes jelenléti pontjáról az internetre megy:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Kívülről a RIPEstat validátorának érvényesnek kell mondania a prefixet az AS396982-re: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Hibák, amelyek egy napba kerülnek

• Két hálózat jelenti be. Az átfedésbe a specifikusabb útvonal is beletartozik: egy máshol bejelentett /24 egy Ön által behozott /23-on belül is számít. A Google „unexpected routing and packet loss” (fordítás: „váratlan útválasztásra és csomagvesztésre”) figyelmeztet.
• A v1 magától bejelentődik. Egy globális (v1) prefixet azonnal bejelentenek, amint a delegált prefixe provisionálva van. A Google szerint ne hozzon létre delegált prefixeket, amíg más bejelenti a blokkot.
• Lejárt ROA. Ha a ROA lejár, és a Google megújítási értesítésétől számított négy héten belül nem újítja meg, a Google leállítja a prefix hirdetését.
• A nevek és a régiók rögzítettek. Egy prefix átnevezése törlést és újralétrehozást jelent, egy delegált prefix másik régióba költöztetése pedig „can take approximately eight weeks” (fordítás: „nagyjából nyolc hétig tarthat”). Válasszon olyan neveket, mint pap-203-0-113-0-24, és csak azt delegálja, amiben biztos.
• A ROA túl korai eltávolítása. Egy public advertised prefix törlése után várjon 14 napot, mielőtt eltávolítja a ROA-t a Google ASN-jére.

Ha bérli a blokkot

A Google nem közöl szabályt arról, kinek a nevén kell a blokknak regisztrálva lennie, és nem kér meghatalmazó levelet. Két ellenőrzése, a ROA és a PTR-rekord, egy bérelt blokknál egyaránt a jogosultnál van. A jogosult hozza létre a ROA-t az AS396982-re vagy az AS19527-re, és ha szeretné, az Ön ASN-jére szólót is. A jogosult hozza létre a PTR-rekordot is a Google nevével, vagy delegálja a blokk reverse zónáját az Ön által kezelt névszerverekre. Állapodjanak meg, hogy a ROA-t addig újítják, amíg a Google bejelenti a blokkot, és távozása után még 14 napig megtartják.

Hol segít az RTM Networks

/24-eket és nagyobbakat bérbe adunk saját RIPE NCC-címterünkből, és blokkokat értékesítünk a RIPE NCC, az ARIN és az APNIC régiójában. A tőlünk bérelt címtérnél létrehozzuk a ROA-t a Google ASN-jére és a PTR-rekordot a Google nevével (IPv4 bérlése). Ha 256-nál kevesebb címre van szüksége egy Compute Engine VM-en, mi magunk jelentünk be egy blokkot, és GRE-n vagy WireGuardon át juttatjuk el, bármilyen méretben, egyetlen címig (GRE- és WireGuard-alagutak). Hogyan adódik össze az óradíjas IPv4-díj a nagy felhőknél: a felhős IPv4 valódi költsége. Más szolgáltatók: BYOIP-útmutatók.