UpCloud BYOIP: saját IP-címek egy Private Cloudban

Az UpCloud nyilvános zónáiban futó Cloud Serverekhez a saját blokk használatának módja egy alagút, amelyet ez az útmutató is leír.

Mit fogad az UpCloud

Az UpCloud dokumentációja szerint, azon a napon, amikor ellenőriztük:

• Csak Private Cloud. A Private Cloud dedikált hosztokon futtatja a Cloud Servereit. Az UpCloud szerint „offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).” (fordítás: „lehetőséget kínál dedikált nyilvános IP-blokkokra, és lehetséges a saját IP-blokkjai (BYOIP) használata.”)
• Értékesítésen keresztül. A hálózati GYIK-je felteszi a kérdést: „Can I bring my own IPs or IP range?” (fordítás: „Hozhatok saját IP-ket vagy IP-tartományt?”), és így válaszol: „Yes, you can do this in our Private Cloud. Contact our sales team for more information.” (fordítás: „Igen, a Private Cloudunkban megteheti. További információért forduljon az értékesítési csapatunkhoz.”) Az UpCloud ehhez nem dokumentál konzolos, API- vagy CLI-lépéseket.
• Hol. Egy Private Cloud egy nyilvános szülőzónán belül van, az UpCloud 15 helyszínének egyikén.
• Feltételek. A Private Cloud oldala a „Can I bring my own IPs?” (fordítás: „Hozhatok saját IP-ket?”) kérdésre ezt válaszolja: „Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.” (fordítás: „Igen. Az UpCloud támogatja a Bring Your Own IP-t (BYOIP). A prefixei BGP-n bejelenthetők (validálás és LOA függvényében). Az elérhetőség és a prefixméret-követelmények a célrégiótól függenek.”)
• Nem nyilvános. Mely nyilvántartókat fogadja az UpCloud, az origin-ASN, maga a BYOIP ára és az átfutási idő.
• A Private Cloud ára. A konfigurációk havi 3190 €-tól indulnak, ügyfelenkénti árajánlat alapján.
• A nyilvános zónák az UpCloud címeit használják. Egy Cloud Server alapból egy IPv4- és egy IPv6-címet kap, és legfeljebb öt nyilvános IPv4-címe lehet. A további IPv4-címeket óradíjjal számlázzák.
• A floating IP-k is az UpCloudéi. Ezek a fiókja által lefoglalt IPv4-címek, címenként számlázva, és ugyanabban az adatközpontban költözhetnek Cloud Serverek között. IPv6-hoz nem érhetők el.

Mielőtt elkezdi

Az UpCloud két követelményt nevez meg, a validálást és a meghatalmazó levelet, a többit az értékesítéssel folytatott beszélgetésre hagyja. Készítse elő, amit minden ügyfélcímteret bejelentő szolgáltató kér, és erősíttesse meg minden pontját:

1. Egy /24 vagy nagyobb. Az UpCloud szerint a prefixméret-követelmények a régiótól függenek, a hálózatok pedig kiszűrnek mindent, ami kisebb egy /24-nél.
2. A registry-bejegyzés. Tudja, melyik nyilvántartó tartja a blokkot (például az ARIN, a RIPE NCC vagy az APNIC), és melyik szervezetet nevezi meg a bejegyzés.
3. ROA a bejelentő ASN-re, az UpCloudéra vagy az Önére, a maximális hosszt arra állítva, amit bejelentenek (RPKI és ROA-k). Akkor hozza létre, amikor az UpCloud megnevezi az ASN-t.
4. Route objektum ugyanazzal az ASN-nel mint originnel.
5. Meghatalmazó levél (Letter of Authorization), amelyet az UpCloud kér, a blokk jogosultja által aláírva, és az UpCloudot megnevezve mint az azt szállító hálózatot.

Az alagút

A nyilvános zónák Cloud Servereihez, vagy amíg a Private Cloudról szóló beszélgetés folyik, egy alagút úgy teszi a blokkját a szerverre, hogy az UpCloudnak semmit nem kell módosítania. Egy hálózat, amely be tudja jelenteni a blokkot, bejelenti, és egy GRE- vagy WireGuard-alagút a szerveréhez és vissza szállítja a forgalmát (hogyan működik az alagút).

A szerver megtartja az UpCloud által kiosztott IPv4-címét. Ez a cím az alagút külső vége: a túloldal erre küldi a beágyazott csomagokat, az UpCloud hálózata pedig két nyilvános cím közötti szokásos forgalmat lát. A bérelt blokk az alagúton belül halad. A címeit az alagút- vagy a loopback-interfészen állítja be, és a szerver úgy válaszol rajtuk, mintha helyiek lennének.

• A válaszok az alagúton át mennek vissza. Adjon hozzá egy policy route-ot, hogy a blokkból érkező forgalom az alagúton át távozzon. Ha közvetlenül menne ki, olyan forráscímet hordozna, amelyet az UpCloud soha nem osztott ki a szervernek, és a hálózatok kiszűrik az ilyen forgalmat.
• Nyissa meg az UpCloud tűzfalát mindkét irányban. Ha használja, vegye figyelembe, hogy állapotmentes: a szabályoknak kifejezetten engedélyezniük kell a bejövő és a kimenő forgalmat. A szabályai TCP-re, UDP-re vagy ICMP-re illeszkednek. A GRE-hez, amely a 47-es IP-protokoll, hagyja a protokollt All értéken, és korlátozza a szabályt a túlsó vég címére. WireGuardhoz engedélyezze az UDP-portját.
• Állítsa be az MTU-t. GRE-nél 1476 bájt, WireGuardnál 1420 körül, MSS clampinggel, ha a szerver virtuális gépek felé továbbítja a blokkot.
• Bármilyen méret. Az alagút 256-nál kevesebb címet is eljuttat, akár egyetlenet is, amire a BYOIP soha nem képes.

Buktatók

• Az áthelyezés megáll az ügyfél tulajdonában lévő címeknél. Az UpCloud Relocate Server funkciója ugyanabban az adatközpontban Public és Private Cloud-zónák között költöztet egy szervert, egy hálózati korláttal: „The server cannot have IP addresses from a dedicated, customer-owned IP network.” (fordítás: „A szervernek nem lehetnek dedikált, ügyfél tulajdonában lévő IP-hálózatból származó IP-címei.”) Tervezze meg, hol legyen a blokkja, mielőtt migrál.
• Az ingyenes próbaidőszak portokat blokkol. Az UpCloud ingyenes próbaidőszaka alatt egyes portok blokkoltak, és a hálózat 100 Mbit/s-mal fut. Az első fizetés után a 25-ös kivételével minden port nyitva van, ezért az alagutat ezután tesztelje.

Ha bérli a blokkot

Az UpCloud semmit nem közöl a bérelt címtérről, sem arról, kinek a nevét kell a registry-bejegyzésnek hordoznia, ezért kérdezzen rá az UpCloud értékesítési csapatánál, amikor felveszi velük a kapcsolatot. A Private Cloud BYOIP-nél a registry-oldalt a jogosult végzi: a ROA-t az UpCloud által megnevezett ASN-re, a route objektumot, és az UpCloud által kért meghatalmazó levelet. Alagútnál az UpCloudnál semmi nem változik: a túloldali hálózat jelenti be a blokkot, a jogosultnak pedig csak azt a hálózatot kell felhatalmaznia.

Hol segít az RTM Networks

/24-eket és nagyobbakat bérbe adunk saját RIPE NCC-címterünkből, és blokkokat értékesítünk a RIPE NCC, az ARIN és az APNIC régiójában. Minden bérlet tartalmazza a ROA-t, a route objektumot, a PTR-rekordokat és egy meghatalmazó levelet, amikor szükség van rá (IPv4 bérlése). Egy Private Cloudhoz létrehozzuk a ROA-t az UpCloud által megnevezett ASN-re, aláírjuk a meghatalmazó levelet, és AS-számokat szponzorálunk azoknak a szervezeteknek, amelyek nem üzemeltetnek saját LIR-t (ASN-szponzorálás). A nyilvános zónák Cloud Servereihez mi magunk jelentjük be a blokkot, és GRE-n vagy WireGuardon át juttatjuk el, bármilyen méretben, egyetlen címig (GRE- és WireGuard-alagutak). Más szolgáltatók: BYOIP-útmutatók.