BYOIP hjá AWS: komdu með eigin IPv4-tölur í EC2

Þú sannar að þú ráðir yfir bilinu með vottorði í skráningarfærslu þess og ROA sem tilgreinir ASN AWS, setur það upp í vistfangasafni og úthlutar Elastic IP-tölum úr því eins og þú myndir gera úr tölum AWS sjálfs. Tölur sem þú kemur með bera ekki tímagjaldið fyrir opinberar IPv4-tölur.

Þessar leiðbeiningar ná yfir EC2 í gegnum AWS CLI. Sama bil getur líka farið í AWS Global Accelerator, sem hefur eigið ferli, eða í gegnum VPC IP Address Manager (IPAM), sem bætir við DNS-leið til að sanna yfirráð og þeim kosti að tilkynna frá eigin ASN.

Hvað AWS samþykkir

Samkvæmt skjölun AWS, daginn sem við athuguðum:

• Stærð. Nákvæmasta IPv4-bilið sem þú getur komið með er /24.
• Skráning. ARIN, RIPE NCC eða APNIC, og skráð á fyrirtæki eða stofnun, aldrei á einstakling.
• Saga. AWS getur athugað orðspor bilsins og hafnað bili með tölum sem hafa slæma sögu (að halda blokk hreinni).
• Legacy-rými er samþykkt en þarf samt ROA.
• Eitt svæði í einu fyrir hvert bil, og fimm bil á svæði sjálfgefið; AWS Support getur hækkað það.
• Hvar. Öll viðskiptasvæði nema svæðin í Kína, og listi af Local Zones.
• Ekki snerta leiðaskrána. AWS uppfærir RADb sjálft, og handvirk breyting sem inniheldur ASN AWS lætur uppsetninguna mistakast.

Áður en þú byrjar

ROA fyrir ASN AWS. Hún verður að heimila AS16509 og AS14618, og hvert það ASN sem tilkynnir bilið í dag, með hámarkslengd stillta á stærð bilsins sem þú kemur með. Á AWS GovCloud (US)-svæðunum nefnir ROA í staðinn AS8987, og í AWS European Sovereign Cloud AS16509 og AS214101; í gegnum IPAM stillirðu hana á /24 svo þú getir skipt blokkinni. Ef þú ert að flytja bilið af eigin neti skaltu fyrst búa til ROA fyrir núverandi ASN þitt, svo ekkert sem virkar núna verði ógilt (RPKI og ROA). ROA getur tekið allt að 24 klukkustundir að berast AWS.

Lyklapar og vottorð, búin til með OpenSSL 1.0.2 eða nýrra:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Vottorðið í skráningarfærslunni, í einni línu, með BEGIN- og END-merkjunum. Hvar það á að vera fer eftir skráningaraðilanum, og reiturinn skiptir máli:

Þú getur fjarlægt vottorðið þegar uppsetningu er lokið.

Skref fyrir skref

01Undirritaðu heimildarskilaboðin. Skilaboðin tilgreina reikninginn þinn, bilið og gildislokadag:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Settu bilið upp á svæðinu þar sem þú ætlar að nota það:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Bíddu. Staðan fer úr pending-provision í provisioned. AWS segir að flest bil ljúki innan tveggja klukkustunda og sum taki allt að viku; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 sýnir hvar það stendur.

04Undirbúðu, skiptu svo. Til að halda niðritíma stuttum skaltu úthluta Elastic IP-tölum úr nýja safninu og tengja þær áður en bilið er tilkynnt. aws ec2 describe-public-ipv4-pools gefur auðkenni safnsins, og aws ec2 allocate-address --public-ipv4-pool <pool-id> tekur tölu úr því.

05Tilkynntu. Hættu að tilkynna bilið annars staðar, og keyrðu svo:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS mælir með að draga bilið fyrst til baka frá öðrum stöðum; meðan einhver annar tilkynnir það getur AWS ekki lofað að umferð til þess berist neti þess. Þú verður að tilkynna nákvæmlega bilið sem þú settir upp, aldrei hluta þess.

06Athugaðu það utan frá. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr á að sýna vottorðið, og sannprófari RIPEstat á að kalla bilið gilt fyrir AS16509: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Mistök sem kosta dag

• Vottorðið í röngum reit. Fyrir RIPE NCC les AWS descr og beinlínis ekki remarks. Azure vill hið gagnstæða, svo blokk sem flutt er á milli skýjanna tveggja þarf breytta færslu.
• ROA með ranga hámarkslengd. AWS krefst þess að hún sé jöfn stærð bilsins sem þú kemur með, eða /24 í gegnum IPAM. Hámarkslengd sem er nákvæmari en bilið sem þú kemur með býður upp á yfirtöku undirforskeyta (sub-prefix hijacks), og AWS áskilur sér rétt til að hætta að tilkynna bil þar sem ROA fylgja ekki reglum þess.
• Að tilkynna hluta bilsins. AWS tilkynnir nákvæmlega það sem þú settir upp. Til að nota minna bil skaltu taka uppsetninguna niður og setja upp aftur.
• Tvö net sem tilkynna samtímis. Umferðin skiptist á milli þeirra, og AWS bilanagreinir það ekki.

Þitt eigið ASN

Í gegnum VPC IPAM getur AWS tilkynnt bilið þitt frá þínu eigin ASN í stað síns eigin. Þú bætir sama vottorði í skráningarfærslu AS-númersins þíns (fyrir RIPE NCC sem descr-línu í aut-num), býrð til aðra ROA sem tilgreinir þitt ASN, og AWS mælir með ASPA-hlut sem tilgreinir AS16509 og AS14618 sem þjónustuaðila þína; án þeirra falla leiðirnar sem AWS áframsendir fyrir þig á ASPA-sannprófun. Þú getur skipt uppruna aftur yfir á ASN AWS hvenær sem er, og yfir á þitt í mesta lagi einu sinni á klukkustund.

Ef þú leigir blokkina

Leigt rými virkar, að því gefnu að skráningin sýni að fyrirtæki eða stofnun haldi því. Rétthafinn sér um skráningarhliðina: vottorðið í inetnum-færslunni, sem aðeins maintainer rétthafans getur breytt, og ROA fyrir AS16509 og AS14618. Afganginn gerirðu af AWS-reikningnum þínum.

Hvar RTM Networks kemur inn

Við leigjum /24 og stærra úr eigin vistfangarými okkar hjá RIPE NCC, og seljum blokkir á svæðum RIPE NCC, ARIN og APNIC. Fyrir rými sem þú leigir af okkur bætum við AWS-vottorðinu þínu í skráningarfærsluna og búum til ROA fyrir ASN AWS, svo uppsetningin er eina skrefið sem eftir er hjá þér (leigja IPv4). Ef þú þarft færri en 256 tölur á EC2-tilviki getum við afhent þær um göng í staðinn (GRE- og WireGuard-göng). Hvernig tímagjaldið fyrir IPv4 safnast upp, og hvenær borgar sig að koma með eigin tölur: raunkostnaður IPv4 í skýinu. Aðrir þjónustuaðilar: BYOIP-leiðbeiningar.