BYOIP hjá Azure: komdu með eigin IPv4-tölur sem custom IP prefix

Þú sannar að bilið sé þitt með ROA sem tilgreinir ASN Microsoft og vottorði í WHOIS/RDAP-færslu þess, setur það svo upp og leiðir af því public IP prefixes og tölur.

Þessar leiðbeiningar fylgja sameinaða líkaninu (unified model), fyrir bil sem notað er á einu svæði, í gegnum Azure CLI. Bil getur ekki skipt yfir í global/regional-líkanið, móðurforskeyti með svæðisbundnum undirforskeytum, án þess að vera sett upp á ný.

Hvað Azure samþykkir

Samkvæmt skjölun Microsoft, daginn sem við athuguðum:

• Stærð. Sameinað forskeyti „must be between /21 and /24“ (þýðing: „verður að vera á milli /21 og /24“). Alþjóðlegt móðurforskeyti er líka /21 til /24, með svæðisbundnum undirforskeytum frá /22 til /26.
• Skráning og nafn. Bilið „must be owned by you and registered under your name“ (þýðing: „verður að vera í þinni eigu og skráð á þitt nafn“) hjá svæðisbundinni netskráningu, þar á meðal ARIN, RIPE NCC og APNIC. Ekkert um PA-, PI- eða legacy-stöðu.
• Hver tilkynnir. Microsoft, undir AS8075, eða AS8070 fyrir US Gov Cloud. BYOIP-síður Microsoft skjalfesta engan kost fyrir eigið ASN. CLI-skipunin í skrefi 1, az network custom-ip prefix create, listar þó --asn-færibreytu, sem aðeins er lýst sem „The ASN for CIDR advertising“ (þýðing: „ASN fyrir tilkynningu CIDR“), svo spurðu Microsoft áður en þú treystir á það.
• Svæði. Eitt svæði á hvert forskeyti, og fimm forskeyti á svæði sjálfgefið, fleiri gegn beiðni.
• Verð. „There's no charge to provision or use custom IP prefixes“ (þýðing: „Ekkert gjald er fyrir að setja upp eða nota custom IP prefixes“), né fyrir public IP prefixes og tölur sem leiddar eru af þeim. Umferð er greidd á verði fyrir útumferð til internetsins.
• Tími. Um 30 mínútur til uppsetningar og þrjár til fjórar klukkustundir til virkjunar á heimsvísu.
• Takmarkanir. Ekkert Internet Routing Preference, Global Tier, ExpressRoute Microsoft peering eða Standard v2 public IPs. Öfugt DNS (reverse DNS) keyrir úr þínum eigin svæðum í Azure DNS, Windows Server Activation getur tekið allt að viku, og uppsett bil getur ekki skipt um áskrift.

Áður en þú byrjar

ROA fyrir AS8075, með forskeytislengdina nákvæmlega eins og Microsoft mun tilkynna hana og gildislokadag sem nær yfir tímann sem þú vilt að bilið sé tilkynnt (RPKI og ROA). Gerðu ráð fyrir að minnsta kosti 24 klukkustundum þar til Microsoft sér hana. Microsoft mælir líka með ROA fyrir hvert það ASN sem tilkynnir bilið í dag.

Lyklapar og sjálfundirritað vottorð, búin til með OpenSSL:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Vottorðið í WHOIS/RDAP-færslu forskeytisins, með BEGIN- og END-merkjunum, án bila eða línuskila:

Undirrituð heimildarskilaboð: auðkenni áskriftarinnar þinnar, forskeytið og gildislokadagur ROA, í þessari röð:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft biður hvorki um heimildarbréf né route-hlut.

Skref fyrir skref

01Settu bilið upp, í fyrirliggjandi resource group. Á svæði með availability zones skaltu gera það zone-redundant eða festa það við eitt zone:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Bíddu eftir Provisioned. commissionedState sem az network custom-ip prefix show skilar fer úr Provisioning í Provisioned. Snemmbúið ValidationFailed þýðir að ROA, vottorðið eða skilaboðin stóðust ekki athugun; reiturinn FailedReason segir hvað.

03Leiddu af því tölur. Búðu til public IP prefix úr bilinu, svo Standard SKU-tölur úr því, og tengdu þær við sýndarvélar eða álagsjafnara; þær eru ekki tilkynntar enn.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Virkjaðu. Ef bilið er í notkun annars staðar „could potentially create BGP routing instability or traffic loss“ (þýðing: „gætu valdið óstöðugleika í BGP-leiðum eða umferðartapi“) tvær tilkynningar samtímis. Virkjaðu það fyrst innan svæðisins (Commission, svo kosturinn sem gildir aðeins fyrir svæðið, í stjórnborðinu, eða -NoInternetAdvertise í PowerShell), prófaðu, dragðu gömlu tilkynninguna til baka, og virkjaðu það svo á heimsvísu:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Bilið er tilkynnt að hluta meðan það er Commissioning, fyrst frá svæðinu, svo frá neti Microsoft undir AS8075, þar til það er Commissioned.

Mistök sem kosta dag

• Vottorðið í descr. Fyrir RIPE NCC segir Microsoft remarks, en AWS les descr og beinlínis ekki remarks, svo blokk sem flyst á milli skýjanna tveggja þarf breytta færslu.
• Dagsetning sem passar ekki. Dagsetningin í undirrituðu skilaboðunum er gildislokadagur ROA, sem yyyymmdd; ef enginn er segir Microsoft að velja daginn sem þú vilt að bilið sé tilkynnt til.
• ROA með ranga lengd. Ósamræmi við forskeytið sem þú setur upp mistekst sem InvalidPrefixLengthInROA.
• Að fara í rangri röð. Eyddu öllum public IP prefixes sem leiddir eru af bilinu, og afvirkjaðu svo bilið (þrjár til fjórar klukkustundir) áður en þú breytir eða eyðir ROA. Annars heldur Microsoft áfram að tilkynna bil sem það hefur ekki lengur heimild til að tilkynna.

Ef þú leigir blokkina

Regla Microsoft er hindrunin: bilið „must be owned by you and registered under your name“ (þýðing: „verður að vera í þinni eigu og skráð á þitt nafn“). Blokk sem er aðeins skráð á leigusalann uppfyllir það ekki eins og það er orðað, og Microsoft segir ekki hvort úthlutun til þín innan úthlutunar rétthafans teljist, svo spurðu rétthafann og Microsoft áður en þú skrifar undir. Rétthafinn býr þá til ROA fyrir AS8075 og bætir vottorðinu þínu í remarks færslunnar. Öfugt DNS þarf líka rétthafann: Azure þjónar því aðeins úr öfugu svæði sem þú hýsir í Azure DNS, sem rétthafinn framselur til þín. Ekki er þörf á heimildarbréfi.

Hvar RTM Networks kemur inn

Við leigjum /24 og stærra úr eigin vistfangarými okkar hjá RIPE NCC, og seljum blokkir á svæðum RIPE NCC, ARIN og APNIC. Fyrir rými sem þú leigir af okkur skráum við úthlutunina á fyrirtækið þitt, búum til ROA fyrir AS8075 og bætum vottorðinu þínu í skráningarfærsluna (leigja IPv4). Ef Microsoft vill meira en úthlutun á þitt nafn leysa kaup á blokkinni málið (kaupa IPv4). Ef þú rekur ekki eigið LIR kostum við PI- og legacy-rými og AS-númer (kostun). Fyrir færri en 256 tölur á Azure-vél tilkynnum við blokk og afhendum hana um WireGuard, þar sem Azure lokar á GRE, í hvaða stærð sem er niður í staka tölu (WireGuard-göng). Aðrir þjónustuaðilar: BYOIP-leiðbeiningar.