BYOIP su Alibaba Cloud: il tuo /23 o più grande come indirizzi Elastic IP

Punti il route object del tuo range all’ASN di Alibaba Cloud e apri un ticket. Quando il ticket viene approvato, Alibaba Cloud annuncia il range dalla regione che vi hai indicato.

Cosa accetta Alibaba Cloud

Dalla documentazione di Alibaba Cloud, il giorno in cui l’abbiamo verificata:

• Dimensione. Un /23 o più grande: “Prefixes longer than /23, such as /24, are not supported.” (traduzione: “I prefissi più lunghi di /23, come /24, non sono supportati.”) Solo IPv4.
• Registro. Il range “must be registered with a Regional Internet Registry (RIR)” (traduzione: “deve essere registrato presso un Regional Internet Registry (RIR)”). Alibaba Cloud non pubblica nulla sullo stato PA, PI o legacy, né su a nome di chi deve essere il range.
• Chi lo origina. Alibaba Cloud, da AS45102. “You cannot use your own ASN.” (traduzione: “Non puoi usare il tuo ASN.”)
• Regioni. US (Silicon Valley), US (Virginia), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Japan (Tokyo), Indonesia (Jakarta), Germany (Frankfurt) e UK (London). Non la Cina continentale.
• Storia. Alibaba Cloud può esaminare un range e rifiutarne uno con “adverse records and a history of malicious activity” (traduzione: “precedenti negativi e una storia di attività malevole”) (tenere pulito un blocco).
• Prezzo. “The BYOIP feature is free of charge.” (traduzione: “La funzione BYOIP è gratuita.”) Il costo di configurazione EIP, per tenere un indirizzo Elastic IP, non viene applicato, e paghi la banda.
• Tempi. Circa un mese, “depending on the time it takes for Alibaba Cloud to apply for and advertise the IP addresses” (traduzione: “a seconda del tempo che Alibaba Cloud impiega a richiedere e annunciare gli indirizzi IP”).

Prima di iniziare

Un route object con origin AS45102. Alibaba Cloud ti chiede di impostare l’origin del tuo range su AS45102 nel routing registry, seguendo le istruzioni del tuo registro, e di verificare il risultato in RADb. Nel RIPE Database appare così; i range di documentazione sono tutti /24, quindi il prefisso è un segnaposto:

route:    <your-prefix>/23
descr:    Example B.V.
origin:   AS45102
mnt-by:   EXAMPLE-MNT
source:   RIPE

Una ROA valida. Alibaba Cloud la mette a tuo carico: se la ROA diventa non valida, le reti che fanno route origin validation scartano la route, e Alibaba Cloud può smettere di annunciarla. La sua pagina non descrive la ROA nel dettaglio. Una route da AS45102 è valida solo se una ROA indica AS45102 per il prefisso così come viene annunciato, quindi crea quella (RPKI e ROA).

Cosa serve nel ticket. Il range, la regione e la conferma che l’origin ora è AS45102. “No other information is required at this time.” (traduzione: “Al momento non sono richieste altre informazioni.”) Alibaba Cloud non chiede certificati, token né una Letter of Authorization.

Passo per passo

1. Aggiorna il routing registry. Crea o modifica il route object in modo che l’origin sia AS45102, poi verificalo in RADb, per esempio con whois -h whois.radb.net <your-prefix>/23.
2. Crea la ROA per AS45102 presso il tuo registro.
3. Apri un ticket chiedendo il BYOIP, con il range, la regione e la conferma del cambio di origin. Se vuoi l’annuncio BGP (Multi-ISP) Pro, dillo nello stesso ticket.
4. Attendi la valutazione. Un referente ti contatta se serve altro, e “to discuss and finalize the terms” (traduzione: “per discutere e definire le condizioni”), quindi tieni aggiornati i tuoi contatti. Dopo l’approvazione, Alibaba Cloud annuncia il range dalla regione con AS45102 e lo aggiunge alla sua lista di protezione di sicurezza.
5. Alloca gli EIP. Nella console Elastic IP Address, seleziona la regione e fai clic su Apply for Specific EIP. Puoi anche aggiungere il range a un IP address pool e allocare da lì. La funzione pool è disattivata per impostazione predefinita, e la attiva il tuo account manager.
6. Verifica dall’esterno. Il validatore di RIPEstat dovrebbe dare il range come valido per AS45102:

curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=45102&prefix=<your-prefix>/23"

Insidie

• Un /24 non basta. Due /24 vanno bene solo se sono le due metà di un unico /23, e il route object e la ROA coprono allora il /23.
• La quota dei pool è mezzo /23. Per impostazione predefinita, gli IP address pool contengono “a combined maximum of 256 IP addresses across all pools in the region” (traduzione: “un massimo complessivo di 256 indirizzi IP in tutti i pool della regione”). Chiedi di più al tuo account manager prima di aggiungere tutto il range ai pool.
• Un EIP sta dietro un NAT. Le FAQ di Alibaba Cloud dicono che un EIP non è un IP pubblico nativo: quando un’istanza ECS ne usa uno, il suo traffico passa attraverso un NAT. Il software che deve vedere il proprio indirizzo pubblico sull’istanza deve tenerne conto.
• Solo fatturazione a banda. Gli EIP del tuo range sono a consumo per banda fissa, e possono entrare solo in istanze Internet Shared Bandwidth fatturate allo stesso modo.
• Anche uscire richiede un mese. Ritirare un range richiede all’incirca quanto portarlo, quindi pianifica l’uscita insieme all’ingresso.

Se il blocco è in affitto

Alibaba Cloud non pubblica alcuna regola su a nome di chi deve essere registrato il range, e non chiede una Letter of Authorization. Ciò che le serve sta nel registro, quindi se ne occupa il titolare. Il titolare crea il route object con origin AS45102, che richiede il suo maintainer, e la ROA per AS45102, mantenuta valida per tutta la durata dell’affitto. Solo allora puoi confermare il cambio di origin nel tuo ticket. L’affitto deve inoltre coprire almeno un /23.

Dove entra RTM Networks

Affittiamo /24 e blocchi più grandi dal nostro spazio di indirizzi RIPE NCC, compreso il /23 che chiede Alibaba Cloud (affitto di indirizzi IPv4), e vendiamo blocchi nelle regioni del RIPE NCC, dell’ARIN e dell’APNIC. Per lo spazio affittato da noi, creiamo il route object e la ROA per AS45102. Se ti servono meno di 512 indirizzi su un’istanza ECS, annunciamo noi un blocco e lo consegniamo via GRE o WireGuard, in qualsiasi dimensione fino a un solo indirizzo (tunnel GRE e WireGuard). Altri provider: guide BYOIP.