BYOIP su UpCloud: i tuoi indirizzi IP in un Private Cloud

Per i Cloud Server nelle zone pubbliche di UpCloud, il modo per usare il tuo blocco è un tunnel, di cui questa guida parla più avanti.

Cosa accetta UpCloud

Dalla documentazione di UpCloud, il giorno in cui l’abbiamo verificata:

• Solo Private Cloud. Il Private Cloud fa girare i tuoi Cloud Server su host dedicati. UpCloud dice che “offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).” (traduzione: “offre la possibilità di blocchi IP pubblici dedicati, ed è possibile usare i propri blocchi IP (BYOIP).”)
• Tramite il commerciale. Le sue FAQ di rete chiedono “Can I bring my own IPs or IP range?” (traduzione: “Posso portare i miei IP o il mio range IP?”) e rispondono: “Yes, you can do this in our Private Cloud. Contact our sales team for more information.” (traduzione: “Sì, puoi farlo nel nostro Private Cloud. Contatta il nostro team commerciale per maggiori informazioni.”) UpCloud non documenta passaggi da console, API o CLI per questo.
• Dove. Un Private Cloud si trova all’interno di una zona pubblica madre, una delle 15 sedi di UpCloud.
• Condizioni. La pagina del Private Cloud risponde a “Can I bring my own IPs?” (traduzione: “Posso portare i miei IP?”) con: “Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.” (traduzione: “Sì. UpCloud supporta il Bring Your Own IP (BYOIP). I tuoi prefissi possono essere annunciati via BGP (previa validazione e LOA). Disponibilità e requisiti di dimensione del prefisso dipendono dalla regione di destinazione.”)
• Non pubblicato. Quali registri UpCloud accetta, l’ASN di origine, un prezzo per il BYOIP in sé e i tempi.
• Prezzo del Private Cloud. Le configurazioni partono da 3.190 € al mese, su preventivo per ogni cliente.
• Le zone pubbliche usano indirizzi di UpCloud. Un Cloud Server riceve un indirizzo IPv4 e uno IPv6 per impostazione predefinita e può avere fino a cinque indirizzi IPv4 pubblici. Gli indirizzi IPv4 aggiuntivi sono fatturati a ore.
• Anche i floating IP sono di UpCloud. Sono indirizzi IPv4 che il tuo account riserva, fatturati per indirizzo, e si spostano tra Cloud Server nello stesso data center. Non sono disponibili per IPv6.

Prima di iniziare

UpCloud indica due requisiti, la validazione e una Letter of Authorization, e lascia il resto alla conversazione con il commerciale. Prepara ciò che chiede ogni provider che annuncia spazio dei clienti, e conferma ogni punto:

1. Un /24 o più grande. UpCloud dice che i requisiti di dimensione del prefisso dipendono dalla regione, e le reti filtrano tutto ciò che è più piccolo di un /24.
2. Il record del registro. Sappi quale registro detiene il blocco (l’ARIN, il RIPE NCC o l’APNIC, per esempio) e quale organizzazione indica il record.
3. Una ROA per l’ASN che annuncia, quello di UpCloud o il tuo, con la lunghezza massima impostata su ciò che viene annunciato (RPKI e ROA). Creala quando UpCloud indica l’ASN.
4. Un route object con lo stesso ASN come origin.
5. Una Letter of Authorization, che UpCloud chiede, firmata dal titolare del blocco e che indica UpCloud come rete che lo trasporterà.

La strada del tunnel

Per i Cloud Server nelle zone pubbliche, o mentre la conversazione sul Private Cloud è in corso, un tunnel mette il tuo blocco sul server senza che UpCloud cambi nulla. Una rete che può annunciare il blocco lo annuncia, e un tunnel GRE o WireGuard porta il suo traffico al tuo server e ritorno (come funziona il tunnel).

Il server mantiene l’indirizzo IPv4 che UpCloud gli ha assegnato. Quell’indirizzo è l’estremità esterna del tunnel: l’altro lato gli invia pacchetti incapsulati, e la rete di UpCloud vede normale traffico tra due indirizzi pubblici. Il blocco in affitto viaggia dentro il tunnel. Configuri i suoi indirizzi sull’interfaccia del tunnel o di loopback, e il server risponde su di essi come se fossero locali.

• Le risposte tornano attraverso il tunnel. Aggiungi una policy route in modo che il traffico dal blocco esca attraverso il tunnel. Se uscisse direttamente, porterebbe un indirizzo sorgente che UpCloud non ha mai assegnato al server, e le reti filtrano quel traffico.
• Apri il firewall di UpCloud in entrambe le direzioni. Se lo usi, tieni presente che è stateless: le regole devono consentire esplicitamente il traffico in ingresso e in uscita. Le sue regole corrispondono a TCP, UDP o ICMP. Per GRE, che è il protocollo IP 47, lascia il protocollo su All e limita la regola all’indirizzo dell’altro capo. Per WireGuard, consenti la sua porta UDP.
• Imposta la MTU. 1.476 byte per GRE, circa 1.420 per WireGuard, con MSS clamping se il server instrada il blocco verso macchine virtuali.
• Qualsiasi dimensione. Un tunnel consegna meno di 256 indirizzi, fino a uno solo, cosa che il BYOIP non fa mai.

Insidie

• Lo spostamento si ferma agli indirizzi di proprietà del cliente. La funzione Relocate Server di UpCloud sposta un server tra zone Public e Private Cloud nello stesso data center, con un limite di rete: “The server cannot have IP addresses from a dedicated, customer-owned IP network.” (traduzione: “Il server non può avere indirizzi IP da una rete IP dedicata di proprietà del cliente.”) Pianifica dove sta il tuo blocco prima di migrare.
• La prova gratuita blocca delle porte. Durante la prova gratuita di UpCloud alcune porte sono bloccate e la rete va a 100 Mbit/s. Dopo il primo pagamento ogni porta tranne la 25 è aperta, quindi testa un tunnel dopo.

Se il blocco è in affitto

UpCloud non pubblica nulla sullo spazio in affitto né su quale nome debba comparire nel record del registro, quindi chiedilo al team commerciale di UpCloud quando lo contatti. Per il BYOIP sul Private Cloud, il titolare si occupa della parte del registro: la ROA per l’ASN indicato da UpCloud, il route object e la Letter of Authorization che UpCloud chiede. Con un tunnel, presso UpCloud non cambia nulla: la rete all’altro capo annuncia il blocco, e il titolare deve solo autorizzare quella rete.

Dove entra RTM Networks

Affittiamo /24 e blocchi più grandi dal nostro spazio di indirizzi RIPE NCC, e vendiamo blocchi nelle regioni del RIPE NCC, dell’ARIN e dell’APNIC. Ogni affitto include la ROA, il route object, i record PTR e una Letter of Authorization ogni volta che ne hai bisogno (affitto di indirizzi IPv4). Per un Private Cloud, creiamo la ROA per l’ASN indicato da UpCloud e firmiamo la Letter of Authorization, e sponsorizziamo numeri AS per le organizzazioni che non gestiscono un proprio LIR (sponsorizzazione di ASN). Per i Cloud Server nelle zone pubbliche, annunciamo noi il blocco e lo consegniamo via GRE o WireGuard, in qualsiasi dimensione fino a un solo indirizzo (tunnel GRE e WireGuard). Altri provider: guide BYOIP.