AWS BYOIP: atsineškite savus IPv4 adresus į EC2

Kad kontroliuojate diapazoną, įrodote sertifikatu jo registro įraše ir ROA, nurodančiu AWS ASN, paruošiate jį adresų telkinyje ir iš jo paskiriate Elastic IP adresus taip pat, kaip iš pačios AWS telkinio. Atsinešti adresai neapmokestinami valandiniu viešo IPv4 mokesčiu.

Šis vadovas apima EC2 per AWS CLI. Tas pats diapazonas taip pat gali būti naudojamas AWS Global Accelerator, kuris turi savo procesą, arba per VPC IP Address Manager (IPAM), kuris prideda DNS pagrįstą kontrolės įrodymo būdą ir galimybę skelbti iš savo ASN.

Ką priima AWS

Pagal AWS dokumentaciją tą dieną, kai tikrinome:

• Dydis. Mažiausias IPv4 diapazonas, kurį galite atsinešti, yra /24.
• Registras. ARIN, RIPE NCC arba APNIC, užregistruotas įmonei ar institucijai, niekada asmeniui.
• Istorija. AWS gali patikrinti diapazono reputaciją ir atmesti tokį, kurio adresai turi blogą istoriją (kaip išlaikyti bloką švarų).
• Legacy erdvė priimama, bet jai vis tiek reikia ROA.
• Vienas regionas vienu metu kiekvienam diapazonui ir pagal numatymą penki diapazonai regione; AWS Support šią ribą gali padidinti.
• Kur. Visi komerciniai regionai, išskyrus China regionus, ir Local Zones sąrašas.
• Nelieskite maršrutų registro. AWS pati atnaujina RADb, o rankinis pakeitimas, apimantis AWS ASN, sužlugdo paruošimą.

Prieš pradedant

ROA AWS ASN. Jis turi autorizuoti AS16509 ir AS14618 bei bet kurį ASN, kuris diapazoną skelbia šiandien, o didžiausias ilgis turi būti lygus atsinešamo diapazono dydžiui. AWS GovCloud (US) regionuose ROA vietoj jų nurodo AS8987, o AWS European Sovereign Cloud atveju AS16509 ir AS214101; per IPAM nustatykite jį į /24, kad galėtumėte bloką dalyti. Jei diapazoną perkeliate iš savo tinklo, pirmiausia sukurkite ROA savo dabartiniam ASN, kad niekas, kas veikia dabar, netaptų negaliojančiu (RPKI ir ROA). ROA gali pasiekti AWS per iki 24 valandų.

Raktų pora ir sertifikatas, sukurti su OpenSSL 1.0.2 ar naujesne:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Sertifikatas registro įraše, vienoje eilutėje, kartu su BEGIN ir END žymėmis. Kur jis dedamas, priklauso nuo registro, ir laukas yra svarbus:

Kai paruošimas baigtas, sertifikatą galite pašalinti.

Žingsnis po žingsnio

01Pasirašykite autorizacijos pranešimą. Pranešime nurodoma Jūsų paskyra, diapazonas ir galiojimo pabaigos data:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Paruoškite diapazoną regione, kuriame jį naudosite:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Palaukite. Būsena keičiasi iš pending-provision į provisioned. AWS teigia, kad dauguma diapazonų baigiami per dvi valandas, o kai kurie užtrunka iki savaitės; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 rodo, kur viskas yra.

04Pasiruoškite, tada perjunkite. Kad prastova būtų trumpa, paskirkite Elastic IP adresus iš naujo telkinio ir prijunkite juos prieš paskelbiant diapazoną. aws ec2 describe-public-ipv4-pools pateikia telkinio ID, o aws ec2 allocate-address --public-ipv4-pool <pool-id> paima iš jo adresą.

05Skelbkite. Nustokite skelbti diapazoną bet kur kitur, tada:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS rekomenduoja pirmiausia atšaukti diapazoną kitose vietose; kol jį skelbia kas nors kitas, AWS negali pažadėti, kad jo srautas pasieks jos tinklą. Turite skelbti tiksliai tą diapazoną, kurį paruošėte, niekada ne jo dalį.

06Patikrinkite iš išorės. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr turėtų rodyti sertifikatą, o RIPEstat tikrintuvas turėtų rodyti diapazoną kaip galiojantį AS16509: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Klaidos, kainuojančios dieną

• Sertifikatas ne tame lauke. RIPE NCC atveju AWS skaito descr, o aiškiai ne remarks. Azure nori priešingai, todėl blokui, perkeliamam tarp šių dviejų debesijų, reikia pakeisti įrašą.
• ROA su netinkamu didžiausiu ilgiu. AWS reikalauja, kad jis būtų lygus atsinešamo diapazono dydžiui arba /24 per IPAM. Didžiausias ilgis, konkretesnis nei atsinešamas diapazonas, kviečia subprefiksų užgrobimus, o AWS pasilieka teisę nustoti skelbti diapazoną, kurio ROA neatitinka jos taisyklių.
• Diapazono dalies skelbimas. AWS skelbia tiksliai tai, ką paruošėte. Norėdami naudoti mažesnį diapazoną, atšaukite paruošimą ir paruoškite iš naujo.
• Du tinklai skelbia vienu metu. Srautas pasidalija tarp jų, o AWS šios problemos nesprendžia.

Jūsų ASN

Per VPC IPAM AWS gali skelbti Jūsų diapazoną iš Jūsų ASN, o ne iš savo. Tą patį sertifikatą pridedate į savo ASN registro įrašą (RIPE NCC atveju kaip descr eilutę aut-num objekte), sukuriate antrą ROA, nurodantį Jūsų ASN, o AWS rekomenduoja ASPA objektą, kuriame AS16509 ir AS14618 nurodyti kaip Jūsų teikėjai; be jų maršrutai, kuriuos AWS perduoda Jūsų vardu, nepraeina ASPA patikros. Kilmę galite bet kada perjungti atgal į AWS ASN, o į savąjį ne dažniau kaip kartą per valandą.

Jei bloką nuomojatės

Išnuomota erdvė tinka, jei registras rodo, kad ją turi organizacija. Registro pusę atlieka turėtojas: sertifikatą inetnum įraše, kurį gali redaguoti tik turėtojo maintainer, ir ROA AS16509 bei AS14618. Visa kita atliekate iš savo AWS paskyros.

Kur čia RTM Networks

Nuomojame /24 ir didesnius blokus iš savo RIPE NCC adresų erdvės ir parduodame blokus RIPE NCC, ARIN ir APNIC regionuose. Iš mūsų išnuomotai erdvei pridedame Jūsų AWS sertifikatą į registro įrašą ir sukuriame ROA AWS ASN, todėl Jums lieka tik paruošimas (IPv4 nuoma). Jei EC2 instancijai reikia mažiau nei 256 adresų, galime juos pristatyti per tunelį (GRE ir WireGuard tuneliai). Kaip susideda valandinis IPv4 mokestis ir kada apsimoka atsinešti savus: tikroji debesijos IPv4 kaina. Kiti teikėjai: BYOIP vadovai.