Azure BYOIP: savi IPv4 adresai kaip custom IP prefix

Kad diapazonas Jūsų, įrodote ROA, nurodančiu Microsoft ASN, ir sertifikatu jo WHOIS/RDAP įraše, tada jį paruošiate ir iš jo išvedate public IP prefix ir adresus.

Šis vadovas laikosi vieningo (unified) modelio diapazonui, naudojamam viename regione, per Azure CLI. Diapazonas negali pereiti prie globalaus/regioninio modelio, t. y. tėvinio prefikso su regioniniais vaikiniais, neprijungtas iš naujo.

Ką priima Azure

Pagal Microsoft dokumentaciją tą dieną, kai tikrinome:

• Dydis. Vieningas prefiksas „must be between /21 and /24“ (vertimas: „turi būti nuo /21 iki /24“). Globalus tėvinis prefiksas taip pat yra nuo /21 iki /24, su regioniniais vaikiniais nuo /22 iki /26.
• Registras ir vardas. Diapazonas „must be owned by you and registered under your name“ (vertimas: „turi priklausyti Jums ir būti užregistruotas Jūsų vardu“) regioniniame interneto registre, tarp jų ARIN, RIPE NCC ir APNIC. Nieko apie PA, PI ar legacy statusą.
• Kas skelbia. Microsoft, su AS8075, arba AS8070 US Gov Cloud. Microsoft BYOIP puslapiai neaprašo jokios galimybės naudoti savo ASN. 1 žingsnio CLI komanda az network custom-ip prefix create vis dėlto turi --asn parametrą, aprašytą tik kaip „The ASN for CIDR advertising“ (vertimas: „ASN CIDR skelbimui“), todėl paklauskite Microsoft, prieš juo pasikliaudami.
• Regionai. Vienas regionas prefiksui ir pagal numatymą penki prefiksai regione, daugiau pagal užklausą.
• Kaina. „There's no charge to provision or use custom IP prefixes“ (vertimas: „Už custom IP prefiksų paruošimą ar naudojimą mokestis neimamas“), taip pat ir už iš jų išvestus public IP prefiksus bei adresus. Srautas apmokestinamas interneto išeinančio srauto (egress) tarifais.
• Trukmė. Apie 30 minučių paruošti ir trys–keturios valandos aktyvuoti globaliai.
• Apribojimai. Nėra Internet Routing Preference, Global Tier, ExpressRoute Microsoft peering ar Standard v2 public IP. Atvirkštinis DNS veikia iš Jūsų pačių zonų Azure DNS, Windows Server Activation gali užtrukti iki savaitės, o paruošto diapazono negalima perkelti į kitą prenumeratą.

Prieš pradedant

ROA AS8075, su prefikso ilgiu tiksliai tokiu, kokį Microsoft skelbs, ir galiojimo pabaigos data, apimančia laiką, kurį norite, kad jis būtų skelbiamas (RPKI ir ROA). Skirkite bent 24 valandas, kad Microsoft jį pamatytų. Microsoft taip pat rekomenduoja ROA bet kuriam ASN, kuris diapazoną skelbia šiandien.

Raktų pora ir paties pasirašytas sertifikatas, sukurti su OpenSSL:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Sertifikatas prefikso WHOIS/RDAP įraše, kartu su BEGIN ir END žymėmis, be tarpų ir eilučių lūžių:

Pasirašytas autorizacijos pranešimas: Jūsų prenumeratos ID, prefiksas ir ROA galiojimo pabaigos data, būtent tokia tvarka:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft neprašo nei įgaliojimo rašto, nei route objekto.

Žingsnis po žingsnio

01Paruoškite diapazoną esamoje išteklių grupėje. Regione su prieinamumo zonomis padarykite jį atsparų zonoms arba susiekite su viena zona:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Palaukite Provisioned. commissionedState, kurį grąžina az network custom-ip prefix show, keičiasi iš Provisioning į Provisioned. Ankstyvas ValidationFailed reiškia, kad ROA, sertifikatas ar pranešimas nepraėjo patikros; laukas FailedReason nurodo, kuris.

03Išveskite adresus. Sukurkite public IP prefix iš diapazono, tada iš jo Standard SKU adresus, ir prijunkite juos prie VM ar apkrovos balansavimo įrenginių; jie dar neskelbiami.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Aktyvuokite (commission). Jei diapazonas veikia kitur, du skelbimai vienu metu „could potentially create BGP routing instability or traffic loss“ (vertimas: „galėtų sukelti BGP maršrutizavimo nestabilumą ar srauto praradimą“). Pirmiausia aktyvuokite jį regiono viduje (portale Commission, tada tik regiono parinktis, arba -NoInternetAdvertise PowerShell), išbandykite, atšaukite seną skelbimą, tada aktyvuokite globaliai:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Būsenoje Commissioning diapazonas skelbiamas iš dalies, pirmiausia iš regiono, tada iš Microsoft tinklo su AS8075, kol tampa Commissioned.

Klaidos, kainuojančios dieną

• Sertifikatas descr lauke. RIPE NCC atveju Microsoft nurodo remarks, o AWS skaito descr ir aiškiai ne remarks, todėl blokui, keliaujančiam tarp šių dviejų debesijų, reikia pakeisti įrašą.
• Nesutampanti data. Pasirašyto pranešimo data yra ROA galiojimo pabaigos data formatu yyyymmdd; jei jos nėra, Microsoft sako pasirinkti datą, iki kurios norite, kad diapazonas būtų skelbiamas.
• ROA su netinkamu ilgiu. Nesutapimas su paruošiamu prefiksu baigiasi klaida InvalidPrefixLengthInROA.
• Išėjimas netinkama tvarka. Ištrinkite visus išvestus public IP prefix, tada deaktyvuokite diapazoną (trys–keturios valandos), prieš keisdami ar trindami ROA. Kitaip Microsoft toliau skelbia diapazoną, kurio skelbti nebėra įgaliota.

Jei bloką nuomojatės

Kliūtis yra Microsoft taisyklė: diapazonas „must be owned by you and registered under your name“ (vertimas: „turi priklausyti Jums ir būti užregistruotas Jūsų vardu“). Blokas, užregistruotas tik nuomotojui, pažodžiui to neatitinka, o Microsoft nesako, ar paskyrimas Jums turėtojo paskirstyme (allocation) tinka, todėl paklauskite turėtojo ir Microsoft prieš pasirašydami. Tada turėtojas sukuria ROA AS8075 ir prideda Jūsų sertifikatą į įrašo remarks. Atvirkštiniam DNS taip pat reikia turėtojo: Azure jį teikia tik iš atvirkštinės zonos, kurią talpinate Azure DNS ir kurią turėtojas Jums deleguoja. Įgaliojimo rašto nereikia.

Kur čia RTM Networks

Nuomojame /24 ir didesnius blokus iš savo RIPE NCC adresų erdvės ir parduodame blokus RIPE NCC, ARIN ir APNIC regionuose. Iš mūsų išnuomotai erdvei užregistruojame paskyrimą Jūsų organizacijai, sukuriame ROA AS8075 ir pridedame Jūsų sertifikatą į registro įrašą (IPv4 nuoma). Jei Microsoft nori daugiau nei paskyrimo Jūsų vardu, klausimą išsprendžia bloko pirkimas (IPv4 pirkimas). Jei neturite savo LIR, remiame PI ir legacy erdvę bei AS numerius (rėmimas). Jei Azure VM reikia mažiau nei 256 adresų, bloką skelbiame ir pristatome per WireGuard, nes Azure blokuoja GRE, bet kokio dydžio iki vieno adreso (WireGuard tuneliai). Kiti teikėjai: BYOIP vadovai.