Google Cloud BYOIP: savi IPv4 adresai Compute Engine

Bloko kontrolę įrodote ROA, nurodančiu Google ASN, ir PTR įrašu su vardu, kurį Jums pateikia Google, tada iš jo išskiriate deleguotus prefiksus ir iš jų kuriate statinius išorinius adresus.

Šis vadovas apima IPv4 konfigūracijoje, kurią rekomenduoja Google, t. y. regioninį (v2) prefiksą Premium Tier, per gcloud CLI. Globalūs adresai globaliems apkrovos balansavimo įrenginiams naudoja senesnę v1 konfigūraciją, o Jūsų projektas pirmiausia turi būti įtrauktas į leidžiamųjų sąrašą.

Ką priima Google Cloud

Pagal Google Cloud dokumentaciją tą dieną, kai tikrinome:

• Dydis. Public advertised prefix nuo „/16 to /24“ (vertimas: „/16 iki /24“) Premium Tier, numatytajame lygmenyje, arba „/16 to /23“ (vertimas: „/16 iki /23“) Standard Tier, kuris yra Preview stadijoje. Jį galite padalyti iki /28 blokų.
• Registras. Google pateikia ROA instrukcijų nuorodas kiekvienam regioniniam registrui, tarp jų ARIN, RIPE NCC ir APNIC. Ji nieko neskelbia apie PA, PI ar legacy statusą, nei apie tai, kieno vardu blokas turi būti.
• Kas skelbia. Google, iš AS396982 Premium Tier arba AS19527 Standard Tier. Ji neaprašo jokios galimybės skelbti iš savo ASN.
• Jokio persidengimo. „Google does not support overlapping BYOIP route announcements“ (vertimas: „Google Cloud nepalaiko persidengiančių BYOIP maršrutų skelbimų“): nei prefiksas, nei jokia jo dalis negali būti skelbiama kitur, kol jį skelbia Google.
• Regionai. Kiekvienas deleguotas prefiksas aptarnauja vieną regioną arba globalią apimtį. Google BYOIP puslapiai nenurodo jokių neįtrauktų regionų.
• Kaina. „There are no charges for idle or in-use IP addresses.“ (vertimas: „Už nenaudojamus ar naudojamus IP adresus mokestis neimamas.“)
• Trukmė. „Approximately 2 weeks“ (vertimas: „Maždaug 2 savaitės“) v2 prefiksui po patvirtinimo, „approximately 4 weeks“ (vertimas: „maždaug 4 savaitės“) v1 ir globaliems. Paruošimo „cannot be accelerated“ (vertimas: „negalima paspartinti“).
• Ištekliai. Dauguma tų, kurie priima statinį išorinį adresą, bet ne GKE mazgai ir Pods ar Cloud VPN šliuzo išorinis adresas. Adresų negalima perkelti tarp projektų.

Prieš pradedant

ROA Google ASN. Premium Tier jis nurodo prefiksą, jo tikslų ilgį ir AS396982. Standard Tier jis nurodo AS19527, arba po vieną ROA kiekvienam prefiksui, kurį paruošite, kaip rekomenduoja Google, arba vienu ROA su didžiausiu ilgiu /24 (RPKI ir ROA).

Antras ROA Jūsų ASN. Google rekomenduoja tokį su tais pačiais duomenimis ir Jūsų ASN kaip origin, kad tinklai, tikrinantys maršruto kilmę, nelaikytų prefikso negaliojančiu, jei kada nors jį skelbsite patys.

Atvirkštinio DNS kontrolė. Google nuosavybę tikrina PTR įrašu, o ne žetonu registro įraše. Pasirenkate nenaudojamą prefikso adresą, Google grąžina vardą (savo bendrą paslaptį), o Jūs paskelbiate PTR įrašą tam adresui, nukreipiantį į tą vardą po Jūsų domenu.

Nieko daugiau iš registro. Google neprašo nei sertifikato, nei įgaliojimo rašto, nei route objekto. Jos pusėje projekte Jums reikia Compute Public IP Admin vaidmens (roles/compute.publicIpAdmin).

Žingsnis po žingsnio

01Sukurkite public advertised prefix, nurodydami adresą, kurį naudosite DNS patvirtinimui:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Standard Tier naudokite gcloud beta ir pridėkite --network-tier=STANDARD.

02Paskelbkite PTR įrašą. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' pateikia vardą. Jei jis yra 55kk88tt00, o Jūsų domenas example.net, tada dig +short -x 203.0.113.144 turi grąžinti 55kk88tt00.example.net.

03Paleiskite patvirtinimą:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Būsena tampa VALIDATED arba REVERSE_DNS_LOOKUP_FAILED, jei Google įrašo neranda. Paruošimas baigtas, kai describe su --format='value(status)' rodo PREFIX_CONFIGURATION_COMPLETE.

04Deleguokite bloką regionui. Tai galima atlikti laukiant:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Sukurkite adresus. Regioniniai viešieji deleguoti prefiksai, sukurti po 2025 m. gruodžio 13 d., leidžia pavienius adresus:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Senesni prefiksai ir globalūs adresai priima tik ištisus blokus, per delegated-sub-prefixes create --create-addresses. Prijunkite adresus prie VM ar persiuntimo taisyklių (forwarding rules). Jie dar nepasiekiami.

06Skelbkite. Įsitikinkite, kad joks kitas tinklas bloko neskelbia. Pirmiausia paskelbkite deleguotą prefiksą, kurį Google perduoda savo tinklo viduje, tada public advertised prefix, kuris iš visų Google buvimo taškų keliauja į internetą:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Iš išorės RIPEstat tikrintuvas turėtų rodyti prefiksą kaip galiojantį AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Klaidos, kainuojančios dieną

• Du tinklai skelbia. Persidengimas apima ir konkretesnį maršrutą: kitur skelbiamas /24 Jūsų atsinešto /23 viduje taip pat skaičiuojamas. Google įspėja apie „unexpected routing and packet loss“ (vertimas: „netikėtą maršrutizavimą ir paketų praradimą“).
• v1 skelbiasi pats. Globalus (v1) prefiksas paskelbiamas, kai tik paruošiamas jo deleguotas prefiksas. Google sako nekurti deleguotų prefiksų, kol bloko niekas kitas neskelbia.
• Pasibaigęs ROA. Jei ROA nustoja galioti ir jo neatnaujinate per keturias savaites nuo Google pranešimo apie atnaujinimą, Google nustoja skelbti prefiksą.
• Vardai ir regionai fiksuoti. Pervadinti prefiksą reiškia jį ištrinti ir sukurti iš naujo, o deleguoto prefikso perkėlimas į kitą regioną „can take approximately eight weeks“ (vertimas: „gali užtrukti maždaug aštuonias savaites“). Rinkitės tokius vardus kaip pap-203-0-113-0-24 ir deleguokite tik tai, kuo esate tikri.
• Per ankstyvas ROA pašalinimas. Ištrynę public advertised prefix, palaukite 14 dienų prieš pašalindami ROA Google ASN.

Jei bloką nuomojatės

Google neskelbia jokios taisyklės, kieno vardu blokas turi būti užregistruotas, ir neprašo įgaliojimo rašto. Abi jos patikros, ROA ir PTR įrašas, išnuomoto bloko atveju priklauso turėtojui. Turėtojas sukuria ROA AS396982 arba AS19527, ir ROA Jūsų ASN, jei jo norite. Turėtojas taip pat sukuria PTR įrašą su Google vardu arba deleguoja bloko atvirkštinę zoną į Jūsų kontroliuojamus vardų serverius. Susitarkite, kad ROA būtų atnaujinamas tol, kol Google skelbia bloką, ir išlaikomas 14 dienų po Jūsų išėjimo.

Kur čia RTM Networks

Nuomojame /24 ir didesnius blokus iš savo RIPE NCC adresų erdvės ir parduodame blokus RIPE NCC, ARIN ir APNIC regionuose. Iš mūsų išnuomotai erdvei sukuriame ROA Google ASN ir PTR įrašą su Google vardu (IPv4 nuoma). Jei Compute Engine VM reikia mažiau nei 256 adresų, bloką skelbiame patys ir pristatome per GRE arba WireGuard, bet kokio dydžio iki vieno adreso (GRE ir WireGuard tuneliai). Kaip susideda valandinis IPv4 mokestis didžiosiose debesijose: tikroji debesijos IPv4 kaina. Kiti teikėjai: BYOIP vadovai.