UpCloud BYOIP: savi IP adresai Private Cloud

UpCloud viešųjų zonų Cloud Servers serveriuose savą bloką naudoti galima per tunelį, kurį šis vadovas taip pat aprašo., kurį šis vadovas taip pat aprašo.

Ką priima UpCloud

Pagal UpCloud dokumentaciją tą dieną, kai tikrinome:

• Tik Private Cloud. Private Cloud Jūsų Cloud Servers paleidžia dedikuotuose hostuose. UpCloud sako, kad ji „offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).“ (vertimas: „siūlo dedikuotų viešų IP blokų galimybę, ir galima naudoti savo IP blokus (BYOIP).“)
• Per pardavimus. Jos tinklo DUK klausia „Can I bring my own IPs or IP range?“ ir atsako: „Yes, you can do this in our Private Cloud. Contact our sales team for more information.“ (vertimas: „Ar galiu atsinešti savo IP ar IP diapazoną?“ „Taip, tai galite padaryti mūsų Private Cloud. Daugiau informacijos suteiks mūsų pardavimų komanda.“) UpCloud tam neaprašo jokių konsolės, API ar CLI žingsnių.
• Kur. Private Cloud yra tėvinėje viešojoje zonoje, vienoje iš 15 UpCloud vietų.
• Sąlygos. Private Cloud puslapis į klausimą „Can I bring my own IPs?“ atsako: „Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.“ (vertimas: „Ar galiu atsinešti savo IP?“ „Taip. UpCloud palaiko Bring Your Own IP (BYOIP). Jūsų prefiksai gali būti skelbiami per BGP (po patikros ir su LOA). Prieinamumas ir prefikso dydžio reikalavimai priklauso nuo tikslinio regiono.“)
• Neskelbiama. Kuriuos registrus UpCloud priima, origin ASN, paties BYOIP kaina ir trukmė.
• Private Cloud kaina. Konfigūracijos prasideda nuo 3 190 € per mėnesį, pagal kiekvienam klientui individualų pasiūlymą.
• Viešosios zonos naudoja UpCloud adresus. Cloud Server pagal numatymą gauna vieną IPv4 ir vieną IPv6 adresą ir gali turėti iki penkių viešų IPv4 adresų. Papildomi IPv4 adresai apmokestinami valandomis.
• Floating IP taip pat yra UpCloud. Tai IPv4 adresai, kuriuos rezervuoja Jūsų paskyra, apmokestinami už adresą, ir jie keliauja tarp Cloud Servers tame pačiame duomenų centre. IPv6 jų nėra.

Prieš pradedant

UpCloud nurodo du reikalavimus, patikrą ir įgaliojimo raštą, o visa kita palieka pokalbiui su pardavimais. Paruoškite tai, ko prašo kiekvienas klientų erdvę skelbiantis teikėjas, ir kiekvieną punktą patvirtinkite:

1. /24 ar didesnį bloką. UpCloud sako, kad prefikso dydžio reikalavimai priklauso nuo regiono, o tinklai filtruoja viską, kas mažiau nei /24.
2. Registro įrašą. Žinokite, kuris registras turi bloką (pavyzdžiui, ARIN, RIPE NCC ar APNIC) ir kurią organizaciją nurodo įrašas.
3. ROA skelbiančiam ASN, UpCloud ar Jūsų, su didžiausiu ilgiu pagal tai, kas skelbiama (RPKI ir ROA). Sukurkite jį, kai UpCloud nurodys ASN.
4. Route objektą su tuo pačiu ASN kaip origin.
5. Įgaliojimo raštą, kurio prašo UpCloud, pasirašytą bloko turėtojo ir nurodantį UpCloud kaip tinklą, kuris jį perduos.

Kelias per tunelį

Cloud Servers viešosiose zonose arba kol vyksta Private Cloud pokalbis tunelis Jūsų bloką pristato į serverį, UpCloud nieko nekeičiant. Tinklas, galintis skelbti bloką, jį skelbia, o GRE arba WireGuard tunelis perduoda jo srautą į Jūsų serverį ir atgal (kaip veikia tunelis).

Serveris išlaiko IPv4 adresą, kurį jam paskyrė UpCloud. Tas adresas yra išorinis tunelio galas: kita pusė į jį siunčia inkapsuliuotus paketus, o UpCloud tinklas mato įprastą srautą tarp dviejų viešų adresų. Išnuomotas blokas keliauja tunelio viduje. Jo adresus sukonfigūruojate tunelio ar loopback sąsajoje, o serveris jais atsako taip, lyg jie būtų vietiniai.

• Atsakymai grįžta per tunelį. Pridėkite politikos maršrutą (policy route), kad srautas iš bloko išeitų per tunelį. Išsiųstas tiesiai, jis turėtų šaltinio adresą, kurio UpCloud serveriui niekada nepaskyrė, o tinklai tokį srautą filtruoja.
• Atverkite UpCloud ugniasienę abiem kryptimis. Jei ją naudojate, atminkite, kad ji neišsaugo būsenos (stateless): taisyklės turi aiškiai leisti įeinantį ir išeinantį srautą. Jos taisyklės atitinka TCP, UDP ar ICMP. GRE, kuris yra IP protokolas 47, atveju palikite protokolą All ir apribokite taisyklę kito galo adresu. WireGuard atveju leiskite jo UDP prievadą.
• Nustatykite MTU. 1 476 baitai GRE, apie 1 420 WireGuard, su MSS ribojimu (MSS clamping), jei serveris bloką maršrutizuoja toliau į virtualias mašinas.
• Bet koks dydis. Tunelis pristato mažiau nei 256 adresus, iki vieno, ko BYOIP niekada nedaro.

Spąstai

• Perkėlimas sustoja ties klientui priklausančiais adresais. UpCloud Relocate Server funkcija perkelia serverį tarp Public ir Private Cloud zonų tame pačiame duomenų centre su vienu tinklo apribojimu: „The server cannot have IP addresses from a dedicated, customer-owned IP network.“ (vertimas: „Serveris negali turėti IP adresų iš dedikuoto, klientui priklausančio IP tinklo.“) Prieš migruodami suplanuokite, kur bus Jūsų blokas.
• Nemokamas bandomasis laikotarpis blokuoja prievadus. UpCloud nemokamo bandomojo laikotarpio metu kai kurie prievadai blokuojami, o tinklas veikia 100 Mbit/s greičiu. Po pirmojo mokėjimo atviri visi prievadai, išskyrus 25, todėl tunelį išbandykite po to.

Jei bloką nuomojatės

UpCloud nieko neskelbia apie išnuomotą erdvę ar tai, kieno vardą turi rodyti registro įrašas, todėl paklauskite UpCloud pardavimų komandos, kai su ja susisieksite. Private Cloud BYOIP atveju registro pusę atlieka turėtojas: ROA UpCloud nurodytam ASN, route objektą ir įgaliojimo raštą, kurio prašo UpCloud. Su tuneliu UpCloud pusėje niekas nesikeičia: bloką skelbia tinklas kitame gale, o turėtojui tereikia autorizuoti tą tinklą.

Kur čia RTM Networks

Nuomojame /24 ir didesnius blokus iš savo RIPE NCC adresų erdvės ir parduodame blokus RIPE NCC, ARIN ir APNIC regionuose. Kiekviena nuoma apima ROA, route objektą, PTR įrašus ir įgaliojimo raštą, kai tik jo prireikia (IPv4 nuoma). Private Cloud atveju sukuriame ROA UpCloud nurodytam ASN ir pasirašome įgaliojimo raštą, taip pat remiame AS numerius organizacijoms, neturinčioms savo LIR (ASN rėmimas). Cloud Servers viešosiose zonose bloką skelbiame patys ir pristatome per GRE arba WireGuard, bet kokio dydžio iki vieno adreso (GRE ir WireGuard tuneliai). Kiti teikėjai: BYOIP vadovai.