AWS BYOIP: savas IPv4 adreses EC2

Jūs pierādāt, ka kontrolējat diapazonu, ar sertifikātu tā reģistra ierakstā un ROA, kas norāda AWS ASN, nodrošināt (provision) to adrešu pūlā un piešķirat no tā Elastic IP adreses tāpat kā no AWS pašas adresēm. Par ienestajām adresēm netiek iekasēta stundas maksa par publisku IPv4.

Šis ceļvedis apraksta EC2 caur AWS CLI. To pašu diapazonu var arī ienest AWS Global Accelerator, kam ir savs process, vai caur VPC IP Address Manager (IPAM), kas pievieno uz DNS balstītu veidu kontroles pierādīšanai un iespēju paziņot (announce) no sava ASN.

Ko pieņem AWS

Saskaņā ar AWS dokumentāciju dienā, kad pārbaudījām:

• Izmērs. Visšaurākais IPv4 diapazons, ko var ienest, ir /24.
• Reģistrs. ARIN, RIPE NCC vai APNIC, un reģistrēts uz uzņēmumu vai iestādi, nekad uz personu.
• Vēsture. AWS var pārbaudīt diapazona reputāciju un noraidīt tādu, kura adresēm ir slikta vēsture (kā uzturēt bloku tīru).
• Legacy telpa tiek pieņemta, bet tai joprojām vajag ROA.
• Viens reģions vienlaikus katram diapazonam un pēc noklusējuma pieci diapazoni reģionā; AWS Support to var palielināt.
• Kur. Visos komerciālajos reģionos, izņemot Ķīnas reģionus, un sarakstā norādītajās Local Zones.
• Nepieskarieties maršrutēšanas reģistram. AWS pati atjaunina RADb, un manuāla izmaiņa, kas ietver AWS ASN, izraisa nodrošināšanas kļūdu.

Pirms sākat

ROA AWS ASN. Tam jāautorizē AS16509 un AS14618 un jebkurš ASN, kas diapazonu paziņo šodien, ar maksimālo garumu, kas vienāds ar ienestā diapazona izmēru. AWS GovCloud (US) reģionos ROA tā vietā norāda AS8987, bet AWS European Sovereign Cloud AS16509 un AS214101; caur IPAM iestatiet to uz /24, lai bloku varētu sadalīt. Ja pārceļat diapazonu no sava tīkla, vispirms izveidojiet ROA savam pašreizējam ASN, lai nekas, kas tagad darbojas, nekļūtu nederīgs (RPKI un ROA). ROA var sasniegt AWS līdz 24 stundās.

Atslēgu pāris un sertifikāts, izveidoti ar OpenSSL 1.0.2 vai jaunāku:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Sertifikāts reģistra ierakstā, vienā rindā, ieskaitot BEGIN un END marķierus. Kur tas jāievieto, atkarīgs no reģistra, un lauks ir svarīgs:

Kad nodrošināšana ir pabeigta, sertifikātu var noņemt.

Soli pa solim

01Parakstiet autorizācijas ziņojumu. Ziņojumā norādīts Jūsu konts, diapazons un derīguma termiņš:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Nodrošiniet diapazonu reģionā, kurā to izmantosiet:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Gaidiet. Statuss mainās no pending-provision uz provisioned. AWS saka, ka lielākā daļa diapazonu ir gatavi divu stundu laikā un daži aizņem līdz nedēļai; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 parāda, kur tas atrodas.

04Sagatavojiet, tad pārslēdziet. Lai dīkstāve būtu īsa, piešķiriet Elastic IP adreses no jaunā pūla un piesaistiet tās, pirms diapazons tiek paziņots. aws ec2 describe-public-ipv4-pools dod pūla ID, un aws ec2 allocate-address --public-ipv4-pool <pool-id> paņem no tā adresi.

05Paziņojiet. Pārtrauciet diapazona paziņošanu visur citur, tad:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS iesaka vispirms atsaukt diapazonu no citām vietām; kamēr to paziņo kāds cits, AWS nevar apsolīt, ka trafiks uz to sasniedz tās tīklu. Jāpaziņo tieši tas diapazons, ko nodrošinājāt, nekad tā daļa.

06Pārbaudiet no ārpuses. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr jāparāda sertifikāts, un RIPEstat validatoram diapazons jāuzrāda kā derīgs AS16509: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Kļūdas, kas maksā dienu

• Sertifikāts nepareizajā laukā. RIPE NCC gadījumā AWS lasa descr un nepārprotami ne remarks. Azure vēlas pretējo, tāpēc blokam, ko pārceļ starp abiem mākoņiem, ieraksts jāmaina.
• ROA ar nepareizu maksimālo garumu. AWS prasa, lai tas būtu vienāds ar ienestā diapazona izmēru, vai /24 caur IPAM. Maksimālais garums, kas ir specifiskāks par ienesto diapazonu, aicina uz apakšprefiksu nolaupīšanu (sub-prefix hijack), un AWS patur tiesības pārtraukt paziņot diapazonu, kura ROA neatbilst tās noteikumiem.
• Diapazona daļas paziņošana. AWS paziņo tieši to, ko nodrošinājāt. Lai izmantotu mazāku diapazonu, atceliet nodrošināšanu un nodrošiniet vēlreiz.
• Divi tīkli paziņo vienlaikus. Trafiks sadalās starp tiem, un AWS to nenovērsīs.

Jūsu pašu ASN

Caur VPC IPAM AWS var paziņot Jūsu diapazonu no Jūsu ASN, nevis no sava. Jūs pievienojat to pašu sertifikātu sava ASN reģistra ierakstam (RIPE NCC gadījumā kā descr rindu aut-num), izveidojat otru ROA, kas norāda Jūsu ASN, un AWS iesaka ASPA objektu, kurā AS16509 un AS14618 norādīti kā Jūsu pakalpojumu sniedzēji; bez tiem maršruti, ko AWS nodod tālāk Jūsu vārdā, neiztur ASPA validāciju. Izcelsmi atpakaļ uz AWS ASN var pārslēgt jebkurā laikā, un uz Jūsējo ne biežāk kā reizi stundā.

Ja bloku nomājat

Nomāta telpa darbojas, ja reģistrs rāda, ka to tur organizācija. Reģistra pusi veic turētājs: sertifikātu inetnum ierakstā, ko var rediģēt tikai turētāja maintainer, un ROA AS16509 un AS14618. Pārējo Jūs darāt no sava AWS konta.

Kur iederas RTM Networks

Mēs iznomājam /24 un lielākus blokus no savas RIPE NCC adrešu telpas un pārdodam blokus RIPE NCC, ARIN un APNIC reģionos. Telpai, kas nomāta no mums, mēs pievienojam Jūsu AWS sertifikātu reģistra ierakstam un izveidojam ROA AWS ASN, tāpēc Jums atliek tikai nodrošināšanas solis (IPv4 noma). Ja EC2 instancei vajag mazāk par 256 adresēm, mēs tās varam piegādāt caur tuneli (GRE un WireGuard tuneļi). Kā summējas stundas IPv4 maksa un kad atmaksājas savu adrešu ienešana: mākoņa IPv4 patiesās izmaksas. Citi pakalpojumu sniedzēji: BYOIP ceļveži.