Azure BYOIP: savas IPv4 adreses kā custom IP prefix

Jūs pierādāt, ka diapazons ir Jūsu, ar ROA, kas norāda Microsoft ASN, un sertifikātu tā WHOIS/RDAP ierakstā, tad nodrošināt (provision) to un atvasināt no tā public IP prefixes un adreses.

Šis ceļvedis seko vienotajam (unified) modelim diapazonam, ko izmanto vienā reģionā, caur Azure CLI. Diapazonu nevar pārslēgt uz global/regional modeli, vecāku ar reģionāliem bērniem, to neienesot no jauna.

Ko pieņem Azure

Saskaņā ar Microsoft dokumentāciju dienā, kad pārbaudījām:

• Izmērs. Vienotajam prefiksam „must be between /21 and /24” (tulkojums: „jābūt starp /21 un /24”). Globālais vecāks arī ir no /21 līdz /24, ar reģionāliem bērniem no /22 līdz /26.
• Reģistrs un vārds. Diapazonam „must be owned by you and registered under your name” (tulkojums: „jāpieder Jums un jābūt reģistrētam uz Jūsu vārda”) reģionālajā interneta reģistrā, to skaitā ARIN, RIPE NCC un APNIC. Nekā par PA, PI vai legacy statusu.
• Kas paziņo. Microsoft, ar AS8075, vai AS8070 US Gov Cloud. Microsoft BYOIP lapās nav dokumentēta iespēja izmantot savu ASN. CLI komanda 1. solī, az network custom-ip prefix create, gan uzskaita parametru --asn, kas aprakstīts tikai kā „The ASN for CIDR advertising” (tulkojums: „ASN CIDR paziņošanai”), tāpēc pajautājiet Microsoft, pirms uz to paļaujaties.
• Reģioni. Viens reģions katram prefiksam un pēc noklusējuma pieci prefiksi reģionā, vairāk pēc pieprasījuma.
• Cena. „There's no charge to provision or use custom IP prefixes” (tulkojums: „Par custom IP prefixes nodrošināšanu vai izmantošanu maksa netiek iekasēta”), ne arī par no tiem atvasinātajiem public IP prefixes un adresēm. Trafiku apmaksā pēc interneta izejošā trafika tarifiem.
• Laiks. Ap 30 minūtēm nodrošināšanai un trīs līdz četras stundas globālai nodošanai ekspluatācijā.
• Ierobežojumi. Nav Internet Routing Preference, Global Tier, ExpressRoute Microsoft peering vai Standard v2 publisko IP. Reversais DNS darbojas no Jūsu pašu zonām Azure DNS, Windows Server Activation var aizņemt līdz nedēļai, un nodrošinātam diapazonam nevar mainīt abonementu (subscription).

Pirms sākat

ROA AS8075, ar prefiksa garumu tieši tādu, kādu Microsoft to paziņos (announce), un derīguma termiņu, kas aptver laiku, kurā vēlaties, lai to paziņotu (RPKI un ROA). Rēķinieties ar vismaz 24 stundām, līdz Microsoft to redz. Microsoft arī iesaka ROA jebkuram ASN, kas diapazonu paziņo šodien.

Atslēgu pāris un pašparakstīts sertifikāts, izveidoti ar OpenSSL:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Sertifikāts prefiksa WHOIS/RDAP ierakstā, ieskaitot BEGIN un END marķierus, bez atstarpēm un rindu pārnesumiem:

Parakstīts autorizācijas ziņojums: Jūsu abonementa ID, prefikss un ROA derīguma termiņš, šādā secībā:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft neprasa ne Letter of Authorization, ne route objektu.

Soli pa solim

01Nodrošiniet diapazonu esošā resursu grupā. Reģionā ar pieejamības zonām padariet to zonu redundantu vai piesaistiet vienai zonai:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Gaidiet Provisioned. commissionedState, ko atgriež az network custom-ip prefix show, mainās no Provisioning uz Provisioned. Agrīns ValidationFailed nozīmē, ka ROA, sertifikāts vai ziņojums neizturēja pārbaudi; lauks FailedReason pasaka, kurš.

03Atvasiniet adreses. Izveidojiet public IP prefix no diapazona, tad no tā Standard SKU adreses, un piesaistiet tās VM vai slodzes līdzsvarotājiem; tās vēl netiek paziņotas.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Nododiet ekspluatācijā (commission). Ja diapazons darbojas citur, divi paziņojumi vienlaikus „could potentially create BGP routing instability or traffic loss” (tulkojums: „varētu radīt BGP maršrutēšanas nestabilitāti vai trafika zudumu”). Vispirms nododiet to ekspluatācijā reģiona iekšienē (portālā Commission, tad tikai reģiona opcija, vai PowerShell -NoInternetAdvertise), testējiet, atsauciet veco paziņojumu, tad nododiet to ekspluatācijā globāli:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Statusā Commissioning diapazons tiek daļēji paziņots, vispirms no reģiona, tad no Microsoft tīkla ar AS8075, līdz tas ir Commissioned.

Kļūdas, kas maksā dienu

• Sertifikāts descr. RIPE NCC gadījumā Microsoft saka remarks, bet AWS lasa descr un nepārprotami ne remarks, tāpēc blokam, ko pārceļ starp abiem mākoņiem, ieraksts jāmaina.
• Datums, kas nesakrīt. Datums parakstītajā ziņojumā ir ROA derīguma termiņš formātā yyyymmdd; ja tāda nav, Microsoft saka izvēlēties datumu, līdz kuram vēlaties diapazonu paziņot.
• ROA ar nepareizu garumu. Neatbilstība nodrošinātajam prefiksam beidzas ar InvalidPrefixLengthInROA.
• Aiziešana nepareizā secībā. Dzēsiet katru atvasināto public IP prefix, tad izņemiet diapazonu no ekspluatācijas (trīs līdz četras stundas), pirms maināt vai dzēšat ROA. Citādi Microsoft turpina paziņot diapazonu, ko tai vairs nav tiesību paziņot.

Ja bloku nomājat

Šķērslis ir Microsoft noteikums: diapazonam „must be owned by you and registered under your name” (tulkojums: „jāpieder Jums un jābūt reģistrētam uz Jūsu vārda”). Bloks, kas reģistrēts tikai uz iznomātāju, tam neatbilst, kā tas uzrakstīts, un Microsoft nesaka, vai piešķīrums Jums turētāja piešķīruma (allocation) ietvaros skaitās, tāpēc pirms parakstīšanas pajautājiet turētājam un Microsoft. Tad turētājs izveido ROA AS8075 un pievieno Jūsu sertifikātu ieraksta remarks. Arī reversajam DNS vajag turētāju: Azure to apkalpo tikai no reversās zonas, ko Jūs uzturat Azure DNS un ko turētājs Jums deleģē. Letter of Authorization nav vajadzīgs.

Kur iederas RTM Networks

Mēs iznomājam /24 un lielākus blokus no savas RIPE NCC adrešu telpas un pārdodam blokus RIPE NCC, ARIN un APNIC reģionos. Telpai, kas nomāta no mums, mēs reģistrējam piešķīrumu Jūsu organizācijai, izveidojam ROA AS8075 un pievienojam Jūsu sertifikātu reģistra ierakstam (IPv4 noma). Ja Microsoft vēlas vairāk nekā piešķīrumu uz Jūsu vārda, bloka pirkšana to atrisina (IPv4 pirkšana). Ja Jums nav sava LIR, mēs sponsorējam PI un legacy telpu un AS numurus (sponsorēšana). Mazāk nekā 256 adresēm Azure VM mēs paziņojam bloku un piegādājam to pa WireGuard, jo Azure bloķē GRE, jebkurā izmērā līdz pat vienai adresei (WireGuard tuneļi). Citi pakalpojumu sniedzēji: BYOIP ceļveži.