Google Cloud BYOIP: savas IPv4 adreses Compute Engine

Jūs pierādāt kontroli pār bloku ar ROA, kas norāda Google ASN, un PTR ierakstu, kas nes Google doto nosaukumu, tad izgriežat no tā deleģētos prefiksus un izveidojat no tiem statiskas ārējās adreses.

Šis ceļvedis apraksta IPv4 Google ieteiktajā konfigurācijā, reģionālu (v2) prefiksu Premium Tier, caur gcloud CLI. Globālās adreses globālajiem slodzes līdzsvarotājiem izmanto vecāko v1 konfigurāciju, un Jūsu projektam vispirms jābūt atļauto sarakstā (allowlist).

Ko pieņem Google Cloud

Saskaņā ar Google Cloud dokumentāciju dienā, kad pārbaudījām:

• Izmērs. Public advertised prefix no „/16 to /24” (tulkojums: „no /16 līdz /24”) Premium Tier, kas ir noklusējums, vai „/16 to /23” (tulkojums: „no /16 līdz /23”) Standard Tier, kas ir Preview stadijā. To var sadalīt līdz /28 blokiem.
• Reģistrs. Google sniedz saites uz ROA norādījumiem katram reģionālajam reģistram, to skaitā ARIN, RIPE NCC un APNIC. Tā neko nepublicē par PA, PI vai legacy statusu, ne arī par to, uz kā vārda blokam jābūt.
• Kas paziņo. Google, no AS396982 Premium Tier vai AS19527 Standard Tier. Tā nedokumentē iespēju paziņot no sava ASN.
• Bez pārklāšanās. „Google does not support overlapping BYOIP route announcements” (tulkojums: „Google Cloud neatbalsta pārklājošus BYOIP maršrutu paziņojumus”): ne prefiksu, ne kādu tā daļu nedrīkst paziņot citur, kamēr Google to paziņo.
• Reģioni. Katrs deleģētais prefikss apkalpo vienu reģionu vai globālo tvērumu. Google BYOIP lapas nenosauc izslēgtus reģionus.
• Cena. „There are no charges for idle or in-use IP addresses.” (tulkojums: „Par neizmantotām vai izmantotām IP adresēm maksa netiek iekasēta.”)
• Laiks. „Approximately 2 weeks” (tulkojums: „apmēram 2 nedēļas”) v2 prefiksam pēc validācijas, „approximately 4 weeks” (tulkojums: „apmēram 4 nedēļas”) v1 un globāliem. Nodrošināšanu „cannot be accelerated” (tulkojums: „nevar paātrināt”).
• Resursi. Lielākā daļa no tiem, kas pieņem statisku ārējo adresi, bet ne GKE mezgli un Pods vai Cloud VPN vārtejas ārējā adrese. Adreses nevar pārvietot starp projektiem.

Pirms sākat

ROA Google ASN. Premium Tier tas norāda prefiksu, tā precīzo garumu un AS396982. Standard Tier tas norāda AS19527, vai nu vienā ROA katram nodrošināmajam prefiksam, ko Google iesaka, vai vienā ROA ar maksimālo garumu /24 (RPKI un ROA).

Otrs ROA Jūsu pašu ASN. Google iesaka tādu ar tiem pašiem datiem un Jūsu ASN kā izcelsmi, lai tīkli, kas veic route origin validation, neuzskatītu prefiksu par nederīgu, ja kādreiz to paziņosiet paši.

Reversā DNS kontrole. Google pārbauda īpašumtiesības ar PTR ierakstu, nevis ar tokenu reģistra ierakstā. Jūs izvēlaties neizmantotu adresi prefiksā, Google atgriež nosaukumu (savu kopīgo noslēpumu), un Jūs publicējat šai adresei PTR ierakstu, kas norāda uz šo nosaukumu zem Jūsu domēna.

Nekā cita no reģistra. Google neprasa ne sertifikātu, ne Letter of Authorization, ne route objektu. Tās pusē Jums projektā vajag lomu Compute Public IP Admin (roles/compute.publicIpAdmin).

Soli pa solim

01Izveidojiet public advertised prefix, norādot adresi, ko izmantosiet DNS validācijai:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Standard Tier izmantojiet gcloud beta un pievienojiet --network-tier=STANDARD.

02Publicējiet PTR ierakstu. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' dod nosaukumu. Ja tas ir 55kk88tt00 un Jūsu domēns ir example.net, tad dig +short -x 203.0.113.144 jāatgriež 55kk88tt00.example.net.

03Palaidiet validāciju:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Statuss kļūst VALIDATED vai REVERSE_DNS_LOOKUP_FAILED, ja Google ierakstu neatrod. Nodrošināšana ir pabeigta, kad describe ar --format='value(status)' rāda PREFIX_CONFIGURATION_COMPLETE.

04Deleģējiet bloku reģionam. To var darīt, kamēr gaidāt:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Izveidojiet adreses. Reģionālie publiskie deleģētie prefiksi, kas izveidoti pēc 2025. gada 13. decembra, ļauj atsevišķas adreses:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Vecāki prefiksi un globālās adreses pieņem veselus blokus, caur delegated-sub-prefixes create --create-addresses. Piesaistiet adreses VM vai pārsūtīšanas noteikumiem (forwarding rules). Tās vēl nav sasniedzamas.

06Paziņojiet. Pārliecinieties, ka neviens cits tīkls bloku nepaziņo. Vispirms paziņojiet deleģēto prefiksu, ko Google pārnēsā savā tīklā, tad advertised prefix, kas nonāk internetā no visiem Google klātbūtnes punktiem:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

No ārpuses RIPEstat validatoram prefikss jāuzrāda kā derīgs AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Kļūdas, kas maksā dienu

• Divi tīkli paziņo. Pārklāšanās ietver arī specifiskāku maršrutu: /24, kas paziņots citur Jūsu ienestā /23 iekšienē, skaitās. Google brīdina par „unexpected routing and packet loss” (tulkojums: „negaidītu maršrutēšanu un pakešu zudumu”).
• v1 paziņo pats. Globāls (v1) prefikss tiek paziņots, tiklīdz tā deleģētais prefikss ir nodrošināts. Google saka neveidot deleģētos prefiksus, kamēr kāds cits vēl paziņo bloku.
• Beidzies ROA. Ja ROA beidzas un Jūs to neatjaunojat četru nedēļu laikā pēc Google atjaunošanas paziņojuma, Google pārtrauc paziņot prefiksu.
• Nosaukumi un reģioni ir fiksēti. Prefiksa pārdēvēšana nozīmē tā dzēšanu un izveidi no jauna, un deleģētā prefiksa pārvietošana uz citu reģionu „can take approximately eight weeks” (tulkojums: „var aizņemt apmēram astoņas nedēļas”). Izvēlieties tādus nosaukumus kā pap-203-0-113-0-24 un deleģējiet tikai to, par ko esat pārliecināts.
• ROA noņemšana pārāk agri. Pēc public advertised prefix dzēšanas gaidiet 14 dienas, pirms noņemat ROA Google ASN.

Ja bloku nomājat

Google nepublicē noteikumu par to, uz kā vārda bloks reģistrēts, un neprasa Letter of Authorization. Abas tās pārbaudes, ROA un PTR ieraksts, nomāta bloka gadījumā ir turētāja ziņā. Turētājs izveido ROA AS396982 vai AS19527 un, ja vēlaties, arī Jūsu ASN. Turētājs arī izveido PTR ierakstu ar Google nosaukumu vai deleģē bloka reverso zonu vārdu serveriem, ko kontrolējat Jūs. Vienojieties, ka ROA tiek atjaunots tik ilgi, kamēr Google paziņo bloku, un paturēts 14 dienas pēc Jūsu aiziešanas.

Kur iederas RTM Networks

Mēs iznomājam /24 un lielākus blokus no savas RIPE NCC adrešu telpas un pārdodam blokus RIPE NCC, ARIN un APNIC reģionos. Telpai, kas nomāta no mums, mēs izveidojam ROA Google ASN un PTR ierakstu ar Google nosaukumu (IPv4 noma). Ja Compute Engine VM vajag mazāk par 256 adresēm, mēs paši paziņojam bloku un piegādājam to pa GRE vai WireGuard, jebkurā izmērā līdz pat vienai adresei (GRE un WireGuard tuneļi). Kā summējas stundas IPv4 maksa lielajos mākoņos: mākoņa IPv4 patiesās izmaksas. Citi pakalpojumu sniedzēji: BYOIP ceļveži.