BYOIP f'AWS: ġib l-indirizzi IPv4 tiegħek għal EC2

Tipprova li tikkontrolla l-medda b'ċertifikat fir-rekord tar-reġistru tagħha u ROA li jsemmi l-ASNs ta' AWS, tipprovdiha f'address pool, u talloka indirizzi Elastic IP minnha kif tagħmel minn dawk ta' AWS stess. L-indirizzi li ġġib ma jiġux iċċarġjati l-ħlas fis-siegħa għall-IPv4 pubbliku.

Din il-gwida tkopri EC2 permezz tal-AWS CLI. L-istess medda tista' tmur ukoll għal AWS Global Accelerator, li għandu l-proċess tiegħu, jew permezz ta' VPC IP Address Manager (IPAM), li jżid mod ibbażat fuq id-DNS biex tipprova l-kontroll u l-għażla li tagħmel announce mill-ASN tiegħek.

X'taċċetta AWS

Mid-dokumentazzjoni ta' AWS, fil-jum li ċċekkjajna:

• Daqs. L-iżgħar medda IPv4 li tista' ġġib hija /24.
• Reġistru. ARIN, RIPE NCC jew APNIC, u rreġistrata f'isem negozju jew istituzzjoni, qatt f'isem persuna.
• Storja. AWS tista' tiċċekkja r-reputazzjoni tal-medda u tirrifjuta waħda b'indirizzi b'rekord ħażin (kif iżżomm blokk nadif).
• L-ispazju legacy huwa aċċettat iżda xorta jeħtieġ ROA.
• Region waħda kull darba għal kull medda, u ħames meded għal kull Region b'mod awtomatiku; AWS Support jista' jgħolli dan.
• Fejn. Kull Region kummerċjali ħlief ir-Regions taċ-Ċina, u lista ta' Local Zones.
• Tmissx ir-routing registry. AWS taġġorna RADb hi stess, u bidla manwali li tinkludi l-ASN ta' AWS iġġiegħel il-provisioning ifalli.

Qabel tibda

ROA għall-ASNs ta' AWS. Irid jawtorizza lil AS16509 u AS14618, u kull ASN li qed jagħmel announce tal-medda llum, bit-tul massimu ssettjat għad-daqs tal-medda li ġġib. Fir-Reġjuni AWS GovCloud (US) ir-ROA jsemmi minflok AS8987, u fl-AWS European Sovereign Cloud AS16509 u AS214101; permezz ta' IPAM, issettjah għal /24 biex tkun tista' taqsam il-blokk. Jekk qed tmexxi l-medda min-netwerk tiegħek, oħloq l-ewwel ir-ROA għall-ASN attwali tiegħek, biex xejn minn dak li jaħdem issa ma jsir invalidu (RPKI u ROAs). ROA jista' jieħu sa 24 siegħa biex jasal għand AWS.

Key pair u ċertifikat, magħmulin b'OpenSSL 1.0.2 jew aktar ġdid:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Iċ-ċertifikat fir-rekord tar-reġistru, f'linja waħda, inklużi l-markers BEGIN u END. Fejn imur jiddependi mir-reġistru, u l-qasam huwa importanti:

Tista' tneħħi ċ-ċertifikat ladarba jitlesta l-provisioning.

Pass pass

01Iffirma l-messaġġ tal-awtorizzazzjoni. Il-messaġġ isemmi l-kont tiegħek, il-medda u data ta' skadenza:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Ipprovdi l-medda fir-Region fejn se tużaha:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Stenna. L-istatus jgħaddi minn pending-provision għal provisioned. AWS tgħid li l-biċċa l-kbira tal-meded jitlestew fi żmien sagħtejn u xi wħud jieħdu sa ġimgħa; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 juri fejn wasal.

04Ipprepara, imbagħad aqleb. Biex iż-żmien li fih is-servizz ikun waqaf ikun qasir, alloka indirizzi Elastic IP mill-pool il-ġdid u waħħalhom qabel ma jsir announce tal-medda. aws ec2 describe-public-ipv4-pools jagħti l-ID tal-pool, u aws ec2 allocate-address --public-ipv4-pool <pool-id> jieħu indirizz minnu.

05Agħmel advertise. Ieqaf agħmel announce tal-medda kullimkien ieħor, imbagħad:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS tirrakkomanda li l-ewwel tirtira l-medda minn postijiet oħra; sakemm ħaddieħor ikun qed jagħmel announce tagħha, AWS ma tistax twiegħed li t-traffiku għaliha jasal fin-netwerk tagħha. Trid tagħmel advertise eżattament tal-medda li pprovdejt, qatt ta' parti minnha.

06Iċċekkjaha minn barra. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr għandu juri ċ-ċertifikat, u l-validator ta' RIPEstat għandu jsejjaħ il-medda valida għal AS16509: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Żbalji li jiswew ġurnata

• Iċ-ċertifikat fil-qasam il-ħażin. Għar-RIPE NCC, AWS taqra descr u espliċitament mhux remarks. Azure jrid il-kontra, għalhekk blokk li jiċċaqlaq bejn iż-żewġ clouds jeħtieġ li r-rekord jinbidel.
• ROA bit-tul massimu ħażin. AWS titlob li jkun daqs id-daqs tal-medda li ġġib, jew /24 permezz ta' IPAM. Tul massimu aktar speċifiku mill-medda li ġġib jistieden sub-prefix hijacks, u AWS iżżomm id-dritt li tieqaf tagħmel advertise ta' medda li r-ROAs tagħha ma jsegwux ir-regoli tagħha.
• Advertise ta' parti mill-medda. AWS tagħmel advertise eżattament ta' dak li pprovdejt. Biex tuża medda iżgħar, agħmel deprovision u erġa' pprovdi.
• Żewġ netwerks jagħmlu announce fl-istess ħin. It-traffiku jinqasam bejniethom, u AWS ma tagħmilx troubleshooting tiegħu.

L-ASN tiegħek

Permezz ta' VPC IPAM, AWS tista' tagħmel announce tal-medda tiegħek mill-ASN tiegħek minflok minn tagħha. Iżżid l-istess ċertifikat mar-rekord tar-reġistru tal-ASN tiegħek (għar-RIPE NCC, bħala linja descr fl-aut-num), toħloq it-tieni ROA li jsemmi l-ASN tiegħek, u AWS tirrakkomanda oġġett ASPA li jelenka AS16509 u AS14618 bħala l-fornituri tiegħek; mingħajrhom, ir-rotot li AWS tgħaddi f'ismek ifallu l-validazzjoni ASPA. Tista' terġa' taqleb l-origin għall-ASN ta' AWS fi kwalunkwe ħin, u għal tiegħek mhux aktar minn darba fis-siegħa.

Jekk tikri l-blokk

L-ispazju mikri jaħdem, sakemm ir-reġistru juri li huwa miżmum minn organizzazzjoni. Id-detentur jagħmel in-naħa tar-reġistru: iċ-ċertifikat fir-rekord inetnum, li l-maintainer tad-detentur biss jista' jeditja, u r-ROA għal AS16509 u AS14618. Int tagħmel il-bqija mill-kont AWS tiegħek.

Fejn tidħol RTM Networks

Nikru blokki /24 u akbar mill-ispazju ta' indirizzi tagħna stess fir-RIPE NCC, u nbigħu blokki fir-reġjuni tar-RIPE NCC, ARIN u APNIC. Għall-ispazju mikri mingħandna nżidu ċ-ċertifikat AWS tiegħek mar-rekord tar-reġistru u noħolqu r-ROA għall-ASNs ta' AWS, għalhekk il-provisioning huwa l-uniku pass li jibqagħlek (ikri IPv4). Jekk għandek bżonn inqas minn 256 indirizz fuq instance EC2, nistgħu nwassluhom permezz ta' tunnel minflok (tunnels GRE u WireGuard). Kif jitla' l-ħlas fis-siegħa għall-IPv4, u meta jaqbel li ġġib tiegħek: l-ispiża vera tal-IPv4 fil-cloud. Fornituri oħra: gwidi BYOIP.