BYOIP hos AWS: ta med egne IPv4-adresser til EC2

Du beviser at du kontrollerer rangen med et sertifikat i registeroppføringen og en ROA som nevner AWS' ASN-er, klargjør den i en adressepool og tildeler Elastic IP-adresser fra den slik du ville gjort fra AWS' egne. Adresser du tar med, faktureres ikke timeprisen for offentlig IPv4.

Denne guiden dekker EC2 via AWS CLI. Den samme rangen kan også gå til AWS Global Accelerator, som har sin egen prosess, eller via VPC IP Address Manager (IPAM), som legger til en DNS-basert måte å bevise kontroll på og muligheten til å kunngjøre fra ditt eget ASN.

Hva AWS tar imot

Fra AWS' dokumentasjon, den dagen vi sjekket:

• Størrelse. Den mest spesifikke IPv4-rangen du kan ta med, er en /24.
• Register. ARIN, RIPE NCC eller APNIC, og registrert på en bedrift eller institusjon, aldri på en person.
• Historikk. AWS kan sjekke rangens omdømme og avvise en med adresser som har en dårlig historikk (hold en blokk ren).
• Legacy-adresserom godtas, men trenger likevel en ROA.
• Én region om gangen per range, og fem ranger per region som standard; AWS Support kan øke det.
• Hvor. Alle kommersielle regioner unntatt China-regionene, og en liste over Local Zones.
• Ikke rør rutingregisteret. AWS oppdaterer RADb selv, og en manuell endring som inkluderer AWS' ASN, får klargjøringen til å feile.

Før du begynner

En ROA for AWS' ASN-er. Den må autorisere AS16509 og AS14618, og alle ASN-er som kunngjør rangen i dag, med maksimal lengde satt til størrelsen på rangen du tar med. I AWS GovCloud (US)-regionene nevner ROA-en i stedet AS8987, og i AWS European Sovereign Cloud AS16509 og AS214101; via IPAM setter du den til /24 slik at du kan dele blokken. Flytter du rangen fra ditt eget nettverk, oppretter du ROA-en for ditt nåværende ASN først, slik at ingenting som virker nå, blir ugyldig (RPKI og ROA-er). En ROA kan bruke opptil 24 timer på å nå AWS.

Et nøkkelpar og et sertifikat, laget med OpenSSL 1.0.2 eller nyere:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Sertifikatet i registeroppføringen, på én linje, inkludert BEGIN- og END-markørene. Hvor det skal stå, avhenger av registeret, og feltet betyr noe:

Du kan fjerne sertifikatet når klargjøringen er ferdig.

Steg for steg

01Signer autorisasjonsmeldingen. Meldingen nevner kontoen din, rangen og en utløpsdato:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Klargjør rangen i regionen der du skal bruke den:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Vent. Statusen går fra pending-provision til provisioned. AWS sier at de fleste ranger er ferdige innen to timer og at noen tar opptil en uke; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 viser hvor den står.

04Forbered, og bytt så. For å holde nedetiden kort tildeler du Elastic IP-adresser fra den nye poolen og kobler dem til før rangen kunngjøres. aws ec2 describe-public-ipv4-pools gir poolens ID, og aws ec2 allocate-address --public-ipv4-pool <pool-id> tar en adresse fra den.

05Kunngjør. Slutt å kunngjøre rangen alle andre steder, og kjør så:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS anbefaler å trekke tilbake rangen fra andre steder først; mens noen andre kunngjør den, kan ikke AWS love at trafikken for den når nettverket deres. Du må kunngjøre nøyaktig den rangen du klargjorde, aldri en del av den.

06Sjekk utenfra. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr skal vise sertifikatet, og RIPEstats validator skal kalle rangen gyldig for AS16509: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Feil som koster en dag

• Sertifikatet i feil felt. For RIPE NCC leser AWS descr og uttrykkelig ikke remarks. Azure vil ha det motsatte, så en blokk som flyttes mellom de to skyene, krever at oppføringen endres.
• En ROA med feil maksimal lengde. AWS krever at den er lik størrelsen på rangen du tar med, eller /24 via IPAM. En maksimal lengde som er mer spesifikk enn rangen du tar med, innbyr til kapring av underprefikser, og AWS forbeholder seg retten til å slutte å kunngjøre en range der ROA-ene ikke følger reglene.
• Å kunngjøre en del av rangen. AWS kunngjør nøyaktig det du klargjorde. For å bruke en mindre range må du avklargjøre og klargjøre på nytt.
• To nettverk som kunngjør samtidig. Trafikken deles mellom dem, og AWS vil ikke feilsøke det.

Ditt eget ASN

Via VPC IPAM kan AWS kunngjøre rangen din fra ditt eget ASN i stedet for sitt eget. Du legger det samme sertifikatet inn i ASN-ets registeroppføring (for RIPE NCC som en descr-linje på aut-num), oppretter en ROA til som nevner ASN-et ditt, og AWS anbefaler et ASPA-objekt som oppgir AS16509 og AS14618 som leverandørene dine; uten dem feiler ASPA-valideringen for rutene AWS sender videre for deg. Du kan bytte origin tilbake til AWS' ASN når som helst, og til ditt høyst én gang i timen.

Hvis du leier blokken

Leid adresserom virker, forutsatt at registeret viser at det innehas av en organisasjon. Innehaveren gjør registerdelen: sertifikatet i inetnum-oppføringen, som bare innehaverens maintainer kan redigere, og ROA-en for AS16509 og AS14618. Resten gjør du fra AWS-kontoen din.

Hvor RTM Networks passer inn

Vi leier ut /24-er og større fra vårt eget RIPE NCC-adresserom, og selger blokker i regionene til RIPE NCC, ARIN og APNIC. For adresserom leid fra oss legger vi AWS-sertifikatet ditt inn i registeroppføringen og oppretter ROA-en for AWS' ASN-er, så klargjøringen er det eneste steget som gjenstår for deg (lei IPv4). Trenger du færre enn 256 adresser på en EC2-instans, kan vi levere dem over en tunnel i stedet (GRE- og WireGuard-tunneler). Hvordan timeprisen for IPv4 summerer seg, og når det lønner seg å ta med egne: den reelle kostnaden ved IPv4 i skyen. Andre leverandører: BYOIP-guider.