BYOIP hos Azure: ta med egne IPv4-adresser som custom IP prefix

Du beviser at rangen er din med en ROA som nevner Microsofts ASN og et sertifikat i WHOIS/RDAP-oppføringen, klargjør den og avleder public IP prefixes og adresser fra den.

Denne guiden følger den enhetlige modellen (unified), for en range brukt i én region, via Azure CLI. En range kan ikke bytte til den globale/regionale modellen, en forelder med regionale barn, uten å tas inn på nytt.

Hva Azure tar imot

Fra Microsofts dokumentasjon, den dagen vi sjekket:

• Størrelse. Et unified-prefiks «must be between /21 and /24» (oversettelse: «må være mellom /21 og /24»). En global forelder er også /21 til /24, med regionale barn på /22 til /26.
• Register og navn. Rangen «must be owned by you and registered under your name» (oversettelse: «må eies av deg og være registrert i ditt navn») hos et regionalt internettregister, blant dem ARIN, RIPE NCC og APNIC. Ingenting om PA-, PI- eller legacy-status.
• Hvem som er origin. Microsoft, under AS8075, eller AS8070 for US Gov Cloud. Microsofts BYOIP-sider dokumenterer ikke noe alternativ for ditt eget ASN. CLI-kommandoen i steg 1, az network custom-ip prefix create, oppgir riktignok en --asn-parameter, beskrevet bare som «The ASN for CIDR advertising» (oversettelse: «ASN-et for kunngjøring av CIDR»), så spør Microsoft før du regner med den.
• Regioner. Én region per prefiks, og fem prefikser per region som standard, flere på forespørsel.
• Pris. «There's no charge to provision or use custom IP prefixes» (oversettelse: «Det koster ingenting å klargjøre eller bruke custom IP prefixes»), heller ikke for public IP prefixes og adresser avledet fra dem. Trafikk faktureres etter prisene for utgående internettrafikk.
• Tid. Omtrent 30 minutter for å klargjøre og tre til fire timer for å sette i drift globalt.
• Begrensninger. Ingen Internet Routing Preference, Global Tier, ExpressRoute Microsoft peering eller Standard v2 public IPs. Reverse DNS kjøres fra dine egne soner i Azure DNS, Windows Server Activation kan ta opptil en uke, og en klargjort range kan ikke bytte abonnement.

Før du begynner

En ROA for AS8075, med prefikslengden nøyaktig slik Microsoft vil kunngjøre den og en utløpsdato som dekker tiden du vil ha den kunngjort (RPKI og ROA-er). Regn med minst 24 timer før Microsoft ser den. Microsoft anbefaler også en ROA for alle ASN-er som kunngjør rangen i dag.

Et nøkkelpar og et selvsignert sertifikat, laget med OpenSSL:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Sertifikatet i WHOIS/RDAP-oppføringen for prefikset, inkludert BEGIN- og END-markørene, uten mellomrom eller linjeskift:

En signert autorisasjonsmelding: abonnements-ID-en din, prefikset og ROA-ens utløpsdato, i den rekkefølgen:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft ber ikke om noe Letter of Authorization og ikke noe route-objekt.

Steg for steg

01Klargjør rangen, i en eksisterende ressursgruppe. I en region med tilgjengelighetssoner gjør du den soneredundant eller fester den til én sone:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Vent på Provisioned. commissionedState som az network custom-ip prefix show returnerer, går fra Provisioning til Provisioned. En tidlig ValidationFailed betyr at ROA-en, sertifikatet eller meldingen ikke stemte; feltet FailedReason sier hvilken.

03Avled adresser. Opprett et public IP prefix fra rangen, så Standard SKU-adresser fra det, og koble dem til VM-er eller lastbalanserere; de er ikke kunngjort ennå.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Sett i drift. Er rangen i bruk et annet sted, «could potentially create BGP routing instability or traffic loss» (oversettelse: «kan potensielt skape ustabil BGP-ruting eller trafikktap») to kunngjøringer samtidig. Sett den i drift innenfor regionen først (Commission, og så alternativet for bare regionen, i portalen, eller -NoInternetAdvertise i PowerShell), test, trekk tilbake den gamle kunngjøringen, og sett den så i drift globalt:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Rangen er delvis kunngjort mens den står som Commissioning, først fra regionen, så fra Microsofts nettverk under AS8075, til den er Commissioned.

Feil som koster en dag

• Sertifikatet i descr. For RIPE NCC sier Microsoft remarks, mens AWS leser descr og uttrykkelig ikke remarks, så en blokk som flyttes mellom de to skyene, krever at oppføringen endres.
• En dato som ikke stemmer. Datoen i den signerte meldingen er ROA-ens utløpsdato, som yyyymmdd; uten en slik sier Microsoft at du skal velge datoen du vil ha rangen kunngjort frem til.
• En ROA med feil lengde. Et avvik fra prefikset du klargjør, feiler som InvalidPrefixLengthInROA.
• Å gå ut i feil rekkefølge. Slett alle avledede public IP prefixes, og ta så rangen ut av drift (tre til fire timer) før du endrer eller sletter ROA-en. Ellers fortsetter Microsoft å kunngjøre en range den ikke lenger er autorisert til å kunngjøre.

Hvis du leier blokken

Microsofts regel er hindringen: rangen «must be owned by you and registered under your name» (oversettelse: «må eies av deg og være registrert i ditt navn»). En blokk registrert bare på utleieren oppfyller ikke det slik det er skrevet, og Microsoft sier ikke om en assignment til deg innenfor innehaverens allokering teller, så spør innehaveren og Microsoft før du signerer. Innehaveren oppretter så ROA-en for AS8075 og legger sertifikatet ditt inn i oppføringens remarks. Reverse DNS trenger også innehaveren: Azure leverer det bare fra en revers sone du hoster i Azure DNS, som innehaveren delegerer til deg. Det trengs ikke noe Letter of Authorization.

Hvor RTM Networks passer inn

Vi leier ut /24-er og større fra vårt eget RIPE NCC-adresserom, og selger blokker i regionene til RIPE NCC, ARIN og APNIC. For adresserom leid fra oss registrerer vi assignmenten til organisasjonen din, oppretter ROA-en for AS8075 og legger sertifikatet ditt inn i registeroppføringen (lei IPv4). Vil Microsoft ha mer enn en assignment i ditt navn, løser et kjøp av blokken det (kjøp IPv4). Driver du ikke din egen LIR, sponser vi PI- og legacy-adresserom og AS-numre (sponsing). For færre enn 256 adresser på en Azure-VM kunngjør vi en blokk og leverer den over WireGuard, siden Azure blokkerer GRE, i hvilken som helst størrelse ned til én enkelt adresse (WireGuard-tunneler). Andre leverandører: BYOIP-guider.