BYOIP hos Google Cloud: ta med egne IPv4-adresser til Compute Engine

Du beviser kontroll over blokken med en ROA som nevner Googles ASN og en PTR-oppføring som bærer et navn Google gir deg, deler så ut delegerte prefikser fra den og oppretter statiske eksterne adresser fra dem.

Denne guiden dekker IPv4 i konfigurasjonen Google anbefaler, et regionalt (v2) prefiks på Premium Tier, via gcloud CLI. Globale adresser for globale lastbalanserere bruker den eldre v1-konfigurasjonen, og prosjektet ditt må først stå på en tillatelsesliste.

Hva Google Cloud tar imot

Fra Google Clouds dokumentasjon, den dagen vi sjekket:

• Størrelse. Et public advertised prefix på «/16 to /24» (oversettelse: «/16 til /24») på Premium Tier, standardvalget, eller «/16 to /23» (oversettelse: «/16 til /23») på Standard Tier, som er i Preview. Du kan dele det ned til blokker på /28.
• Register. Google lenker til ROA-instruksjoner for hvert regionale register, blant dem ARIN, RIPE NCC og APNIC. Selskapet publiserer ingenting om PA-, PI- eller legacy-status, eller om hvem blokken må stå registrert på.
• Hvem som er origin. Google, fra AS396982 på Premium Tier eller AS19527 på Standard Tier. Det dokumenteres ikke noe alternativ for å kunngjøre fra ditt eget ASN.
• Ingen overlapp. «Google does not support overlapping BYOIP route announcements» (oversettelse: «Google Cloud støtter ikke overlappende kunngjøringer av BYOIP-ruter»): verken prefikset eller noen del av det kan kunngjøres andre steder mens Google kunngjør det.
• Regioner. Hvert delegerte prefiks betjener én region, eller det globale omfanget. Googles BYOIP-sider nevner ingen utelukkede regioner.
• Pris. «There are no charges for idle or in-use IP addresses.» (oversettelse: «Det tas ingen betaling for ledige IP-adresser eller IP-adresser i bruk.»)
• Tid. «Approximately 2 weeks» (oversettelse: «omtrent 2 uker») for et v2-prefiks etter valideringen, «approximately 4 weeks» (oversettelse: «omtrent 4 uker») for v1 og globale. Klargjøringen «cannot be accelerated» (oversettelse: «kan ikke fremskyndes»).
• Ressurser. De fleste som tar en statisk ekstern adresse, men ikke GKE-noder og Pods eller den eksterne adressen til en Cloud VPN-gateway. Adresser kan ikke flyttes mellom prosjekter.

Før du begynner

En ROA for Googles ASN. På Premium Tier nevner den prefikset, nøyaktig lengde og AS396982. På Standard Tier nevner den AS19527, enten i én ROA for hvert prefiks du skal klargjøre, som Google anbefaler, eller i én ROA med maksimal lengde /24 (RPKI og ROA-er).

En ROA til for ditt eget ASN. Google anbefaler en med de samme detaljene og ditt ASN som origin, slik at nettverk som gjør route origin validation, ikke behandler prefikset som ugyldig hvis du noen gang kunngjør det selv.

Kontroll over reverse DNS. Google sjekker eierskap med en PTR-oppføring, ikke med en token i registeroppføringen. Du velger en ubrukt adresse i prefikset, Google returnerer et navn (den delte hemmeligheten), og du publiserer en PTR-oppføring for den adressen som peker til det navnet under domenet ditt.

Ingenting annet fra registeret. Google ber ikke om sertifikat, Letter of Authorization eller route-objekt. På Googles side trenger du rollen Compute Public IP Admin (roles/compute.publicIpAdmin) på prosjektet.

Steg for steg

01Opprett public advertised prefix, med adressen du skal bruke til DNS-valideringen:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

For Standard Tier bruker du gcloud beta og legger til --network-tier=STANDARD.

02Publiser PTR-oppføringen. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' gir navnet. Er det 55kk88tt00 og domenet ditt example.net, må dig +short -x 203.0.113.144 returnere 55kk88tt00.example.net.

03Start valideringen:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Statusen blir VALIDATED, eller REVERSE_DNS_LOOKUP_FAILED hvis Google ikke finner posten. Klargjøringen er ferdig når describe med --format='value(status)' viser PREFIX_CONFIGURATION_COMPLETE.

04Deleger en blokk til en region. Dette kan gjøres mens du venter:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Opprett adresser. Regionale offentlige delegerte prefikser opprettet etter 13. desember 2025 tillater enkeltadresser:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Eldre prefikser og globale adresser tar hele blokker, via delegated-sub-prefixes create --create-addresses. Koble adressene til VM-er eller forwarding rules. De er ikke nåbare ennå.

06Kunngjør. Sørg for at ingen andre nettverk kunngjør blokken. Kunngjør først det delegerte prefikset, som Google fører inne i sitt eget nettverk, og så public advertised prefix, som går ut på internett fra alle Googles tilknytningspunkter:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Utenfra skal RIPEstats validator kalle prefikset gyldig for AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Feil som koster en dag

• To nettverk som kunngjør. Overlapp inkluderer en mer spesifikk rute: en /24 kunngjort et annet sted inne i en /23 du tar med, teller. Google advarer mot «unexpected routing and packet loss» (oversettelse: «uventet ruting og pakketap»).
• v1 kunngjør seg selv. Et globalt (v1) prefiks kunngjøres så snart det delegerte prefikset er klargjort. Google sier at du ikke skal opprette delegerte prefikser før ingen andre kunngjør blokken.
• En utløpt ROA. Utløper ROA-en og du ikke fornyer den innen fire uker etter Googles varsel om fornyelse, slutter Google å kunngjøre prefikset.
• Navn og regioner ligger fast. Å gi et prefiks nytt navn betyr å slette og opprette det på nytt, og å flytte et delegert prefiks til en annen region «can take approximately eight weeks» (oversettelse: «kan ta omtrent åtte uker»). Velg navn som pap-203-0-113-0-24 og deleger bare det du er sikker på.
• Å fjerne ROA-en for tidlig. Etter at du har slettet et public advertised prefix, vent 14 dager før du fjerner ROA-en for Googles ASN.

Hvis du leier blokken

Google publiserer ingen regel om hvem blokken må stå registrert på, og ber ikke om noe Letter of Authorization. De to sjekkene, ROA-en og PTR-oppføringen, ligger begge hos innehaveren av en leid blokk. Innehaveren oppretter ROA-en for AS396982 eller AS19527, og den for ditt ASN hvis du vil ha den. Innehaveren oppretter også PTR-oppføringen med Googles navn, eller delegerer blokkens reverse sone til navnetjenere du kontrollerer. Avtal at ROA-en fornyes så lenge Google kunngjør blokken, og beholdes i 14 dager etter at du går ut.

Hvor RTM Networks passer inn

Vi leier ut /24-er og større fra vårt eget RIPE NCC-adresserom, og selger blokker i regionene til RIPE NCC, ARIN og APNIC. For adresserom leid fra oss oppretter vi ROA-en for Googles ASN og PTR-oppføringen med Googles navn (lei IPv4). Trenger du færre enn 256 adresser på en Compute Engine-VM, kunngjør vi en blokk selv og leverer den over GRE eller WireGuard, i hvilken som helst størrelse ned til én enkelt adresse (GRE- og WireGuard-tunneler). Hvordan timeprisen for IPv4 summerer seg hos de store skyene: den reelle kostnaden ved IPv4 i skyen. Andre leverandører: BYOIP-guider.