BYOIP hos UpCloud: egne IP-adresser i en Private Cloud

For Cloud Servers i UpClouds offentlige soner er veien til egne adresser en tunnel, som denne guiden også dekker.

Hva UpCloud tar imot

Fra UpClouds dokumentasjon, den dagen vi sjekket:

• Bare Private Cloud. Private Cloud kjører Cloud Servers på dedikerte verter. UpCloud sier at den «offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).» (oversettelse: «gir mulighet for dedikerte offentlige IP-blokker, og det er mulig å bruke dine egne IP-blokker (BYOIP).»)
• Via salg. Nettverks-FAQ-en spør «Can I bring my own IPs or IP range?» og svarer: «Yes, you can do this in our Private Cloud. Contact our sales team for more information.» (oversettelse: «Kan jeg ta med egne IP-er eller IP-range?» «Ja, det kan du gjøre i vår Private Cloud. Kontakt salgsteamet vårt for mer informasjon.») UpCloud dokumenterer ingen steg i konsoll, API eller CLI for det.
• Hvor. En Private Cloud ligger inne i en offentlig foreldresone, en av UpClouds 15 lokasjoner.
• Vilkår. Siden for Private Cloud svarer på «Can I bring my own IPs?» med: «Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.» (oversettelse: «Kan jeg ta med egne IP-er?» «Ja. UpCloud støtter Bring Your Own IP (BYOIP). Prefiksene dine kan kunngjøres via BGP (med forbehold om validering og LOA). Tilgjengelighet og krav til prefiksstørrelse avhenger av målregionen.»)
• Ikke publisert. Hvilke registre UpCloud godtar, origin-ASN, en pris for selve BYOIP og leveringstiden.
• Pris for Private Cloud. Konfigurasjoner starter på 3 190 € per måned, etter tilbud for hver kunde.
• Offentlige soner bruker UpClouds adresser. En Cloud Server får én IPv4- og én IPv6-adresse som standard og kan ha opptil fem offentlige IPv4-adresser. Ekstra IPv4-adresser faktureres per time.
• Floating IPs er også UpClouds. De er IPv4-adresser som kontoen din reserverer, fakturert per adresse, og de flyttes mellom Cloud Servers i samme datasenter. De er ikke tilgjengelige for IPv6.

Før du begynner

UpCloud nevner to krav, validering og en Letter of Authorization, og overlater resten til samtalen med salg. Forbered det alle leverandører som kunngjør kunders adresserom, ber om, og bekreft hvert punkt:

1. En /24 eller større. UpCloud sier at kravene til prefiksstørrelse avhenger av regionen, og nettverk filtrerer alt mindre enn en /24.
2. Registeroppføringen. Vit hvilket register som har blokken (for eksempel ARIN, RIPE NCC eller APNIC) og hvilken organisasjon oppføringen nevner.
3. En ROA for ASN-et som kunngjør, UpClouds eller ditt, med maksimal lengde satt til det som kunngjøres (RPKI og ROA-er). Opprett den når UpCloud har oppgitt ASN-et.
4. Et route-objekt med samme ASN som origin.
5. En Letter of Authorization, som UpCloud ber om, signert av innehaveren av blokken og med UpCloud nevnt som nettverket som skal føre den.

Tunnelveien

For Cloud Servers i de offentlige sonene, eller mens samtalen om Private Cloud pågår, setter en tunnel blokken din på serveren uten at UpCloud endrer noe. Et nettverk som kan kunngjøre blokken, gjør det, og en GRE- eller WireGuard-tunnel fører trafikken til serveren din og tilbake (slik virker tunnelen).

Serveren beholder IPv4-adressen UpCloud har tildelt den. Den adressen er tunnelens ytre ende: den andre siden sender innkapslede pakker til den, og UpClouds nettverk ser vanlig trafikk mellom to offentlige adresser. Den leide blokken går inne i tunnelen. Du konfigurerer adressene på tunnel- eller loopback-grensesnittet, og serveren svarer på dem som om de var lokale.

• Svarene går tilbake gjennom tunnelen. Legg til en policy-rute slik at trafikk fra blokken går ut gjennom tunnelen. Sendt rett ut ville den bære en avsenderadresse UpCloud aldri har tildelt serveren, og nettverk filtrerer slik trafikk.
• Åpne UpClouds brannmur begge veier. Bruker du den, merk at den er tilstandsløs: reglene må tillate innkommende og utgående trafikk eksplisitt. Reglene treffer TCP, UDP eller ICMP. For GRE, som er IP-protokoll 47, lar du protokollen stå på All og begrenser regelen til den andre endens adresse. For WireGuard tillater du UDP-porten.
• Sett MTU. 1 476 byte for GRE, rundt 1 420 for WireGuard, med MSS clamping hvis serveren ruter blokken videre til virtuelle maskiner.
• Hvilken som helst størrelse. En tunnel leverer færre enn 256 adresser, ned til én enkelt, noe BYOIP aldri gjør.

Fallgruver

• Flytting stopper ved kundeeide adresser. UpClouds funksjon Relocate Server flytter en server mellom Public og Private Cloud-soner i samme datasenter, med én nettverksbegrensning: «The server cannot have IP addresses from a dedicated, customer-owned IP network.» (oversettelse: «Serveren kan ikke ha IP-adresser fra et dedikert, kundeeid IP-nettverk.») Planlegg hvor blokken din skal ligge før du migrerer.
• Gratis prøveperiode blokkerer porter. I UpClouds gratis prøveperiode er noen porter blokkert og nettverket kjører på 100 Mbit/s. Etter første betaling er alle porter unntatt 25 åpne, så test en tunnel etter det.

Hvis du leier blokken

UpCloud publiserer ingenting om leid adresserom eller hvem registeroppføringen må stå på, så spør salgsteamet til UpCloud om det når du tar kontakt. For BYOIP i Private Cloud gjør innehaveren registerdelen: ROA-en for ASN-et UpCloud nevner, route-objektet og Letter of Authorization som UpCloud ber om. Med en tunnel endres ingenting hos UpCloud: nettverket i den andre enden kunngjør blokken, og innehaveren trenger bare å autorisere det nettverket.

Hvor RTM Networks passer inn

Vi leier ut /24-er og større fra vårt eget RIPE NCC-adresserom, og selger blokker i regionene til RIPE NCC, ARIN og APNIC. Hver leieavtale inkluderer ROA-en, route-objektet, PTR-oppføringer og en Letter of Authorization når du trenger en (lei IPv4). For en Private Cloud oppretter vi ROA-en for ASN-et UpCloud nevner og signerer Letter of Authorization, og vi sponser AS-numre for organisasjoner som ikke driver sin egen LIR (sponsing av ASN). For Cloud Servers i de offentlige sonene kunngjør vi blokken selv og leverer den over GRE eller WireGuard, i hvilken som helst størrelse ned til én enkelt adresse (GRE- og WireGuard-tunneler). Andre leverandører: BYOIP-guider.