BYOIP w Alibaba Cloud: własny /23 lub większy jako adresy Elastic IP

Kierujesz obiekt route dla swojego zakresu na ASN Alibaba Cloud i składasz zgłoszenie. Po zatwierdzeniu zgłoszenia Alibaba Cloud ogłasza zakres z regionu, który w nim wskazałeś.

Co przyjmuje Alibaba Cloud

Według dokumentacji Alibaba Cloud w dniu, w którym sprawdzaliśmy:

• Rozmiar. /23 lub większy: „Prefixes longer than /23, such as /24, are not supported.” (tłumaczenie: „Prefiksy dłuższe niż /23, np. /24, nie są obsługiwane.”) Tylko IPv4.
• Rejestr. Zakres „must be registered with a Regional Internet Registry (RIR)” (tłumaczenie: „musi być zarejestrowany w regionalnym rejestrze internetowym (RIR)”). Alibaba Cloud nie publikuje nic o statusie PA, PI ani legacy, ani o tym, na kogo zakres ma być zarejestrowany.
• Kto ogłasza. Alibaba Cloud, z AS45102. „You cannot use your own ASN.” (tłumaczenie: „Nie możesz użyć własnego ASN.”)
• Regiony. US (Silicon Valley), US (Virginia), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Japan (Tokyo), Indonesia (Jakarta), Germany (Frankfurt) i UK (London). Nie Chiny kontynentalne.
• Historia. Alibaba Cloud może zbadać zakres i odrzucić taki, który ma „adverse records and a history of malicious activity” (tłumaczenie: „negatywne wpisy i historię złośliwej aktywności”) (jak utrzymać czysty blok).
• Cena. „The BYOIP feature is free of charge.” (tłumaczenie: „Funkcja BYOIP jest bezpłatna.”) Opłata konfiguracyjna EIP za utrzymywanie adresu Elastic IP jest znoszona, a płacisz za przepustowość.
• Czas. Około miesiąca, „depending on the time it takes for Alibaba Cloud to apply for and advertise the IP addresses” (tłumaczenie: „zależnie od czasu, jakiego Alibaba Cloud potrzebuje na złożenie wniosku i ogłoszenie adresów IP”).

Zanim zaczniesz

Obiekt route ze źródłem AS45102. Alibaba Cloud prosi o ustawienie origin dla Twojego zakresu na AS45102 w rejestrze routingu, zgodnie z instrukcjami Twojego rejestru, i o sprawdzenie wyniku w RADb. W RIPE Database wygląda to tak; zakresy dokumentacyjne to same /24, więc prefiks jest tylko symbolem zastępczym:

route:    <your-prefix>/23
descr:    Example B.V.
origin:   AS45102
mnt-by:   EXAMPLE-MNT
source:   RIPE

Poprawne ROA. Alibaba Cloud czyni to Twoją odpowiedzialnością: jeśli ROA stanie się nieważne, sieci stosujące walidację źródła trasy (route origin validation) odrzucą trasę, a Alibaba Cloud może przestać ją ogłaszać. Jego strona nie opisuje ROA dokładnie. Trasa z AS45102 jest ważna tylko wtedy, gdy ROA wskazuje AS45102 dla prefiksu w ogłaszanej postaci, więc utwórz właśnie takie (RPKI i ROA).

Co musi zawierać zgłoszenie. Zakres, region i potwierdzenie, że źródłem jest teraz AS45102. „No other information is required at this time.” (tłumaczenie: „Na tym etapie żadne inne informacje nie są wymagane.”) Alibaba Cloud nie prosi o certyfikat, token ani Letter of Authorization.

Krok po kroku

1. Zaktualizuj rejestr routingu. Utwórz lub zmień obiekt route tak, aby jego źródłem był AS45102, a potem potwierdź to w RADb, np. poleceniem whois -h whois.radb.net <your-prefix>/23.
2. Utwórz ROA dla AS45102 w swoim rejestrze.
3. Złóż zgłoszenie z prośbą o BYOIP, podając zakres, region i potwierdzenie zmiany źródła. Jeśli chcesz ogłaszania przez BGP (Multi-ISP) Pro, napisz o tym w tym samym zgłoszeniu.
4. Poczekaj na ocenę. Przedstawiciel skontaktuje się z Tobą, jeśli potrzeba czegoś więcej, oraz „to discuss and finalize the terms” (tłumaczenie: „aby omówić i ustalić warunki”), więc dbaj o aktualne dane kontaktowe. Po zatwierdzeniu Alibaba Cloud ogłasza zakres z regionu z AS45102 i dodaje go do swojej listy ochrony bezpieczeństwa.
5. Przydziel EIP. W konsoli Elastic IP Address wybierz region i kliknij Apply for Specific EIP. Możesz też dodać zakres do puli adresów IP i przydzielać z niej. Funkcja puli jest domyślnie wyłączona, a włącza ją Twój opiekun klienta.
6. Sprawdź z zewnątrz. Walidator RIPEstat powinien uznać zakres za ważny dla AS45102:

curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=45102&prefix=<your-prefix>/23"

Pułapki

• /24 nie wystarczy. Dwa /24 się kwalifikują tylko wtedy, gdy są dwiema połówkami jednego /23, a obiekt route i ROA obejmują wtedy /23.
• Limit puli to pół /23. Domyślnie pule adresów IP mieszczą „a combined maximum of 256 IP addresses across all pools in the region” (tłumaczenie: „łącznie maksymalnie 256 adresów IP we wszystkich pulach w regionie”). Poproś opiekuna klienta o więcej, zanim dodasz cały zakres do pul.
• EIP stoi za NAT. Własne FAQ Alibaba Cloud mówi, że EIP nie jest natywnym publicznym IP: gdy instancja ECS go używa, jej ruch przechodzi przez NAT. Oprogramowanie, które musi widzieć swój publiczny adres na instancji, musi to uwzględnić.
• Tylko rozliczanie za przepustowość. EIP z Twojego zakresu działają w modelu pay-as-you-go według stałej przepustowości i mogą dołączać tylko do instancji Internet Shared Bandwidth rozliczanych tak samo.
• Wyjście też trwa miesiąc. Wycofanie zakresu trwa mniej więcej tyle, co jego wniesienie, więc planuj wyjście razem z wejściem.

Jeśli dzierżawisz blok

Alibaba Cloud nie publikuje żadnej zasady co do tego, na kogo zakres ma być zarejestrowany, i nie prosi o Letter of Authorization. To, czego potrzebuje, znajduje się w rejestrze, więc robi to posiadacz. Posiadacz tworzy obiekt route ze źródłem AS45102, do czego potrzebny jest jego maintainer, oraz ROA dla AS45102, utrzymywane jako ważne przez cały okres dzierżawy. Dopiero wtedy możesz potwierdzić zmianę źródła w zgłoszeniu. Dzierżawa musi też obejmować co najmniej /23.

Gdzie pasuje RTM Networks

Dzierżawimy /24 i większe z naszej własnej przestrzeni adresowej RIPE NCC, w tym /23, o który prosi Alibaba Cloud (dzierżawa IPv4), i sprzedajemy bloki w regionach RIPE NCC, ARIN i APNIC. Dla przestrzeni dzierżawionej od nas tworzymy obiekt route i ROA dla AS45102. Jeśli potrzebujesz mniej niż 512 adresów na instancji ECS, sami ogłaszamy blok i dostarczamy go przez GRE lub WireGuard, w dowolnym rozmiarze aż do jednego adresu (tunele GRE i WireGuard). Inni dostawcy: przewodniki BYOIP.