BYOIP w Oracle Cloud: własne adresy IPv4 w OCI

Importujesz blok, dowodzisz, że jesteś jego posiadaczem, tokenem w jego rekordzie rejestru i ROA dla ASN Oracle, i ogłaszasz go, kiedy jesteś gotowy.

Co przyjmuje Oracle Cloud

Według dokumentacji Oracle w dniu, w którym sprawdzaliśmy:

• Rozmiar. Bloki IPv4 „a minimum of /24 and a maximum of /8” (tłumaczenie: „co najmniej /24 i najwyżej /8”).
• Rejestr i status. Tylko te:

• Własność. „You must have ownership” (tłumaczenie: „musisz być właścicielem”) bloku zarejestrowanego w obsługiwanym rejestrze.
• Historia. Czysta: Oracle może odrzucić zakres zawierający adres związany ze złośliwą aktywnością (jak utrzymać czysty blok).
• Kto ogłasza. Oracle, z AS31898, z wyjątkiem Serbia Central (Jovanovac), gdzie używa AS14544. Własny ASN jest możliwy przez BYOASN.
• Gdzie. Jeden region Oracle na blok i jeden compartment naraz.
• Ile. Strona BYOIP Oracle pozwala na „up to 20 IPv4 CIDR blocks or IPv6 prefixes” (tłumaczenie: „do 20 bloków IPv4 CIDR lub prefiksów IPv6”) na Twoim koncie, a jego tabela limitów ustala ten limit na region.
• Jakie konta. Nie Free Tier, a klienci pay-as-you-go muszą o nie poprosić.
• Cena. Dokumentacja BYOIP Oracle nie podaje ceny.
• Czas. Do jednego dnia na zadziałanie zmian w rejestrze, potem do 10 dni roboczych.

Zanim zaczniesz

ROA dla ASN Oracle, AS31898 albo AS14544 w Serbia Central, z datą wygaśnięcia co najmniej sześć miesięcy w przyszłości (RPKI i ROA). Bez niego Oracle nie może ogłaszać bloku.

OCITOKEN w rekordzie rejestru. Konsola pokazuje go gotowego do wklejenia jako OCITOKEN::203.0.113.0/24:<validationToken>. Przez API lub CLI budujesz ten ciąg sam ze zwróconego tokenu. Gdzie trafia:

Bez Letter of Authorization i obiektu route. Oracle nie prosi o żadne z nich, a obiekt route w RADb tworzy sam, pod swoim ASN.

Krok po kroku

01Rozpocznij import. W wybranym regionie otwórz Networking, potem IP management, potem BYOIP, i wybierz Import BYOIP CIDR block/prefix z nazwą, compartmentem i blokiem. W OCI CLI:

oci network byoip-range create --compartment-id <compartment-ocid> \
  --cidr-block 203.0.113.0/24 --display-name byoip-203-0-113-0-24

02Dodaj token do rekordu rejestru, jak w tabeli powyżej. Zadziałanie może trwać do jednego dnia.

03Utwórz ROA dla AS31898 w swoim rejestrze.

04Zakończ import, gdy oba są widoczne, przyciskiem Finish Import na stronie szczegółów prośby albo:

oci network byoip-range validate --byoip-range-id <byoip-range-ocid>

Licz się z czasem do 10 dni roboczych. Postęp pokazuje work request.

05Wypełnij public IP pool. Dodaj blok do puli (Manage BYOIP CIDR block, potem Add to public IP pool) i zarezerwuj z niej adresy. Pula przyjmuje zakresy od /28 do /24, więc /24 trafia do niej w całości, a większy blok jako /24 lub mniejsze podzakresy:

oci network public-ip-pool create --compartment-id <compartment-ocid> --display-name pool-203-0-113-0-24
oci network public-ip-pool add --public-ip-pool-id <pool-ocid> \
  --byoip-range-id <byoip-range-ocid> --cidr-block 203.0.113.0/24
oci network public-ip create --compartment-id <compartment-ocid> \
  --lifetime RESERVED --public-ip-pool-id <pool-ocid>

06Ogłoś. Blok musi być najpierw udostępniony. Wybierz Advertise na stronie jego szczegółów albo:

oci network byoip-range advertise --byoip-range-id <byoip-range-ocid>

Strona Oracle nie mówi nic o tym, że ten sam blok jest jednocześnie ogłaszany gdzie indziej, więc zaplanuj przełączenie tak, aby ogłaszała go tylko jedna sieć.

Twój własny ASN

Z bring your own ASN (BYOASN) Oracle ogłasza blok z Twoim ASN jako źródłem i swoim za nim jako ASN tranzytowym. Importujesz ASN z tokenem w rekordzie rejestru ASN, co trwa do 10 dni roboczych, tworzysz ROA zarówno dla swojego ASN, jak i dla ASN Oracle, i wybierasz Update Origin ASN dla bloku, z maksymalnie 20 prependami, jeśli ich chcesz. Oracle utrzymuje obiekt route w RADb pod swoim ASN i dodaje Twój do AS-SET, więc jeśli jakaś sieć filtruje ściśle, zaktualizuj RADb z Twoim ASN jako źródłem. Oracle ostrzega, że niektóre sieci potrzebują do 24 godzin na przyjęcie zmiany.

Błędy, które kosztują dzień

• Zbyt wczesne zakończenie importu. Wybranie Finish Import, zanim token i ROA zaczną działać, może opóźnić proces nawet o dzień.
• Token w rekordzie organizacji. Oracle mówi to wprost: token trafia do rekordu zakresu adresów, a nie do rekordu organizacji, która jest jego posiadaczem.
• Status, którego Oracle nie wymienia. ASSIGNED PA w RIPE NCC i reassignments w ARIN nie ma na liście. Sprawdź rekord, zanim wydzierżawisz lub kupisz.
• Wycofanie to nie wyjście. Wycofany blok zachowuje swoje wpisy w geolokalizacji Oracle i rekordach RADb, dopóki nie usuniesz także zakresu BYOIP. Usunięty zakres wymaga całego importu od nowa.

Jeśli dzierżawisz blok

Oracle podaje, że musisz być właścicielem bloku zarejestrowanego w obsługiwanym rejestrze, i nie publikuje nic konkretnego o dzierżawionej przestrzeni. Stronę rejestrową robi posiadacz: OCITOKEN w rekordzie zakresu, który może edytować tylko maintainer posiadacza, i ROA dla ASN Oracle, plus drugie dla Twojego ASN, jeśli korzystasz z BYOASN. Zanim podpiszesz, sprawdź status rekordu, do którego trafia token: dzierżawiona przestrzeń w regionie RIPE NCC jest zwykle zarejestrowana jako ASSIGNED PA, którego nie ma na liście Oracle. Oracle nie prosi o Letter of Authorization.

Gdzie pasuje RTM Networks

Dzierżawimy /24 i większe z naszej własnej przestrzeni adresowej RIPE NCC i sprzedajemy bloki w regionach RIPE NCC, ARIN i APNIC. Ponieważ Oracle nie wymienia ASSIGNED PA, blok dla OCI zwykle lepiej kupić niż wydzierżawić: przeniesiony na Twoje własne konto LIR jest rejestrowany jako ALLOCATED PA, który Oracle wymienia (zakup IPv4). Dla sponsorowanej przez nas przestrzeni PI lub legacy dodajemy OCITOKEN i tworzymy ROA dla ASN Oracle, a także sponsorujemy numer AS potrzebny do BYOASN (sponsoring). Przy mniej niż 256 adresach na instancji OCI sami ogłaszamy blok i dostarczamy go przez GRE lub WireGuard, w dowolnym rozmiarze aż do jednego adresu (tunele GRE i WireGuard). Inni dostawcy: przewodniki BYOIP.