BYOIP w UpCloud: własne adresy IP w Private Cloud

Dla Cloud Servers w publicznych strefach UpCloud sposobem na używanie własnego bloku jest tunel, który ten przewodnik też opisuje.

Co przyjmuje UpCloud

Według dokumentacji UpCloud w dniu, w którym sprawdzaliśmy:

• Tylko Private Cloud. Private Cloud uruchamia Twoje Cloud Servers na dedykowanych hostach. UpCloud podaje, że „offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).” (tłumaczenie: „oferuje możliwość dedykowanych publicznych bloków IP i można korzystać z własnych bloków IP (BYOIP).”)
• Przez dział sprzedaży. Jego FAQ o sieciach pyta „Can I bring my own IPs or IP range?” i odpowiada: „Yes, you can do this in our Private Cloud. Contact our sales team for more information.” (tłumaczenie: „Czy mogę wnieść własne IP lub zakres IP?”, „Tak, możesz to zrobić w naszym Private Cloud. Skontaktuj się z naszym działem sprzedaży, aby dowiedzieć się więcej.”) UpCloud nie opisuje do tego kroków w konsoli, API ani CLI.
• Gdzie. Private Cloud znajduje się w nadrzędnej strefie publicznej, w jednej z 15 lokalizacji UpCloud.
• Warunki. Strona Private Cloud odpowiada na „Can I bring my own IPs?”: „Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.” (tłumaczenie: „Czy mogę wnieść własne IP?”, „Tak. UpCloud obsługuje Bring Your Own IP (BYOIP). Twoje prefiksy mogą być ogłaszane przez BGP (pod warunkiem walidacji i LOA). Dostępność i wymagania co do rozmiaru prefiksu zależą od docelowego regionu.”)
• Nieopublikowane. Jakie rejestry UpCloud przyjmuje, źródłowy ASN, cena samego BYOIP i czas realizacji.
• Cena Private Cloud. Konfiguracje zaczynają się od 3190 € miesięcznie, na indywidualną wycenę dla każdego klienta.
• Strefy publiczne używają adresów UpCloud. Cloud Server dostaje domyślnie jeden adres IPv4 i jeden IPv6 i może mieć do pięciu publicznych adresów IPv4. Dodatkowe adresy IPv4 są rozliczane godzinowo.
• Floating IPs też należą do UpCloud. To adresy IPv4 rezerwowane przez Twoje konto, rozliczane za adres, które można przenosić między Cloud Servers w tym samym centrum danych. Nie są dostępne dla IPv6.

Zanim zaczniesz

UpCloud wymienia dwa wymagania, walidację i Letter of Authorization, a resztę zostawia rozmowie z działem sprzedaży. Przygotuj to, o co prosi każdy dostawca ogłaszający przestrzeń klientów, i potwierdź każdy punkt:

1. /24 lub większy. UpCloud podaje, że wymagania co do rozmiaru prefiksu zależą od regionu, a sieci filtrują wszystko mniejsze niż /24.
2. Rekord rejestru. Wiedz, w którym rejestrze jest blok (np. ARIN, RIPE NCC lub APNIC) i jaką organizację wskazuje rekord.
3. ROA dla ogłaszającego ASN, UpCloud lub Twojego, z maksymalną długością ustawioną na to, co jest ogłaszane (RPKI i ROA). Utwórz je, gdy UpCloud poda ASN.
4. Obiekt route z tym samym ASN jako źródłem.
5. Letter of Authorization, o który prosi UpCloud, podpisany przez posiadacza bloku i wskazujący UpCloud jako sieć, która będzie go przenosić.

Droga przez tunel

Dla Cloud Servers w strefach publicznych albo w czasie rozmów o Private Cloud tunel umieszcza Twój blok na serwerze bez żadnych zmian po stronie UpCloud. Sieć, która może ogłosić blok, ogłasza go, a tunel GRE lub WireGuard przenosi jego ruch do Twojego serwera i z powrotem (jak działa tunel).

Serwer zachowuje adres IPv4 przydzielony mu przez UpCloud. Ten adres jest zewnętrznym końcem tunelu: druga strona wysyła do niego enkapsulowane pakiety, a sieć UpCloud widzi zwykły ruch między dwoma adresami publicznymi. Dzierżawiony blok podróżuje wewnątrz tunelu. Konfigurujesz jego adresy na interfejsie tunelu lub loopback, a serwer odpowiada na nich, jakby były lokalne.

• Odpowiedzi wracają przez tunel. Dodaj regułę routingu (policy route), aby ruch z bloku wychodził przez tunel. Wysłany prosto niósłby adres źródłowy, którego UpCloud nigdy nie przydzielił serwerowi, a sieci taki ruch filtrują.
• Otwórz zaporę UpCloud w obu kierunkach. Jeśli jej używasz, pamiętaj, że jest bezstanowa: reguły muszą jawnie zezwalać na ruch przychodzący i wychodzący. Jej reguły dopasowują TCP, UDP lub ICMP. Dla GRE, czyli protokołu IP 47, zostaw protokół na All i ogranicz regułę do adresu drugiego końca. Dla WireGuard zezwól na jego port UDP.
• Ustaw MTU. 1476 bajtów dla GRE, około 1420 dla WireGuard, z MSS clamping, jeśli serwer routuje blok dalej do maszyn wirtualnych.
• Dowolny rozmiar. Tunel dostarcza mniej niż 256 adresów, aż do jednego, czego BYOIP nigdy nie robi.

Pułapki

• Przenoszenie zatrzymuje się na adresach należących do klienta. Funkcja Relocate Server w UpCloud przenosi serwer między strefami Public Cloud i Private Cloud w tym samym centrum danych, z jednym ograniczeniem sieciowym: „The server cannot have IP addresses from a dedicated, customer-owned IP network.” (tłumaczenie: „Serwer nie może mieć adresów IP z dedykowanej sieci IP należącej do klienta.”) Zaplanuj, gdzie będzie Twój blok, zanim zaczniesz migrację.
• Bezpłatny okres próbny blokuje porty. W czasie bezpłatnego okresu próbnego UpCloud część portów jest zablokowana, a sieć działa z prędkością 100 Mbit/s. Po pierwszej płatności otwarty jest każdy port poza 25, więc testuj tunel dopiero potem.

Jeśli dzierżawisz blok

UpCloud nie publikuje nic o dzierżawionej przestrzeni ani o tym, na kogo musi być wystawiony rekord rejestru, więc zapytaj o to dział sprzedaży UpCloud, kontaktując się z nim. Przy BYOIP w Private Cloud stronę rejestrową robi posiadacz: ROA dla ASN wskazanego przez UpCloud, obiekt route i Letter of Authorization, o który prosi UpCloud. Przy tunelu w UpCloud nic się nie zmienia: blok ogłasza sieć na drugim końcu, a posiadacz musi tylko upoważnić tę sieć.

Gdzie pasuje RTM Networks

Dzierżawimy /24 i większe z naszej własnej przestrzeni adresowej RIPE NCC i sprzedajemy bloki w regionach RIPE NCC, ARIN i APNIC. Każda dzierżawa obejmuje ROA, obiekt route, rekordy PTR i Letter of Authorization, gdy tylko go potrzebujesz (dzierżawa IPv4). Dla Private Cloud tworzymy ROA dla ASN wskazanego przez UpCloud i podpisujemy Letter of Authorization, a także sponsorujemy numery AS dla organizacji, które nie prowadzą własnego LIR (sponsoring ASN). Dla Cloud Servers w strefach publicznych sami ogłaszamy blok i dostarczamy go przez GRE lub WireGuard, w dowolnym rozmiarze aż do jednego adresu (tunele GRE i WireGuard). Inni dostawcy: przewodniki BYOIP.