BYOIP na Alibaba Cloud: o seu próprio /23 ou maior como endereços Elastic IP

Aponta o objeto route do seu intervalo para o ASN da Alibaba Cloud e submete um ticket. Depois de o ticket ser aprovado, a Alibaba Cloud anuncia o intervalo a partir da região que nele indicou.

O que a Alibaba Cloud aceita

Segundo a documentação da Alibaba Cloud, no dia em que a consultámos:

• Tamanho. Um /23 ou maior: "Prefixes longer than /23, such as /24, are not supported." (tradução: «Prefixos mais longos do que /23, como /24, não são suportados.») Apenas IPv4.
• Registo. O intervalo "must be registered with a Regional Internet Registry (RIR)" (tradução: «tem de estar registado num Registo Regional da Internet (RIR)»). A Alibaba Cloud nada publica sobre o estatuto PA, PI ou legacy, nem sobre em nome de quem o intervalo tem de estar.
• Quem origina. A Alibaba Cloud, a partir de AS45102. "You cannot use your own ASN." (tradução: «Não pode usar o seu próprio ASN.»)
• Regiões. US (Silicon Valley), US (Virginia), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Japan (Tokyo), Indonesia (Jakarta), Germany (Frankfurt) e UK (London). Não a China continental.
• Historial. A Alibaba Cloud pode investigar um intervalo e rejeitar um com "adverse records and a history of malicious activity" (tradução: «registos negativos e um historial de atividade maliciosa») (manter um bloco limpo).
• Preço. "The BYOIP feature is free of charge." (tradução: «A funcionalidade BYOIP é gratuita.») A taxa de configuração do EIP, por deter um endereço Elastic IP, é dispensada, e paga a largura de banda.
• Prazo. Cerca de um mês, "depending on the time it takes for Alibaba Cloud to apply for and advertise the IP addresses" (tradução: «consoante o tempo que a Alibaba Cloud demorar a pedir e anunciar os endereços IP»).

Antes de começar

Um objeto route com origem AS45102. A Alibaba Cloud pede-lhe que defina a origin do seu intervalo como AS45102 no registo de encaminhamento, seguindo as instruções do seu registo, e que verifique o resultado no RADb. Na RIPE Database fica assim; os intervalos de documentação são todos /24, por isso o prefixo é um marcador:

route:    <your-prefix>/23
descr:    Example B.V.
origin:   AS45102
mnt-by:   EXAMPLE-MNT
source:   RIPE

Um ROA válido. A Alibaba Cloud faz disto responsabilidade sua: se o ROA se tornar inválido, as redes que fazem validação da origem das rotas descartam a rota, e a Alibaba Cloud pode deixar de a anunciar. A sua página não detalha o ROA. Uma rota a partir de AS45102 só é válida se um ROA indicar AS45102 para o prefixo tal como é anunciado, por isso crie esse (RPKI e ROA).

O que o ticket precisa. O intervalo, a região e a confirmação de que a origem passou a ser AS45102. "No other information is required at this time." (tradução: «Nenhuma outra informação é necessária neste momento.») A Alibaba Cloud não pede certificado, token nem Letter of Authorization.

Passo a passo

1. Atualize o registo de encaminhamento. Crie ou altere o objeto route para que a origem seja AS45102 e confirme-o no RADb, por exemplo com whois -h whois.radb.net <your-prefix>/23.
2. Crie o ROA para AS45102 no seu registo.
3. Submeta um ticket a pedir BYOIP, com o intervalo, a região e a confirmação da mudança de origem. Se quiser anúncio BGP (Multi-ISP) Pro, diga-o no mesmo ticket.
4. Aguarde a avaliação. Um representante contacta-o se for preciso mais, e "to discuss and finalize the terms" (tradução: «para discutir e fechar as condições»), por isso mantenha os seus contactos atualizados. Após a aprovação, a Alibaba Cloud anuncia o intervalo a partir da região com AS45102 e acrescenta-o à sua lista de proteção de segurança.
5. Atribua EIP. Na consola Elastic IP Address, selecione a região e clique em Apply for Specific EIP. Também pode acrescentar o intervalo a um IP address pool e atribuir a partir dele. A funcionalidade de pools está desativada por defeito, e o seu gestor de conta ativa-a.
6. Verifique do exterior. O validador do RIPEstat deve considerar o intervalo válido para AS45102:

curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=45102&prefix=<your-prefix>/23"

Armadilhas

• Um /24 não chega. Dois /24 só servem se forem as duas metades de um /23, e o objeto route e o ROA cobrem então o /23.
• A quota dos pools é meio /23. Por defeito, os IP address pools contêm "a combined maximum of 256 IP addresses across all pools in the region" (tradução: «um máximo combinado de 256 endereços IP em todos os pools da região»). Peça mais ao seu gestor de conta antes de acrescentar o intervalo inteiro a pools.
• Um EIP fica atrás de NAT. As próprias FAQ da Alibaba Cloud dizem que um EIP não é um IP público nativo: quando uma instância ECS usa um, o seu tráfego passa por NAT. O software que precise de ver o seu endereço público na instância tem de contar com isso.
• Apenas faturação por largura de banda. Os EIP do seu intervalo são pay-as-you-go por largura de banda fixa, e só podem juntar-se a instâncias Internet Shared Bandwidth faturadas da mesma forma.
• Sair também demora um mês. Retirar um intervalo demora quase tanto como trazê-lo, por isso planeie a saída juntamente com a entrada.

Se alugar o bloco

A Alibaba Cloud não publica nenhuma regra sobre em nome de quem o intervalo tem de estar registado, e não pede nenhuma Letter of Authorization. O que precisa está no registo, por isso é o titular que o faz. O titular cria o objeto route com origem AS45102, o que exige o maintainer do titular, e o ROA para AS45102, mantido válido durante todo o aluguer. Só então pode confirmar a mudança de origem no seu ticket. O aluguer também tem de cobrir pelo menos um /23.

Onde entra a RTM Networks

Alugamos /24 e maiores a partir do nosso próprio espaço de endereçamento do RIPE NCC, incluindo o /23 que a Alibaba Cloud pede (alugar IPv4), e vendemos blocos nas regiões RIPE NCC, ARIN e APNIC. No espaço que lhe alugamos, criamos o objeto route e o ROA para AS45102. Se precisar de menos de 512 endereços numa instância ECS, anunciamos nós próprios um bloco e entregamo-lo por GRE ou WireGuard, em qualquer tamanho até um único endereço (túneis GRE e WireGuard). Outros fornecedores: guias BYOIP.