BYOIP na UpCloud: os seus próprios endereços IP numa Private Cloud

Para Cloud Servers nas zonas públicas da UpCloud, a forma de usar o seu próprio bloco é um túnel, que este guia também cobre.

O que a UpCloud aceita

Segundo a documentação da UpCloud, no dia em que a consultámos:

• Apenas Private Cloud. A Private Cloud corre os seus Cloud Servers em hosts dedicados. A UpCloud diz que "offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP)." (tradução: «oferece a possibilidade de blocos IP públicos dedicados, e é possível utilizar os seus próprios blocos IP (BYOIP).»)
• Através de vendas. As suas FAQ de rede perguntam "Can I bring my own IPs or IP range?" (tradução: «Posso trazer os meus próprios IP ou intervalo IP?») e respondem: "Yes, you can do this in our Private Cloud. Contact our sales team for more information." (tradução: «Sim, pode fazê-lo na nossa Private Cloud. Contacte a nossa equipa de vendas para mais informações.») A UpCloud não documenta nenhum passo na consola, na API ou na CLI para isso.
• Onde. Uma Private Cloud fica dentro de uma zona pública mãe, um dos 15 locais da UpCloud.
• Condições. A página da Private Cloud responde a "Can I bring my own IPs?" (tradução: «Posso trazer os meus próprios IP?») com: "Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region." (tradução: «Sim. A UpCloud suporta Bring Your Own IP (BYOIP). Os seus prefixos podem ser anunciados por BGP (sujeito a validação e LOA). A disponibilidade e os requisitos de tamanho do prefixo dependem da região de destino.»)
• Não publicado. Que registos a UpCloud aceita, o ASN de origem, um preço para o BYOIP em si e o prazo.
• Preço da Private Cloud. As configurações começam nos 3190 € por mês, por orçamento para cada cliente.
• As zonas públicas usam endereços da UpCloud. Um Cloud Server recebe um endereço IPv4 e um IPv6 por defeito e pode ter até cinco endereços IPv4 públicos. Os endereços IPv4 adicionais são faturados à hora.
• Os floating IPs também são da UpCloud. São endereços IPv4 que a sua conta reserva, faturados por endereço, e passam entre Cloud Servers no mesmo datacenter. Não estão disponíveis para IPv6.

Antes de começar

A UpCloud indica dois requisitos, validação e uma Letter of Authorization, e deixa o resto para a conversa com as vendas. Prepare o que todos os fornecedores que anunciam espaço de clientes pedem, e confirme cada ponto:

1. Um /24 ou maior. A UpCloud diz que os requisitos de tamanho do prefixo dependem da região, e as redes filtram tudo o que seja mais pequeno do que um /24.
2. O registo. Saiba que registo detém o bloco (a ARIN, o RIPE NCC ou a APNIC, por exemplo) e que organização o registo indica.
3. Um ROA para o ASN que anuncia, o da UpCloud ou o seu, com o comprimento máximo igual ao que é anunciado (RPKI e ROA). Crie-o assim que a UpCloud indicar o ASN.
4. Um objeto route com o mesmo ASN como origem.
5. Uma Letter of Authorization, que a UpCloud pede, assinada pelo titular do bloco e que indique a UpCloud como a rede que o vai transportar.

O caminho do túnel

Para Cloud Servers nas zonas públicas, ou enquanto decorre a conversa sobre a Private Cloud, um túnel coloca o seu bloco no servidor sem que a UpCloud mude nada. Uma rede que possa anunciar o bloco anuncia-o, e um túnel GRE ou WireGuard leva o tráfego até ao seu servidor e de volta (como funciona o túnel).

O servidor mantém o endereço IPv4 que a UpCloud lhe atribuiu. Esse endereço é a ponta exterior do túnel: o outro lado envia-lhe pacotes encapsulados, e a rede da UpCloud vê tráfego normal entre dois endereços públicos. O bloco alugado viaja dentro do túnel. Configura os seus endereços na interface do túnel ou de loopback, e o servidor responde neles como se fossem locais.

• As respostas regressam pelo túnel. Acrescente uma rota de política para que o tráfego do bloco saia pelo túnel. Enviado diretamente, levaria um endereço de origem que a UpCloud nunca atribuiu ao servidor, e as redes filtram esse tráfego.
• Abra a firewall da UpCloud nos dois sentidos. Se a usar, tenha em conta que é stateless: as regras têm de permitir explicitamente o tráfego de entrada e de saída. As suas regras abrangem TCP, UDP ou ICMP. Para GRE, que é o protocolo IP 47, deixe o protocolo em All e limite a regra ao endereço da outra ponta. Para WireGuard, permita a sua porta UDP.
• Defina o MTU. 1476 bytes para GRE, cerca de 1420 para WireGuard, com MSS clamping se o servidor encaminhar o bloco para máquinas virtuais.
• Qualquer tamanho. Um túnel entrega menos de 256 endereços, até um único, o que o BYOIP nunca permite.

Armadilhas

• A mudança de local não funciona com endereços do cliente. A funcionalidade Relocate Server da UpCloud muda um servidor entre zonas Public e Private Cloud no mesmo datacenter, com uma limitação de rede: "The server cannot have IP addresses from a dedicated, customer-owned IP network." (tradução: «O servidor não pode ter endereços IP de uma rede IP dedicada pertencente ao cliente.») Planeie onde fica o seu bloco antes de migrar.
• O período de teste gratuito bloqueia portas. Durante o free trial da UpCloud, algumas portas estão bloqueadas e a rede funciona a 100 Mbit/s. Após o primeiro pagamento, todas as portas exceto a 25 ficam abertas, por isso teste um túnel depois disso.

Se alugar o bloco

A UpCloud nada publica sobre espaço alugado nem sobre em nome de quem o registo tem de estar, por isso pergunte à equipa de vendas da UpCloud quando a contactar. Para o BYOIP na Private Cloud, o titular trata do lado do registo: o ROA para o ASN que a UpCloud indicar, o objeto route, e a Letter of Authorization que a UpCloud pede. Com um túnel, nada muda na UpCloud: a rede do outro lado anuncia o bloco, e o titular só precisa de autorizar essa rede.

Onde entra a RTM Networks

Alugamos /24 e maiores a partir do nosso próprio espaço de endereçamento do RIPE NCC, e vendemos blocos nas regiões RIPE NCC, ARIN e APNIC. Cada aluguer inclui o ROA, o objeto route, os registos PTR e uma Letter of Authorization sempre que precisar (alugar IPv4). Para uma Private Cloud, criamos o ROA para o ASN que a UpCloud indicar e assinamos a Letter of Authorization, e patrocinamos números AS para organizações que não têm o seu próprio LIR (patrocínio de ASN). Para Cloud Servers nas zonas públicas, anunciamos nós próprios o bloco e entregamo-lo por GRE ou WireGuard, em qualquer tamanho até um único endereço (túneis GRE e WireGuard). Outros fornecedores: guias BYOIP.