BYOIP la UpCloud: propriile adrese IP într-un Private Cloud

Pentru Cloud Servers din zonele publice ale UpCloud, calea de a vă folosi propriul bloc este un tunel, pe care acest ghid îl acoperă și el.

Ce acceptă UpCloud

Din documentația UpCloud, în ziua în care am verificat:

• Doar Private Cloud. Private Cloud vă rulează Cloud Servers pe hosturi dedicate. UpCloud spune că „offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).” (traducere: „oferă posibilitatea unor blocuri IP publice dedicate și este posibilă folosirea propriilor blocuri IP (BYOIP).”)
• Prin vânzări. FAQ-ul său de rețea întreabă „Can I bring my own IPs or IP range?” și răspunde: „Yes, you can do this in our Private Cloud. Contact our sales team for more information.” (traducere: „Pot aduce propriile IP-uri sau propria plajă IP?” „Da, puteți face asta în Private Cloud. Contactați echipa noastră de vânzări pentru mai multe informații.”) UpCloud nu documentează niciun pas în consolă, API sau CLI pentru asta.
• Unde. Un Private Cloud se află într-o zonă publică părinte, una dintre cele 15 locații ale UpCloud.
• Condiții. Pagina Private Cloud răspunde la „Can I bring my own IPs?” cu: „Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.” (traducere: „Pot aduce propriile IP-uri?” „Da. UpCloud acceptă Bring Your Own IP (BYOIP). Prefixele dvs. pot fi anunțate prin BGP (sub rezerva validării și a LOA). Disponibilitatea și cerințele de mărime a prefixului depind de regiunea țintă.”)
• Nepublicat. Ce registre acceptă UpCloud, ASN-ul de origine, un preț pentru BYOIP propriu-zis și termenul.
• Prețul Private Cloud. Configurațiile pornesc de la 3.190 € pe lună, pe ofertă pentru fiecare client.
• Zonele publice folosesc adresele UpCloud. Un Cloud Server primește implicit o adresă IPv4 și una IPv6 și poate avea până la cinci adrese IPv4 publice. Adresele IPv4 suplimentare se facturează pe oră.
• Floating IP-urile sunt tot ale UpCloud. Sunt adrese IPv4 pe care contul dvs. le rezervă, facturate per adresă, și se mută între Cloud Servers din același datacenter. Nu sunt disponibile pentru IPv6.

Înainte să începeți

UpCloud numește două cerințe, validarea și o Letter of Authorization, și lasă restul pentru discuția cu vânzările. Pregătiți ce cere orice furnizor care anunță spațiul clienților și confirmați fiecare punct:

1. Un /24 sau mai mare. UpCloud spune că cerințele de mărime a prefixului depind de regiune, iar rețelele filtrează orice este mai mic decât un /24.
2. Înregistrarea din registru. Știți ce registru deține blocul (ARIN, RIPE NCC sau APNIC, de exemplu) și ce organizație numește înregistrarea.
3. Un ROA pentru ASN-ul care anunță, al UpCloud sau al dvs., cu lungimea maximă setată la ce se anunță (RPKI și ROA). Creați-l după ce UpCloud numește ASN-ul.
4. Un obiect route cu același ASN ca origine.
5. O Letter of Authorization, pe care o cere UpCloud, semnată de deținătorul blocului și care numește UpCloud ca rețeaua ce îl va purta.

Varianta tunelului

Pentru Cloud Servers din zonele publice sau cât timp durează discuția despre Private Cloud, un tunel vă pune blocul pe server fără ca UpCloud să schimbe ceva. O rețea care poate anunța blocul îl anunță, iar un tunel GRE sau WireGuard îi duce traficul la serverul dvs. și înapoi (cum funcționează tunelul).

Serverul își păstrează adresa IPv4 alocată de UpCloud. Acea adresă este capătul exterior al tunelului: partea cealaltă îi trimite pachete încapsulate, iar rețeaua UpCloud vede trafic obișnuit între două adrese publice. Blocul închiriat circulă în interiorul tunelului. Îi configurați adresele pe interfața tunelului sau pe loopback, iar serverul răspunde pe ele ca și cum ar fi locale.

• Răspunsurile se întorc prin tunel. Adăugați o rută de politică astfel încât traficul din bloc să iasă prin tunel. Trimis direct, ar purta o adresă sursă pe care UpCloud nu a alocat-o niciodată serverului, iar rețelele filtrează un asemenea trafic.
• Deschideți firewallul UpCloud în ambele sensuri. Dacă îl folosiți, rețineți că este stateless: regulile trebuie să permită explicit traficul de intrare și de ieșire. Regulile sale potrivesc TCP, UDP sau ICMP. Pentru GRE, care este protocolul IP 47, lăsați protocolul pe All și limitați regula la adresa capătului celălalt. Pentru WireGuard, permiteți-i portul UDP.
• Setați MTU-ul. 1.476 de octeți pentru GRE, în jur de 1.420 pentru WireGuard, cu MSS clamping dacă serverul rutează blocul mai departe către mașini virtuale.
• Orice mărime. Un tunel livrează mai puțin de 256 de adrese, până la una singură, lucru pe care BYOIP nu îl face niciodată.

Capcane

• Relocalizarea se oprește la adresele deținute de client. Funcția Relocate Server a UpCloud mută un server între zonele Public și Private Cloud din același datacenter, cu o limitare de rețea: „The server cannot have IP addresses from a dedicated, customer-owned IP network.” (traducere: „Serverul nu poate avea adrese IP dintr-o rețea IP dedicată, deținută de client.”) Planificați unde stă blocul dvs. înainte de migrare.
• Perioada de probă gratuită blochează porturi. În timpul perioadei de probă gratuite a UpCloud, unele porturi sunt blocate, iar rețeaua merge la 100 Mbit/s. După prima plată, toate porturile în afară de 25 sunt deschise, așa că testați un tunel după aceea.

Dacă închiriați blocul

UpCloud nu publică nimic despre spațiul închiriat sau despre numele pe care trebuie să îl poarte înregistrarea din registru, așa că întrebați echipa de vânzări UpCloud când o contactați. Pentru BYOIP în Private Cloud, deținătorul face partea de registru: ROA-ul pentru ASN-ul pe care îl numește UpCloud, obiectul route și Letter of Authorization pe care o cere UpCloud. Cu un tunel, la UpCloud nu se schimbă nimic: rețeaua de la celălalt capăt anunță blocul, iar deținătorul trebuie doar să autorizeze acea rețea.

Unde se încadrează RTM Networks

Închiriem /24 și mai mari din propriul spațiu de adrese RIPE NCC și vindem blocuri în regiunile RIPE NCC, ARIN și APNIC. Fiecare închiriere include ROA-ul, obiectul route, înregistrările PTR și o Letter of Authorization ori de câte ori aveți nevoie de una (închiriere IPv4). Pentru un Private Cloud, creăm ROA-ul pentru ASN-ul pe care îl numește UpCloud și semnăm Letter of Authorization și sponsorizăm numere AS pentru organizațiile care nu au propriul LIR (sponsorizare PI și ASN). Pentru Cloud Servers din zonele publice, anunțăm noi înșine blocul și îl livrăm prin GRE sau WireGuard, în orice mărime, până la o singură adresă (tuneluri GRE și WireGuard). Alți furnizori: ghiduri BYOIP.