BYOIP v AWS: vlastné adresy IPv4 v EC2

Kontrolu nad rozsahom preukážete certifikátom v jeho zázname v registri a ROA, ktorá uvádza ASN AWS, zriadite ho v poole adries a prideľujete z neho adresy Elastic IP rovnako ako z vlastných adries AWS. Za adresy, ktoré prinesiete, sa neúčtuje hodinový poplatok za verejné IPv4.

Tento sprievodca pokrýva EC2 cez AWS CLI. Ten istý rozsah môže ísť aj do AWS Global Accelerator, ktorý má vlastný postup, alebo cez VPC IP Address Manager (IPAM), ktorý pridáva spôsob preukázania kontroly cez DNS a možnosť oznamovať z vlastného ASN.

Čo AWS prijíma

Z dokumentácie AWS v deň, keď sme ju overovali:

• Veľkosť. Najšpecifickejší rozsah IPv4, ktorý môžete priniesť, je /24.
• Register. ARIN, RIPE NCC alebo APNIC, zaregistrovaný na firmu alebo inštitúciu, nikdy na osobu.
• História. AWS môže overiť reputáciu rozsahu a odmietnuť taký, ktorého adresy majú zlý záznam (ako udržať blok čistý).
• Legacy priestor sa prijíma, ale aj tak potrebuje ROA.
• Jeden región naraz pre každý rozsah a predvolene päť rozsahov na región; AWS Support to môže zvýšiť.
• Kde. Každý komerčný región okrem čínskych regiónov a zoznam Local Zones.
• Smerovací register nechajte tak. AWS aktualizuje RADb sám a ručná zmena, ktorá obsahuje ASN AWS, spôsobí zlyhanie zriaďovania.

Skôr než začnete

ROA pre ASN AWS. Musí autorizovať AS16509 a AS14618 a každé ASN, ktoré rozsah dnes oznamuje, s maximálnou dĺžkou nastavenou na veľkosť rozsahu, ktorý prinášate. V regiónoch AWS GovCloud (US) uvádza ROA namiesto toho AS8987 a v AWS European Sovereign Cloud AS16509 a AS214101; cez IPAM ju nastavte na /24, aby ste mohli blok rozdeliť. Ak rozsah presúvate z vlastnej siete, najprv vytvorte ROA pre svoj súčasný ASN, aby sa nič, čo teraz funguje, nestalo neplatným (RPKI a ROA). ROA sa môže k AWS dostať až za 24 hodín.

Pár kľúčov a certifikát, vytvorené pomocou OpenSSL 1.0.2 alebo novšieho:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Certifikát v zázname registra, na jednom riadku, vrátane značiek BEGIN a END. Kam patrí, závisí od registra, a na poli záleží:

Po dokončení zriaďovania môžete certifikát odstrániť.

Krok za krokom

01Podpíšte autorizačnú správu. Správa uvádza váš účet, rozsah a dátum vypršania:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Zriaďte rozsah v regióne, kde ho budete používať:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Počkajte. Stav sa zmení z pending-provision na provisioned. AWS uvádza, že väčšina rozsahov sa dokončí do dvoch hodín a niektoré trvajú až týždeň; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 ukáže, ako na tom je.

04Pripravte sa, potom prepnite. Aby bol výpadok krátky, prideľte adresy Elastic IP z nového poolu a pripojte ich skôr, než sa rozsah začne oznamovať. aws ec2 describe-public-ipv4-pools vráti ID poolu a aws ec2 allocate-address --public-ipv4-pool <pool-id> z neho vezme adresu.

05Oznamujte. Prestaňte rozsah oznamovať kdekoľvek inde a potom:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS odporúča najprv rozsah stiahnuť z iných miest; kým ho oznamuje niekto iný, AWS nemôže sľúbiť, že prevádzka preň dorazí do jej siete. Musíte oznamovať presne rozsah, ktorý ste zriadili, nikdy jeho časť.

06Overte to zvonka. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr by mal ukázať certifikát a validátor RIPEstat by mal rozsah označiť ako platný pre AS16509: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Chyby, ktoré stoja deň

• Certifikát v nesprávnom poli. Pri RIPE NCC AWS číta descr a výslovne nie remarks. Azure chce opak, takže blok presúvaný medzi týmito dvoma cloudmi potrebuje zmenu záznamu.
• ROA s nesprávnou maximálnou dĺžkou. AWS vyžaduje, aby sa rovnala veľkosti rozsahu, ktorý prinášate, alebo /24 cez IPAM. Maximálna dĺžka špecifickejšia než rozsah, ktorý prinášate, láka k únosom podprefixov a AWS si vyhradzuje právo prestať oznamovať rozsah, ktorého ROA nedodržiavajú jej pravidlá.
• Oznamovanie časti rozsahu. AWS oznamuje presne to, čo ste zriadili. Ak chcete použiť menší rozsah, zrušte zriadenie a zriaďte ho znova.
• Dve siete oznamujú naraz. Prevádzka sa medzi ne rozdelí a AWS to riešiť nebude.

Vaše vlastné ASN

Cez VPC IPAM môže AWS oznamovať váš rozsah z vášho vlastného ASN namiesto svojho. Ten istý certifikát pridáte do záznamu registra vášho ASN (pri RIPE NCC ako riadok descr v aut-num), vytvoríte druhú ROA, ktorá uvádza vaše ASN, a AWS odporúča objekt ASPA, ktorý uvádza AS16509 a AS14618 ako vašich poskytovateľov; bez nich cesty, ktoré za vás AWS posúva ďalej, neprejdú validáciou ASPA. Origin môžete kedykoľvek prepnúť späť na ASN AWS a na váš najviac raz za hodinu.

Ak si blok prenajímate

Prenajatý priestor funguje, ak ho register ukazuje ako držaný organizáciou. Držiteľ urobí stranu registra: certifikát v zázname inetnum, ktorý môže upraviť iba maintainer držiteľa, a ROA pre AS16509 a AS14618. Zvyšok urobíte vy zo svojho účtu AWS.

Kde pomôže RTM Networks

Prenajímame /24 a väčšie z nášho vlastného adresného priestoru RIPE NCC a predávame bloky v regiónoch RIPE NCC, ARIN a APNIC. Pre priestor prenajatý od nás pridáme váš certifikát AWS do záznamu v registri a vytvoríme ROA pre ASN AWS, takže vám zostáva iba krok zriadenia (prenájom IPv4). Ak potrebujete menej ako 256 adries na inštancii EC2, môžeme vám ich namiesto toho doručiť cez tunel (tunely GRE a WireGuard). Ako sa hodinový poplatok za IPv4 sčíta a kedy sa vlastné adresy oplatia: skutočné náklady na IPv4 v cloude. Ďalší poskytovatelia: sprievodcovia BYOIP.