BYOIP v Azure: vlastné adresy IPv4 ako custom IP prefix

To, že rozsah je váš, preukážete ROA, ktorá uvádza ASN Microsoftu, a certifikátom v jeho zázname WHOIS/RDAP, potom ho zriadite a odvodíte z neho public IP prefixes a adresy.

Tento sprievodca sleduje zjednotený model (unified) pre rozsah používaný v jednom regióne, cez Azure CLI. Rozsah nemôže prejsť na model global/regional, teda rodiča s regionálnymi potomkami, bez nového onboardingu.

Čo Azure prijíma

Z dokumentácie Microsoftu v deň, keď sme ju overovali:

• Veľkosť. Zjednotený prefix „must be between /21 and /24“ (preklad: „musí byť medzi /21 a /24“). Globálny rodič je tiež /21 až /24, s regionálnymi potomkami /22 až /26.
• Register a meno. Rozsah „must be owned by you and registered under your name“ (preklad: „musí byť vo vašom vlastníctve a zaregistrovaný na vaše meno“) v regionálnom internetovom registri, medzi nimi ARIN, RIPE NCC a APNIC. Nič o stave PA, PI alebo legacy.
• Kto je originom. Microsoft, pod AS8075, alebo AS8070 pre US Gov Cloud. Stránky Microsoftu o BYOIP nedokumentujú žiadnu možnosť pre vlastné ASN. Príkaz CLI z kroku 1, az network custom-ip prefix create, síce uvádza parameter --asn, opísaný iba ako „The ASN for CIDR advertising“ (preklad: „ASN na oznamovanie CIDR“), preto sa Microsoftu opýtajte, skôr než s ním budete počítať.
• Regióny. Jeden región na prefix a predvolene päť prefixov na región, viac na požiadanie.
• Cena. „There's no charge to provision or use custom IP prefixes“ (preklad: „Za zriadenie ani používanie custom IP prefixes sa nič neúčtuje“), ani za public IP prefixes a adresy z nich odvodené. Prevádzka sa účtuje podľa sadzieb za odchádzajúcu prevádzku do internetu.
• Čas. Asi 30 minút na zriadenie a tri až štyri hodiny na globálne uvedenie do prevádzky.
• Obmedzenia. Žiadne Internet Routing Preference, Global Tier, ExpressRoute Microsoft peering ani verejné IP Standard v2. Reverzné DNS beží z vašich vlastných zón v Azure DNS, Windows Server Activation môže trvať až týždeň a zriadený rozsah nemôže zmeniť predplatné (subscription).

Skôr než začnete

ROA pre AS8075, s dĺžkou prefixu presne takou, akú bude Microsoft oznamovať, a s dátumom vypršania, ktorý pokrýva obdobie, počas ktorého ho chcete oznamovať (RPKI a ROA). Počítajte aspoň s 24 hodinami, kým ju Microsoft uvidí. Microsoft tiež odporúča ROA pre každé ASN, ktoré rozsah dnes oznamuje.

Pár kľúčov a certifikát podpísaný sám sebou, vytvorené pomocou OpenSSL:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Certifikát v zázname WHOIS/RDAP prefixu, vrátane značiek BEGIN a END, bez medzier a zalomení riadkov:

Podpísaná autorizačná správa: ID vášho predplatného, prefix a dátum vypršania ROA, v tomto poradí:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft nežiada žiadny Letter of Authorization ani objekt route.

Krok za krokom

01Zriaďte rozsah v existujúcej skupine prostriedkov. V regióne so zónami dostupnosti ho urobte zónovo redundantným alebo ho pripnite k jednej zóne:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Počkajte na Provisioned. commissionedState, ktorý vracia az network custom-ip prefix show, sa zmení z Provisioning na Provisioned. Skoré ValidationFailed znamená, že ROA, certifikát alebo správa neprešli kontrolou; pole FailedReason uvádza, ktoré.

03Odvoďte adresy. Vytvorte z rozsahu public IP prefix, potom z neho adresy Standard SKU a pripojte ich k VM alebo load balancerom; zatiaľ sa neoznamujú.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Uveďte do prevádzky (commission). Ak je rozsah aktívny inde, dve oznámenia naraz „could potentially create BGP routing instability or traffic loss“ (preklad: „by mohli spôsobiť nestabilitu smerovania BGP alebo stratu prevádzky“). Najprv ho uveďte do prevádzky v rámci regiónu (v portáli Commission a potom možnosť iba pre región, alebo -NoInternetAdvertise v PowerShelli), otestujte, stiahnite staré oznámenie a potom ho uveďte do prevádzky globálne:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Počas stavu Commissioning sa rozsah oznamuje čiastočne, najprv z regiónu, potom zo siete Microsoftu pod AS8075, až kým nie je Commissioned.

Chyby, ktoré stoja deň

• Certifikát v descr. Pri RIPE NCC Microsoft uvádza remarks, zatiaľ čo AWS číta descr a výslovne nie remarks, takže blok presúvaný medzi týmito dvoma cloudmi potrebuje zmenu záznamu.
• Dátum, ktorý nesedí. Dátum v podpísanej správe je dátum vypršania ROA vo formáte yyyymmdd; ak ho ROA nemá, Microsoft radí zvoliť dátum, do ktorého chcete rozsah oznamovať.
• ROA s nesprávnou dĺžkou. Nesúlad s prefixom, ktorý zriaďujete, zlyhá ako InvalidPrefixLengthInROA.
• Odchod v nesprávnom poradí. Zmažte každý odvodený public IP prefix a potom vyraďte rozsah z prevádzky (tri až štyri hodiny), skôr než zmeníte alebo zmažete ROA. Inak Microsoft naďalej oznamuje rozsah, na ktorého oznamovanie už nemá oprávnenie.

Ak si blok prenajímate

Prekážkou je pravidlo Microsoftu: rozsah „must be owned by you and registered under your name“ (preklad: „musí byť vo vašom vlastníctve a zaregistrovaný na vaše meno“). Blok zaregistrovaný iba na prenajímateľa to v doslovnom znení nespĺňa a Microsoft neuvádza, či sa počíta pridelenie (assignment) vám v rámci alokácie držiteľa, preto sa pred podpisom opýtajte držiteľa aj Microsoftu. Držiteľ potom vytvorí ROA pre AS8075 a pridá váš certifikát do remarks záznamu. Aj reverzné DNS potrebuje držiteľa: Azure ho obsluhuje iba z reverznej zóny, ktorú hostujete v Azure DNS a ktorú vám držiteľ deleguje. Letter of Authorization nie je potrebný.

Kde pomôže RTM Networks

Prenajímame /24 a väčšie z nášho vlastného adresného priestoru RIPE NCC a predávame bloky v regiónoch RIPE NCC, ARIN a APNIC. Pre priestor prenajatý od nás zaregistrujeme pridelenie vašej organizácii, vytvoríme ROA pre AS8075 a pridáme váš certifikát do záznamu v registri (prenájom IPv4). Ak Microsoft chce viac než pridelenie na vaše meno, vyrieši to kúpa bloku (kúpa IPv4). Ak neprevádzkujete vlastný LIR, sponzorujeme priestor PI a legacy a čísla AS (sponzorstvo). Pre menej ako 256 adries na VM v Azure blok oznamujeme a doručíme ho cez WireGuard, keďže Azure blokuje GRE, v akejkoľvek veľkosti až po jedinú adresu (tunely WireGuard). Ďalší poskytovatelia: sprievodcovia BYOIP.