BYOIP v Google Cloud: vlastné adresy IPv4 v Compute Engine

Kontrolu nad blokom preukážete ROA, ktorá uvádza ASN Google, a záznamom PTR s menom, ktoré vám Google dá, potom z neho vyčleníte delegované prefixy a z nich vytvoríte statické externé adresy.

Tento sprievodca pokrýva IPv4 v konfigurácii, ktorú Google odporúča, regionálny prefix (v2) na Premium Tier, cez gcloud CLI. Globálne adresy pre globálne load balancery používajú staršiu konfiguráciu v1 a váš projekt musí byť najprv na allowliste.

Čo Google Cloud prijíma

Z dokumentácie Google Cloud v deň, keď sme ju overovali:

• Veľkosť. Public advertised prefix „/16 to /24“ (preklad: „/16 až /24“) na Premium Tier, predvolenom, alebo „/16 to /23“ (preklad: „/16 až /23“) na Standard Tier, ktorý je v Preview. Môžete ho rozdeliť až na bloky /28.
• Register. Google odkazuje na pokyny k ROA pre každý regionálny register, medzi nimi ARIN, RIPE NCC a APNIC. Nezverejňuje nič o stave PA, PI alebo legacy ani o tom, na koho meno musí byť blok vedený.
• Kto je originom. Google, z AS396982 na Premium Tier alebo AS19527 na Standard Tier. Nedokumentuje žiadnu možnosť oznamovať z vlastného ASN.
• Žiadne prekrývanie. „Google does not support overlapping BYOIP route announcements“ (preklad: „Google Cloud nepodporuje prekrývajúce sa oznámenia ciest BYOIP“): ani prefix, ani žiadna jeho časť sa nesmie oznamovať inde, kým ho oznamuje Google.
• Regióny. Každý delegovaný prefix slúži jednému regiónu alebo globálnemu rozsahu. Stránky Google o BYOIP neuvádzajú žiadne vylúčené regióny.
• Cena. „There are no charges for idle or in-use IP addresses.“ (preklad: „Za nečinné ani používané IP adresy sa nič neúčtuje.“)
• Čas. „Approximately 2 weeks“ (preklad: „približne 2 týždne“) pre prefix v2 po validácii, „approximately 4 weeks“ (preklad: „približne 4 týždne“) pre v1 a globálne. Zriadenie „cannot be accelerated“ (preklad: „sa nedá urýchliť“).
• Prostriedky. Väčšina tých, ktoré prijímajú statickú externú adresu, ale nie uzly a Pody GKE ani externá adresa brány Cloud VPN. Adresy sa nedajú presúvať medzi projektmi.

Skôr než začnete

ROA pre ASN Google. Na Premium Tier uvádza prefix, jeho presnú dĺžku a AS396982. Na Standard Tier uvádza AS19527, buď v jednej ROA pre každý prefix, ktorý budete zriaďovať, čo Google odporúča, alebo v jednej ROA s maximálnou dĺžkou /24 (RPKI a ROA).

Druhá ROA pre vaše vlastné ASN. Google odporúča jednu s rovnakými údajmi a vaším ASN ako originom, aby siete, ktoré robia route origin validation, prefix nepovažovali za neplatný, ak ho niekedy budete oznamovať sami.

Kontrola nad reverzným DNS. Google overuje vlastníctvo záznamom PTR, nie tokenom v zázname registra. Vyberiete nepoužívanú adresu v prefixe, Google vráti meno (svoje zdieľané tajomstvo) a vy zverejníte pre túto adresu záznam PTR, ktorý ukazuje na toto meno pod vašou doménou.

Nič iné z registra. Google nežiada žiadny certifikát, Letter of Authorization ani objekt route. Na jeho strane potrebujete v projekte rolu Compute Public IP Admin (roles/compute.publicIpAdmin).

Krok za krokom

01Vytvorte public advertised prefix a uveďte adresu, ktorú použijete na validáciu DNS:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Pre Standard Tier použite gcloud beta a pridajte --network-tier=STANDARD.

02Zverejnite záznam PTR. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' vráti meno. Ak je to 55kk88tt00 a vaša doména je example.net, potom dig +short -x 203.0.113.144 musí vrátiť 55kk88tt00.example.net.

03Spustite validáciu:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Stav sa zmení na VALIDATED, alebo na REVERSE_DNS_LOOKUP_FAILED, ak Google záznam nenájde. Zriadenie je hotové, keď describe s --format='value(status)' ukazuje PREFIX_CONFIGURATION_COMPLETE.

04Delegujte blok do regiónu. To môže bežať, kým čakáte:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Vytvorte adresy. Regionálne verejné delegované prefixy vytvorené po 13. decembri 2025 umožňujú jednotlivé adresy:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Staršie prefixy a globálne adresy berú celé bloky, cez delegated-sub-prefixes create --create-addresses. Adresy pripojte k VM alebo forwarding rules. Zatiaľ nie sú dosiahnuteľné.

06Oznamujte. Uistite sa, že blok neoznamuje žiadna iná sieť. Najprv oznámte delegovaný prefix, ktorý Google prenáša vnútri vlastnej siete, potom advertised prefix, ktorý ide do internetu zo všetkých bodov prítomnosti Google:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Zvonka by mal validátor RIPEstat prefix označiť ako platný pre AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Chyby, ktoré stoja deň

• Dve siete oznamujú. Prekrývanie zahŕňa aj špecifickejšiu cestu: počíta sa aj /24 oznamovaný inde vnútri /23, ktorý prinášate. Google varuje pred „unexpected routing and packet loss“ (preklad: „neočakávaným smerovaním a stratou paketov“).
• v1 sa oznamuje sám. Globálny prefix (v1) sa oznamuje hneď, ako je zriadený jeho delegovaný prefix. Google radí nevytvárať delegované prefixy, kým blok oznamuje niekto iný.
• Vypršaná ROA. Ak ROA vyprší a neobnovíte ju do štyroch týždňov od upozornenia Google na obnovu, Google prestane prefix oznamovať.
• Mená a regióny sú pevné. Premenovanie prefixu znamená jeho zmazanie a opätovné vytvorenie a presun delegovaného prefixu do iného regiónu „can take approximately eight weeks“ (preklad: „môže trvať približne osem týždňov“). Voľte mená ako pap-203-0-113-0-24 a delegujte iba to, čím ste si istí.
• Príliš skoré odstránenie ROA. Po zmazaní public advertised prefix počkajte 14 dní, než odstránite ROA pre ASN Google.

Ak si blok prenajímate

Google nezverejňuje žiadne pravidlo o tom, na koho meno je blok zaregistrovaný, a nežiada Letter of Authorization. Jeho dve kontroly, ROA a záznam PTR, sú pri prenajatom bloku obe u držiteľa. Držiteľ vytvorí ROA pre AS396982 alebo AS19527 a ak chcete, aj tú pre vaše ASN. Držiteľ tiež vytvorí záznam PTR s menom od Google, alebo deleguje reverznú zónu bloku na menné servery, ktoré spravujete vy. Dohodnite sa, že ROA sa bude obnovovať, kým Google blok oznamuje, a ponechá sa ešte 14 dní po vašom odchode.

Kde pomôže RTM Networks

Prenajímame /24 a väčšie z nášho vlastného adresného priestoru RIPE NCC a predávame bloky v regiónoch RIPE NCC, ARIN a APNIC. Pre priestor prenajatý od nás vytvoríme ROA pre ASN Google a záznam PTR s menom od Google (prenájom IPv4). Ak potrebujete menej ako 256 adries na VM v Compute Engine, blok oznamujeme sami a doručíme ho cez GRE alebo WireGuard, v akejkoľvek veľkosti až po jedinú adresu (tunely GRE a WireGuard). Ako sa hodinový poplatok za IPv4 vo veľkých cloudoch sčíta: skutočné náklady na IPv4 v cloude. Ďalší poskytovatelia: sprievodcovia BYOIP.