BYOIP v UpCloud: vlastné IP adresy v Private Cloud

Pre Cloud Servers vo verejných zónach UpCloud je spôsobom, ako používať vlastný blok, tunel, ktorý tento sprievodca tiež pokrýva.

Čo UpCloud prijíma

Z dokumentácie UpCloud v deň, keď sme ju overovali:

• Iba Private Cloud. Private Cloud prevádzkuje vaše Cloud Servers na dedikovaných hostiteľoch. UpCloud uvádza, že „offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).“ (preklad: „ponúka možnosť dedikovaných verejných IP blokov a je možné využiť vlastné IP bloky (BYOIP).“)
• Cez obchod. Jeho FAQ o sieťach sa pýta „Can I bring my own IPs or IP range?“ (preklad: „Môžem priniesť vlastné IP alebo rozsah IP?“) a odpovedá: „Yes, you can do this in our Private Cloud. Contact our sales team for more information.“ (preklad: „Áno, môžete to urobiť v našom Private Cloud. Pre viac informácií kontaktujte náš obchodný tím.“) UpCloud preň nedokumentuje žiadne kroky v konzole, API ani CLI.
• Kde. Private Cloud je vnútri nadradenej verejnej zóny, jednej z 15 lokalít UpCloud.
• Podmienky. Stránka Private Cloud odpovedá na „Can I bring my own IPs?“ (preklad: „Môžem priniesť vlastné IP?“) takto: „Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.“ (preklad: „Áno. UpCloud podporuje Bring Your Own IP (BYOIP). Vaše prefixy sa môžu oznamovať cez BGP (s podmienkou validácie a LOA). Dostupnosť a požiadavky na veľkosť prefixu závisia od cieľového regiónu.“)
• Nezverejnené. Ktoré registre UpCloud prijíma, origin ASN, cena samotného BYOIP a čas dodania.
• Cena Private Cloud. Konfigurácie začínajú na 3 190 € mesačne, na základe ponuky pre každého zákazníka.
• Verejné zóny používajú adresy UpCloud. Cloud Server dostane predvolene jednu adresu IPv4 a jednu IPv6 a môže mať najviac päť verejných adries IPv4. Ďalšie adresy IPv4 sa účtujú po hodinách.
• Floating IPs sú tiež od UpCloud. Sú to adresy IPv4, ktoré si váš účet rezervuje, účtované za adresu, a presúvajú sa medzi Cloud Servers v tom istom dátovom centre. Pre IPv6 k dispozícii nie sú.

Skôr než začnete

UpCloud uvádza dve požiadavky, validáciu a Letter of Authorization, a zvyšok necháva na rozhovor s obchodom. Pripravte si to, čo žiada každý poskytovateľ, ktorý oznamuje priestor zákazníka, a každý bod si potvrďte:

1. /24 alebo väčší. UpCloud uvádza, že požiadavky na veľkosť prefixu závisia od regiónu, a siete filtrujú čokoľvek menšie ako /24.
2. Záznam v registri. Vedzte, ktorý register blok drží (napríklad ARIN, RIPE NCC alebo APNIC) a ktorú organizáciu záznam uvádza.
3. ROA pre oznamujúci ASN, UpCloud alebo váš, s maximálnou dĺžkou nastavenou na to, čo sa oznamuje (RPKI a ROA). Vytvorte ju, keď UpCloud ASN uvedie.
4. Objekt route s tým istým ASN ako originom.
5. Letter of Authorization, ktorý UpCloud žiada, podpísaný držiteľom bloku a uvádzajúci UpCloud ako sieť, ktorá ho bude prenášať.

Cesta cez tunel

Pre Cloud Servers vo verejných zónach, alebo kým prebieha rozhovor o Private Cloud, tunel dostane váš blok na server bez toho, aby UpCloud čokoľvek menil. Sieť, ktorá môže blok oznamovať, ho oznamuje a tunel GRE alebo WireGuard prenáša jeho prevádzku na váš server a späť (ako tunel funguje).

Server si ponechá adresu IPv4, ktorú mu UpCloud pridelil. Táto adresa je vonkajším koncom tunela: druhá strana na ňu posiela zapuzdrené pakety a sieť UpCloud vidí bežnú prevádzku medzi dvoma verejnými adresami. Prenajatý blok putuje vnútri tunela. Jeho adresy nakonfigurujete na rozhraní tunela alebo loopback a server na nich odpovedá, ako keby boli lokálne.

• Odpovede idú späť cez tunel. Pridajte policy route, aby prevádzka z bloku odchádzala cez tunel. Ak by išla priamo, niesla by zdrojovú adresu, ktorú UpCloud serveru nikdy nepridelil, a siete takú prevádzku filtrujú.
• Otvorte firewall UpCloud oboma smermi. Ak ho používate, majte na pamäti, že je bezstavový: pravidlá musia výslovne povoliť prichádzajúcu aj odchádzajúcu prevádzku. Jeho pravidlá zodpovedajú TCP, UDP alebo ICMP. Pre GRE, ktoré je IP protokol 47, nechajte protokol na All a obmedzte pravidlo na adresu vzdialeného konca. Pre WireGuard povoľte jeho port UDP.
• Nastavte MTU. 1 476 bajtov pre GRE, okolo 1 420 pre WireGuard, s MSS clamping, ak server smeruje blok ďalej na virtuálne stroje.
• Akákoľvek veľkosť. Tunel doručí menej ako 256 adries, až po jedinú, čo BYOIP nikdy neumožňuje.

Úskalia

• Premiestnenie sa zastaví pri adresách vo vlastníctve zákazníka. Funkcia Relocate Server od UpCloud presúva server medzi zónami Public a Private Cloud v tom istom dátovom centre, s jedným sieťovým obmedzením: „The server cannot have IP addresses from a dedicated, customer-owned IP network.“ (preklad: „Server nemôže mať IP adresy z dedikovanej siete IP vo vlastníctve zákazníka.“) Skôr než budete migrovať, naplánujte, kde bude váš blok.
• Bezplatná skúšobná verzia blokuje porty. Počas bezplatnej skúšobnej verzie od UpCloud sú niektoré porty blokované a sieť beží rýchlosťou 100 Mbit/s. Po prvej platbe je otvorený každý port okrem 25, takže tunel otestujte až potom.

Ak si blok prenajímate

UpCloud nezverejňuje nič o prenajatom priestore ani o tom, na koho meno musí byť záznam v registri, preto sa na to opýtajte obchodného tímu UpCloud, keď ho budete kontaktovať. Pre BYOIP v Private Cloud robí stranu registra držiteľ: ROA pre ASN, ktoré UpCloud uvedie, objekt route a Letter of Authorization, ktorý UpCloud žiada. Pri tuneli sa v UpCloud nič nemení: blok oznamuje sieť na druhom konci a držiteľ musí autorizovať iba túto sieť.

Kde pomôže RTM Networks

Prenajímame /24 a väčšie z nášho vlastného adresného priestoru RIPE NCC a predávame bloky v regiónoch RIPE NCC, ARIN a APNIC. Každý prenájom zahŕňa ROA, objekt route, záznamy PTR a Letter of Authorization vždy, keď ho potrebujete (prenájom IPv4). Pre Private Cloud vytvoríme ROA pre ASN, ktoré UpCloud uvedie, a podpíšeme Letter of Authorization a sponzorujeme čísla AS pre organizácie, ktoré neprevádzkujú vlastný LIR (sponzorstvo ASN). Pre Cloud Servers vo verejných zónach blok oznamujeme sami a doručíme ho cez GRE alebo WireGuard, v akejkoľvek veľkosti až po jedinú adresu (tunely GRE a WireGuard). Ďalší poskytovatelia: sprievodcovia BYOIP.