BYOIP pri AWS: lastni IPv4-naslovi v EC2

Da obseg nadzorujete, dokažete s potrdilom v njegovem zapisu registra in ROA, ki navaja ASN-je AWS, ga zagotovite v bazen naslovov in iz njega dodeljujete naslove Elastic IP tako kot iz lastnih naslovov AWS. Za naslove, ki jih prinesete, se urna pristojbina za javni IPv4 ne obračuna.

Ta vodnik obravnava EC2 prek AWS CLI. Isti obseg lahko gre tudi v AWS Global Accelerator, ki ima svoj postopek, ali prek VPC IP Address Manager (IPAM), ki doda način dokazovanja nadzora prek DNS in možnost objave z lastnim ASN.

Kaj AWS sprejme

Iz dokumentacije AWS na dan, ko smo preverjali:

• Velikost. Najbolj specifičen obseg IPv4, ki ga lahko prinesete, je /24.
• Register. ARIN, RIPE NCC ali APNIC, registriran na podjetje ali ustanovo, nikoli na osebo.
• Zgodovina. AWS lahko preveri ugled obsega in zavrne takega z naslovi, ki imajo slab sloves (kako ohraniti blok čist).
• Prostor legacy je sprejet, a še vedno potrebuje ROA.
• Hkrati ena regija na obseg in privzeto pet obsegov na regijo; podpora AWS lahko to poviša.
• Kje. Vse komercialne regije razen kitajskih in seznam Local Zones.
• Ne dotikajte se usmerjevalnega registra. AWS RADb posodobi sam, ročna sprememba, ki vključuje ASN AWS, pa povzroči, da zagotavljanje spodleti.

Preden začnete

ROA za ASN-je AWS. Pooblastiti mora AS16509 in AS14618 ter vsak ASN, ki obseg objavlja danes, z največjo dolžino, nastavljeno na velikost obsega, ki ga prinesete. V regijah AWS GovCloud (US) ROA namesto tega navaja AS8987, v AWS European Sovereign Cloud pa AS16509 in AS214101; prek IPAM jo nastavite na /24, da lahko blok razdelite. Če obseg selite iz lastnega omrežja, najprej ustvarite ROA za svoj trenutni ASN, da nič, kar zdaj deluje, ne postane neveljavno (RPKI in ROA). ROA lahko potrebuje do 24 ur, da doseže AWS.

Par ključev in potrdilo, izdelana z OpenSSL 1.0.2 ali novejšim:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Potrdilo v zapisu registra, v eni vrstici, vključno z oznakama BEGIN in END. Kam gre, je odvisno od registra, in polje je pomembno:

Potrdilo lahko odstranite, ko je zagotavljanje končano.

Korak za korakom

01Podpišite sporočilo o pooblastitvi. Sporočilo navaja vaš račun, obseg in datum poteka:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Zagotovite obseg v regiji, kjer ga boste uporabljali:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Počakajte. Stanje se spremeni iz pending-provision v provisioned. AWS pravi, da se večina obsegov konča v dveh urah, nekateri pa trajajo do en teden; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 pokaže, kje je.

04Pripravite, nato preklopite. Da bo izpad kratek, iz novega bazena dodelite naslove Elastic IP in jih priključite, preden je obseg objavljen. aws ec2 describe-public-ipv4-pools da ID bazena, aws ec2 allocate-address --public-ipv4-pool <pool-id> pa iz njega vzame naslov.

05Objavite. Obseg nehajte objavljati kjer koli drugje, nato:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS priporoča, da obseg najprej umaknete z drugih lokacij; dokler ga objavlja še kdo drug, AWS ne more obljubiti, da promet zanj doseže njegovo omrežje. Objaviti morate natanko obseg, ki ste ga zagotovili, nikoli njegovega dela.

06Preverite od zunaj. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr bi moral pokazati potrdilo, validator RIPEstat pa bi moral obseg označiti kot veljaven za AS16509: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Napake, ki stanejo dan

• Potrdilo v napačnem polju. Pri RIPE NCC AWS bere descr in izrecno ne remarks. Azure želi nasprotno, zato blok, ki se seli med oblakoma, zahteva spremembo zapisa.
• ROA z napačno največjo dolžino. AWS zahteva, da je enaka velikosti obsega, ki ga prinesete, ali /24 prek IPAM. Največja dolžina, ki je bolj specifična od obsega, ki ga prinesete, vabi k ugrabitvam podpredpon (sub-prefix hijacks), AWS pa si pridržuje pravico, da neha objavljati obseg, katerega ROA ne sledijo njegovim pravilom.
• Objava dela obsega. AWS objavi natanko to, kar ste zagotovili. Za manjši obseg zagotovitev prekličite in obseg zagotovite znova.
• Dve omrežji objavljata hkrati. Promet se razdeli med njiju, AWS pa tega ne bo odpravljal.

Vaš lasten ASN

Prek VPC IPAM lahko AWS vaš obseg objavi z vašim lastnim ASN namesto s svojim. Isto potrdilo dodate v zapis registra za svoj ASN (pri RIPE NCC kot vrstico descr v aut-num), ustvarite drugi ROA, ki navaja vaš ASN, AWS pa priporoča objekt ASPA, ki navaja AS16509 in AS14618 kot vaša ponudnika; brez njiju poti, ki jih AWS posreduje za vas, ne prestanejo preverjanja ASPA. Izvor lahko kadar koli preklopite nazaj na ASN AWS, na svojega pa največ enkrat na uro.

Če blok najamete

Najet prostor deluje, če register kaže, da ga ima organizacija. Imetnik uredi stran registra: potrdilo v zapisu inetnum, ki ga lahko ureja samo imetnikov vzdrževalec, in ROA za AS16509 in AS14618. Preostalo uredite sami iz svojega računa AWS.

Kje nastopi RTM Networks

Dajemo v najem bloke /24 in večje iz lastnega naslovnega prostora RIPE NCC ter prodajamo bloke v regijah RIPE NCC, ARIN in APNIC. Za prostor, najet pri nas, vaše potrdilo AWS dodamo v zapis registra in ustvarimo ROA za ASN-je AWS, tako da vam ostane le zagotovitev (najem IPv4). Če na instanci EC2 potrebujete manj kot 256 naslovov, vam jih lahko namesto tega dostavimo prek tunela (tuneli GRE in WireGuard). Kako se urna pristojbina za IPv4 sešteje in kdaj se prinašanje lastnih naslovov izplača: dejanski stroški IPv4 v oblaku. Drugi ponudniki: vodniki BYOIP.