BYOIP pri Azure: lastni IPv4-naslovi kot custom IP prefix

Da je obseg vaš, dokažete z ROA, ki navaja Microsoftov ASN, in potrdilom v njegovem zapisu WHOIS/RDAP, nato ga zagotovite in iz njega izpeljete public IP prefixes in naslove.

Ta vodnik sledi poenotenemu modelu (unified) za obseg, uporabljen v eni regiji, prek Azure CLI. Obseg ne more preklopiti na globalni/regionalni model, nadrejeni obseg z regionalnimi podrejenimi, ne da bi ga znova vpeljali.

Kaj Azure sprejme

Iz Microsoftove dokumentacije na dan, ko smo preverjali:

• Velikost. Poenotena predpona „must be between /21 and /24“ (prevod: „mora biti med /21 in /24“). Globalni nadrejeni obseg je prav tako od /21 do /24, z regionalnimi podrejenimi od /22 do /26.
• Register in ime. Obseg „must be owned by you and registered under your name“ (prevod: „mora biti v vaši lasti in registriran na vaše ime“) pri regionalnem internetnem registru, med katerimi so ARIN, RIPE NCC in APNIC. Nič o statusu PA, PI ali legacy.
• Kdo je izvor. Microsoft, z AS8075, ali AS8070 za US Gov Cloud. Microsoftove strani o BYOIP ne dokumentirajo možnosti za lasten ASN. Ukaz CLI v koraku 1, az network custom-ip prefix create, sicer navaja parameter --asn, opisan samo kot „The ASN for CIDR advertising“ (prevod: „ASN za objavo CIDR“), zato Microsoft vprašajte, preden na to računate.
• Regije. Ena regija na predpono in privzeto pet predpon na regijo, več na zahtevo.
• Cena. „There's no charge to provision or use custom IP prefixes“ (prevod: „Za zagotovitev ali uporabo custom IP prefixes ni stroškov“), niti za public IP prefixes in naslove, izpeljane iz njih. Promet se obračuna po cenah za izhodni promet v internet.
• Čas. Približno 30 minut za zagotovitev in tri do štiri ure za globalno aktivacijo.
• Omejitve. Brez Internet Routing Preference, Global Tier, ExpressRoute Microsoft peering ali javnih IP Standard v2. Povratni DNS (reverse DNS) teče iz vaših lastnih con v Azure DNS, Windows Server Activation lahko traja do en teden, zagotovljeni obseg pa ne more zamenjati naročnine (subscription).

Preden začnete

ROA za AS8075 z dolžino predpone natanko takšno, kot jo bo Microsoft objavil, in datumom poteka, ki pokriva čas, ko želite, da je objavljena (RPKI in ROA). Računajte z vsaj 24 urami, da ga Microsoft vidi. Microsoft priporoča tudi ROA za vsak ASN, ki obseg objavlja danes.

Par ključev in samopodpisano potrdilo, izdelana z OpenSSL:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Potrdilo v zapisu WHOIS/RDAP predpone, vključno z oznakama BEGIN in END, brez presledkov ali prelomov vrstic:

Podpisano sporočilo o pooblastitvi: ID vaše naročnine, predpona in datum poteka ROA, v tem vrstnem redu:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft ne zahteva pooblastila (Letter of Authorization) in ne objekta route.

Korak za korakom

01Zagotovite obseg v obstoječi skupini virov. V regiji z območji razpoložljivosti (availability zones) ga naredite odpornega na izpad območja ali ga vežite na eno območje:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Počakajte na Provisioned. commissionedState, ki ga vrne az network custom-ip prefix show, se spremeni iz Provisioning v Provisioned. Zgodnji ValidationFailed pomeni, da ROA, potrdilo ali sporočilo ni prestalo preverjanja; polje FailedReason pove, kaj.

03Izpeljite naslove. Iz obsega ustvarite public IP prefix, nato iz njega naslove Standard SKU in jih priključite na VM ali izenačevalnike obremenitve (load balancers); objavljeni še niso.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Aktivirajte (commission). Če je obseg živ drugje, dve hkratni objavi „could potentially create BGP routing instability or traffic loss“ (prevod: „bi lahko povzročili nestabilnost usmerjanja BGP ali izgubo prometa“). Najprej ga aktivirajte znotraj regije (v portalu Commission in nato možnost samo za regijo, v PowerShell -NoInternetAdvertise), preizkusite, umaknite staro objavo, nato ga aktivirajte globalno:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Med stanjem Commissioning je obseg delno objavljen, najprej iz regije, nato iz Microsoftovega omrežja z AS8075, dokler ni Commissioned.

Napake, ki stanejo dan

• Potrdilo v descr. Za RIPE NCC Microsoft pravi remarks, AWS pa bere descr in izrecno ne remarks, zato blok, ki se seli med oblakoma, zahteva spremembo zapisa.
• Datum, ki se ne ujema. Datum v podpisanem sporočilu je datum poteka ROA v obliki yyyymmdd; če ga ni, Microsoft pravi, naj izberete datum, do katerega želite, da je obseg objavljen.
• ROA z napačno dolžino. Neujemanje s predpono, ki jo zagotavljate, spodleti kot InvalidPrefixLengthInROA.
• Odhod v napačnem vrstnem redu. Izbrišite vse izpeljane public IP prefixes, nato obseg deaktivirajte (tri do štiri ure), preden ROA spremenite ali izbrišete. Sicer Microsoft še naprej objavlja obseg, za objavo katerega nima več pooblastila.

Če blok najamete

Ovira je Microsoftovo pravilo: obseg „must be owned by you and registered under your name“ (prevod: „mora biti v vaši lasti in registriran na vaše ime“). Blok, registriran samo na najemodajalca, temu, kot je zapisano, ne ustreza, Microsoft pa ne pove, ali šteje dodelitev vam znotraj imetnikove dodelitve, zato vprašajte imetnika in Microsoft, preden podpišete. Imetnik nato ustvari ROA za AS8075 in vaše potrdilo doda v remarks zapisa. Tudi povratni DNS potrebuje imetnika: Azure ga streže samo iz povratne cone, ki jo gostite v Azure DNS in vam jo imetnik delegira. Pooblastilo ni potrebno.

Kje nastopi RTM Networks

Dajemo v najem bloke /24 in večje iz lastnega naslovnega prostora RIPE NCC ter prodajamo bloke v regijah RIPE NCC, ARIN in APNIC. Za prostor, najet pri nas, registriramo dodelitev vaši organizaciji, ustvarimo ROA za AS8075 in vaše potrdilo dodamo v zapis registra (najem IPv4). Če Microsoft želi več kot dodelitev na vaše ime, zadevo reši nakup bloka (nakup IPv4). Če nimate lastnega LIR, sponzoriramo prostor PI in legacy ter številke AS (sponzorstvo). Za manj kot 256 naslovov na VM v Azure blok objavimo in ga dostavimo prek WireGuard, ker Azure blokira GRE, v kateri koli velikosti do enega samega naslova (tuneli WireGuard). Drugi ponudniki: vodniki BYOIP.