BYOIP pri Google Cloud: lastni IPv4-naslovi v Compute Engine

Nadzor nad blokom dokažete z ROA, ki navaja Googlov ASN, in zapisom PTR, ki nosi ime, ki vam ga da Google, nato iz njega izrežete delegirane predpone in iz teh ustvarite statične zunanje naslove.

Ta vodnik obravnava IPv4 v konfiguraciji, ki jo priporoča Google, regionalno predpono (v2) na Premium Tier, prek gcloud CLI. Globalni naslovi za globalne izenačevalnike obremenitve uporabljajo starejšo konfiguracijo v1, vaš projekt pa mora biti najprej na seznamu dovoljenih.

Kaj Google Cloud sprejme

Iz dokumentacije Google Cloud na dan, ko smo preverjali:

• Velikost. Public advertised prefix od „/16 to /24“ (prevod: „od /16 do /24“) na Premium Tier, privzetem, ali od „/16 to /23“ (prevod: „od /16 do /23“) na Standard Tier, ki je v fazi Preview. Razdelite ga lahko do blokov /28.
• Register. Google povezuje navodila za ROA za vsak regionalni register, med njimi ARIN, RIPE NCC in APNIC. Ne objavlja ničesar o statusu PA, PI ali legacy ali o tem, na čigavo ime mora biti blok.
• Kdo je izvor. Google, z AS396982 na Premium Tier ali AS19527 na Standard Tier. Ne dokumentira možnosti objave z lastnim ASN.
• Brez prekrivanja. „Google does not support overlapping BYOIP route announcements“ (prevod: „Google Cloud ne podpira prekrivajočih se objav poti BYOIP“): niti predpona niti njen del ne smeta biti objavljena drugje, dokler ju objavlja Google.
• Regije. Vsaka delegirana predpona služi eni regiji ali globalnemu obsegu. Googlove strani o BYOIP ne navajajo izključenih regij.
• Cena. „There are no charges for idle or in-use IP addresses.“ (prevod: „Za neuporabljene ali uporabljene IP-naslove ni stroškov.“)
• Čas. „Approximately 2 weeks“ (prevod: „približno 2 tedna“) za predpono v2 po preverjanju, „approximately 4 weeks“ (prevod: „približno 4 tedne“) za v1 in globalne. Zagotovitve „cannot be accelerated“ (prevod: „ni mogoče pospešiti“).
• Viri. Večina tistih, ki sprejmejo statičen zunanji naslov, ne pa vozlišča in Pods v GKE ali zunanji naslov prehoda Cloud VPN. Naslovov ni mogoče seliti med projekti.

Preden začnete

ROA za Googlov ASN. Na Premium Tier navaja predpono, njeno natančno dolžino in AS396982. Na Standard Tier navaja AS19527, bodisi v enem ROA za vsako predpono, ki jo boste zagotovili, kar priporoča Google, bodisi v enem ROA z največjo dolžino /24 (RPKI in ROA).

Drugi ROA za vaš lasten ASN. Google priporoča takega z enakimi podatki in vašim ASN kot izvorom, da omrežja, ki izvajajo preverjanje izvora poti, predpone ne obravnavajo kot neveljavne, če jo kdaj objavite sami.

Nadzor nad povratnim DNS. Google lastništvo preveri z zapisom PTR, ne z žetonom v zapisu registra. Izberete neuporabljen naslov v predponi, Google vrne ime (svojo skupno skrivnost), vi pa objavite zapis PTR za ta naslov, ki kaže na to ime pod vašo domeno.

Nič drugega iz registra. Google ne zahteva potrdila, pooblastila ali objekta route. Na njegovi strani potrebujete vlogo Compute Public IP Admin (roles/compute.publicIpAdmin) na projektu.

Korak za korakom

01Ustvarite public advertised prefix in navedite naslov, ki ga boste uporabili za preverjanje DNS:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Za Standard Tier uporabite gcloud beta in dodajte --network-tier=STANDARD.

02Objavite zapis PTR. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' da ime. Če je 55kk88tt00 in je vaša domena example.net, mora dig +short -x 203.0.113.144 vrniti 55kk88tt00.example.net.

03Sprožite preverjanje:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Stanje postane VALIDATED ali REVERSE_DNS_LOOKUP_FAILED, če Google zapisa ne najde. Zagotovitev je končana, ko describe z --format='value(status)' kaže PREFIX_CONFIGURATION_COMPLETE.

04Delegirajte blok regiji. To lahko teče, medtem ko čakate:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Ustvarite naslove. Regionalne javne delegirane predpone, ustvarjene po 13. decembru 2025, omogočajo posamezne naslove:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Starejše predpone in globalni naslovi sprejmejo cele bloke, prek delegated-sub-prefixes create --create-addresses. Naslove priključite na VM ali pravila posredovanja (forwarding rules). Dosegljivi še niso.

06Objavite. Prepričajte se, da blok ne objavlja nobeno drugo omrežje. Najprej objavite delegirano predpono, ki jo Google prenaša znotraj svojega omrežja, nato oglaševano predpono, ki gre v internet z vseh Googlovih točk prisotnosti:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Od zunaj bi moral validator RIPEstat predpono označiti kot veljavno za AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Napake, ki stanejo dan

• Objavljata dve omrežji. Prekrivanje vključuje bolj specifično pot: šteje tudi /24, objavljen drugje znotraj bloka /23, ki ga prinesete. Google opozarja na „unexpected routing and packet loss“ (prevod: „nepričakovano usmerjanje in izgubo paketov“).
• v1 se objavi sam. Globalna predpona (v1) je objavljena, takoj ko je zagotovljena njena delegirana predpona. Google pravi, naj delegiranih predpon ne ustvarjate, dokler bloka ne neha objavljati kdo drug.
• Potekel ROA. Če ROA poteče in ga ne obnovite v štirih tednih od Googlovega obvestila o obnovi, Google predpono neha objavljati.
• Imena in regije so fiksne. Preimenovanje predpone pomeni njeno brisanje in ponovno ustvarjanje, selitev delegirane predpone v drugo regijo pa „can take approximately eight weeks“ (prevod: „lahko traja približno osem tednov“). Izberite imena, kot je pap-203-0-113-0-24, in delegirajte samo tisto, v kar ste prepričani.
• Prezgodnja odstranitev ROA. Ko izbrišete public advertised prefix, počakajte 14 dni, preden odstranite ROA za Googlov ASN.

Če blok najamete

Google ne objavlja pravila o tem, na čigavo ime je blok registriran, in ne zahteva pooblastila. Obe njegovi preverjanji, ROA in zapis PTR, sta pri najetem bloku v rokah imetnika. Imetnik ustvari ROA za AS396982 ali AS19527 in, če ga želite, tistega za vaš ASN. Imetnik ustvari tudi zapis PTR z Googlovim imenom ali pa povratno cono bloka delegira imenskim strežnikom, ki jih nadzorujete vi. Dogovorite se, da se ROA obnavlja, dokler Google blok objavlja, in da ostane še 14 dni po vašem odhodu.

Kje nastopi RTM Networks

Dajemo v najem bloke /24 in večje iz lastnega naslovnega prostora RIPE NCC ter prodajamo bloke v regijah RIPE NCC, ARIN in APNIC. Za prostor, najet pri nas, ustvarimo ROA za Googlov ASN in zapis PTR z Googlovim imenom (najem IPv4). Če na VM v Compute Engine potrebujete manj kot 256 naslovov, blok objavimo sami in ga dostavimo prek GRE ali WireGuard, v kateri koli velikosti do enega samega naslova (tuneli GRE in WireGuard). Kako se urna pristojbina za IPv4 pri velikih oblakih sešteje: dejanski stroški IPv4 v oblaku. Drugi ponudniki: vodniki BYOIP.