BYOIP pri Oracle Cloud: lastni IPv4-naslovi v OCI

Blok uvozite, z žetonom v njegovem zapisu registra in ROA za Oraclov ASN dokažete, da ga imate, in ga objavite, ko ste pripravljeni.

Kaj Oracle Cloud sprejme

Iz Oraclove dokumentacije na dan, ko smo preverjali:

• Velikost. Bloki IPv4 „a minimum of /24 and a maximum of /8“ (prevod: „najmanj /24 in največ /8“).
• Register in status. Samo naslednji:

• Lastništvo. „You must have ownership“ (prevod: „biti morate lastnik“) bloka, registriranega pri podprtem registru.
• Zgodovina. Čista: Oracle lahko zavrne obseg, ki vsebuje naslov, povezan z zlonamernim vedenjem (kako ohraniti blok čist).
• Kdo je izvor. Oracle, z AS31898, razen v Serbia Central (Jovanovac), ki uporablja AS14544. Lasten ASN je mogoč prek BYOASN.
• Kje. Ena regija Oracle na blok in hkrati en compartment.
• Koliko. Oraclova stran o BYOIP za vaš račun dovoljuje „up to 20 IPv4 CIDR blocks or IPv6 prefixes“ (prevod: „do 20 blokov IPv4 CIDR ali predpon IPv6“), njegova tabela omejitev pa to omejitev določa na regijo.
• Kateri računi. Ne Free Tier, stranke pay-as-you-go pa morajo zanj zaprositi.
• Cena. Oraclova dokumentacija o BYOIP ne navaja cene.
• Čas. Do en dan, da spremembe v registru začnejo učinkovati, nato do 10 delovnih dni.

Preden začnete

ROA za Oraclov ASN, AS31898 ali AS14544 v Serbia Central, z datumom poteka najmanj šest mesecev v prihodnosti (RPKI in ROA). Brez njega Oracle bloka ne more objaviti.

OCITOKEN v zapisu registra. Konzola ga pokaže pripravljenega za lepljenje, kot OCITOKEN::203.0.113.0/24:<validationToken>. Prek API ali CLI ta niz sestavite sami iz vrnjenega žetona. Kam gre:

Brez pooblastila (Letter of Authorization) ali objekta route. Oracle ne zahteva ne enega ne drugega, objekt route v RADb pa ustvari sam, pod svojim ASN.

Korak za korakom

01Začnite uvoz. V želeni regiji odprite Networking, nato IP management, nato BYOIP, in izberite Import BYOIP CIDR block/prefix z imenom, compartmentom in blokom. Z OCI CLI:

oci network byoip-range create --compartment-id <compartment-ocid> \
  --cidr-block 203.0.113.0/24 --display-name byoip-203-0-113-0-24

02Dodajte žeton v zapis registra, kot v zgornji tabeli. Do učinka lahko traja do en dan.

03Ustvarite ROA za AS31898 pri svojem registru.

04Dokončajte uvoz, ko sta oba vidna, s Finish Import na strani s podrobnostmi zahteve ali:

oci network byoip-range validate --byoip-range-id <byoip-range-ocid>

Računajte z do 10 delovnimi dnevi. Delovna zahteva (work request) kaže napredek.

05Napolnite public IP pool. Blok dodajte v bazen (Manage BYOIP CIDR block, nato Add to public IP pool) in iz njega rezervirajte naslove. Bazen sprejme obsege od /28 do /24, zato gre /24 vanj v celoti, večji blok pa kot bloki /24 ali manjši podobsegi:

oci network public-ip-pool create --compartment-id <compartment-ocid> --display-name pool-203-0-113-0-24
oci network public-ip-pool add --public-ip-pool-id <pool-ocid> \
  --byoip-range-id <byoip-range-ocid> --cidr-block 203.0.113.0/24
oci network public-ip create --compartment-id <compartment-ocid> \
  --lifetime RESERVED --public-ip-pool-id <pool-ocid>

06Objavite. Blok mora biti najprej zagotovljen. Na njegovi strani s podrobnostmi izberite Advertise ali:

oci network byoip-range advertise --byoip-range-id <byoip-range-ocid>

Oraclova stran ne pove ničesar o tem, da bi bil isti blok hkrati objavljen drugje, zato preklop načrtujte tako, da ga objavlja samo eno omrežje.

Vaš lasten ASN

S prinašanjem lastnega ASN (BYOASN) Oracle blok objavi z vašim ASN kot izvorom in svojim za njim kot tranzitnim ASN. ASN uvozite z žetonom v zapisu registra za ASN, kar traja do 10 delovnih dni, ustvarite ROA za svoj ASN in za Oraclovega ter na bloku izberete Update Origin ASN, z do 20 ponovitvami (prepends), če jih želite. Oracle objekt route v RADb obdrži pod svojim ASN, vašega pa doda v AS-SET, zato RADb posodobite z vašim ASN kot izvorom, če kakšno omrežje strogo filtrira. Oracle opozarja, da nekatera omrežja spremembo prevzamejo šele v 24 urah.

Napake, ki stanejo dan

• Prezgodnje dokončanje uvoza. Če Finish Import izberete, preden žeton in ROA začneta učinkovati, se postopek lahko zavleče do en dan.
• Žeton na organizaciji. Oracle je izrecen: žeton gre v zapis obsega naslovov, ne v zapis organizacije, ki ga ima.
• Status, ki ga Oracle ne navaja. ASSIGNED PA pri RIPE NCC in ponovne dodelitve (reassignments) pri ARIN niso na seznamu. Zapis preverite, preden najamete ali kupite.
• Umik ni odhod. Umaknjen blok obdrži svoje vnose v Oraclovih zapisih geolokacije in RADb, dokler ne izbrišete tudi obsega BYOIP. Izbrisan obseg zahteva ves uvoz znova.

Če blok najamete

Oracle pravi, da morate biti lastnik bloka, registriranega pri podprtem registru, o najetem prostoru pa ne objavlja ničesar posebnega. Imetnik uredi stran registra: OCITOKEN v zapisu obsega, ki ga lahko ureja samo imetnikov vzdrževalec, in ROA za Oraclov ASN ter še enega za vaš ASN, če uporabljate BYOASN. Preden podpišete, preverite status zapisa, v katerega gre žeton: najet prostor v regiji RIPE NCC je običajno registriran kot ASSIGNED PA, ki ga ni na Oraclovem seznamu. Oracle ne zahteva pooblastila.

Kje nastopi RTM Networks

Dajemo v najem bloke /24 in večje iz lastnega naslovnega prostora RIPE NCC ter prodajamo bloke v regijah RIPE NCC, ARIN in APNIC. Ker Oracle ne navaja ASSIGNED PA, je blok za OCI običajno bolje kupiti kot najeti: prenesen v vaš lasten račun LIR je registriran kot ALLOCATED PA, ki ga Oracle navaja (nakup IPv4). Za prostor PI ali legacy, ki ga sponzoriramo, dodamo OCITOKEN in ustvarimo ROA za Oraclov ASN, sponzoriramo pa tudi številko AS, ki jo potrebuje BYOASN (sponzorstvo). Za manj kot 256 naslovov na instanci OCI blok objavimo sami in ga dostavimo prek GRE ali WireGuard, v kateri koli velikosti do enega samega naslova (tuneli GRE in WireGuard). Drugi ponudniki: vodniki BYOIP.