BYOIP pri UpCloud: lastni IP-naslovi v Private Cloud

Za Cloud Servers v javnih območjih UpCloud je način za uporabo lastnega bloka tunel, ki ga ta vodnik prav tako obravnava.

Kaj UpCloud sprejme

Iz dokumentacije UpCloud na dan, ko smo preverjali:

• Samo Private Cloud. Private Cloud vaše Cloud Servers poganja na namenskih gostiteljih. UpCloud pravi, da „offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).“ (prevod: „ponuja možnost namenskih javnih blokov IP in mogoče je uporabljati lastne bloke IP (BYOIP).“)
• Prek prodaje. Njegova pogosta vprašanja o omrežju sprašujejo „Can I bring my own IPs or IP range?“ (prevod: „Ali lahko prinesem lastne IP ali obseg IP?“) in odgovarjajo: „Yes, you can do this in our Private Cloud. Contact our sales team for more information.“ (prevod: „Da, to lahko storite v našem Private Cloud. Za več informacij se obrnite na našo prodajno ekipo.“) UpCloud zanj ne dokumentira korakov v konzoli, API ali CLI.
• Kje. Private Cloud je znotraj nadrejenega javnega območja, ene od 15 lokacij UpCloud.
• Pogoji. Stran o Private Cloud na vprašanje „Can I bring my own IPs?“ (prevod: „Ali lahko prinesem lastne IP?“) odgovarja: „Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.“ (prevod: „Da. UpCloud podpira Bring Your Own IP (BYOIP). Vaše predpone je mogoče objaviti prek BGP (ob preverjanju in LOA). Razpoložljivost in zahtevana velikost predpone sta odvisni od ciljne regije.“)
• Ni objavljeno. Katere registre UpCloud sprejme, izvorni ASN, cena samega BYOIP in čas izvedbe.
• Cena Private Cloud. Konfiguracije se začnejo pri 3.190 € na mesec, po ponudbi za vsako stranko.
• Javna območja uporabljajo naslove UpCloud. Cloud Server privzeto dobi en IPv4- in en IPv6-naslov in ima lahko do pet javnih IPv4-naslovov. Dodatni IPv4-naslovi se obračunavajo po urah.
• Tudi floating IPs so od UpCloud. So IPv4-naslovi, ki jih rezervira vaš račun, obračunani na naslov, in se selijo med Cloud Servers v istem podatkovnem centru. Za IPv6 niso na voljo.

Preden začnete

UpCloud navaja dve zahtevi, preverjanje in pooblastilo (Letter of Authorization), preostalo pa prepušča pogovoru s prodajo. Pripravite, kar zahteva vsak ponudnik, ki objavlja prostor strank, in vsako točko potrdite:

1. Blok /24 ali večji. UpCloud pravi, da je zahtevana velikost predpone odvisna od regije, omrežja pa filtrirajo vse, kar je manjše od /24.
2. Zapis registra. Vedite, kateri register ima blok (na primer ARIN, RIPE NCC ali APNIC) in katero organizacijo navaja zapis.
3. ROA za ASN, ki objavlja, UpCloud ali vašega, z največjo dolžino, nastavljeno na to, kar je objavljeno (RPKI in ROA). Ustvarite ga, ko UpCloud navede ASN.
4. Objekt route z istim ASN kot izvorom.
5. Pooblastilo, ki ga UpCloud zahteva, podpisano s strani imetnika bloka, ki UpCloud navaja kot omrežje, ki ga bo prenašalo.

Pot prek tunela

Za Cloud Servers v javnih območjih ali medtem ko pogovor o Private Cloud še teče, tunel postavi vaš blok na strežnik, ne da bi UpCloud kar koli spremenil. Omrežje, ki lahko blok objavi, ga objavi, tunel GRE ali WireGuard pa njegov promet prenaša do vašega strežnika in nazaj (kako tunel deluje).

Strežnik obdrži IPv4-naslov, ki mu ga je dodelil UpCloud. Ta naslov je zunanji konec tunela: druga stran mu pošilja enkapsulirane pakete, omrežje UpCloud pa vidi navaden promet med dvema javnima naslovoma. Najeti blok potuje znotraj tunela. Njegove naslove nastavite na vmesniku tunela ali povratne zanke (loopback), strežnik pa na njih odgovarja, kot da so lokalni.

• Odgovori se vračajo skozi tunel. Dodajte pravilo usmerjanja (policy route), da promet iz bloka odhaja skozi tunel. Poslan neposredno bi nosil izvorni naslov, ki ga UpCloud strežniku nikoli ni dodelil, omrežja pa tak promet filtrirajo.
• Požarni zid UpCloud odprite v obe smeri. Če ga uporabljate, upoštevajte, da je brez stanja (stateless): pravila morajo vhodni in izhodni promet dovoliti izrecno. Njegova pravila zajemajo TCP, UDP ali ICMP. Za GRE, ki je protokol IP 47, pustite protokol na All in pravilo omejite na naslov drugega konca. Za WireGuard dovolite njegova vrata UDP.
• Nastavite MTU. 1.476 bajtov za GRE, okoli 1.420 za WireGuard, z MSS clamping, če strežnik blok usmerja naprej na virtualne stroje.
• Katera koli velikost. Tunel dostavi manj kot 256 naslovov, vse do enega samega, česar BYOIP nikoli ne omogoča.

Pasti

• Selitev se ustavi pri naslovih v lasti stranke. Funkcija Relocate Server pri UpCloud seli strežnik med območji Public in Private Cloud v istem podatkovnem centru, z eno omrežno omejitvijo: „The server cannot have IP addresses from a dedicated, customer-owned IP network.“ (prevod: „Strežnik ne sme imeti IP-naslovov iz namenskega omrežja IP v lasti stranke.“) Preden selite, načrtujte, kje bo vaš blok.
• Brezplačni preizkus blokira vrata. Med brezplačnim preizkusom UpCloud so nekatera vrata blokirana, omrežje pa teče s 100 Mbit/s. Po prvem plačilu so odprta vsa vrata razen 25, zato tunel preizkusite po tem.

Če blok najamete

UpCloud ne objavlja ničesar o najetem prostoru ali o tem, čigavo ime mora nositi zapis registra, zato to vprašajte prodajno ekipo UpCloud, ko jo kontaktirate. Za BYOIP v Private Cloud imetnik uredi stran registra: ROA za ASN, ki ga navede UpCloud, objekt route in pooblastilo, ki ga UpCloud zahteva. Pri tunelu se pri UpCloud ne spremeni nič: blok objavlja omrežje na drugem koncu, imetnik pa mora pooblastiti samo to omrežje.

Kje nastopi RTM Networks

Dajemo v najem bloke /24 in večje iz lastnega naslovnega prostora RIPE NCC ter prodajamo bloke v regijah RIPE NCC, ARIN in APNIC. Vsak najem vključuje ROA, objekt route, zapise PTR in pooblastilo, kadar ga potrebujete (najem IPv4). Za Private Cloud ustvarimo ROA za ASN, ki ga navede UpCloud, in podpišemo pooblastilo, sponzoriramo pa tudi številke AS za organizacije, ki nimajo lastnega LIR (sponzorstvo ASN). Za Cloud Servers v javnih območjih blok objavimo sami in ga dostavimo prek GRE ali WireGuard, v kateri koli velikosti do enega samega naslova (tuneli GRE in WireGuard). Drugi ponudniki: vodniki BYOIP.