Azure BYOIP: sopstvene IPv4 adrese kao custom IP prefix

Dokazujete da je opseg Vaš ROA-om koji navodi Microsoft-ov ASN i sertifikatom u njegovom WHOIS/RDAP zapisu, zatim obavljate provisioning i iz njega izvodite public IP prefikse i adrese.

Ovaj vodič prati unified model, za opseg koji se koristi u jednom regionu, preko Azure CLI-ja. Opseg ne može da pređe na global/regional model, nadređeni prefiks sa regionalnim podređenim, a da se ne uvede ponovo.

Šta Azure prihvata

Iz Microsoft-ove dokumentacije, na dan kada smo proverili:

• Veličina. Unified prefiks „must be between /21 and /24“ (prevod: „mora biti između /21 i /24“). Globalni nadređeni prefiks je takođe /21 do /24, sa regionalnim podređenim od /22 do /26.
• Registar i ime. Opseg „must be owned by you and registered under your name“ (prevod: „mora biti u Vašem vlasništvu i registrovan na Vaše ime“) kod regionalnog internet registra, među kojima su ARIN, RIPE NCC i APNIC. Ništa o PA, PI ili legacy statusu.
• Ko najavljuje (poreklo rute). Microsoft, pod AS8075, ili AS8070 za US Gov Cloud. Microsoft-ove BYOIP stranice ne dokumentuju opciju za sopstveni ASN. CLI komanda u koraku 1, az network custom-ip prefix create, navodi parametar --asn, opisan samo kao „The ASN for CIDR advertising“ (prevod: „ASN za najavu CIDR-a“), pa pitajte Microsoft pre nego što računate na njega.
• Regioni. Jedan region po prefiksu, i podrazumevano pet prefiksa po regionu, više na zahtev.
• Cena. „There's no charge to provision or use custom IP prefixes“ (prevod: „Nema naknade za provisioning ni korišćenje custom IP prefiksa“), niti za public IP prefikse i adrese izvedene iz njih. Saobraćaj se naplaćuje po cenama za internet egress.
• Trajanje. Oko 30 minuta za provisioning i tri do četiri sata za globalni commissioning.
• Ograničenja. Bez Internet Routing Preference, Global Tier-a, ExpressRoute Microsoft peering-a ili Standard v2 javnih IP adresa. Reverse DNS radi iz Vaših sopstvenih zona u Azure DNS-u, Windows Server Activation može trajati do nedelju dana, a opseg za koji je obavljen provisioning ne može da promeni pretplatu.

Pre nego što počnete

ROA za AS8075, sa dužinom prefiksa tačno onakvom kakvu će Microsoft najavljivati i datumom isteka koji pokriva vreme za koje želite da se najavljuje (RPKI i ROA). Računajte na najmanje 24 sata da ga Microsoft vidi. Microsoft preporučuje i ROA za svaki ASN koji danas najavljuje opseg.

Par ključeva i self-signed sertifikat, napravljeni pomoću OpenSSL-a:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Sertifikat u WHOIS/RDAP zapisu prefiksa, uključujući oznake BEGIN i END, bez razmaka i prelaza u novi red:

Potpisana poruka ovlašćenja: ID Vaše pretplate, prefiks i datum isteka ROA, tim redom:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft ne traži Letter of Authorization ni route objekat.

Korak po korak

01Obavite provisioning opsega, u postojećoj resource grupi. U regionu sa availability zonama napravite ga kao zone-redundant ili ga vežite za jednu zonu:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Sačekajte Provisioned. commissionedState koji vraća az network custom-ip prefix show prelazi iz Provisioning u Provisioned. Rani ValidationFailed znači da ROA, sertifikat ili poruka nisu prošli proveru; polje FailedReason kaže šta.

03Izvedite adrese. Napravite public IP prefix iz opsega, zatim iz njega Standard SKU adrese, i povežite ih sa VM-ovima ili load balancer-ima; još se ne najavljuju.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Commissioning. Ako je opseg aktivan drugde, dve najave istovremeno „could potentially create BGP routing instability or traffic loss“ (prevod: „mogu potencijalno da izazovu nestabilnost BGP rutiranja ili gubitak saobraćaja“). Najpre ga pustite u rad unutar regiona (Commission, pa opcija samo za region, u portalu, ili -NoInternetAdvertise u PowerShell-u), testirajte, povucite staru najavu, a zatim ga pustite u rad globalno:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Opseg se delimično najavljuje dok je u stanju Commissioning, najpre iz regiona, zatim iz Microsoft-ove mreže pod AS8075, dok ne bude Commissioned.

Greške koje koštaju dan

• Sertifikat u descr. Za RIPE NCC, Microsoft kaže remarks, dok AWS čita descr, a izričito ne remarks, pa blok koji se seli između ta dva clouda zahteva izmenu zapisa.
• Datum koji se ne poklapa. Datum u potpisanoj poruci je datum isteka ROA, u obliku yyyymmdd; ako ga nema, Microsoft kaže da izaberete datum do kojeg želite da se opseg najavljuje.
• ROA sa pogrešnom dužinom. Nepoklapanje sa prefiksom za koji obavljate provisioning pada kao InvalidPrefixLengthInROA.
• Odlazak pogrešnim redom. Obrišite svaki izvedeni public IP prefix, pa uradite decommission opsega (tri do četiri sata) pre nego što izmenite ili obrišete ROA. U suprotnom Microsoft nastavlja da najavljuje opseg koji više nije ovlašćen da najavljuje.

Ako zakupljujete blok

Prepreka je Microsoft-ovo pravilo: opseg „must be owned by you and registered under your name“ (prevod: „mora biti u Vašem vlasništvu i registrovan na Vaše ime“). Blok registrovan samo na zakupodavca to ne ispunjava onako kako je napisano, a Microsoft ne kaže da li se računa dodela (assignment) Vama unutar alokacije nosioca, pa pitajte nosioca i Microsoft pre nego što potpišete. Nosilac zatim pravi ROA za AS8075 i dodaje Vaš sertifikat u remarks zapisa. I za reverse DNS je potreban nosilac: Azure ga služi samo iz reverse zone koju hostujete u Azure DNS-u, a koju Vam nosilac delegira. Letter of Authorization nije potreban.

Gde se uklapa RTM Networks

Dajemo u zakup /24 i veće iz sopstvenog adresnog prostora RIPE NCC-a i prodajemo blokove u regionima RIPE NCC-a, ARIN-a i APNIC-a. Za prostor koji zakupljujete od nas registrujemo dodelu (assignment) Vašoj organizaciji, pravimo ROA za AS8075 i dodajemo Vaš sertifikat u zapis registra (zakup IPv4). Ako Microsoft želi više od dodele na Vaše ime, kupovina bloka to rešava (kupovina IPv4). Ako ne vodite sopstveni LIR, sponzorišemo PI i legacy prostor i AS brojeve (sponzorstvo). Za manje od 256 adresa na Azure VM-u najavljujemo blok i isporučujemo ga preko WireGuard-a, pošto Azure blokira GRE, u bilo kojoj veličini do jedne adrese (WireGuard tuneli). Drugi provajderi: BYOIP vodiči.