Google Cloud BYOIP: sopstvene IPv4 adrese na Compute Engine-u

Kontrolu nad blokom dokazujete ROA-om koji navodi Google-ov ASN i PTR zapisom koji nosi ime koje Vam Google daje, zatim iz njega izdvajate delegirane prefikse i iz njih pravite statičke eksterne adrese.

Ovaj vodič pokriva IPv4 u konfiguraciji koju Google preporučuje, regionalni (v2) prefiks na Premium Tier-u, preko gcloud CLI-ja. Globalne adrese za globalne load balancer-e koriste stariju v1 konfiguraciju, a Vaš projekat najpre mora da bude na allowlist-i.

Šta Google Cloud prihvata

Iz dokumentacije Google Cloud-a, na dan kada smo proverili:

• Veličina. Public advertised prefix od „/16 to /24“ (prevod: „/16 do /24“) na Premium Tier-u, podrazumevanom, ili „/16 to /23“ (prevod: „/16 do /23“) na Standard Tier-u, koji je u fazi Preview. Možete ga podeliti do blokova /28.
• Registar. Google daje linkove ka uputstvima za ROA za svaki regionalni registar, među njima ARIN, RIPE NCC i APNIC. Ne objavljuje ništa o PA, PI ili legacy statusu, niti o tome na čije ime blok mora da glasi.
• Ko najavljuje (poreklo rute). Google, sa AS396982 na Premium Tier-u ili AS19527 na Standard Tier-u. Ne dokumentuje opciju najave sa sopstvenog ASN-a.
• Bez preklapanja. „Google does not support overlapping BYOIP route announcements“ (prevod: „Google Cloud ne podržava preklapajuće BYOIP najave ruta“): ni prefiks ni bilo koji njegov deo ne sme da se najavljuje drugde dok ga Google najavljuje.
• Regioni. Svaki delegirani prefiks služi jednom regionu, ili globalnom opsegu. Google-ove BYOIP stranice ne navode isključene regione.
• Cena. „There are no charges for idle or in-use IP addresses.“ (prevod: „Nema naknada za neaktivne IP adrese ni za one u upotrebi.“)
• Trajanje. „Approximately 2 weeks“ (prevod: „otprilike 2 nedelje“) za v2 prefiks posle validacije, „approximately 4 weeks“ (prevod: „otprilike 4 nedelje“) za v1 i globalne. Provisioning se „cannot be accelerated“ (prevod: „ne može ubrzati“).
• Resursi. Većina onih koji primaju statičku eksternu adresu, ali ne GKE čvorovi i Pod-ovi niti eksterna adresa Cloud VPN gateway-a. Adrese ne mogu da se sele između projekata.

Pre nego što počnete

ROA za Google-ov ASN. Na Premium Tier-u navodi prefiks, njegovu tačnu dužinu i AS396982. Na Standard Tier-u navodi AS19527, ili u jednom ROA za svaki prefiks za koji ćete obaviti provisioning, što Google preporučuje, ili u jednom ROA sa maksimalnom dužinom /24 (RPKI i ROA).

Drugi ROA za Vaš sopstveni ASN. Google preporučuje jedan sa istim podacima i Vašim ASN-om kao poreklom, da mreže koje rade route origin validation ne bi tretirale prefiks kao nevažeći ako ga ikada budete sami najavljivali.

Kontrola nad reverse DNS-om. Google proverava vlasništvo PTR zapisom, ne tokenom u zapisu registra. Birate neiskorišćenu adresu u prefiksu, Google vraća ime (svoju deljenu tajnu), a Vi objavljujete PTR zapis za tu adresu koji pokazuje na to ime pod Vašim domenom.

Ništa drugo iz registra. Google ne traži sertifikat, Letter of Authorization ni route objekat. Na njegovoj strani Vam treba uloga Compute Public IP Admin (roles/compute.publicIpAdmin) na projektu.

Korak po korak

01Napravite public advertised prefix, navodeći adresu koju ćete koristiti za DNS validaciju:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Za Standard Tier koristite gcloud beta i dodajte --network-tier=STANDARD.

02Objavite PTR zapis. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' daje ime. Ako je to 55kk88tt00, a Vaš domen example.net, onda dig +short -x 203.0.113.144 mora da vrati 55kk88tt00.example.net.

03Pokrenite validaciju:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Status postaje VALIDATED, ili REVERSE_DNS_LOOKUP_FAILED ako Google ne može da pronađe zapis. Provisioning je završen kada describe sa --format='value(status)' prikaže PREFIX_CONFIGURATION_COMPLETE.

04Delegirajte blok regionu. Ovo može da teče dok čekate:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Napravite adrese. Regionalni javni delegirani prefiksi napravljeni posle 13. decembra 2025. omogućavaju pojedinačne adrese:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Stariji prefiksi i globalne adrese primaju cele blokove, preko delegated-sub-prefixes create --create-addresses. Povežite adrese sa VM-ovima ili forwarding pravilima. Još nisu dostupne.

06Najavite. Uverite se da nijedna druga mreža ne najavljuje blok. Najpre najavite delegirani prefiks, koji Google prenosi unutar sopstvene mreže, zatim advertised prefix, koji ide na internet sa svih Google-ovih tačaka prisustva:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Spolja, RIPEstat-ov validator treba da proglasi prefiks važećim za AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Greške koje koštaju dan

• Dve mreže najavljuju. Preklapanje uključuje i specifičniju rutu: /24 najavljen drugde unutar /23 koji donosite se računa. Google upozorava na „unexpected routing and packet loss“ (prevod: „neočekivano rutiranje i gubitak paketa“).
• v1 se najavljuje sam. Globalni (v1) prefiks se najavljuje čim se obavi provisioning njegovog delegiranog prefiksa. Google kaže da ne pravite delegirane prefikse sve dok blok najavljuje bilo ko drugi.
• Istekao ROA. Ako ROA istekne, a Vi ga ne obnovite u roku od četiri nedelje od Google-ovog obaveštenja o obnovi, Google prestaje da najavljuje prefiks.
• Imena i regioni su fiksni. Preimenovanje prefiksa znači brisanje i ponovno pravljenje, a seljenje delegiranog prefiksa u drugi region „can take approximately eight weeks“ (prevod: „može trajati otprilike osam nedelja“). Birajte imena kao pap-203-0-113-0-24 i delegirajte samo ono u šta ste sigurni.
• Prerano uklanjanje ROA. Posle brisanja public advertised prefix-a, sačekajte 14 dana pre nego što uklonite ROA za Google-ov ASN.

Ako zakupljujete blok

Google ne objavljuje pravilo o tome na čije ime je blok registrovan i ne traži Letter of Authorization. Obe njegove provere, ROA i PTR zapis, nalaze se kod nosioca zakupljenog bloka. Nosilac pravi ROA za AS396982 ili AS19527, i onaj za Vaš ASN ako ga želite. Nosilac takođe pravi PTR zapis sa Google-ovim imenom, ili delegira reverse zonu bloka na name servere koje Vi kontrolišete. Dogovorite da se ROA obnavlja dokle god Google najavljuje blok i da se zadrži 14 dana nakon što odete.

Gde se uklapa RTM Networks

Dajemo u zakup /24 i veće iz sopstvenog adresnog prostora RIPE NCC-a i prodajemo blokove u regionima RIPE NCC-a, ARIN-a i APNIC-a. Za prostor koji zakupljujete od nas pravimo ROA za Google-ov ASN i PTR zapis sa Google-ovim imenom (zakup IPv4). Ako Vam treba manje od 256 adresa na Compute Engine VM-u, sami najavljujemo blok i isporučujemo ga preko GRE ili WireGuard-a, u bilo kojoj veličini do jedne adrese (GRE i WireGuard tuneli). Kako se satna naknada za IPv4 sabira kod velikih cloud provajdera: stvarna cena IPv4 u cloudu. Drugi provajderi: BYOIP vodiči.