UpCloud BYOIP: sopstvene IP adrese u Private Cloud-u

Za Cloud Server-e u UpCloud-ovim javnim zonama, način da koristite sopstveni blok je tunel, koji ovaj vodič takođe pokriva.

Šta UpCloud prihvata

Iz UpCloud-ove dokumentacije, na dan kada smo proverili:

• Samo Private Cloud. Private Cloud pokreće Vaše Cloud Server-e na namenskim hostovima. UpCloud kaže da „offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).“ (prevod: „nudi mogućnost namenskih javnih IP blokova, i moguće je koristiti sopstvene IP blokove (BYOIP).“)
• Preko prodaje. Njegov FAQ o mrežama pita „Can I bring my own IPs or IP range?“ (prevod: „Mogu li da donesem sopstvene IP adrese ili IP opseg?“) i odgovara: „Yes, you can do this in our Private Cloud. Contact our sales team for more information.“ (prevod: „Da, to možete u našem Private Cloud-u. Obratite se našem prodajnom timu za više informacija.“) UpCloud ne dokumentuje korake u konzoli, API-ju ni CLI-ju za to.
• Gde. Private Cloud se nalazi unutar nadređene javne zone, jedne od UpCloud-ovih 15 lokacija.
• Uslovi. Stranica o Private Cloud-u na pitanje „Can I bring my own IPs?“ (prevod: „Mogu li da donesem sopstvene IP adrese?“) odgovara: „Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.“ (prevod: „Da. UpCloud podržava Bring Your Own IP (BYOIP). Vaši prefiksi mogu se najavljivati preko BGP-a (uz validaciju i LOA). Dostupnost i uslovi za veličinu prefiksa zavise od ciljnog regiona.“)
• Nije objavljeno. Koje registre UpCloud prihvata, ASN porekla, cena samog BYOIP-a i rok.
• Cena Private Cloud-a. Konfiguracije počinju od 3.190 € mesečno, po ponudi za svakog korisnika.
• Javne zone koriste UpCloud-ove adrese. Cloud Server podrazumevano dobija jednu IPv4 i jednu IPv6 adresu i može imati do pet javnih IPv4 adresa. Dodatne IPv4 adrese naplaćuju se po satu.
• Floating IP adrese su takođe UpCloud-ove. To su IPv4 adrese koje Vaš nalog rezerviše, naplaćuju se po adresi i sele se između Cloud Server-a u istom data centru. Nisu dostupne za IPv6.

Pre nego što počnete

UpCloud navodi dva uslova, validaciju i Letter of Authorization, a ostalo prepušta razgovoru sa prodajom. Pripremite ono što traži svaki provajder koji najavljuje prostor korisnika, i potvrdite svaku tačku:

1. /24 ili veći. UpCloud kaže da uslovi za veličinu prefiksa zavise od regiona, a mreže filtriraju sve manje od /24.
2. Zapis u registru. Znajte koji registar drži blok (na primer ARIN, RIPE NCC ili APNIC) i koju organizaciju zapis navodi.
3. ROA za ASN koji najavljuje, UpCloud-ov ili Vaš, sa maksimalnom dužinom podešenom na ono što se najavljuje (RPKI i ROA). Napravite ga kada UpCloud navede ASN.
4. Route objekat sa istim ASN-om kao poreklom.
5. Letter of Authorization, koji UpCloud traži, potpisan od nosioca bloka i sa UpCloud-om navedenim kao mrežom koja će ga prenositi.

Put preko tunela

Za Cloud Server-e u javnim zonama, ili dok traje razgovor o Private Cloud-u, tunel stavlja Vaš blok na server a da UpCloud ništa ne menja. Mreža koja može da najavi blok to radi, a GRE ili WireGuard tunel prenosi njegov saobraćaj do Vašeg servera i nazad (kako tunel radi).

Server zadržava IPv4 adresu koju mu je UpCloud dodelio. Ta adresa je spoljni kraj tunela: druga strana joj šalje enkapsulirane pakete, a UpCloud-ova mreža vidi običan saobraćaj između dve javne adrese. Zakupljeni blok putuje unutar tunela. Njegove adrese podešavate na tunel ili loopback interfejsu, a server na njima odgovara kao da su lokalne.

• Odgovori se vraćaju kroz tunel. Dodajte policy rutu tako da saobraćaj iz bloka izlazi kroz tunel. Poslat direktno, nosio bi izvornu adresu koju UpCloud nikada nije dodelio serveru, a mreže takav saobraćaj filtriraju.
• Otvorite UpCloud-ov firewall u oba smera. Ako ga koristite, imajte u vidu da je stateless: pravila moraju izričito da dozvole dolazni i odlazni saobraćaj. Njegova pravila obuhvataju TCP, UDP ili ICMP. Za GRE, koji je IP protokol 47, ostavite protokol na All i ograničite pravilo na adresu drugog kraja. Za WireGuard dozvolite njegov UDP port.
• Podesite MTU. 1.476 bajtova za GRE, oko 1.420 za WireGuard, sa MSS clamping-om ako server prosleđuje blok dalje virtuelnim mašinama.
• Bilo koja veličina. Tunel isporučuje manje od 256 adresa, sve do jedne jedine, što BYOIP nikada ne omogućava.

Zamke

• Preseljenje staje kod adresa u vlasništvu korisnika. UpCloud-ova funkcija Relocate Server seli server između Public i Private Cloud zona u istom data centru, uz jedno mrežno ograničenje: „The server cannot have IP addresses from a dedicated, customer-owned IP network.“ (prevod: „Server ne može imati IP adrese iz namenske IP mreže u vlasništvu korisnika.“) Isplanirajte gde će Vaš blok biti pre migracije.
• Besplatna proba blokira portove. Tokom UpCloud-ove besplatne probe neki portovi su blokirani, a mreža radi na 100 Mbit/s. Posle prve uplate svaki port osim 25 je otvoren, pa tunel testirajte nakon toga.

Ako zakupljujete blok

UpCloud ne objavljuje ništa o zakupljenom prostoru niti o tome čije ime zapis u registru mora da nosi, pa to pitajte UpCloud-ov prodajni tim kada ih kontaktirate. Za Private Cloud BYOIP, nosilac obavlja deo u registru: ROA za ASN koji UpCloud navede, route objekat i Letter of Authorization koji UpCloud traži. Sa tunelom se kod UpCloud-a ništa ne menja: mreža na drugom kraju najavljuje blok, a nosilac treba samo da ovlasti tu mrežu.

Gde se uklapa RTM Networks

Dajemo u zakup /24 i veće iz sopstvenog adresnog prostora RIPE NCC-a i prodajemo blokove u regionima RIPE NCC-a, ARIN-a i APNIC-a. Svaki zakup uključuje ROA, route objekat, PTR zapise i Letter of Authorization kad god Vam zatreba (zakup IPv4). Za Private Cloud pravimo ROA za ASN koji UpCloud navede i potpisujemo Letter of Authorization, a sponzorišemo i AS brojeve za organizacije koje ne vode sopstveni LIR (sponzorstvo za ASN). Za Cloud Server-e u javnim zonama sami najavljujemo blok i isporučujemo ga preko GRE ili WireGuard-a, u bilo kojoj veličini do jedne adrese (GRE i WireGuard tuneli). Drugi provajderi: BYOIP vodiči.