BYOIP hos Azure: ta med dina egna IPv4-adresser som custom IP prefix

Du visar att intervallet är ditt med en ROA som anger Microsofts ASN och ett certifikat i dess WHOIS/RDAP-post, provisionerar det och härleder sedan publika IP-prefix och adresser ur det.

Den här guiden följer den enhetliga modellen, för ett intervall som används i en region, via Azure CLI. Ett intervall kan inte byta till den globala/regionala modellen, en förälder med regionala barn, utan att tas in på nytt.

Vad Azure godtar

Enligt Microsofts dokumentation, den dag vi kontrollerade:

• Storlek. Ett enhetligt prefix ”must be between /21 and /24” (översättning: ”måste vara mellan /21 och /24”). En global förälder är också /21 till /24, med regionala barn på /22 till /26.
• Register och namn. Intervallet ”must be owned by you and registered under your name” (översättning: ”måste ägas av dig och vara registrerat i ditt namn”) hos ett regionalt internetregister, bland dem ARIN, RIPE NCC och APNIC. Inget om status PA, PI eller legacy.
• Vem som annonserar. Microsoft, under AS8075, eller AS8070 för US Gov Cloud. Microsofts BYOIP-sidor dokumenterar inget alternativ för ditt eget ASN. CLI-kommandot i steg 1, az network custom-ip prefix create, listar visserligen en parameter --asn, beskriven bara som ”The ASN for CIDR advertising” (översättning: ”ASN för annonsering av CIDR”), så fråga Microsoft innan du räknar med den.
• Regioner. En region per prefix, och fem prefix per region som standard, fler på begäran.
• Pris. ”There's no charge to provision or use custom IP prefixes” (översättning: ”Det kostar inget att provisionera eller använda custom IP prefixes”), inte heller för de publika IP-prefix och adresser som härleds ur dem. Trafik debiteras enligt priserna för utgående internettrafik.
• Tid. Ungefär 30 minuter för att provisionera och tre till fyra timmar för att driftsätta globalt.
• Begränsningar. Ingen Internet Routing Preference, Global Tier, ExpressRoute Microsoft peering eller publika IP-adresser av typen Standard v2. Omvänd DNS körs från dina egna zoner i Azure DNS, Windows Server Activation kan ta upp till en vecka, och ett provisionerat intervall kan inte byta prenumeration.

Innan du börjar

En ROA för AS8075, med prefixlängden exakt som Microsoft kommer att annonsera den och ett utgångsdatum som täcker den tid du vill att den annonseras (RPKI och ROA). Räkna med minst 24 timmar innan Microsoft ser den. Microsoft rekommenderar också en ROA för varje ASN som annonserar intervallet i dag.

Ett nyckelpar och ett självsignerat certifikat, skapade med OpenSSL:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Certifikatet i prefixets WHOIS/RDAP-post, inklusive markeringarna BEGIN och END, utan mellanslag eller radbrytningar:

Ett signerat godkännandemeddelande: ditt prenumerations-ID, prefixet och ROA:ns utgångsdatum, i den ordningen:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft ber inte om något Letter of Authorization och inget route-objekt.

Steg för steg

01Provisionera intervallet, i en befintlig resursgrupp. I en region med tillgänglighetszoner gör du det zonredundant eller fäster det vid en zon:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Vänta på Provisioned. Det commissionedState som az network custom-ip prefix show returnerar går från Provisioning till Provisioned. Ett tidigt ValidationFailed betyder att ROA:n, certifikatet eller meddelandet inte godkändes; fältet FailedReason säger vilket.

03Härled adresser. Skapa ett publikt IP-prefix ur intervallet, sedan adresser med Standard SKU ur det, och koppla dem till virtuella maskiner eller lastbalanserare; de annonseras inte ännu.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Driftsätt. Är intervallet i drift någon annanstans kan två annonseringar samtidigt skapa instabil BGP-routing eller trafikförlust (”could potentially create BGP routing instability or traffic loss”). Driftsätt det först inom regionen (Commission, sedan alternativet för enbart regionen, i portalen, eller -NoInternetAdvertise i PowerShell), testa, dra tillbaka den gamla annonseringen och driftsätt det sedan globalt:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Intervallet annonseras delvis medan det är Commissioning, först från regionen, sedan från Microsofts nät under AS8075, tills det är Commissioned.

Misstag som kostar en dag

• Certifikatet i descr. För RIPE NCC säger Microsoft remarks, medan AWS läser descr och uttryckligen inte remarks, så ett block som flyttas mellan de två molnen behöver en ändrad post.
• Ett datum som inte stämmer. Datumet i det signerade meddelandet är ROA:ns utgångsdatum, som yyyymmdd; saknas ett, säger Microsoft att du ska välja det datum till vilket du vill att intervallet annonseras.
• En ROA med fel längd. En avvikelse från prefixet du provisionerar misslyckas som InvalidPrefixLengthInROA.
• Att lämna i fel ordning. Radera varje härlett publikt IP-prefix och avveckla sedan intervallet (tre till fyra timmar) innan du ändrar eller raderar ROA:n. Annars fortsätter Microsoft att annonsera ett intervall som det inte längre har rätt att annonsera.

Om du hyr blocket

Microsofts regel är hindret: intervallet ”must be owned by you and registered under your name” (översättning: ”måste ägas av dig och vara registrerat i ditt namn”). Ett block som bara är registrerat på uthyraren uppfyller inte det som det är skrivet, och Microsoft säger inte om en tilldelning till dig inom innehavarens allokering räcker, så fråga innehavaren och Microsoft innan du skriver på. Innehavaren skapar sedan ROA:n för AS8075 och lägger in ditt certifikat i postens remarks. Omvänd DNS kräver också innehavaren: Azure levererar den bara från en omvänd zon som du har i Azure DNS, och som innehavaren delegerar till dig. Inget Letter of Authorization behövs.

Var RTM Networks passar in

Vi hyr ut /24 och större från vårt eget adressutrymme hos RIPE NCC, och säljer block i regionerna för RIPE NCC, ARIN och APNIC. För utrymme du hyr av oss registrerar vi tilldelningen på din organisation, skapar ROA:n för AS8075 och lägger in ditt certifikat i registerposten (hyr IPv4). Vill Microsoft ha mer än en tilldelning i ditt namn löser ett köp av blocket det (köp IPv4). Driver du inte en egen LIR sponsrar vi PI- och legacy-utrymme och AS-nummer (sponsring). För färre än 256 adresser på en virtuell maskin i Azure annonserar vi ett block och levererar det över WireGuard, eftersom Azure blockerar GRE, i valfri storlek ner till en enda adress (WireGuard-tunnlar). Andra leverantörer: BYOIP-guider.