BYOIP hos Google Cloud: ta med dina egna IPv4-adresser till Compute Engine

Du visar kontroll över blocket med en ROA som anger Googles ASN och en PTR-post som bär ett namn Google ger dig, skär sedan ut delegerade prefix ur det och skapar statiska externa adresser ur dem.

Den här guiden gäller IPv4 i den konfiguration Google rekommenderar, ett regionalt prefix (v2) på Premium Tier, via gcloud CLI. Globala adresser för globala lastbalanserare använder den äldre konfigurationen v1, och ditt projekt måste först finnas på en tillåtelselista.

Vad Google Cloud godtar

Enligt Google Clouds dokumentation, den dag vi kontrollerade:

• Storlek. Ett public advertised prefix på ”/16 to /24” (översättning: ”/16 till /24”) på Premium Tier, standardvalet, eller ”/16 to /23” (översättning: ”/16 till /23”) på Standard Tier, som är i Preview. Du kan dela det ner till block på /28.
• Register. Google länkar instruktioner för ROA för varje regionalt register, bland dem ARIN, RIPE NCC och APNIC. Det publicerar inget om status PA, PI eller legacy, eller om i vems namn blocket måste stå.
• Vem som annonserar. Google, från AS396982 på Premium Tier eller AS19527 på Standard Tier. Det dokumenterar inget alternativ för att annonsera från ditt eget ASN.
• Ingen överlappning. ”Google does not support overlapping BYOIP route announcements” (översättning: ”Google Cloud stöder inte överlappande annonseringar av BYOIP-routes”): varken prefixet eller någon del av det får annonseras någon annanstans medan Google annonserar det.
• Regioner. Varje delegerat prefix betjänar en region, eller det globala omfånget. Googles BYOIP-sidor nämner inga undantagna regioner.
• Pris. ”There are no charges for idle or in-use IP addresses.” (översättning: ”Det kostar inget för oanvända eller använda IP-adresser.”)
• Tid. ”Approximately 2 weeks” (översättning: ”ungefär 2 veckor”) för ett v2-prefix efter valideringen, ”approximately 4 weeks” (översättning: ”ungefär 4 veckor”) för v1 och globala. Provisioneringen ”cannot be accelerated” (översättning: ”kan inte påskyndas”).
• Resurser. De flesta av dem som tar en statisk extern adress, men inte GKE-noder och Pods eller den externa adressen för en Cloud VPN-gateway. Adresser kan inte flyttas mellan projekt.

Innan du börjar

En ROA för Googles ASN. På Premium Tier anger den prefixet, dess exakta längd och AS396982. På Standard Tier anger den AS19527, antingen i en ROA för varje prefix du kommer att provisionera, vilket Google rekommenderar, eller i en ROA med maxlängden /24 (RPKI och ROA).

En andra ROA för ditt eget ASN. Google rekommenderar en med samma uppgifter och ditt ASN som origin, så att nät som gör route origin validation inte behandlar prefixet som ogiltigt om du någon gång annonserar det själv.

Kontroll över omvänd DNS. Google kontrollerar ägandet med en PTR-post, inte med en token i registerposten. Du väljer en oanvänd adress i prefixet, Google returnerar ett namn (dess delade hemlighet), och du publicerar en PTR-post för den adressen som pekar på det namnet under din domän.

Inget annat från registret. Google ber inte om något certifikat, Letter of Authorization eller route-objekt. På dess sida behöver du rollen Compute Public IP Admin (roles/compute.publicIpAdmin) i projektet.

Steg för steg

01Skapa public advertised prefix, och ange den adress du ska använda för DNS-valideringen:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

För Standard Tier använder du gcloud beta och lägger till --network-tier=STANDARD.

02Publicera PTR-posten. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' ger namnet. Är det 55kk88tt00 och din domän example.net måste dig +short -x 203.0.113.144 returnera 55kk88tt00.example.net.

03Starta valideringen:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Statusen blir VALIDATED, eller REVERSE_DNS_LOOKUP_FAILED om Google inte hittar posten. Provisioneringen är klar när describe med --format='value(status)' visar PREFIX_CONFIGURATION_COMPLETE.

04Delegera ett block till en region. Det kan göras medan du väntar:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Skapa adresser. Regionala publika delegerade prefix som skapats efter den 13 december 2025 tillåter enskilda adresser:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Äldre prefix och globala adresser tar hela block, via delegated-sub-prefixes create --create-addresses. Koppla adresserna till virtuella maskiner eller forwarding rules. De går inte att nå ännu.

06Annonsera. Se till att inget annat nät annonserar blocket. Annonsera först det delegerade prefixet, som Google bär inom sitt eget nät, och sedan public advertised prefix, som går ut på internet från alla Googles anslutningspunkter:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Utifrån ska RIPEstats validator kalla prefixet giltigt för AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Misstag som kostar en dag

• Två nät som annonserar. Överlappning omfattar en mer specifik route: ett /24 som annonseras någon annanstans inom ett /23 du tar med räknas. Google varnar för ”unexpected routing and packet loss” (översättning: ”oväntad routing och paketförlust”).
• v1 annonserar sig själv. Ett globalt prefix (v1) annonseras så snart dess delegerade prefix provisionerats. Google säger att du inte ska skapa delegerade prefix förrän ingen annan annonserar blocket.
• En utgången ROA. Går ROA:n ut och du inte förnyar den inom fyra veckor från Googles påminnelse om förnyelse, slutar Google annonsera prefixet.
• Namn och regioner är fasta. Att byta namn på ett prefix innebär att radera och skapa om det, och att flytta ett delegerat prefix till en annan region ”can take approximately eight weeks” (översättning: ”kan ta ungefär åtta veckor”). Välj namn som pap-203-0-113-0-24 och delegera bara det du är säker på.
• Att ta bort ROA:n för tidigt. Efter att du raderat ett public advertised prefix, vänta 14 dagar innan du tar bort ROA:n för Googles ASN.

Om du hyr blocket

Google publicerar ingen regel om i vems namn blocket är registrerat, och ber inte om något Letter of Authorization. Dess två kontroller, ROA:n och PTR-posten, ligger båda hos innehavaren av ett hyrt block. Innehavaren skapar ROA:n för AS396982 eller AS19527, och den för ditt ASN om du vill ha den. Innehavaren skapar också PTR-posten med Googles namn, eller delegerar blockets omvända zon till namnservrar du kontrollerar. Kom överens om att ROA:n förnyas så länge Google annonserar blocket, och behålls i 14 dagar efter att du lämnat.

Var RTM Networks passar in

Vi hyr ut /24 och större från vårt eget adressutrymme hos RIPE NCC, och säljer block i regionerna för RIPE NCC, ARIN och APNIC. För utrymme du hyr av oss skapar vi ROA:n för Googles ASN och PTR-posten med Googles namn (hyr IPv4). Behöver du färre än 256 adresser på en virtuell maskin i Compute Engine annonserar vi ett block själva och levererar det över GRE eller WireGuard, i valfri storlek ner till en enda adress (GRE- och WireGuard-tunnlar). Hur timavgiften för IPv4 summeras hos de stora molnen: den verkliga kostnaden för IPv4 i molnet. Andra leverantörer: BYOIP-guider.