AWS BYOIP: kendi IPv4 adreslerinizi EC2'ye getirin

Aralığı kontrol ettiğinizi, kayıt nesnesindeki bir sertifika ve AWS'nin ASN'lerini adlandıran bir ROA ile kanıtlar, onu bir adres havuzuna provizyonlar ve AWS'nin kendi adreslerinden yaptığınız gibi ondan Elastic IP adresleri ayırırsınız. Getirdiğiniz adreslere saatlik genel IPv4 ücreti uygulanmaz.

Bu rehber AWS CLI üzerinden EC2'yi kapsar. Aynı aralık, kendi süreci olan AWS Global Accelerator'a da gidebilir ya da kontrolü DNS tabanlı bir yolla kanıtlama ve kendi ASN'nizden anons etme seçeneğini ekleyen VPC IP Address Manager (IPAM) üzerinden geçebilir.

AWS neyi kabul ediyor

Kontrol ettiğimiz gün AWS belgelerine göre:

• Boyut. Getirebileceğiniz en spesifik IPv4 aralığı bir /24'tür.
• Kayıt. ARIN, RIPE NCC veya APNIC; ve bir kişiye değil, her zaman bir şirkete veya kuruma kayıtlı.
• Geçmiş. AWS aralığın itibarını kontrol edebilir ve kötü sicili olan adresler içereni reddedebilir (bir bloğu temiz tutmak).
• Legacy alan kabul edilir, ancak yine de bir ROA gerektirir.
• Aralık başına aynı anda tek bir Region ve varsayılan olarak Region başına beş aralık; AWS Support bunu artırabilir.
• Nerede. China Region'ları dışındaki tüm ticari Region'lar ve bir Local Zone listesi.
• Routing registry'ye dokunmayın. AWS, RADb'yi kendisi günceller ve AWS'nin ASN'sini içeren elle yapılmış bir değişiklik provizyonun başarısız olmasına yol açar.

Başlamadan önce

AWS'nin ASN'leri için bir ROA. AS16509 ve AS14618'i ve bugün aralığı anons eden her ASN'yi yetkilendirmeli, maksimum uzunluk da getirdiğiniz aralığın boyutuna ayarlanmalıdır. AWS GovCloud (US) Bölgelerinde ROA bunun yerine AS8987'yi, AWS European Sovereign Cloud'da ise AS16509 ve AS214101'i belirtir; IPAM üzerinden, bloğu bölebilmek için /24 olarak ayarlayın. Aralığı kendi ağınızdan taşıyorsanız, şu an çalışan hiçbir şeyin geçersiz hâle gelmemesi için önce mevcut ASN'niz için ROA'yı oluşturun (RPKI ve ROA'lar). Bir ROA'nın AWS'ye ulaşması 24 saate kadar sürebilir.

Bir anahtar çifti ve bir sertifika, OpenSSL 1.0.2 veya daha yenisiyle oluşturulmuş:

openssl genpkey -aes256 -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out private-key.pem
openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

Kayıt nesnesindeki sertifika, BEGIN ve END işaretleri dahil tek satırda. Nereye gideceği kayıt kuruluşuna bağlıdır ve alan önemlidir:

Provizyon tamamlandıktan sonra sertifikayı kaldırabilirsiniz.

Adım adım

01Yetkilendirme mesajını imzalayın. Mesaj hesabınızı, aralığı ve bir son kullanma tarihini belirtir:

text_message="1|aws|123456789012|203.0.113.0/24|20261231|SHA256|RSAPSS"
signed_message=$(echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n")

02Aralığı provizyonlayın, onu kullanacağınız Region'da:

aws ec2 provision-byoip-cidr --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$text_message",Signature="$signed_message" \
  --region eu-central-1

03Bekleyin. Durum pending-provision'dan provisioned'a geçer. AWS çoğu aralığın iki saat içinde bittiğini, bazılarının bir haftaya kadar sürdüğünü söylüyor; aws ec2 describe-byoip-cidrs --max-results 5 --region eu-central-1 nerede olduğunu gösterir.

04Hazırlayın, sonra geçiş yapın. Kesintiyi kısa tutmak için, aralık anons edilmeden önce yeni havuzdan Elastic IP adresleri ayırın ve bağlayın. aws ec2 describe-public-ipv4-pools havuzun ID'sini verir ve aws ec2 allocate-address --public-ipv4-pool <pool-id> ondan bir adres alır.

05Anons edin. Aralığı başka her yerde anons etmeyi durdurun, sonra:

aws ec2 advertise-byoip-cidr --cidr 203.0.113.0/24 --region eu-central-1

AWS, aralığı önce diğer konumlardan geri çekmenizi önerir; başka biri onu anons ettiği sürece AWS, aralığın trafiğinin kendi ağına ulaşacağını taahhüt edemez. Provizyonladığınız aralığın tam olarak kendisini anons etmelisiniz, asla bir kısmını değil.

06Dışarıdan kontrol edin. whois -r -h whois.ripe.net 203.0.113.0/24 | grep descr sertifikayı göstermeli ve RIPEstat'ın doğrulayıcısı aralığı AS16509 için geçerli olarak göstermelidir: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=16509&prefix=203.0.113.0/24".

Bir gün kaybettiren hatalar

• Sertifika yanlış alanda. RIPE NCC için AWS descr'i okur, açıkça remarks'ı değil. Azure tersini ister; bu yüzden iki bulut arasında taşınan bir blok için kaydın değiştirilmesi gerekir.
• Yanlış maksimum uzunluklu bir ROA. AWS bunun getirdiğiniz aralığın boyutuna veya IPAM üzerinden /24'e eşit olmasını şart koşar. Getirdiğiniz aralıktan daha spesifik bir maksimum uzunluk, sub-prefix hijack'lerine davetiye çıkarır ve AWS, ROA'ları kurallarına uymayan bir aralığı anons etmeyi durdurma hakkını saklı tutar.
• Aralığın bir kısmını anons etmek. AWS tam olarak provizyonladığınızı anons eder. Daha küçük bir aralık kullanmak için deprovizyon yapıp yeniden provizyonlayın.
• İki ağın aynı anda anons etmesi. Trafik ikisi arasında bölünür ve AWS bunun sorununu gidermez.

Kendi ASN'niz

VPC IPAM üzerinden AWS aralığınızı kendi ASN'si yerine sizin ASN'nizden anons edebilir. Aynı sertifikayı ASN'nizin kayıt nesnesine eklersiniz (RIPE NCC için aut-num üzerinde bir descr satırı olarak), ASN'nizi adlandıran ikinci bir ROA oluşturursunuz ve AWS, AS16509 ve AS14618'i sağlayıcılarınız olarak listeleyen bir ASPA nesnesi önerir; bunlar olmadan AWS'nin sizin için ilettiği route'lar ASPA doğrulamasından geçemez. Origin'i istediğiniz zaman AWS'nin ASN'sine geri, kendi ASN'nize ise en fazla saatte bir kez çevirebilirsiniz.

Bloğu kiralıyorsanız

Kiralanmış alan, kayıt onu bir kuruluşun elinde gösterdiği sürece çalışır. Kayıt tarafını blok sahibi yapar: yalnızca sahibin maintainer'ının düzenleyebildiği inetnum kaydındaki sertifika ve AS16509 ile AS14618 için ROA. Gerisini AWS hesabınızdan siz yaparsınız.

RTM Networks'ün yeri

Kendi RIPE NCC adres alanımızdan /24 ve daha büyük bloklar kiralarız ve RIPE NCC, ARIN ve APNIC bölgelerinde blok satarız. Bizden kiralanan alan için AWS sertifikanızı kayıt nesnesine ekler ve AWS'nin ASN'leri için ROA'yı oluştururuz; böylece size kalan tek adım provizyon olur (IPv4 kiralama). Bir EC2 instance'ında 256'dan az adrese ihtiyacınız varsa, onları bunun yerine bir tünel üzerinden ulaştırabiliriz (GRE ve WireGuard tünelleri). Saatlik IPv4 ücretinin nasıl biriktiği ve kendi adreslerinizi getirmenin ne zaman kârlı olduğu: bulut IPv4'ün gerçek maliyeti. Diğer sağlayıcılar: BYOIP rehberleri.