Azure BYOIP: kendi IPv4 adreslerinizi custom IP prefix olarak getirin

Aralığın size ait olduğunu Microsoft'un ASN'sini adlandıran bir ROA ve WHOIS/RDAP kaydındaki bir sertifikayla kanıtlar, ardından onu provizyonlar ve ondan public IP prefix'leri ve adresler türetirsiniz.

Bu rehber, tek bir bölgede kullanılan bir aralık için birleşik (unified) modeli Azure CLI üzerinden izler. Bir aralık, yeniden onboard edilmeden global/regional modele, yani bölgesel alt prefix'leri olan bir üst prefix'e geçemez.

Azure neyi kabul ediyor

Kontrol ettiğimiz gün Microsoft belgelerine göre:

• Boyut. Birleşik bir prefix “must be between /21 and /24” (çeviri: “/21 ile /24 arasında olmalıdır”). Küresel bir üst prefix de /21 ile /24 arasındadır ve bölgesel alt prefix'leri /22 ile /26 arasındadır.
• Kayıt ve ad. Aralık, aralarında ARIN, RIPE NCC ve APNIC'in bulunduğu bir Bölgesel İnternet Kayıt Kuruluşunda “must be owned by you and registered under your name” (çeviri: “size ait olmalı ve sizin adınıza kayıtlı olmalıdır”). PA, PI veya legacy statüsü hakkında hiçbir şey yok.
• Kim anons eder. Microsoft, AS8075 altında veya US Gov Cloud için AS8070. Microsoft'un BYOIP sayfaları kendi ASN'niz için bir seçenek belgelemiyor. 1. adımdaki CLI komutu az network custom-ip prefix create bir --asn parametresi listeliyor, ancak yalnızca “The ASN for CIDR advertising” (çeviri: “CIDR anonsu için ASN”) olarak açıklanıyor; ona güvenmeden önce Microsoft'a sorun.
• Bölgeler. Prefix başına bir bölge ve varsayılan olarak bölge başına beş prefix, talep üzerine daha fazla.
• Fiyat. “There's no charge to provision or use custom IP prefixes” (çeviri: “Custom IP prefix'leri provizyonlamak veya kullanmak ücretsizdir”); onlardan türetilen public IP prefix'leri ve adresler için de ücret yok. Trafik, internet çıkış (egress) ücretleriyle faturalandırılır.
• Süre. Provizyon için yaklaşık 30 dakika, küresel devreye alma için üç ila dört saat.
• Sınırlar. Internet Routing Preference, Global Tier, ExpressRoute Microsoft peering veya Standard v2 public IP yok. Reverse DNS Azure DNS'teki kendi zone'larınızdan çalışır, Windows Server Activation bir haftaya kadar sürebilir ve provizyonlanmış bir aralık abonelik değiştiremez.

Başlamadan önce

AS8075 için bir ROA; prefix uzunluğu tam olarak Microsoft'un anons edeceği gibi ve son kullanma tarihi anons edilmesini istediğiniz süreyi kapsayacak şekilde (RPKI ve ROA'lar). Microsoft'un onu görmesi için en az 24 saat ayırın. Microsoft ayrıca bugün aralığı anons eden her ASN için bir ROA önerir.

Bir anahtar çifti ve kendinden imzalı bir sertifika, OpenSSL ile oluşturulmuş:

openssl genrsa -out byoipprivate.key 2048
openssl req -new -x509 -key byoipprivate.key -days 180 | tr -d "\n" > byoippublickey.cer

Prefix'in WHOIS/RDAP kaydındaki sertifika, BEGIN ve END işaretleri dahil, boşluk veya satır sonu olmadan:

İmzalı bir yetkilendirme mesajı: abonelik ID'niz, prefix ve ROA'nın son kullanma tarihi, bu sırayla:

byoipauth="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx|203.0.113.0/24|20270430"
byoipauthsigned=$(echo $byoipauth | tr -d "\n" | openssl dgst -sha256 -sign byoipprivate.key -keyform PEM | openssl base64 | tr -d "\n")

Microsoft Yetki Belgesi veya route nesnesi istemiyor.

Adım adım

01Aralığı provizyonlayın, mevcut bir resource group'ta. Availability zone'ları olan bir bölgede onu zone-redundant yapın veya tek bir zone'a sabitleyin:

az network custom-ip prefix create --name byoip-203-0-113-0-24 \
  --resource-group byoip-rg --location westeurope --cidr 203.0.113.0/24 --zone 1 2 3 \
  --authorization-message "$byoipauth" --signed-message "$byoipauthsigned"

02Provisioned durumunu bekleyin. az network custom-ip prefix show komutunun döndürdüğü commissionedState, Provisioning'den Provisioned'a geçer. Erken bir ValidationFailed, ROA'nın, sertifikanın veya mesajın doğrulanamadığı anlamına gelir; FailedReason alanı hangisi olduğunu söyler.

03Adres türetin. Aralıktan bir public IP prefix oluşturun, sonra ondan Standard SKU adresleri türetin ve VM'lere veya load balancer'lara bağlayın; henüz anons edilmezler.

az network public-ip prefix create --name pip-203-0-113-0-28 --resource-group byoip-rg \
  --location westeurope --length 28 --custom-ip-prefix-name byoip-203-0-113-0-24 --zone 1 2 3

04Devreye alın. Aralık başka bir yerde canlıysa, aynı anda iki anons “could potentially create BGP routing instability or traffic loss” (çeviri: “BGP yönlendirmesinde istikrarsızlığa veya trafik kaybına yol açabilir”). Önce bölge içinde devreye alın (portalda Commission, ardından yalnızca bölge seçeneği, ya da PowerShell'de -NoInternetAdvertise), test edin, eski anonsu geri çekin, sonra küresel olarak devreye alın:

az network custom-ip prefix update --name byoip-203-0-113-0-24 --resource-group byoip-rg --state commission

Aralık Commissioning durumundayken kısmen anons edilir, önce bölgeden, sonra AS8075 altında Microsoft'un ağından, ta ki Commissioned olana kadar.

Bir gün kaybettiren hatalar

• Sertifika descr'de. RIPE NCC için Microsoft remarks diyor, AWS ise descr'i okuyor ve açıkça remarks'ı değil; bu yüzden iki bulut arasında taşınan bir bloğun kaydının değiştirilmesi gerekir.
• Uyuşmayan bir tarih. İmzalı mesajdaki tarih, yyyymmdd biçiminde ROA'nın son kullanma tarihidir; yoksa Microsoft, aralığın anons edilmesini istediğiniz son tarihi seçmenizi söylüyor.
• Yanlış uzunluklu bir ROA. Provizyonladığınız prefix ile uyuşmazlık InvalidPrefixLengthInROA olarak başarısız olur.
• Yanlış sırayla ayrılmak. ROA'yı değiştirmeden veya silmeden önce türetilmiş her public IP prefix'i silin, sonra aralığı devreden çıkarın (üç ila dört saat). Aksi hâlde Microsoft artık anons etmeye yetkili olmadığı bir aralığı anons etmeye devam eder.

Bloğu kiralıyorsanız

Engel Microsoft'un kuralıdır: aralık “must be owned by you and registered under your name” (çeviri: “size ait olmalı ve sizin adınıza kayıtlı olmalıdır”). Yalnızca kiraya verene kayıtlı bir blok, yazıldığı hâliyle bunu karşılamaz ve Microsoft, sahibin tahsisi içinde size yapılmış bir atamanın yeterli olup olmadığını söylemiyor; bu yüzden imzalamadan önce blok sahibine ve Microsoft'a sorun. Ardından sahip, AS8075 için ROA'yı oluşturur ve sertifikanızı kaydın remarks alanına ekler. Reverse DNS için de sahip gerekir: Azure onu yalnızca Azure DNS'te barındırdığınız ve sahibin size devrettiği bir reverse zone'dan sunar. Yetki Belgesi gerekmez.

RTM Networks'ün yeri

Kendi RIPE NCC adres alanımızdan /24 ve daha büyük bloklar kiralarız ve RIPE NCC, ARIN ve APNIC bölgelerinde blok satarız. Bizden kiralanan alan için atamayı kuruluşunuza kaydeder, AS8075 için ROA'yı oluşturur ve sertifikanızı kayıt nesnesine ekleriz (IPv4 kiralama). Microsoft sizin adınıza bir atamadan fazlasını isterse, bloğu satın almak meseleyi çözer (IPv4 satın alma). Kendi LIR'ınızı işletmiyorsanız, PI ve legacy alan ile AS numaraları için sponsorluk yaparız (sponsorluk). Bir Azure VM'inde 256'dan az adres için bir bloğu anons eder ve Azure GRE'yi engellediğinden onu WireGuard üzerinden, tek bir adrese kadar her boyutta ulaştırırız (WireGuard tünelleri). Diğer sağlayıcılar: BYOIP rehberleri.