Google Cloud BYOIP: kendi IPv4 adreslerinizi Compute Engine'e getirin

Bloğun kontrolünü, Google'ın ASN'sini adlandıran bir ROA ve Google'ın size verdiği bir adı taşıyan bir PTR kaydıyla kanıtlar, ardından ondan delegated prefix'ler ayırır ve onlardan statik harici adresler oluşturursunuz.

Bu rehber, Google'ın önerdiği yapılandırmada, Premium Tier üzerinde bölgesel (v2) bir prefix olarak IPv4'ü gcloud CLI üzerinden kapsar. Global load balancer'lar için global adresler daha eski v1 yapılandırmasını kullanır ve projenizin önce bir allowlist'te olması gerekir.

Google Cloud neyi kabul ediyor

Kontrol ettiğimiz gün Google Cloud belgelerine göre:

• Boyut. Varsayılan olan Premium Tier'da “/16 to /24” (çeviri: “/16 ile /24 arası”), Preview aşamasındaki Standard Tier'da ise “/16 to /23” (çeviri: “/16 ile /23 arası”) bir public advertised prefix. Onu /28 bloklara kadar bölebilirsiniz.
• Kayıt. Google, aralarında ARIN, RIPE NCC ve APNIC'in bulunduğu her bölgesel kayıt kuruluşu için ROA talimatlarına bağlantı veriyor. PA, PI veya legacy statüsü ya da bloğun kimin adına olması gerektiği hakkında hiçbir şey yayımlamıyor.
• Kim anons eder. Google, Premium Tier'da AS396982'den veya Standard Tier'da AS19527'den. Kendi ASN'nizden anons etme seçeneği belgelemiyor.
• Çakışma yok. “Google does not support overlapping BYOIP route announcements” (çeviri: “Google Cloud çakışan BYOIP route anonslarını desteklemez”): Google onu anons ederken ne prefix ne de herhangi bir parçası başka bir yerde anons edilebilir.
• Bölgeler. Her delegated prefix tek bir bölgeye veya global kapsama hizmet eder. Google'ın BYOIP sayfaları hariç tutulan bölge adlandırmıyor.
• Fiyat. “There are no charges for idle or in-use IP addresses.” (çeviri: “Boşta veya kullanımda olan IP adresleri için ücret alınmaz.”)
• Süre. Doğrulamadan sonra bir v2 prefix için “approximately 2 weeks” (çeviri: “yaklaşık 2 hafta”), v1 ve global olanlar için “approximately 4 weeks” (çeviri: “yaklaşık 4 hafta”). Provizyon “cannot be accelerated” (çeviri: “hızlandırılamaz”).
• Kaynaklar. Statik harici adres alan kaynakların çoğu, ancak GKE node'ları ve Pod'ları ya da bir Cloud VPN gateway'inin harici adresi değil. Adresler projeler arasında taşınamaz.

Başlamadan önce

Google'ın ASN'si için bir ROA. Premium Tier'da prefix'i, tam uzunluğunu ve AS396982'yi adlandırır. Standard Tier'da AS19527'yi adlandırır; ya Google'ın önerdiği gibi provizyonlayacağınız her prefix için bir ROA'da ya da maksimum uzunluğu /24 olan tek bir ROA'da (RPKI ve ROA'lar).

Kendi ASN'niz için ikinci bir ROA. Google, aynı ayrıntılarla ve origin olarak sizin ASN'nizle bir tane önerir; böylece bir gün onu kendiniz anons ederseniz, route origin validation yapan ağlar prefix'i geçersiz saymaz.

Reverse DNS'in kontrolü. Google sahipliği kayıt nesnesindeki bir token'la değil, bir PTR kaydıyla kontrol eder. Prefix'te kullanılmayan bir adres seçersiniz, Google bir ad (paylaşılan gizli değeri) döndürür ve siz o adres için, alan adınız altında o ada işaret eden bir PTR kaydı yayımlarsınız.

Kayıttan başka hiçbir şey. Google sertifika, Yetki Belgesi veya route nesnesi istemiyor. Kendi tarafında, projede Compute Public IP Admin rolüne (roles/compute.publicIpAdmin) ihtiyacınız var.

Adım adım

01Public advertised prefix'i oluşturun, DNS doğrulaması için kullanacağınız adresi belirterek:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Standard Tier için gcloud beta kullanın ve --network-tier=STANDARD ekleyin.

02PTR kaydını yayımlayın. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' adı verir. Ad 55kk88tt00 ve alan adınız example.net ise, dig +short -x 203.0.113.144 komutu 55kk88tt00.example.net. döndürmelidir.

03Doğrulamayı tetikleyin:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Durum VALIDATED olur ya da Google kaydı bulamazsa REVERSE_DNS_LOOKUP_FAILED. --format='value(status)' ile describe komutu PREFIX_CONFIGURATION_COMPLETE gösterdiğinde provizyon tamamlanmıştır.

04Bir bloğu bir bölgeye devredin. Bu, siz beklerken çalışabilir:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Adres oluşturun. 13 Aralık 2025'ten sonra oluşturulan bölgesel public delegated prefix'ler tek tek adreslere izin verir:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Daha eski prefix'ler ve global adresler, delegated-sub-prefixes create --create-addresses üzerinden bütün bloklar alır. Adresleri VM'lere veya forwarding rule'lara bağlayın. Henüz erişilebilir değiller.

06Anons edin. Başka hiçbir ağın bloğu anons etmediğinden emin olun. Önce Google'ın kendi ağı içinde taşıdığı delegated prefix'i, sonra tüm Google varlık noktalarından internete giden advertised prefix'i anons edin:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Dışarıdan, RIPEstat'ın doğrulayıcısı prefix'i AS396982 için geçerli olarak göstermelidir: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Bir gün kaybettiren hatalar

• İki ağın anons etmesi. Çakışma daha spesifik bir route'u da içerir: getirdiğiniz bir /23 içinde başka bir yerde anons edilen bir /24 da sayılır. Google “unexpected routing and packet loss” (çeviri: “beklenmedik yönlendirme ve paket kaybı”) konusunda uyarıyor.
• v1 kendini anons eder. Global (v1) bir prefix, delegated prefix'i provizyonlanır provizyonlanmaz anons edilir. Google, bloğu başka kimse anons etmeyene kadar delegated prefix oluşturmamanızı söylüyor.
• Süresi dolmuş bir ROA. ROA'nın süresi dolar ve Google'ın yenileme bildiriminden sonraki dört hafta içinde onu yenilemezseniz, Google prefix'i anons etmeyi durdurur.
• Adlar ve bölgeler sabittir. Bir prefix'i yeniden adlandırmak onu silip yeniden oluşturmak demektir ve bir delegated prefix'i başka bir bölgeye taşımak “can take approximately eight weeks” (çeviri: “yaklaşık sekiz hafta sürebilir”). pap-203-0-113-0-24 gibi adlar seçin ve yalnızca emin olduğunuzu devredin.
• ROA'yı çok erken kaldırmak. Bir public advertised prefix'i sildikten sonra, Google'ın ASN'si için ROA'yı kaldırmadan önce 14 gün bekleyin.

Bloğu kiralıyorsanız

Google, bloğun kimin adına kayıtlı olduğuna dair bir kural yayımlamıyor ve Yetki Belgesi istemiyor. İki kontrol, ROA ve PTR kaydı, kiralanan bir blokta sahibin elindedir. Sahip, AS396982 veya AS19527 için ROA'yı ve isterseniz sizin ASN'niz için olanı oluşturur. Sahip ayrıca Google'ın adıyla PTR kaydını oluşturur ya da bloğun reverse zone'unu sizin kontrol ettiğiniz name server'lara devreder. Google bloğu anons ettiği sürece ROA'nın yenilenmesi ve ayrıldıktan sonra 14 gün korunması konusunda anlaşın.

RTM Networks'ün yeri

Kendi RIPE NCC adres alanımızdan /24 ve daha büyük bloklar kiralarız ve RIPE NCC, ARIN ve APNIC bölgelerinde blok satarız. Bizden kiralanan alan için Google'ın ASN'si için ROA'yı ve Google'ın adıyla PTR kaydını oluştururuz (IPv4 kiralama). Bir Compute Engine VM'inde 256'dan az adrese ihtiyacınız varsa, bir bloğu kendimiz anons eder ve onu GRE veya WireGuard üzerinden, tek bir adrese kadar her boyutta ulaştırırız (GRE ve WireGuard tünelleri). Büyük bulutlarda saatlik IPv4 ücretinin nasıl biriktiği: bulut IPv4'ün gerçek maliyeti. Diğer sağlayıcılar: BYOIP rehberleri.