BYOIP в Alibaba Cloud: ваш власний /23 або більший блок як адреси Elastic IP

Ви спрямовуєте об’єкт route для вашого діапазону на ASN Alibaba Cloud і подаєте тікет. Щойно тікет схвалено, Alibaba Cloud анонсує діапазон з регіону, який ви в ньому назвали.

Що приймає Alibaba Cloud

З документації Alibaba Cloud, у день нашої перевірки:

• Розмір. /23 або більший блок: «Prefixes longer than /23, such as /24, are not supported.» (переклад: «Префікси, довші за /23, як-от /24, не підтримуються.») Лише IPv4.
• Реєстр. Діапазон «must be registered with a Regional Internet Registry (RIR)» (переклад: «має бути зареєстрований у регіональному інтернет-реєстрі (RIR)»). Alibaba Cloud нічого не публікує про статус PA, PI чи legacy, ані про те, на чиє ім’я має бути зареєстрований діапазон.
• Хто анонсує. Alibaba Cloud, з AS45102. «You cannot use your own ASN.» (переклад: «Ви не можете використати власний ASN.»)
• Регіони. US (Silicon Valley), US (Virginia), China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Japan (Tokyo), Indonesia (Jakarta), Germany (Frankfurt) і UK (London). Не материковий Китай.
• Історія. Alibaba Cloud може перевірити діапазон і відхилити такий, що має «adverse records and a history of malicious activity» (переклад: «негативні записи та історію зловмисної активності») (як тримати блок чистим).
• Ціна. «The BYOIP feature is free of charge.» (переклад: «Функція BYOIP безкоштовна.») Плата за конфігурацію EIP за утримання адреси Elastic IP не стягується, а ви платите за смугу пропускання.
• Терміни. Близько одного місяця, «depending on the time it takes for Alibaba Cloud to apply for and advertise the IP addresses» (переклад: «залежно від часу, потрібного Alibaba Cloud, щоб подати заявку на IP-адреси та анонсувати їх»).

Перед початком

Об’єкт route з origin AS45102. Alibaba Cloud просить встановити origin для вашого діапазону на AS45102 у реєстрі маршрутизації, за інструкціями вашого реєстру, і перевірити результат у RADb. У базі даних RIPE це виглядає так; діапазони в документації всі /24, тож префікс тут лише заповнювач:

route:    <your-prefix>/23
descr:    Example B.V.
origin:   AS45102
mnt-by:   EXAMPLE-MNT
source:   RIPE

Дійсний ROA. Alibaba Cloud покладає це на вас: якщо ROA стає недійсним, мережі, що виконують route origin validation, відкидають маршрут, і Alibaba Cloud може припинити його анонсувати. Його сторінка не розписує ROA. Маршрут з AS45102 дійсний, лише якщо ROA називає AS45102 для префікса в тому вигляді, в якому його анонсують, тож створіть саме такий (RPKI та ROA).

Що потрібно в тікеті. Діапазон, регіон і підтвердження, що origin тепер AS45102. «No other information is required at this time.» (переклад: «Наразі жодна інша інформація не потрібна.») Alibaba Cloud не просить ні сертифіката, ні токена, ні листа авторизації.

Крок за кроком

1. Оновіть реєстр маршрутизації. Створіть або змініть об’єкт route так, щоб його origin був AS45102, і підтвердьте це в RADb, наприклад командою whois -h whois.radb.net <your-prefix>/23.
2. Створіть ROA для AS45102 у вашому реєстрі.
3. Подайте тікет із запитом на BYOIP, з діапазоном, регіоном і підтвердженням зміни origin. Якщо вам потрібен анонс BGP (Multi-ISP) Pro, скажіть про це в тому самому тікеті.
4. Дочекайтеся оцінки. Представник зв’язується з вами, якщо потрібно більше, і «to discuss and finalize the terms» (переклад: «щоб обговорити та узгодити умови»), тож тримайте контактні дані актуальними. Після схвалення Alibaba Cloud анонсує діапазон з регіону з AS45102 і додає його до свого списку захисту.
5. Виділіть EIP. У консолі Elastic IP Address виберіть регіон і натисніть Apply for Specific EIP. Можна також додати діапазон до пулу IP-адрес і виділяти з нього. Функція пулів за замовчуванням вимкнена, її вмикає ваш менеджер облікового запису.
6. Перевірте ззовні. Валідатор RIPEstat має вважати діапазон дійсним для AS45102:

curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=45102&prefix=<your-prefix>/23"

Підводні камені

• /24 замало. Два /24 підходять, лише якщо це дві половини одного /23, і тоді об’єкт route та ROA охоплюють /23.
• Квота пулу це половина /23. За замовчуванням пули IP-адрес вміщують «a combined maximum of 256 IP addresses across all pools in the region» (переклад: «разом не більше 256 IP-адрес у всіх пулах регіону»). Попросіть у менеджера облікового запису більше, перш ніж додавати до пулів увесь діапазон.
• EIP працює за NAT. Власний FAQ Alibaba Cloud каже, що EIP не є нативною публічною IP-адресою: коли інстанс ECS її використовує, його трафік проходить через NAT. Програми, яким потрібно бачити свою публічну адресу на інстансі, мають це враховувати.
• Лише оплата за смугу. EIP з вашого діапазону оплачуються pay-as-you-go за фіксовану смугу і можуть входити лише в інстанси Internet Shared Bandwidth з такою самою оплатою.
• Вихід теж триває місяць. Відкликання діапазону триває приблизно стільки ж, скільки його підключення, тож плануйте вихід разом із входом.

Якщо ви орендуєте блок

Alibaba Cloud не публікує жодного правила про те, на чиє ім’я має бути зареєстрований діапазон, і не просить листа авторизації. Те, що йому потрібно, міститься в реєстрі, тож це робить власник. Власник створює об’єкт route з origin AS45102, для чого потрібен maintainer власника, і ROA для AS45102, дійсний протягом усієї оренди. Лише тоді ви можете підтвердити зміну origin у тікеті. Оренда також має охоплювати щонайменше /23.

Де тут RTM Networks

Ми здаємо в оренду /24 і більші блоки з нашого власного адресного простору RIPE NCC, зокрема /23, якого вимагає Alibaba Cloud (оренда IPv4), і продаємо блоки в регіонах RIPE NCC, ARIN та APNIC. Для простору, орендованого в нас, ми створюємо об’єкт route і ROA для AS45102. Якщо вам потрібно менше ніж 512 адрес на інстансі ECS, ми самі анонсуємо блок і доставляємо його через GRE або WireGuard, будь-якого розміру аж до однієї адреси (GRE- і WireGuard-тунелі). Інші провайдери: посібники BYOIP.