BYOIP у Google Cloud: власні IPv4-адреси в Compute Engine

Ви доводите контроль над блоком через ROA, що називає ASN Google, і запис PTR з ім’ям, яке дає вам Google, потім вирізаєте з нього делеговані префікси і створюєте з них статичні зовнішні адреси.

Цей посібник описує IPv4 у конфігурації, яку рекомендує Google, регіональний (v2) префікс на Premium Tier, через gcloud CLI. Глобальні адреси для глобальних балансувальників навантаження використовують старішу конфігурацію v1, і ваш проєкт спершу має потрапити в allowlist.

Що приймає Google Cloud

З документації Google Cloud, у день нашої перевірки:

• Розмір. Public advertised prefix «/16 to /24» (переклад: «від /16 до /24») на Premium Tier, за замовчуванням, або «/16 to /23» (переклад: «від /16 до /23») на Standard Tier, який перебуває в Preview. Його можна поділити аж до блоків /28.
• Реєстр. Google дає посилання на інструкції щодо ROA для кожного регіонального реєстру, серед них ARIN, RIPE NCC і APNIC. Він нічого не публікує про статус PA, PI чи legacy, ані про те, на чиє ім’я має бути блок.
• Хто анонсує. Google, з AS396982 на Premium Tier або AS19527 на Standard Tier. Він не документує варіанту анонсу з вашого власного ASN.
• Без перекриття. «Google does not support overlapping BYOIP route announcements» (переклад: «Google Cloud не підтримує перекривних анонсів маршрутів BYOIP»): ні префікс, ні будь-яку його частину не можна анонсувати деінде, поки його анонсує Google.
• Регіони. Кожен делегований префікс обслуговує один регіон або глобальну область. Сторінки Google про BYOIP не називають виключених регіонів.
• Ціна. «There are no charges for idle or in-use IP addresses.» (переклад: «Плата за невикористовувані чи використовувані IP-адреси не стягується.»)
• Терміни. «Approximately 2 weeks» (переклад: «приблизно 2 тижні») для префікса v2 після перевірки, «approximately 4 weeks» (переклад: «приблизно 4 тижні») для v1 і глобальних. Надання «cannot be accelerated» (переклад: «не можна прискорити»).
• Ресурси. Більшість тих, що приймають статичну зовнішню адресу, але не вузли і Pods GKE та не зовнішня адреса шлюзу Cloud VPN. Адреси не можна переносити між проєктами.

Перед початком

ROA для ASN Google. На Premium Tier він називає префікс, його точну довжину і AS396982. На Standard Tier він називає AS19527, або в одному ROA для кожного префікса, який ви надаватимете, що рекомендує Google, або в одному ROA з максимальною довжиною /24 (RPKI та ROA).

Другий ROA для вашого власного ASN. Google рекомендує такий з тими самими даними і вашим ASN як origin, щоб мережі, що виконують route origin validation, не вважали префікс недійсним, якщо ви колись анонсуватимете його самі.

Контроль над зворотним DNS. Google перевіряє власність через запис PTR, а не через токен у записі реєстру. Ви вибираєте невикористану адресу в префіксі, Google повертає ім’я (свій спільний секрет), і ви публікуєте для цієї адреси запис PTR, що вказує на це ім’я у вашому домені.

Більше нічого з реєстру. Google не просить ні сертифіката, ні листа авторизації, ні об’єкта route. З його боку вам потрібна роль Compute Public IP Admin (roles/compute.publicIpAdmin) у проєкті.

Крок за кроком

01Створіть public advertised prefix, вказавши адресу, яку використаєте для перевірки DNS:

gcloud compute public-advertised-prefixes create pap-203-0-113-0-24 \
    --range=203.0.113.0/24 \
    --pdp-scope=REGIONAL \
    --dns-verification-ip=203.0.113.144

Для Standard Tier використайте gcloud beta і додайте --network-tier=STANDARD.

02Опублікуйте запис PTR. gcloud compute public-advertised-prefixes describe pap-203-0-113-0-24 --format='value(sharedSecret)' дає ім’я. Якщо це 55kk88tt00, а ваш домен example.net, то dig +short -x 203.0.113.144 має повернути 55kk88tt00.example.net.

03Запустіть перевірку:

gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --status=PTR-CONFIGURED

Статус стає VALIDATED або REVERSE_DNS_LOOKUP_FAILED, якщо Google не може знайти запис. Надання завершено, коли describe з --format='value(status)' показує PREFIX_CONFIGURATION_COMPLETE.

04Делегуйте блок регіону. Це можна робити, поки ви чекаєте:

gcloud compute public-delegated-prefixes create pdp-203-0-113-0-25 \
    --public-advertised-prefix=pap-203-0-113-0-24 \
    --range=203.0.113.0/25 \
    --region=europe-west4

05Створіть адреси. Регіональні публічні делеговані префікси, створені після 13 грудня 2025 р., дозволяють окремі адреси:

gcloud compute addresses create web-1 --network-tier=PREMIUM \
    --ip-collection=pdp-203-0-113-0-25 --addresses=203.0.113.10 --region=europe-west4

Старіші префікси і глобальні адреси беруть цілі блоки, через delegated-sub-prefixes create --create-addresses. Прив’яжіть адреси до VM або forwarding rules. Вони ще недосяжні.

06Анонсуйте. Переконайтеся, що жодна інша мережа не анонсує блок. Спершу анонсуйте делегований префікс, який Google передає всередині своєї мережі, потім advertised prefix, який іде в інтернет з усіх точок присутності Google:

gcloud compute public-delegated-prefixes update pdp-203-0-113-0-25 --region=europe-west4 --announce-prefix
gcloud compute public-advertised-prefixes update pap-203-0-113-0-24 --announce-prefix

Ззовні валідатор RIPEstat має вважати префікс дійсним для AS396982: curl "https://stat.ripe.net/data/rpki-validation/data.json?resource=396982&prefix=203.0.113.0/24".

Помилки, що коштують дня

• Дві мережі анонсують. Перекриття включає специфічніший маршрут: /24, анонсований деінде всередині /23, який ви приносите, теж рахується. Google попереджає про «unexpected routing and packet loss» (переклад: «неочікувану маршрутизацію і втрату пакетів»).
• v1 анонсує сам. Глобальний (v1) префікс анонсується, щойно надано його делегований префікс. Google радить не створювати делегованих префіксів, доки блок анонсує хтось інший.
• ROA, що закінчився. Якщо ROA закінчується і ви не поновлюєте його протягом чотирьох тижнів після сповіщення Google про поновлення, Google припиняє анонсувати префікс.
• Імена і регіони фіксовані. Перейменування префікса означає його видалення і повторне створення, а перенесення делегованого префікса в інший регіон «can take approximately eight weeks» (переклад: «може тривати приблизно вісім тижнів»). Обирайте імена на кшталт pap-203-0-113-0-24 і делегуйте лише те, в чому впевнені.
• ROA видалено зарано. Після видалення public advertised prefix зачекайте 14 днів, перш ніж видаляти ROA для ASN Google.

Якщо ви орендуєте блок

Google не публікує жодного правила про те, на чиє ім’я зареєстрований блок, і не просить листа авторизації. Обидві його перевірки, ROA і запис PTR, залежать від власника орендованого блоку. Власник створює ROA для AS396982 або AS19527 і, якщо ви хочете, для вашого ASN. Власник також створює запис PTR з ім’ям від Google або делегує зворотну зону блоку на сервери імен, які контролюєте ви. Домовтеся, що ROA поновлюватиметься, поки Google анонсує блок, і зберігатиметься ще 14 днів після вашого виходу.

Де тут RTM Networks

Ми здаємо в оренду /24 і більші блоки з нашого власного адресного простору RIPE NCC і продаємо блоки в регіонах RIPE NCC, ARIN та APNIC. Для простору, орендованого в нас, ми створюємо ROA для ASN Google і запис PTR з ім’ям від Google (оренда IPv4). Якщо вам потрібно менше ніж 256 адрес на VM у Compute Engine, ми самі анонсуємо блок і доставляємо його через GRE або WireGuard, будь-якого розміру аж до однієї адреси (GRE- і WireGuard-тунелі). Як складається погодинна плата за IPv4 у великих хмарах: реальна вартість IPv4 у хмарі. Інші провайдери: посібники BYOIP.