BYOIP в Oracle Cloud: власні IPv4-адреси в OCI

Ви імпортуєте блок, доводите, що він ваш, токеном у його записі реєстру і ROA для ASN Oracle, і анонсуєте його, коли готові.

Що приймає Oracle Cloud

З документації Oracle, у день нашої перевірки:

• Розмір. Блоки IPv4 «a minimum of /24 and a maximum of /8» (переклад: «щонайменше /24 і щонайбільше /8»).
• Реєстр і статус. Лише такі:

• Власність. «You must have ownership» (переклад: «Ви повинні володіти») блоком, зареєстрованим у підтримуваному реєстрі.
• Історія. Чиста: Oracle може відхилити діапазон, що містить адресу, пов’язану зі зловмисною поведінкою (як тримати блок чистим).
• Хто анонсує. Oracle, з AS31898, крім Serbia Central (Jovanovac), де використовується AS14544. Власний ASN можливий через BYOASN.
• Де. Один регіон Oracle на блок і один compartment водночас.
• Скільки. Сторінка Oracle про BYOIP дозволяє «up to 20 IPv4 CIDR blocks or IPv6 prefixes» (переклад: «до 20 блоків IPv4 CIDR або префіксів IPv6») для вашого облікового запису, а його таблиця обмежень встановлює це обмеження на регіон.
• Які облікові записи. Не Free Tier, а клієнти pay-as-you-go мають подати запит.
• Ціна. Документація Oracle про BYOIP не називає ціни.
• Терміни. До доби, щоб зміни в реєстрі набули чинності, потім до 10 робочих днів.

Перед початком

ROA для ASN Oracle, AS31898 або AS14544 у Serbia Central, з датою закінчення дії щонайменше на шість місяців уперед (RPKI та ROA). Без нього Oracle не може анонсувати блок.

OCITOKEN у записі реєстру. Консоль показує його готовим до вставлення, як OCITOKEN::203.0.113.0/24:<validationToken>. Через API чи CLI ви складаєте цей рядок самі з повернутого токена. Куди він іде:

Без листа авторизації і об’єкта route. Oracle не просить ні того, ні іншого, і сам створює об’єкт route в RADb під своїм ASN.

Крок за кроком

01Почніть імпорт. У потрібному регіоні відкрийте Networking, потім IP management, потім BYOIP, і виберіть Import BYOIP CIDR block/prefix з назвою, compartment і блоком. З OCI CLI:

oci network byoip-range create --compartment-id <compartment-ocid> \
  --cidr-block 203.0.113.0/24 --display-name byoip-203-0-113-0-24

02Додайте токен до запису реєстру, як у таблиці вище. Набуття чинності може тривати до доби.

03Створіть ROA для AS31898 у вашому реєстрі.

04Завершіть імпорт, щойно обидва видимі, через Finish Import на сторінці деталей запиту або:

oci network byoip-range validate --byoip-range-id <byoip-range-ocid>

Закладіть до 10 робочих днів. Work request показує поступ.

05Наповніть public IP pool. Додайте блок до пулу (Manage BYOIP CIDR block, потім Add to public IP pool) і зарезервуйте з нього адреси. Пул приймає діапазони від /28 до /24, тож /24 іде цілим, а більший блок як /24 або менші піддіапазони:

oci network public-ip-pool create --compartment-id <compartment-ocid> --display-name pool-203-0-113-0-24
oci network public-ip-pool add --public-ip-pool-id <pool-ocid> \
  --byoip-range-id <byoip-range-ocid> --cidr-block 203.0.113.0/24
oci network public-ip create --compartment-id <compartment-ocid> \
  --lifetime RESERVED --public-ip-pool-id <pool-ocid>

06Анонсуйте. Спершу блок має бути наданий. Виберіть Advertise на сторінці його деталей або:

oci network byoip-range advertise --byoip-range-id <byoip-range-ocid>

Сторінка Oracle нічого не каже про одночасний анонс того самого блоку деінде, тож сплануйте перемикання так, щоб його анонсувала лише одна мережа.

Ваш власний ASN

З bring your own ASN (BYOASN) Oracle анонсує блок з вашим ASN як origin і своїм за ним як транзитним ASN. Ви імпортуєте ASN з токеном у записі реєстру ASN, що триває до 10 робочих днів, створюєте ROA і для вашого ASN, і для ASN Oracle, і вибираєте Update Origin ASN для блоку, з до 20 prepends, якщо хочете. Oracle зберігає об’єкт route в RADb під своїм ASN і додає ваш до AS-SET, тож якщо мережа фільтрує суворо, оновіть RADb з вашим ASN як origin. Oracle попереджає, що деяким мережам потрібно до 24 годин, щоб підхопити зміну.

Помилки, що коштують дня

• Завершити імпорт зарано. Вибір Finish Import до того, як токен і ROA набули чинності, може затримати процес до доби.
• Токен в організації. Oracle висловлюється чітко: токен іде в запис діапазону адрес, а не в запис організації, якій він належить.
• Статус, якого Oracle не перелічує. ASSIGNED PA у RIPE NCC і reassignments в ARIN у списку немає. Перевірте запис, перш ніж орендувати чи купувати.
• Відкликання це не вихід. Відкликаний блок зберігає свої записи в даних геолокації Oracle і в RADb, доки ви не видалите також діапазон BYOIP. Видалений діапазон потребує всього імпорту знову.

Якщо ви орендуєте блок

Oracle каже, що ви повинні володіти блоком, зареєстрованим у підтримуваному реєстрі, і нічого конкретного не публікує про орендований простір. Власник робить частину в реєстрі: OCITOKEN у записі діапазону, який може редагувати лише maintainer власника, і ROA для ASN Oracle, плюс ще один для вашого ASN, якщо ви використовуєте BYOASN. До підписання перевірте статус запису, в який іде токен: орендований простір у регіоні RIPE NCC зазвичай зареєстрований як ASSIGNED PA, якого немає в списку Oracle. Oracle не просить листа авторизації.

Де тут RTM Networks

Ми здаємо в оренду /24 і більші блоки з нашого власного адресного простору RIPE NCC і продаємо блоки в регіонах RIPE NCC, ARIN та APNIC. Оскільки Oracle не перелічує ASSIGNED PA, блок для OCI зазвичай краще купити, ніж орендувати: переданий у ваш власний обліковий запис LIR, він реєструється як ALLOCATED PA, який Oracle перелічує (купівля IPv4). Для простору PI чи legacy, який ми спонсоруємо, ми додаємо OCITOKEN і створюємо ROA для ASN Oracle, а також спонсоруємо номер AS, потрібний для BYOASN (спонсорство). Для менш ніж 256 адрес на інстансі OCI ми самі анонсуємо блок і доставляємо його через GRE або WireGuard, будь-якого розміру аж до однієї адреси (GRE- і WireGuard-тунелі). Інші провайдери: посібники BYOIP.