BYOIP в UpCloud: власні IP-адреси в Private Cloud

Для Cloud Servers у публічних зонах UpCloud спосіб використовувати власний блок це тунель, який цей посібник також описує.

Що приймає UpCloud

З документації UpCloud, у день нашої перевірки:

• Лише Private Cloud. Private Cloud запускає ваші Cloud Servers на виділених хостах. UpCloud каже, що він «offers the possibility for dedicated public IP blocks, and it is possible to utilise your own IP blocks (BYOIP).» (переклад: «пропонує можливість виділених публічних блоків IP, і можна використовувати власні блоки IP (BYOIP).»)
• Через продажі. Його FAQ з мереж запитує «Can I bring my own IPs or IP range?» (переклад: «Чи можу я принести власні IP чи діапазон IP?») і відповідає: «Yes, you can do this in our Private Cloud. Contact our sales team for more information.» (переклад: «Так, це можна зробити в нашому Private Cloud. Зверніться до нашого відділу продажу за додатковою інформацією.») UpCloud не документує для цього жодних кроків у консолі, API чи CLI.
• Де. Private Cloud розташований усередині батьківської публічної зони, однієї з 15 локацій UpCloud.
• Умови. Сторінка Private Cloud відповідає на «Can I bring my own IPs?» (переклад: «Чи можу я принести власні IP?») так: «Yes. UpCloud supports Bring Your Own IP (BYOIP). Your prefixes can be announced via BGP (subject to validation and LOA). Availability and prefix size requirements depend on the target region.» (переклад: «Так. UpCloud підтримує Bring Your Own IP (BYOIP). Ваші префікси можна анонсувати через BGP (за умови перевірки і LOA). Доступність і вимоги до розміру префікса залежать від цільового регіону.»)
• Не опубліковано. Які реєстри приймає UpCloud, origin ASN, ціна самого BYOIP і терміни.
• Ціна Private Cloud. Конфігурації від 3 190 € на місяць, за індивідуальною пропозицією для кожного клієнта.
• Публічні зони використовують адреси UpCloud. Cloud Server отримує одну IPv4 і одну IPv6-адресу за замовчуванням і може мати до п’яти публічних IPv4-адрес. Додаткові IPv4-адреси оплачуються погодинно.
• Floating IPs теж належать UpCloud. Це IPv4-адреси, які резервує ваш обліковий запис, з оплатою за адресу, і вони переміщуються між Cloud Servers в одному дата-центрі. Для IPv6 вони недоступні.

Перед початком

UpCloud називає дві вимоги, перевірку і лист авторизації, а решту залишає для розмови з відділом продажу. Підготуйте те, що вимагає кожен провайдер, який анонсує простір клієнтів, і підтвердьте кожен пункт:

1. /24 або більший блок. UpCloud каже, що вимоги до розміру префікса залежать від регіону, а мережі фільтрують усе, що менше за /24.
2. Запис реєстру. Знайте, в якому реєстрі блок (наприклад, ARIN, RIPE NCC чи APNIC) і яку організацію називає запис.
3. ROA для ASN, що анонсує, UpCloud чи вашого, з максимальною довжиною, рівною тому, що анонсується (RPKI та ROA). Створіть його, щойно UpCloud назве ASN.
4. Об’єкт route з тим самим ASN як origin.
5. Лист авторизації, якого просить UpCloud, підписаний власником блоку, що називає UpCloud мережею, яка його передаватиме.

Шлях через тунель

Для Cloud Servers у публічних зонах або поки триває розмова про Private Cloud тунель розміщує ваш блок на сервері без жодних змін з боку UpCloud. Мережа, яка може анонсувати блок, робить це, а тунель GRE або WireGuard доставляє його трафік до вашого сервера і назад (як працює тунель).

Сервер зберігає IPv4-адресу, яку йому призначив UpCloud. Ця адреса є зовнішнім кінцем тунелю: дальня сторона надсилає на неї інкапсульовані пакети, і мережа UpCloud бачить звичайний трафік між двома публічними адресами. Орендований блок іде всередині тунелю. Ви налаштовуєте його адреси на інтерфейсі тунелю або loopback, і сервер відповідає на них, наче вони локальні.

• Відповіді повертаються через тунель. Додайте policy route, щоб трафік з блоку виходив через тунель. Надісланий напряму, він мав би адресу відправника, яку UpCloud ніколи не призначав серверу, а мережі фільтрують такий трафік.
• Відкрийте фаєрвол UpCloud в обидва боки. Якщо ви його використовуєте, зважте, що він stateless: правила мають явно дозволяти вхідний і вихідний трафік. Його правила відповідають TCP, UDP або ICMP. Для GRE, тобто IP-протоколу 47, залиште протокол All і обмежте правило адресою дальнього кінця. Для WireGuard дозвольте його UDP-порт.
• Налаштуйте MTU. 1 476 байтів для GRE, близько 1 420 для WireGuard, з MSS clamping, якщо сервер маршрутизує блок далі до віртуальних машин.
• Будь-який розмір. Тунель доставляє менш ніж 256 адрес, аж до однієї, чого BYOIP ніколи не робить.

Підводні камені

• Переміщення зупиняється на адресах клієнта. Функція Relocate Server від UpCloud переміщує сервер між зонами Public і Private Cloud в одному дата-центрі, з одним мережевим обмеженням: «The server cannot have IP addresses from a dedicated, customer-owned IP network.» (переклад: «Сервер не може мати IP-адрес з виділеної мережі IP, що належить клієнту.») Сплануйте, де житиме ваш блок, перш ніж мігрувати.
• Безкоштовний пробний період блокує порти. Під час безкоштовного пробного періоду UpCloud деякі порти заблоковано, а мережа працює на 100 Mbit/s. Після першої оплати відкрито всі порти, крім 25, тож тестуйте тунель після цього.

Якщо ви орендуєте блок

UpCloud нічого не публікує про орендований простір чи про те, чиє ім’я має бути в записі реєстру, тож запитайте про це відділ продажу UpCloud, коли звертатиметеся до них. Для BYOIP у Private Cloud власник робить частину в реєстрі: ROA для ASN, який назве UpCloud, об’єкт route і лист авторизації, якого просить UpCloud. З тунелем в UpCloud нічого не змінюється: блок анонсує мережа на іншому кінці, і власнику потрібно лише авторизувати цю мережу.

Де тут RTM Networks

Ми здаємо в оренду /24 і більші блоки з нашого власного адресного простору RIPE NCC і продаємо блоки в регіонах RIPE NCC, ARIN та APNIC. Кожна оренда включає ROA, об’єкт route, записи PTR і лист авторизації, коли він вам потрібен (оренда IPv4). Для Private Cloud ми створюємо ROA для ASN, який назве UpCloud, і підписуємо лист авторизації, а також спонсоруємо номери AS для організацій, які не мають власного LIR (спонсорство ASN). Для Cloud Servers у публічних зонах ми самі анонсуємо блок і доставляємо його через GRE або WireGuard, будь-якого розміру аж до однієї адреси (GRE- і WireGuard-тунелі). Інші провайдери: посібники BYOIP.