BYOIP in Amazon EC2: Wie Sie Ihre eigenen IP-Adressen nahtlos in die Cloud integrieren

Im INTERLIR Marketplace haben Sie die Möglichkeit, IP-Adressen zu mieten, die als Amazon EC2 BYOIP (Bring Your Own IP) Adressen genutzt werden können. Dies ermöglicht es Ihnen, einen Teil oder Ihren gesamten öffentlich routbaren IPv4- oder IPv6-Adressbereich von Ihrem lokalen Netzwerk zu Ihrem AWS (Amazon Web Services)-Konto zu bringen. Während Sie die Kontrolle über den Adressbereich behalten, wird AWS ihn standardmäßig im Internet werben. Sobald Sie den Adressbereich mit AWS integrieren, steht er Ihnen in Ihrem AWS-Konto als Adresspool zur Verfügung.

Nicht alle Regionen und Ressourcen unterstützen BYOIP (Bring Your Own IP). Um die Liste der unterstützten Regionen und Ressourcen zu finden, lesen Sie bitte die BYOIP-FAQ.

Definitionen für BYOIP (Bring Your Own IP)

X.509-Selbstsignatur-Zertifikat: Ein Zertifikatstandard, der zur Verschlüsselung und Authentifizierung von Daten innerhalb eines Netzwerks verwendet wird. AWS verwendet dieses Zertifikat, um die Kontrolle über einen IP-Adressbereich aus einem RDAP-Datensatz zu validieren.

Registry Data Access Protocol (RDAP): Ein Abfrageprotokoll, das zur Zugriff auf Registrierungsdaten verwendet wird. Kunden aktualisieren diese Daten, und AWS nutzt sie zur Überprüfung der Kontrolle über einen Adressbereich in den Regional Internet Registries (RIR).

Route Origin Authorization (ROA): Ein Objekt, das von RIRs erstellt wird, um die IP-Werbung in bestimmten autonomen Systemen zu authentifizieren. Dies trägt dazu bei, die Gültigkeit der IP-Adresszuweisung sicherzustellen.

Local Internet Registry (LIR): Organisationen wie Internetdienstanbieter, die Adressblöcke von einem RIR an ihre Kunden zuweisen. Sie fungieren als Vermittler zwischen RIRs und Endbenutzern.

Anforderungen und Einschränkungen für BYOIP (Bring Your Own IP)

Registrierung des Adressbereichs:

Der Adressbereich muss bei einem regionalen Internet-Register (RIR) wie ARIN, RIPE oder APNIC registriert sein.

Die Registrierung muss unter einer geschäftlichen oder institutionellen Einheit erfolgen und darf nicht auf eine Einzelperson registriert sein.

Spezifische IPv4- und IPv6-Adressbereiche:

Der spezifischste IPv4-Adressbereich, der erlaubt ist, beträgt /24.

Der spezifischste IPv6-Adressbereich, der erlaubt ist, beträgt /48 für öffentlich beworbene CIDR-Bereiche und /56 für nicht öffentlich beworbene CIDR-Bereiche.

ROAs und RDAP-Datensätze:

ROAs sind für nicht öffentlich beworbene CIDR-Bereiche nicht erforderlich, aber RDAP-Datensätze müssen dennoch aktualisiert werden.

Einschränkungen und Integration:

Jeder Adressbereich kann jeweils nur zu einer AWS-Region gebracht werden.

Insgesamt können pro Region fünf IPv4- und IPv6-Adressbereiche in Ihr AWS-Konto gebracht werden.

IP-Adressbereiche können nicht über AWS RAM (AWS Resource Access Manager) mit anderen AWS-Konten geteilt werden, es sei denn, sie sind mit dem Amazon VPC IP Address Manager (IPAM) und AWS Organizations integriert.

IP-Adressverlauf und Unterstützung:

Die Adressen im IP-Adressbereich müssen eine saubere Historie haben, und AWS behält sich das Recht vor, einen IP-Adressbereich mit schlechtem Ruf oder in Verbindung mit bösartigem Verhalten abzulehnen.

Legacy-Allokationen werden von AWS nicht unterstützt.

Update-Prozess für LIRs (Local Internet Registries):

LIRs verwenden in der Regel einen manuellen Prozess, um ihre Datensätze zu aktualisieren, der je nach LIR einige Tage dauern kann.

Einzelnes ROA und RDAP-Datensatz für große CIDR-Blöcke:

Ein einzelnes ROA-Objekt und ein RDAP-Datensatz sind für einen großen CIDR-Block erforderlich, und mehrere kleinere CIDR-Blöcke aus demselben Bereich können mit dem einzelnen Objekt und Datensatz zu AWS gebracht werden.

1. Erstellen Sie ein Schlüsselpaar für die AWS-Authentifizierung

Verwenden Sie das folgende Verfahren, um ein selbstsigniertes X.509-Zertifikat zu erstellen und es dem RDAP-Datensatz für Ihr RIR hinzuzufügen. Dieses Schlüsselpaar wird verwendet, um den Adressbereich gegenüber dem RIR zu authentifizieren. Die openssl-Befehle erfordern OpenSSL Version 1.0.2 oder höher.

Kopieren Sie die folgenden Befehle und ersetzen Sie nur die Platzhalterwerte (in farbig kursivem Text).

Um ein selbstsigniertes X.509-Zertifikat zu erstellen und es dem RDAP-Datensatz hinzuzufügen

Dieses Verfahren folgt bewährten Praktiken und verschlüsselt Ihren privaten RSA-Schlüssel und erfordert eine Passphrase, um darauf zugreifen zu können.

2. Laden Sie den RDAP-Datensatz in Ihr RIR hoch

Fügen Sie das zuvor erstellte Zertifikat dem RDAP-Datensatz für Ihr RIR hinzu. Stellen Sie sicher, dass Sie die Zeichenfolgen „-----BEGIN CERTIFICATE-----“ und „-----END CERTIFICATE-----“ vor und nach dem codierten Teil einfügen. Der gesamte Inhalt muss in einer einzigen, langen Zeile stehen. Das Verfahren zum Aktualisieren von RDAP hängt von Ihrem RIR ab:

Für ARIN fügen Sie das Zertifikat im Abschnitt „Öffentliche Kommentare“ für Ihren Adressbereich hinzu. Fügen Sie es nicht in den Kommentarabschnitt für Ihre Organisation ein.

Für RIPE fügen Sie das Zertifikat als neues „descr“-Feld für Ihren Adressbereich hinzu. Fügen Sie es nicht in den Kommentarabschnitt für Ihre Organisation ein.

Für APNIC senden Sie den öffentlichen Schlüssel per E-Mail an helpdesk@apnic.net, um ihn manuell dem „remarks“-Feld für Ihren Adressbereich hinzuzufügen. Senden Sie die E-Mail über den von APNIC autorisierten Kontakt für die IP-Adressen.

3. Erstellen Sie ein ROA-Objekt in Ihrem RIR

Erstellen Sie ein ROA-Objekt, um die Amazon ASNs 16509 und 14618 zur Anzeige Ihres Adressbereichs zu autorisieren, sowie die ASNs, die derzeit zur Anzeige des Adressbereichs autorisiert sind. Für die AWS GovCloud (US)-Region autorisieren Sie ASN 8987. Sie müssen die maximale Länge auf die Größe des kleinsten Präfixes setzen, den Sie mitbringen möchten (z. B. /24). Es kann bis zu 24 Stunden dauern, bis das ROA für Amazon verfügbar ist. Weitere Informationen finden Sie bei Ihrem RIR:

ARIN – ROA-Anfragen

RIPE – Verwaltung von ROAs

APNIC – Routenverwaltung

Bevor Sie Werbeanzeigen von einer lokal ausgeführten Arbeitsauslastung zu AWS migrieren, ist es entscheidend, zuerst eine Route Origin Authorization (ROA) für Ihre vorhandene Autonomous System Number (ASN) zu erstellen. Erst nachdem Sie die ROA für Ihre vorhandene ASN erstellt haben, sollten Sie mit der Erstellung der ROAs für die Amazon-ASNs fortfahren. Wenn Sie dieser Reihenfolge nicht folgen, kann dies Auswirkungen auf Ihre vorhandene Routing- und Werbeanzeigen haben.

Hinweis: Dieser Schritt ist für nicht öffentlich beworbene IPv6-Adressbereiche nicht erforderlich.

Schritte zur Integration Ihres BYOIP (Bring Your Own IP):

Der Integrationsprozess für BYOIP umfasst je nach Ihren Anforderungen folgende Aufgaben:

Themen

1. Bereitstellung eines öffentlich beworbenen Adressbereichs in AWS

2. Bereitstellung eines nicht öffentlich beworbenen IPv6-Adressbereichs

3. Den Adressbereich über AWS bewerben

4. Den Adressbereich deprovisionieren

Bitte beachten Sie, dass die spezifischen Schritte und Anforderungen je nach den Bedürfnissen Ihres Unternehmens variieren können. Es ist wichtig, sorgfältig die Anweisungen und Richtlinien zu befolgen, um eine reibungslose Integration Ihres BYOIP in die AWS-Plattform zu gewährleisten.

Bereitstellung eines öffentlich beworbenen Adressbereichs in AWS:

Wenn Sie einen Adressbereich für die Verwendung mit AWS bereitstellen, erklären Sie, dass Sie die Kontrolle über den Adressbereich haben und Amazon die Autorisierung zur Bewerbung erteilen. Um Ihre Eigentümerschaft an dem Adressbereich zu überprüfen, benötigen wir eine signierte Autorisierungsnachricht. Diese Nachricht wird mithilfe des selbstsignierten X.509-Schlüsselpaars signiert, das Sie verwendet haben, um den RDAP-Eintrag mit dem X.509-Zertifikat zu aktualisieren. AWS verlangt eine kryptografisch signierte Autorisierungsnachricht, die dann an das Regionale Internet-Register (RIR) vorgelegt wird. Das RIR authentifiziert die Signatur anhand des Zertifikats, das Sie in RDAP hinzugefügt haben, und überprüft die Autorisierungsdetails anhand der Route Origin Authorization (ROA). Dieser Verifizierungsprozess gewährleistet die rechtmäßige Eigentümerschaft und ordnungsgemäße Verwaltung des Adressbereichs.

Bereitstellung des Adressbereichs:

Verfassen der Nachricht: Erstellen Sie die plaintext Autorisierungsnachricht im folgenden Format, wobei das Datum das Ablaufdatum der Nachricht ist: 1|aws|account|cidr|YYYYMMDD|SHA256|RSAPSS Ersetzen Sie die Kontonummer, den Adressbereich und das Ablaufdatum durch Ihre eigenen Werte, um eine Nachricht zu erstellen, die der folgenden ähnelt: text_message="1|aws|0123456789AB|198.51.100.0/24|20211231|SHA256|RSAPSS". Dies darf nicht mit einer ROA-Nachricht verwechselt werden, die ähnlich aussieht.

Nachricht signieren: Signieren Sie die plaintext Nachricht mit dem zuvor erstellten privaten Schlüssel. Die von diesem Befehl zurückgegebene Signatur ist eine lange Zeichenfolge, die Sie im nächsten Schritt verwenden müssen.

Wichtig: Wir empfehlen Ihnen, diesen Befehl zu kopieren und einzufügen. Ändern oder ersetzen Sie außer dem Nachrichteninhalt keine Werte.signed_message=$( echo -n $text_message | openssl dgst -sha256 -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 -sign private-key.pem -keyform PEM | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n").

Adresse bereitstellen: Verwenden Sie den AWS CLI-Befehl provision-byoip-cidr, um den Adressbereich bereitzustellen. Die Option --cidr-authorization-context verwendet die zuvor erstellten Nachrichten- und Signaturzeichenfolgen.

Wichtig: Sie müssen die AWS-Region angeben, in der der BYOIP-Bereich bereitgestellt werden soll, wenn sie von Ihrer AWS CLI-Konfiguration "Default region name" abweicht.aws ec2 provision-byoip-cidr --cidr address-range --cidr-authorization-context Message="$text_message",Signature="$signed_message" --region us-east-1

Die Bereitstellung eines Adressbereichs ist eine asynchrone Operation, daher gibt der Aufruf sofort zurück, aber der Adressbereich ist erst einsatzbereit, wenn sein Status von „pending-provision“ zu „provisioned“ wechselt.

Fortschritt überwachen: Die Bereitstellung von öffentlich beworbenen Bereichen kann bis zu einer Woche dauern. Verwenden Sie den Befehl describe-byoip-cidrs, um den Fortschritt zu überwachen, wie im folgenden Beispiel:aws ec2 describe-byoip-cidrs --max-results 5 --region us-east-1

Wenn es während der Bereitstellung Probleme gibt und der Status auf „failed-provision“ wechselt, müssen Sie den Befehl provision-byoip-cidr erneut ausführen, nachdem die Probleme behoben wurden.

Bereitstellung eines IPv6-Adressbereichs, der nicht öffentlich beworben wird

Standardmäßig wird bei der Bereitstellung eines Adressbereichs dieser so eingestellt, dass er im Internet öffentlich beworben wird. Bei IPv6-Adressbereichen haben Sie jedoch die Möglichkeit, sie als nicht öffentlich bereitzustellen, was bedeutet, dass sie nicht für das Internet beworben werden. Der Bereitstellungsprozess für nicht öffentlich beworbene Routen ist in der Regel innerhalb weniger Minuten abgeschlossen. Wenn Sie einen nicht öffentlichen IPv6-CIDR-Block mit einem Virtual Private Cloud (VPC) verknüpfen, ist der Zugriff auf den IPv6-CIDR nur über Hybridverbindungsoptionen möglich, die IPv6 unterstützen, wie AWS Direct Connect, AWS Site-to-Site VPN oder Amazon VPC Transit Gateways.

Für nicht öffentlich beworbene Adressbereiche besteht keine Notwendigkeit, während des Bereitstellungsprozesses eine Route Origin Authorization (ROA) zu erstellen.

Wichtig:

Sie können nur während der Bereitstellung angeben, ob ein Adressbereich öffentlich beworben wird. Sie können den Bewerbungsstatus später nicht ändern.

Um einen IPv6-Adressbereich zu bereitstellen, der nicht öffentlich beworben wird, verwenden Sie den folgenden Befehl provision-byoip-cidr.

aws ec2 provision-byoip-cidr --cidr address-range --cidr-authorization-context Message="$text_message",Signature="$signed_message" --no-publicly-advertisable --region us-east-1

Einschränkungen

Sie können den Befehl advertise-byoip-cidr höchstens einmal alle 10 Sekunden ausführen, selbst wenn Sie jedes Mal unterschiedliche Adressbereiche angeben.

Sie können den Befehl withdraw-byoip-cidr höchstens einmal alle 10 Sekunden ausführen, selbst wenn Sie jedes Mal unterschiedliche Adressbereiche angeben.

Um den Adressbereich zu bewerben, verwenden Sie den folgenden Befehl advertise-byoip-cidr.

aws ec2 advertise-byoip-cidr --cidr address-range --region us-east-1

Um die Bewerbung des Adressbereichs zu beenden, verwenden Sie den folgenden Befehl withdraw-byoip-cidr.

aws ec2 withdraw-byoip-cidr --cidr address-range --region us-east-1

Den Adressbereich deprovisionieren

Um Ihren Adressbereich bei AWS nicht mehr zu nutzen, müssen Sie zuerst alle Elastic IP-Adressen freigeben und alle noch zugewiesenen IPv6-CIDR-Blöcke aus dem Adresspool entfernen. Anschließend beenden Sie die Bewerbung des Adressbereichs und deprovisionieren schließlich den Adressbereich.

Sie können nur den gesamten Adressbereich deprovisionieren. Wenn Sie einen spezifischeren Adressbereich bei AWS nutzen möchten, müssen Sie den gesamten Adressbereich deprovisionieren und einen spezifischeren Adressbereich bereitstellen.

Zur Freigabe jeder Elastic IP-Adresse (IPv4) verwenden Sie den folgenden Befehl release-address.

aws ec2 release-address --allocation-id eipalloc-12345678abcabcabc --region us-east-1

Um eine IPv6-CIDR-Block zu dissoziieren, verwenden Sie den folgenden Befehl disassociate-vpc-cidr-block.

aws ec2 disassociate-vpc-cidr-block --association-id vpc-cidr-assoc-12345abcd1234abc1 --region us-east-1

Um die Werbung für den Adressbereich zu beenden, verwenden Sie den folgenden Befehl withdraw-byoip-cidr.

aws ec2 withdraw-byoip-cidr --cidr address-range --region us-east-1

Um den Adressbereich zu deprovisionieren, verwenden Sie den folgenden Befehl deprovision-byoip-cidr.

aws ec2 deprovision-byoip-cidr --cidr address-range --region us-east-1

Es kann bis zu einem Tag dauern, um einen Adressbereich zu deprovisionieren.

Arbeiten Sie mit Ihrem Adressbereich

Sie können die IPv4- und IPv6-Adressbereiche, die Sie in Ihrem Konto bereitgestellt haben, einsehen und verwenden.

IPv4-Adressbereiche

Sie können eine Elastic IP-Adresse aus Ihrem IPv4-Adresspool erstellen und sie mit Ihren AWS-Ressourcen wie EC2-Instanzen, NAT-Gateways und Network Load Balancern verwenden.

Um Informationen über die IPv4-Adresspools anzuzeigen, die Sie in Ihrem Konto bereitgestellt haben, verwenden Sie den folgenden Befehl describe-public-ipv4-pools.

aws ec2 describe-public-ipv4-pools --region us-east-1

Um eine Elastic IP-Adresse aus Ihrem IPv4-Adresspool zu erstellen, verwenden Sie den Befehl „allocate-address“. Sie können die Option „--public-ipv4-pool“ verwenden, um die ID des Adresspools anzugeben, die durch „describe-byoip-cidrs“ zurückgegeben wird. Alternativ können Sie die Option „--address“ verwenden, um eine Adresse aus dem Adressbereich anzugeben, den Sie bereitgestellt haben.