Configurar o BYOIP no Oracle Cloud Infrastructure Usando um CIDR IPv6 do RIPE NCC

Introdução

Neste tutorial, percorreremos o processo completo do espaço de endereço BYOIP (Bring Your Own IP) na Oracle Cloud Infrastructure (OCI) usando um bloco CIDR IPv6 alocado e administrado por meio do RIPE NCC (Réseaux IP Européens Network Coordination Centre). Essa abordagem beneficia as organizações que já possuem faixas IPv6 ou precisam manter o endereçamento IP consistente em ambientes híbridos ou multicloud.

Ao seguir este tutorial, você não apenas aprenderá a preparar seu espaço de endereço IPv6 para importação para o OCI, mas também a configurar os registros administrativos no portal NCC RIPE adequadamente, autorizar a Oracle a divulgar seu prefixo e, por fim, designar seus endereços IPv6 personalizados a recursos do OCI, como Redes Virtuais na Nuvem (VCNs) e instâncias de computação.

Este tutorial abrange cada tarefa em detalhes, desde a aquisição ou verificação do CIDR IPv6 até a atualização dos registros de registro e o uso da faixa importada na rede do OCI. Quer você esteja migrando cargas de trabalho, configurando a conectividade híbrida ou criando uma arquitetura voltada para a Internet, este tutorial oferece a base para integrar o BYOIP IPv6 à sua OCI.

O espaço de endereço BYOIP na OCI permite que você tenha controle total sobre sua identidade IP. Esse recurso suporta rede consistente em ambientes híbridos e multicloud, ao mesmo tempo em que permite um design de rede mais flexível e personalizado.

Neste tutorial, você aprenderá a adquirir ou usar um bloco CIDR IPv6 existente, concluir as etapas administrativas necessárias com o RIPE NCC e importar e validar o CIDR no OCI. Você também verá como implantar o CIDR IPv6 em sua Rede Virtual na Nuvem (VCN) e gerenciar endereços IPv6 roteáveis globalmente em suas cargas de trabalho, tudo sob sua própria alocação do Registro Regional da Internet (RIR). Independentemente de suas metas serem impulsionadas pela conformidade, propriedade da rede ou consistência arquitetônica, a funcionalidade BYOIP IPv6 da OCI fornece uma base avançada para criar um ambiente de rede em nuvem totalmente autônomo.

Objetivos

Tarefa 1: Obter a faixa IPv6 para importação para o OCI.
- Tarefa 1.1: Comprar ou alugar um CIDR IPv6.
- Tarefa 1.2: Concluir tarefas de administração NCC de RIPE.
- Tarefa 1.3: Verifique a designação CIDR IPv6 na console NCC RIPE.
Tarefa 2: Iniciar a importação do CIDR IPv6 no OCI.
Tarefa 3: Adicione a string de token como um novo campo descr associado à sua faixa de endereços.
Tarefa 4: Criar um objeto de Autorização de Origem de Rota (ROA) que autorize o sistema Oracle a divulgar o bloco CIDR BYOIP.
Tarefa 5: Finalizar a importação do CIDR IPv6 no OCI.
Tarefa 6: Verificar a importação do CIDR IPv6 no OCI.
Tarefa 7: Anuncie o CIDR IPv6 para a Internet.
Tarefa 8: Designar CIDR IPv6 BYOIP a uma VCN.
Tarefa 9: Criar uma sub-rede dentro da faixa CIDR IPv6 BYOIP.
Tarefa 10: Criar e designar uma nova tabela de roteamento para a VCN.
Tarefa 11: Criar uma instância e usar um endereço IPv6 na faixa CIDR IPv6 do BYOIP.

Tarefa 1: Obter uma Faixa IPv6 para Importação no OCI

Para usar o recurso BYOIP no OCI com um bloco CIDR IPv6, o primeiro requisito é ter um espaço de endereço IPv6 roteável publicamente que seja registrado e administrado adequadamente por meio de um Registro Regional de Internet (RIR), nesse caso, é RIPE NCC.

Observação: Estamos alugando espaço IPv6 de um provedor de terceiros, pois não possuímos uma alocação IPv6. Se você já possui o espaço de endereço IPv6 e o gerencia diretamente em sua conta RIPE ou no Local Internet Registry (LIR), pode ignorar a Tarefa 1 e continuar com a Tarefa 2.

Tarefa 1.1: Comprar ou Alugar um CIDR IPv6

Se você ainda não tiver um intervalo IPv6, precisará:

Comprar um bloco de endereços IPv6 de um provedor ou broker,

Alugue um CIDR IPv6 de uma empresa de terceiros que oferece espaço de endereço, roteamento e controle de registro alugados.

Neste tutorial, estamos usando uma empresa chamada NoPKT LLC que fornece serviços LIR. Vários outros provedores oferecem serviços LIR semelhantes, para que você possa escolher o que melhor se adapte às suas necessidades.

Antes de fazer qualquer compra na NoPKT LLC, devemos criar uma conta.

Uma vez registrado e conectado, vá para o armazenamento da NoPKT LLC e clique em Serviço LIR.
NoPKT LLC tem a opção de alugar IPv6 CIDRs de RIPE ou ARIN. Vamos com a opção RIPE.
Selecione o produto RIPE /44 IPv6 (US$2,00).
Adicione RIPE /44 IPv6 ao carrinho de compras.
Selecione o plano. Para este tutorial, selecionaremos o plano anual e clicaremos em Check-out.
Clique em Check-out.
Clique em Pagar e conclua o pagamento.
Após a conclusão do pagamento, pode levar algumas horas até que a NoPKT LLC designe o /44 IPv6 CIDR à sua conta.
- Você pode ver que a ordem é um Recurso Atribuído.
- Esta é a faixa IPv6 que usaremos no OCI com BYOIP.
Clique em Serviços para revisar os serviços.
O OCI requer que a Autorização de Origem de Rota (ROA) seja feita com o Resource Public Key Infrastructure (RPKI) porque esse é um mecanismo de segurança padrão do setor usado para validar a origem da rota BGP. Para obter mais informações, consulte Bring Your Own IP.
Abrimos um ticket de suporte com essa solicitação e fornecemos o ASN do Oracle BGP para que o LIR possa concluir a solicitação.

Antes que o LIR possa atribuir o intervalo IPv6 alugado à sua conta para que você possa concluir as tarefas administrativas necessárias. Primeiro, crie uma conta NCC RIPE e configure os objetos administrativos necessários. Esses objetos (como role, mntner e organization) devem ser configurados e vinculados adequadamente. Quando a configuração estiver concluída, o RIPE NCC emitirá um ID da Organização, que você deve fornecer ao LIR. O LIR usará esse ID para atribuir o intervalo IPv6 à sua conta NCC de RIPE.

Tarefa 1.2: Concluir Tarefas de Administração NCC RIPE

Para preparar seu CIDR IPv6 para importação no OCI, você deve concluir as tarefas administrativas a seguir no banco de dados NCC RIPE. Essas etapas garantem que você tenha o controle adequado sobre o espaço de endereço e atenda aos requisitos de validação da OCI.

Você deve:

Registre-se para uma conta RIPE NCC, se você ainda não tiver uma. Esta conta lhe dará acesso ao portal LIR e lhe permitirá gerenciar objetos de registro.
Crie um objeto role e um objeto mntner (maintainer). Esses objetos são necessários para definir quem gerencia os recursos e para proteger o acesso às entradas do registro.
Adicione um atributo abuse-c ao seu objeto role. Este é um campo obrigatório para relatar abuso relacionado ao espaço IP.
Crie um objeto organization para representar sua entidade no banco de dados RIPE.
- Esse objeto será vinculado ao bloco CIDR IPv6 e a outras entradas de registro.
- Quando isso for feito e a organização for identificada, você obterá um ID de organização exclusivo que deverá ser fornecido ao LIR para que ele possa atribuir o intervalo IPv6 alugado à sua conta (organização) RIPE NCC.
Adicione o mantenedor do provedor de LIR (por exemplo, NoPKT-MNT se você estiver usando NoPKT LLC) como o mnt-ref no objeto da organização. Isso garante que o LIR possa continuar gerenciando a alocação em seu nome.

Certifique-se de que todos os objetos estejam corretamente vinculados e visíveis no banco de dados RIPE. Posteriormente, você atualizará o objeto inet6num associado à sua faixa IPv6 para concluir as etapas de validação do OCI.

Esta etapa administrativa é crítica. O OCI validará sua propriedade ou controle do prefixo por meio das alterações feitas no Banco de Dados RIPE.

Crie uma conta NCC RIPE e faça login.
Clique em Criar um Objeto.
Selecione Tipo de objeto como par de função e mantenedor e clique em Criar.
Crie o Manutenção do RIPE e a Função e certifique-se de que o mantenedor esteja vinculado à função. Certifique-se de especificar todos os campos conforme mostrado na imagem a seguir.
Vincular um novo objeto da organização ao objeto do mantenedor correto.
A adição de NoPKT-MNT ao objeto da organização RIPE é necessária para autorização e controle sobre seus recursos RIPE. Certifique-se de que o mantenedor NoPKT-MNT seja adicionado como organização usando o campo mnt-ref .
Anote IDs RIPE Exclusivos:
- Função com chave primária: NO2XXX-RIPE.
- Manutenção com a chave primária: XXX-MNT.
- Organização: ORG-XXXXX-RIPE.
Insira o ID da organização para o LIR para que eles possam atribuir o bloco IPv6 alugado à sua conta/função/organização RIPE.

Tarefa 1.3: Verificar a Designação CIDR IPv6 na Console do NCC RIPE

O LIR atribuirá o bloco IPv6 alugado à sua conta/função/organização RIPE. Assim que isso for feito, eles irão notificá-lo.
Na Console NCC RIPE, clique em Meus Recursos, IPv6 e revise o intervalo IPv6 alugado. Agora, você pode executar tarefas de administração na sub-rede que o OCI BYOIP deve concluir.

Tarefa 2: Iniciar a Importação do CIDR IPv6 no OCI

Assim que seu CIDR IPv6 for registrado e visível no banco de dados NCC RIPE no seu ID da Organização, você poderá iniciar o processo de importação BYOIP no OCI.

Vá para a Console do OCI, navegue até Networking e clique em BYOIP (Bring Your Own IP).
Clique em Importar bloco/prefixo de CIDR BYOIP.
Especifique as informações a seguir e clique em Importar bloco/prefixo CIDR BYOIP.
- Nome: Especifique um nome para o prefixo.
- Bloco CIDR IPv6: Informe o prefixo IPv6 exato conforme ele aparece no banco de dados RIPE.
Observe que o estado do prefixo será Criando.
Clique no nome do prefixo.
O OCI gerará um token de validação, que você deve publicar no Banco de Dados RIPE na próxima tarefa. Copie esse token de validação em um bloco de notas. O OCI validará posteriormente esse token para confirmar se você tem controle administrativo sobre o bloco IPv6.

Observação:

Não continue finalizando a importação ainda.

Primeiro você precisa adicionar o token de verificação ao seu objeto RIPE inet6num na Tarefa 3 e criar um objeto ROA na Tarefa 4.

Somente após a conclusão dos dois é que a OCI pode validar e concluir o processo de importação.

Tarefa 3: Adicionar o Token como um Novo `descr` Associado ao seu Intervalo de Endereços

Depois de iniciar o processo de importação no OCI, um token de verificação é gerado. Esse token é uma string exclusiva que o sistema Oracle usa para confirmar que você tem controle administrativo sobre o bloco CIDR IPv6 que está tentando trazer para a nuvem.

Para verificar a propriedade, adicione esse token como um novo descr no objeto inet6num da faixa IPv6 no Banco de Dados RIPE.

Na console do Banco de Dados RIPE, navegue até Meus Recursos, IPv6 e clique na sub-rede IPv6.
Clique em Atualizar objeto.
Clique em qualquer sinal + e especifique as seguintes informações.
- Para adicionar um novo descr, cole o token do OCI fornecido na Console do OCI.
- Clique em Submeter.
Observe que o objeto foi atualizado com sucesso com o novo atributo descr.

O OCI agora verificará periodicamente o registro RIPE para a presença desse token. Quando o token for detectado, o CIDR poderá passar para o próximo estágio de verificação (validação de ROA).

Tarefa 4: Criar um Objeto ROA para Autorizar a Oracle a Anunciar o Bloco CIDR BYOIP

Além de adicionar o token de verificação ao Banco de Dados RIPE, a Oracle exige que você explicitamente o autorize a divulgar seu bloco CIDR IPv6 por meio do BGP. Isso é feito criando um objeto ROA no painel RPKI NCC RIPE.

O objeto ROA informa ao ecossistema de roteamento da Internet que a Oracle (identificada por seu ASN (Autonomous System Number)) pode anunciar seu prefixo IPv6. Sem essa autorização, o OCI não concluirá o processo de importação BYOIP.

Solicitamos que o LIR fizesse isso, e eles confirmaram no tíquete na Tarefa 1.3 que isso foi feito.

Também podemos conferir aqui: Routinator.

Vá para o site.
Informe seu prefixo IPv6.
Informe seu ASN (Este será o Número de AS AS31898 da Oracle).
Clique em Validar.

Depois que o token de verificação e o objeto ROA forem publicados e reconhecidos, a Oracle validará a propriedade e a autorização de roteamento do bloco CIDR IPv6 BYOIP. Mas antes que isso seja feito, você ainda deverá clicar em Finalizar importação na Console do OCI.

Tarefa 5: Concluir a Importação do CIDR IPv6 no OCI

Quando você tiver adicionado o token de verificação como um descr no objeto RIPE inet6num e criado um objeto ROA válido autorizando o ASN AS31898 da Oracle, o OCI iniciará automaticamente o processo de verificação quando você clicar em Finalizar importação.

Clique em Finalizar importação para confirmar.
Observe que o status passou de CREATING para VALIDATING e haverá uma mensagem informando que o processo de importação pode levar até 10 dias úteis.
Revise a tela de status BYOIP (Bring Your Own IP).

A Oracle fará as validações internas necessárias e fará as configurações internas necessárias para concluir a importação.

Tarefa 6: Verificar a Importação do CIDR IPv6 no OCI

Depois de concluir o processo de importação na Console do OCI, é essencial verificar se seu CIDR IPv6 foi validado e provisionado com sucesso e está pronto para uso.

Na tela de gerenciamento BYOIP, você verá que o estado do intervalo BYOIP importado agora está definido como Provisionado.
Observe que a coluna Anunciado está definida como Não.

Podemos verificar se a sub-rede está disponível on-line aqui: bgp.tools site.
Quando inserimos o prefixo e o procuramos, podemos ver que ele não é encontrado na Internet.

Uma vez verificado, seu CIDR IPv6 estará totalmente integrado e pronto para ser anunciado e designado no OCI. Na próxima tarefa, disponibilizá-lo na Internet.

Tarefa 7: Anunciar o CIDR IPv6 para a Internet

Assim que seu CIDR IPv6 tiver sido importado e verificado com sucesso no OCI, a tarefa final para torná-lo globalmente acessível será divulgá-lo para a Internet.

Essa tarefa instrui o OCI a começar a anunciar seu CIDR IPv6 por meio do BGP na rede da Oracle (ASN 31898), permitindo que o tráfego da Internet pública chegue ao seu espaço IPv6 na nuvem.

Observação: é necessário anunciar o CIDR antes de usar a faixa IPv6 com recursos do OCI voltados para a internet, como OCI Load Balancer, instâncias do OCI Compute etc.

Clique nos três pontos no final da sub-rede e selecione Anunciar.
Clique em Anunciar para confirmar.
Observe que a coluna Anunciado está definida como Sim.
Para verificar se a sub-rede está disponível on-line, acesse o bgp.tools site.
Insira o prefixo e procure-o, podemos ver que ele é encontrado na Internet.

Quando a publicidade estiver ativa, você poderá designar sua faixa de IPv6 a uma VCN e usá-la dentro da OCI.

Tarefa 8: Designar CIDR IPv6 BYOIP a uma VCN

Nesta tarefa, designe o CIDR IPv6 a uma VCN. Isso torna o CIDR utilizável para criar sub-redes e anexar endereços IPv6 a recursos como instâncias do OCI Compute e OCI Load Balancer.

Vá para a Console do OCI, navegue até Networking, Virtual Cloud Networks e clique na VCN à qual você deseja designar esse BYOIP IPv6.
Role para baixo.
Observe que apenas uma sub-rede está disponível, e esta é uma sub-rede privada.
Clique em Blocos/Prefixos CIDR. Observe que apenas um Blocos/Prefixo CIDR está disponível.
Clique em Adicionar Bloco CIDR/Prefixo IPv6.
Selecione o prefixo BYOIP no menu drop-down e clique em Adicionar Blocos CIDR/PrefixosIPv6.
Observe que o CIDR IPv6 BYOIP agora é adicionado à VCN.
Vá para a Console do OCI, navegue até Networking, BYOIP e clique na faixa BYOIP importada. Observe que o intervalo agora é designado à VCN.
Navegue até Networking, Gerenciamento de IPs e clique em Insights de Endereço IP. Observe que a VCN tem a faixa IPv6 designada.
Navegue até Networking e clique em VCN. Observe que o intervalo IPv6 BYOIP também foi adicionado à VCN.

Estamos prontos para criar sub-redes dentro do seu CIDR IPv6 BYOIP e designá-las aos recursos do OCI.

Tarefa 9: Criar uma Sub-rede dentro da Faixa CIDR IPv6 BYOIP

Crie uma sub-rede dentro do intervalo IPv6. Essa sub-rede permitirá alocar endereços IPv6 para recursos do OCI, como instâncias de computação ou balanceadores de carga.

Vá para a Console do OCI e navegue até Networking e clique em Redes Virtuais na Nuvem.
Selecione a VCN à qual você designou seu CIDR IPv6 BYOIP.
Na página de detalhes da VCN, vá para a seção Sub-redes.
Clique em Criar Sub-rede.
Digite as seguintes informações.
- Nome: Informe um nome para a sub-rede.
- Tipo de Sub-rede: Selecione um AD específico ou selecione Regional para alta disponibilidade.
- Bloco IPv4 CIDR (Opcional): Informe um bloco IPv4 se você estiver criando uma sub-rede de pilha dupla.
IPv6 Prefixos: Selecione uma faixa de sub-rede no CIDR IPv6 BYOIP. Por exemplo, se o intervalo importado for /44, você poderá designar uma sub-rede /64. A primeira parte do prefixo já foi fornecida e, para criar uma sub-rede /64, só forneça a última parte 0::.
Em Acesso à Sub-rede, selecione Sub-rede Pública e clique em Criar Sub-rede.
Observe que a nova sub-rede é criada com um prefixo IPv6 esculpido fora do intervalo BYOIP importado.

Na próxima tarefa, você configurará o roteamento para que a sub-rede possa enviar e receber tráfego pela Internet.

Tarefa 10: Criar e Designar uma Nova Tabela de Roteamento para VCN

Nesta tarefa, crie e atribua uma tabela de roteamento que permita o fluxo de tráfego de rede correto. Essa tabela de roteamento definirá como o tráfego da sua sub-rede (tráfego IPv6) é roteado dentro e fora da VCN, inclusive para a Internet.

Vá para a Console do OCI, navegue até Networking e Virtual Cloud Networks.
Selecione sua VCN.
Em Recursos, clique em Tabelas de Roteamento.
Clique em Criar Tabela de Roteamento.
Em Regras de Roteamento, especifique as informações a seguir.
- Nome: Informe um nome descritivo para sua tabela de roteamento.
- Versão do Protocolo: Selecione IPv6.
- Tipo de Destino: Selecione Gateway de Internet se a sub-rede exigir acesso público à internet.
- Bloco CIDR de Destino: Digite ::/0 para permitir o tráfego de saída IPv6 para a internet.
- Destino: Selecione o Gateway de Internet associado à sua VCN.
- Clique em Criar para salvar a tabela de roteamento.
Observe que a nova tabela de roteamento é criada.
Agora, precisamos designar a tabela de roteamento à sub-rede.
- Navegue até VCN e Sub-redes.
- Clique no nome da sub-rede.
- Clique em Editar.
Em Tabela de Roteamento, selecione a nova tabela de roteamento que você acabou de criar e clique em Salvar Alterações.
Sua sub-rede agora está usando uma tabela de roteamento que permite ao tráfego IPv6 acessar a Internet por meio do OCI. Qualquer instância ou recurso com um endereço IPv6 público nesta sub-rede agora pode enviar e receber tráfego IPv6.

Em seguida, você estará pronto para iniciar uma instância de computação e designar a ela um endereço IPv6 de sua faixa BYOIP.

Tarefa 11: Criar uma Instância e usar um Endereço IPv6 na Faixa CIDR IPv6 BYOIP

Agora que sua VCN e sub-rede estão configuradas e o roteamento está no local, você pode iniciar uma instância de computação e designar a ela um endereço IPv6 da faixa de CIDRs IPv6 BYOIP importados. Isso torna a instância acessível pela Internet usando o espaço IPv6, que você controla e gerencia.

Vá para a Console do OCI, navegue até Compute, Instâncias e clique em Criar Instância.
Digite as seguintes informações.
- Nome: Informe um nome para a instância.
- Compartimento: Selecione o compartimento apropriado.
- Domínio de disponibilidade: Selecione um AD ou use a disponibilidade regional, dependendo da sua configuração.
- Imagem e forma: Selecione a imagem e a forma preferidas do sistema operacional. Por exemplo, Ubuntu e Oracle Linux.
Selecione VCN e sub-rede pública criadas na Tarefa 9.
Ative endereços IPv6, se você não puder ativar endereços IPv6, mesmo que a VCN tenha um CIDR IPv6 BYOIP válido designado, poderemos fazer isso posteriormente.
(Opcional) Anexe chaves SSH para acesso seguro.
Clique em Criar para criar a instância.
Observe que não há endereço IPv6 designado à instância (ainda).
Clique em VNICs Anexadas e, em seguida, clique na VNIC existente da instância.
Clique em IPv6 Endereços e Atribuir Endereços IPv6.
Digite as seguintes informações.
- Selecione o Prefixo IPv6 BYOIP no menu suspenso.
- Selecione Designar endereços IPv6 automaticamente pelo prefixo.
- Clique em Designar.
Observe que um novo endereço IPv6 foi designado à VNIC.
Volte para os detalhes e observe que o endereço IPv6 público do seu intervalo BYOIP IPv6 foi adicionado.
Vá para um scanner de porta IPv4 on-line. Por exemplo, SubnetOnline. Use o endereço IPv4 público para verificar quais portas estão abertas e observe que a porta TCP/22 está aberta.
Vá para um scanner de porta IPv6 on-line. Por exemplo, SubnetOnline.
- Use o endereço IPv6 público para verificar quais portas estão abertas.
- Observe que a porta TCP/22 está aberta.
- Isto prova que o nosso endereço BYOIP IPv6 é acessível a partir da Internet.
Observação: Certifique-se de que suas listas de segurança ou grupos de segurança de rede (NSGs) permitam tráfego IPv6 de entrada e saída. Por exemplo, ICMPv6, porta TCP 22 para SSH ou outras portas necessárias.
Também podemos fazer uma verificação final fazendo log-in com SSH na instância. Conectaremos o endereço IPv4 público por enquanto.
Execute o comando ip a. Observe que o endereço IPv6 está configurado na instância.

Agora você tem uma instância totalmente funcional do OCI Compute usando seu próprio endereço IPv6 de um CIDR BYOIP, roteável publicamente e registrado em sua administração NCC de RIPE.

Confirmações

Autor - Iwan Hoogendoorn (Cloud Networking Black Belt)

Mais Recursos de Aprendizado

Explore outros laboratórios em docs.oracle.com/learn ou acesse mais conteúdo de aprendizado gratuito no canal do Oracle Learning YouTube. Além disso, acesse education.oracle.com/learning-explorer para se tornar um Oracle Learning Explorer.

Para obter a documentação do produto, visite o Oracle Help Center.

Título e Informações de Copyright

Configure BYOIP in Oracle Cloud Infrastructure Using an IPv6 CIDR from RIPE NCC

G38939-01