在 Oracle Cloud Infrastructure 中使用 RIPE NCC 的 IPv6 CIDR 設定 BYOIP

簡介

在本教學課程中，我們將透過 Réseaux IP Européens Network Coordination Centre (RIPE NCC) 配置與管理的 IPv6 CIDR 區塊，逐步引導您完成將自己的 IP (BYOIP) 位址空間導入 Oracle Cloud Infrastructure (OCI) 的完整流程。此方法可讓已經擁有 IPv6 範圍或需要在混合式或多雲端環境中維持一致的 IP 位址的組織受益。

依照本教學課程，您將不僅瞭解如何準備用於匯入 OCI 的 IPv6 位址空間，還可以瞭解如何在 RIPE NCC 入口網站中正確設定管理記錄、授權 Oracle 宣告您的前置碼，以及最終將自訂 IPv6 位址指定給 OCI 資源，例如虛擬雲端網路 (VCN) 和運算執行處理。

本教學課程涵蓋從取得或驗證您的 IPv6 CIDR，到使用 OCI 網路內匯入範圍更新登錄記錄等各項工作的詳細資訊。無論您是要移轉工作負載、設定混合式連線，還是建置網際網路架構，本教學課程都為您提供將 BYOIP IPv6 整合到 OCI 的基礎。

OCI 中的 BYOIP 位址空間可讓您完全控制 IP 識別。此功能支援混合雲和多雲環境之間的一致網路，同時實現更具彈性和客製化的網路設計。

在本教學課程中，您將瞭解如何取得或使用現有的 IPv6 CIDR 區塊、使用 RIPE NCC 完成必要的管理步驟，以及匯入並驗證 OCI 內的 CIDR。您還可以瞭解如何在虛擬雲端網路 (VCN) 中部署 IPv6 CIDR，並在所有工作負載中管理全球可路由的 IPv6 位址，全都位於您自己的區域網際網路登錄 (RIR) 配置底下。無論您的目標是由合規性、網路所有權或架構一致性驅動，OCI 的 BYOIP IPv6 功能都能提供強大的基礎來建置完全自主雲端網路環境。

目標

工作 1：取得要匯入 OCI 的 IPv6 範圍。
- 工作 1.1：購買或出租 IPv6 CIDR。
- 工作 1.2：完成 RIPE NCC 管理工作。
- 工作 1.3：請檢查 RIPE NCC 主控台中的 IPv6 CIDR 指定項目。
工作 2：開始匯入 OCI 中的 IPv6 CIDR。
工作 3：將記號字串新增為與您地址範圍關聯的新 descr 欄位。
作業 4：建立授權 Oracle 宣告 BYOIP CIDR 區塊的路由來源授權 (ROA) 物件。
工作 5：完成匯入 OCI 中的 IPv6 CIDR。
任務 6：驗證匯入 OCI 中的 IPv6 CIDR。
工作 7：將 IPv6 CIDR 通告至網際網路。
作業 8：將 BYOIP IPv6 CIDR 指定給 VCN。
工作 9：在 BYOIP IPv6 CIDR 範圍內建立子網路。
作業 10：建立並指定新的 VCN 路由表。
工作 11：建立執行處理並使用 BYOIP IPv6 CIDR 範圍的 IPv6 位址。

工作 1：取得匯入 OCI 的 IPv6 範圍

若要在 OCI 中搭配 IPv6 CIDR 區塊使用 BYOIP 功能，第一項要求必須要有一個透過區域網際網路登錄 (RIR) 適當地註冊與管理的可公開路由 IPv6 位址空間，在此情況下為 RIPE NCC 。

注意：我們正向第三方提供者租用 IPv6 空間，因為我們沒有 IPv6 配置。如果您已經擁有 IPv6 位址空間，並直接在 RIPE 帳戶或 Local Internet Registry (LIR) 下管理它，則可以略過「工作 1」並繼續進行「工作 2」。

工作 1.1：購買或租用 IPv6 CIDR

如果您尚未擁有 IPv6 範圍，則必須：

購買提供者或中介的 IPv6 位址區塊，

或者，

租用來自第三方公司的 IPv6 CIDR，提供租賃地址空間、路由和登錄控制。

在本教學課程中，我們使用的公司稱為 NoPKT LLC ，提供 LIR 服務。有些其他供應商提供類似的 LIR 服務，因此您可以選擇最符合您需求的服務。

在 NoPKT LLC 進行任何採購之前，必須先建立一個帳戶。

註冊並登入後，請前往 NoPKT LLC 商店，然後按一下 LIR 服務。
NoPKT LLC 可選擇從 RIPE 或 ARIN 租用 IPv6 CIDR。我們將採用 RIPE 選項。
選取 RIPE /44 IPv6 ($2.00) 產品。
將 RIPE /44 IPv6 放入購物車。
選取計畫，針對此教學課程，我們將會選取年度計畫並按一下結帳。
按一下簽出。
按一下付款，然後完成付款。
付款完成後，可能需要幾小時的時間，NoPKT LLC 會將 /44 IPv6 CIDR 指派給您的帳戶。
- 您可以看到訂單是指定的資源。
- 這是我們將在 OCI 內搭配 BYOIP 使用的 IPv6 範圍。
按一下服務以複查服務。
OCI 需要使用資源公用金鑰基礎架構 (RPKI) 完成路由來源授權 (ROA) ，因為這是用於驗證 BGP 路由來源的業界標準安全機制。如需詳細資訊，請參閱自備 IP 。
我們已對此要求開啟支援回報項目，並且提供 Oracle BGP ASN，讓 LIR 能夠完成要求。

在 LIR 可以將租用 IPv6 範圍指定給您的帳戶之前，您可以先完成必要的管理工作。您必須先建立 RIPE NCC 帳號，並設定必要的管理物件。這些物件 (例如 role、mntner 和 organization) 必須適當設定並連結。完成此設定後，RIPE NCC 會發出一個組織 ID ，您必須提供該 ID 給 LIR。然後，LIR 會使用此 ID 來指派 IPv6 範圍至您的 RIPE NCC 帳戶。

工作 1.2：完成 RIPE NCC 管理工作

若要準備要匯入 OCI 的 IPv6 CIDR，您必須在 RIPE NCC 資料庫中完成下列管理任務。這些步驟可確保您能夠正確控制位址空間，並符合 OCI 的驗證需求。

您必須：

如果您還沒有 RIPE NCC 帳戶，請註冊。此帳戶可讓您存取 LIR 入口網站，並允許您管理登錄物件。
建立 role 物件和 mntner (維護者) 物件。這些物件必須定義管理資源的人員，並保護登錄項目的存取。
新增 abuse-c 屬性至您的 role 物件。此為報告與 IP 空間相關之濫用情況的必要欄位。
建立 organization 物件，以代表 RIPE 資料庫中的實體。
- 此物件將連結至 IPv6 CIDR 區塊和其他登錄項目。
- 完成此動作並識別出組織後，您會取得必須提供給 LIR 的唯一組織 ID，以便將租用 IPv6 範圍指定給您的 RIPE NCC 帳戶 (組織)。
新增您的 LIR 提供者的維護者 (例如，如果您使用 NoPKT LLC，則為 NoPKT-MNT) 作為組織物件中的 mnt-ref。這可確保 LIR 可以繼續代表您管理配置。

確定 RIPE 資料庫中所有物件均正確連結且可見。您稍後將更新與您 IPv6 範圍關聯的 inet6num 物件，以完成 OCI 驗證步驟。

此管理步驟至關重要，OCI 將透過您在 RIPE 資料庫中所做的變更，驗證您對前置碼的擁有權或控制權。

建立 RIPE NCC 帳戶並登入。
按一下建立物件。
選取物件類型作為角色與維護者組，然後按一下建立。
建立 RIPE 維護者和角色，並確定維護者已連結至角色。請確定指定所有欄位，如下列影像所示。
將新組織物件連結至正確的維護者物件。
若要對 RIPE 資源進行授權與控制，必須將 NoPKT-MNT 新增至您的 RIPE 組織物件。請確定已使用 mnt-ref 欄位將 NoPKT-MNT 維護者新增為組織。
記下唯一 RIPE ID：
- 具有主索引鍵的角色：NO2XXX-RIPE。
- 主索引鍵為 的維護者：XXX-MNT。
- 組織：ORG-XXXXX-RIPE。
輸入 LIR 的組織 ID，以便將租用 IPv6 區塊指派給您的 RIPE 帳戶 / 角色 / 組織。

任務 1.3：驗證 RIPE NCC 主控台中的 IPv6 CIDR 指派

LIR 會將租用 IPv6 區塊指定給您的 RIPE 帳戶 / 角色 / 組織。完成後，他們將會通知您。
在「RIPE NCC 主控台」中，按一下我的資源 IPv6 ，然後複查租用的 IPv6 範圍。現在，您可以在 OCI BYOIP 必須完成的子網路上執行管理作業。

工作 2：開始匯入 OCI 中的 IPv6 CIDR

在 組織 ID 底下的 RIPE NCC 資料庫中註冊並顯示您的 IPv6 CIDR 之後，就可以在 OCI 中開始 BYOIP 匯入處理作業。

前往 OCI 主控台，瀏覽至網路，然後按一下 BYOIP (自備 IP) 。
按一下匯入 BYOIP CIDR 區塊鏈 / 前置碼。
輸入下列資訊，然後按一下匯入 BYOIP CIDR 區塊 / 前置碼。
- 名稱：指定前置碼的名稱。
- IPv6 CIDR 區塊：輸入與 RIPE 資料庫中顯示的完全相符 IPv6 前置碼。
請注意，前置碼的狀態將會是建立。
按一下字首名稱。
OCI 將會產生驗證權杖，您必須在下一個作業的 RIPE 資料庫中發布此權杖。在記事本中複製此驗證記號。OCI 稍後將會驗證此權杖，以確認您對 IPv6 區塊有管理控制權。

注意：

請勿繼續完成匯入。

您必須先將驗證權杖新增至任務 3 中的 RIPE inet6num 物件，然後在任務 4 中建立 ROA 物件。

只有在兩者完成後，OCI 才能驗證並完成匯入流程。

工作 3：將記號新增為與您地址範圍關聯的新 `descr`

在 OCI 中起始匯入處理作業之後，便會產生驗證權杖。此權杖是 Oracle 用來確認您對嘗試帶入雲端的 IPv6 CIDR 區塊有管理控制權的唯一字串。

若要驗證所有權，您必須將此權杖新增為 RIPE 資料庫中 IPv6 範圍之 inet6num 物件中的新 descr。

在 RIPE 資料庫主控台中，瀏覽至我的資源 IPv6 ，然後按一下 IPv6 子網路。
按一下更新物件。
按一下任何 + 符號，並輸入下列資訊。
- 若要新增 descr，請貼上 OCI 主控台中提供的 OCI 權杖。
- 按一下送出。
請注意，已使用新的 descr 屬性順利更新物件。

OCI 現在將會定期檢查 RIPE 登錄是否有此權杖。偵測到記號之後，CIDR 便可移至下一個驗證階段 (ROA 驗證)。

工作 4：建立 ROA 物件以授權 Oracle 宣告 BYOIP CIDR 區塊

除了將驗證權杖新增至 RIPE 資料庫之外，Oracle 還要求您明確授權它透過 BGP 宣告您的 IPv6 CIDR 區塊。這是透過在 RIPE NCC RPKI 儀表板中建立 ROA 物件來完成。

ROA 物件會告知網際網路路由生態系統，Oracle (由其自治系統編號 (ASN) 識別) 可以宣告您的 IPv6 前置碼。若無此授權，OCI 將不會完成 BYOIP 匯入處理作業。

我們要求 LIR 執行此動作，並在任務 1.3 的票證中確認完成此動作。

我們也可以從這裡查看： Routinator 。

前往此網站。
輸入您的 IPv6 前置碼。
輸入您的出貨預先通知 (這將會是 Oracle 的出貨預先通知編號 AS31898)。
按一下驗證。

發布驗證權杖和 ROA 物件並加以辨識之後，Oracle 將會驗證 BYOIP IPv6 CIDR 區塊的所有權和路由授權。但完成之前，您還是必須按一下 OCI 主控台中的完成匯入。

工作 5：完成在 OCI 中匯入 IPv6 CIDR

當您在 RIPE inet6num 物件中將驗證權杖新增為 descr，並建立授權 Oracle ASN AS31898 的有效 ROA 物件時，OCI 會在您按一下完成匯入之後自動開始驗證程序。

按一下完成匯入以確認。
請注意，狀態從 CREATING 變成 VALIDATING ，則會顯示一則訊息，告知匯入處理最多可能需要 10 個工作天。
複查 BYOIP 狀態畫面。

Oracle 將會進行必要的內部驗證，並執行必要的內部組態以完成匯入。

工作 6：驗證在 OCI 中匯入 IPv6 CIDR

在 OCI 主控台中完成匯入處理作業之後，必須確認您的 IPv6 CIDR 已成功驗證並佈建並可供使用。

在 BYOIP 管理畫面中，您會看到匯入 BYOIP 範圍的狀態現在已設為已啟動設定。
請注意，已調整資料欄會設為否。

我們可以從以下網址確認子網路是否可供線上使用：bgp.tools 網站。
當我們輸入字首並進行搜尋時，可以看到在網際網路上找不到字首。

驗證之後，您的 IPv6 CIDR 已完全上線，可在 OCI 內發布及指定。在下一個任務中，讓它可以在網際網路上使用。

工作 7：向網際網路宣告 IPv6 CIDR

在 OCI 中順利匯入並驗證您的 IPv6 CIDR 之後，讓 CIDR 能夠全球存取的最終工作就是將其通告至網際網路。

此作業會告知 OCI 開始從 Oracle 的網路 (ASN 31898) 透過 BGP 宣布您的 IPv6 CIDR，讓來自公用網際網路的流量到達您雲端的 IPv6 空間。

注意：必須先宣告 CIDR，才能將 IPv6 範圍與對網際網路公開的 OCI 資源 (例如 OCI Load Balancer、OCI Compute 執行處理等) 搭配使用。

按一下子網路結尾的三個點，然後選取廣告。
按一下廣告以確認。
請注意，已調整資料欄會設為是。
若要確認子網路是否可在線上使用，請前往 bgp.tools 網站。
輸入字首並進行搜尋，我們可以在網際網路上看到該字首。

廣告生效後，您可以將 IPv6 範圍指定給 VCN，並在 OCI 中使用。

作業 8：將 BYOIP IPv6 CIDR 指定給 VCN

在這項任務中，將 IPv6 CIDR 指定給 VCN。這讓 CIDR 可用於建立子網路，並將 IPv6 位址連附至 OCI Compute 執行處理和 OCI Load Balancer 等資源。

前往 OCI 主控台，瀏覽至網路的虛擬雲端網路，然後按一下要指定此 IPv6 BYOIP 的 VCN。
向下捲動。
請注意，只能使用一個子網路，這是專用子網路。
按一下 CIDR 區塊 / 前置碼。請注意，只有一個 CIDR 區塊 / 前置碼可供使用。
按一下新增 CIDR 區塊 /IPv6 前置碼。
從下拉式功能表中選取 BYOIP 前置碼，然後按一下新增 CIDR 區塊 /IPv6 前置碼。
請注意，BYOIP IPv6 CIDR 現在已新增至 VCN。
前往 OCI 主控台，瀏覽至網路 BYOIP ，然後按一下匯入的 BYOIP 範圍。請注意，此範圍現在已指定給 VCN。
瀏覽至網路、 IP 管理，然後按一下 IP 位址洞察分析。請注意，VCN 已指定 IPv6 範圍。
瀏覽至網路，然後按一下 VCN 。請注意，BYOIP IPv6 範圍也已新增至 VCN。

我們已準備好在您的 BYOIP IPv6 CIDR 中分割子網路，然後將其指定給 OCI 資源。

工作 9：在 BYOIP IPv6 CIDR 範圍內建立子網路

建立 IPv6 範圍內的子網路。此子網路可讓您將 IPv6 位址配置給 OCI 資源，例如運算執行處理或負載平衡器。

前往 OCI 主控台並瀏覽至網路，然後按一下虛擬雲端網路。
選取您指定給 BYOIP IPv6 CIDR 的 VCN 。
在 VCN 詳細資訊頁面中，移至子網路區段。
按一下建立子網路。
請輸入下列資訊。
- 名稱：輸入子網路的名稱。
- 子網路類型：選取特定 AD，或選取區域以獲得高可用性。
- IPv4 CIDR 區塊 (選擇性)：如果您要建立雙堆疊子網路，請輸入 IPv4 區塊。
IPv6 前置碼：從 BYOIP IPv6 CIDR 選取一個子網路範圍。例如，如果匯入的範圍是 /44，您可以指派 /64 子網路。前置碼的第一個部分已經提供，若要建立 /64 子網路，請只提供最後一個部分 0::。
在子網路存取中，選取公用子網路，然後按一下建立子網路。
請注意，系統會以匯入的 BYOIP 範圍外的 IPv6 前置碼建立新的子網路。

在下一個作業中，您將設定路由，讓子網路可以透過網際網路傳送與接收流量。

作業 10：建立並指定 VCN 的新路由表

在這項作業中，建立及指派能夠啟用正確網路流量的路由表。此路由表將定義來自子網路 (IPv6 流量) 的流量在 VCN 內外 (包括網際網路) 的路由方式。

前往 OCI 主控台，瀏覽至網路和虛擬雲端網路。
選取您的 VCN 。
在資源中，按一下路由表。
按一下建立路由表。
在路由規則中，輸入下列資訊。
- 名稱：輸入路由表的描述性名稱。
- 協定版本：選取 IPv6 。
- 目標類型：如果子網路需要公用網際網路存取，請選取網際網路閘道。
- 目的地 CIDR 區塊：輸入 ::/0 以允許外送 IPv6 流量傳送至網際網路。
- 目標：選取與 VCN 關聯的網際網路閘道。
- 按一下建立，以儲存路由表。
請注意，系統會建立新的路由表。
現在，我們需要將路由表指定給子網路。
- 瀏覽至 VCN 和 Subnets 。
- 按一下子網路的名稱。
- 按一下編輯。
在路由表中，選取您剛剛建立的新路由表，然後按一下儲存變更。
您的子網路現在使用路由表，允許 IPv6 流量透過 OCI 連線至網際網路。此子網路中任何具有公用 IPv6 位址的執行處理或資源，現在都可以傳送及接收 IPv6 流量。

接著，您就可以啟動運算執行處理，然後從 BYOIP 範圍指定 IPv6 位址。

工作 11：建立執行處理並使用 BYOIP IPv6 CIDR 範圍的 IPv6 位址

現在您的 VCN 和子網路已設定且已備妥路由，您可以啟動運算執行處理，然後從匯入的 BYOIP IPv6 CIDR 範圍指定 IPv6 位址給它。這可讓您使用控制及管理的 IPv6 空間，透過網際網路存取執行處理。

前往 OCI 主控台，瀏覽至運算、執行處理，然後按一下建立執行處理。
請輸入下列資訊。
- 名稱：輸入執行處理的名稱。
- 區間：選取適當的區間。
- 可用性網域：根據您的設定，選取 AD 或使用區域可用性。
- 映像檔和資源配置：選取偏好的作業系統映像檔和資源配置。例如，Ubuntu 與 Oracle Linux。
選取在任務 9 中建立的 VCN 和公用子網路。
啟用 IPv6 位址，如果您無法啟用 IPv6 位址，即使 VCN 已指定有效的 BYOIP IPv6 CIDR，我們仍可於稍後啟用。
(可選擇) 附加 SSH 金鑰以進行安全存取。
按一下建立，即可建立執行處理。
請注意，未指派任何 IPv6 位址給執行處理 (尚未指派)。
按一下連附的 VNIC ，然後按一下執行處理的現有 VNIC。
按一下 IPv6 位址和指派 IPv6 位址。
請輸入下列資訊。
- 從下拉式功能表中選取 BYOIP IPv6 前置碼。
- 選取自動從前置碼指派 IPv6 位址。
- 按一下指定。
請注意，新的 IPv6 位址已經指派給 VNIC。
回到詳細資訊，並請注意，已新增您 BYOIP IPv6 範圍的公用 IPv6 位址。
前往線上 IPv4 連接埠掃描器。例如，SubnetOnline 。使用公用 IPv4 位址來驗證開啟的連接埠，並注意開啟的連接埠 TCP/22。
前往線上 IPv6 連接埠掃描器。例如，SubnetOnline 。
- 使用公用 IPv6 位址來驗證開啟的連接埠。
- 請注意，連接埠 TCP/22 已開啟。
- 這證明我們的 BYOIP IPv6 位址可以從網際網路連線。
注意：請確定您的安全清單或網路安全群組 (NSG) 允許輸入和輸出 IPv6 流量。例如，ICMPv6、SSH 的 TCP 連接埠 22 或其他必要的連接埠。
我們也可以使用 SSH 登入執行處理來進行最後檢查，現在我們將會連線至公用 IPv4 位址。
執行 ip a 命令。請注意，執行處理上已設定 IPv6 位址。