Come posso risolvere gli errori di configurazione di BYOIP nel mio VPC?

Breve descrizione

Nota: se ricevi errori quando esegui i comandi dell'Interfaccia della linea di comando AWS (AWS CLI), consulta Risoluzione degli errori per AWS CLI. Inoltre, assicurati di utilizzare la versione più recente di AWS CLI.

Quando configuri BYOIP in un VPC possono verificarsi i seguenti problemi:

• La Route Origin Authorization (ROA) non è valida o non esiste per il tuo intervallo CIDR (Classless Inter-Domain Routing) e gli ASN Amazon (Autonomous System Number).
• Nelle note di WHOIS non è presente un certificato X.509.
• L'intervallo di indirizzi IP non utilizza un tipo di allocazione accettato nel registro Internet associato.
• AWS non è in grado di verificare la firma CidrAuthorizationContext con i certificati X.509 nei record RIR (Regional Internet Registries).
• L'indirizzo IP è bloccato nello stato di pending-provision.

Per ulteriori informazioni, consulta Trasferire i propri indirizzi IP (BYOIP) in Amazon Elastic Compute Cloud (Amazon EC2) e la sezione Porta il tuo indirizzo IP delle domande frequenti su Amazon VPC.

Per risolvere i problemi di configurazione di BYOIP, completa le seguenti azioni in base all'errore che hai ricevuto.

Risoluzione

Risolvi il problema di una ROA non valida o non trovata per l'intervallo CIDR e gli ASN Amazon

Crea una ROA per autorizzare gli ASN Amazon 16509 e 14618 a pubblicizzare gli intervalli di indirizzi. Per ulteriori informazioni, consulta Creazione di un oggetto ROA nel RIR.

Importante: la ROA deve soddisfare i requisiti BYOIP riportati di seguito.

• Verifica che la ROA sia valida per entrambi gli ASN nel periodo di utilizzo.
• La ROA deve essere specifica per gli intervalli di indirizzi che porti in AWS.
• Per IPv4, la ROA deve contenere l'intervallo di indirizzi che desideri portare in AWS e devi impostare la lunghezza massima su /24. Per IPv6, l'intervallo più specifico che puoi inserire è /48 per gli intervalli CIDR pubblicizzabili pubblicamente e /60 per gli intervalli CIDR non pubblicizzati pubblicamente.
  Importante: se devi creare un oggetto ROA per Gestione indirizzi IP (IPAM) in Amazon VPC, imposta la lunghezza massima del prefisso IPv4 su /24. Se devi aggiungere intervalli CIDR IPv6 a un pool pubblicizzabile, imposta la lunghezza massima del prefisso di un indirizzo IP su /48. Per ulteriori informazioni sugli indirizzi BYOIP e IPAM, consulta Tutorial: trasferisci i tuoi indirizzi IP su IPAM.

Per ulteriori informazioni sulla creazione di una richiesta ROA, consulta le seguenti risorse, a seconda del tipo di registrazione dell'intervallo di indirizzi IP:

• ARIN: Route Origin Authorization (ROA) Overview (Cos’è una Route Origin Authorization (ROA))
• RIPE: Using the Hosted Certification Authority (Utilizzo dell'autorità di certificazione ospitata)
• APNIC: Route Management (Gestione delle route)

Importante: AWS supporta solo i prefissi registrati con ARIN, RIPE o APNIC.

La ROA impiega fino a 24 ore per rendere disponibili gli ASN per Amazon. Attendi 24 ore dopo aver creato una ROA prima di eseguire il deprovisioning e il ri-provisioning dell'intervallo di indirizzi.

Utilizza Routinator con il browser o AWS CLI per verificare di aver creato la ROA e di averla mappata negli ASN. Per ulteriori informazioni, consulta Routinator sul sito web ufficiale Routinator.

Inserisci il seguente URL nel browser:

https://rpki-validator.ripe.net/json?select-prefix=example-public-IP/example-prefix-length

-oppure-

Esegui questo comando curl in AWS CLI:

curl https://rpki-validator.ripe.net/json?select-prefix=example-public-IP/example-prefix-length

Nota: negli esempi precedenti, sostituisci example-public-IP/example-prefix-length con il tuo intervallo di indirizzi.

L'esempio seguente di output di AWS CLI è valido per l'ASN AS13335 e l'indirizzo IP 1.1.1.0/24:

{
"metadata": {
"generated": 1770933536,
"generatedTime": "2026-02-12T21:58:56Z"
},
"roas": [
{ "asn": "AS**13335**", "prefix": "**1.1.1.0/24**", "maxLength": 24, "ta": "apnic" }
],
"routerKeys": [],
"aspas": []
}

L'esempio di output seguente non è valido:

{
"metadata": {
"generated": 1685008305,
"generatedTime": "2023-05-25T09:51:45Z"
},
"roas": []
}

Se l'output non è valido, verifica che la ROA soddisfi i requisiti precedenti.

Risolvi il problema di un certificato X.509 non presente nelle note di WHOIS

I seguenti problemi causano certificati autofirmati X.509 non validi:

• Non è presente un certificato nel record RDAP (Registration Data Access Protocol) per il RIR.
• Nel certificato sono presenti nuovi caratteri di riga.
• Il certificato non è valido.
• Non hai generato il certificato da una coppia di chiavi valida.

Importante: quando configuri BYOIP, devi creare e caricare correttamente il certificato X.509.

Verifica che il certificato sia valido in base al registro utilizzato per registrarlo, quindi risolvi il problema.

Per ARIN, RIPE e APNIC

Per verificare che un certificato che hai registrato sia valido, esegui uno di questi comandi WHOIS:

whois -h whois.example-RIR.net example-public-IP

-oppure-

whois -h whois.example-RIR.net example-address-range

Nota: sostituisci example-public-IP con il tuo indirizzo IP. Sostituisci example-public-IP/example-address-range con il tuo intervallo di indirizzi nella notifica CIDR. Sostituisci whois.example-RIR.net con il nome host del RIR che utilizzi.

Esegui questi controlli nei risultati in base al RIR:

• Per ARIN: controlla la sezione Public Comments (Commenti pubblici) per NetRange (intervallo di rete) nell'output del comando. Verifica che il certificato sia nella sezione Public Comments (Commenti pubblici) per l'intervallo di indirizzi.
• Per APNIC: controlla la sezione remarks (note) per l'oggetto inetnum (intervallo di rete) nell'output del comando. Verifica che il certificato sia nel campo remarks (note) per l'intervallo di indirizzi.
• Per RIPE: controlla la sezione descr (descrizione) per l'oggetto inetnum (intervallo di rete) nell'output del comando. Verifica che il certificato sia in un campo descr (descrizione) per l'intervallo di indirizzi.

Risolvi il problema

Dopo aver concluso il controllo, completa i seguenti passaggi:

1. Se non è presente alcun certificato, creane e caricane uno nuovo.
   -oppure-
   Se è presente un certificato, assicurati che non contenga nuove righe. Se contiene nuove righe, rimuovile. Il seguente esempio di certificato non contiene nuove righe:

   openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

2. Copia il contenuto del certificato in un nuovo file ed esegui questo comando per verificare che il certificato sia valido:

   openssl x509 -in certificate.pem -text -noout

Nota: se ricevi gli errori «"unable to load certificate" o "Could not find certificate", aggiungi una nuova riga dopo BEGIN CERTIFICATE e prima di END CERTIFICATE.

Se continui a ricevere l'errore, hai utilizzato una coppia di chiavi errata per generare il certificato. Crea e carica un nuovo certificato X.509.

Risolvi i problemi di un intervallo IP che non è un tipo di allocazione accettabile nel registro Internet associato

L'errore può essere causato dai seguenti problemi:

• Il tipo di allocazione RIR per l'intervallo di indirizzi è errato.
• AWS non supporta il registro.

Esegui uno di questi comandi WHOIS:

whois -h whois.iana.org example-public-IP

-oppure-

whois -h whois.iana.org example-public-IP/example-prefix-length

Nota: sostituisci example-public-IP con il tuo indirizzo IP. Sostituisci example-public-IP/example-address-range con il tuo intervallo di indirizzi nella notifica CIDR.

Nell'output, esamina la sezione organization (organizzazione) e verifica che AWS supporti il registro. Assicurati di aver registrato l'intervallo di indirizzi nella sezione inetnum con il RIR.

Risolvi gli errori "The CidrAuthorizationContext signature can't be verified with the X509 certificates in the RIR records"

Quando esegui il provisioning degli intervalli di indirizzi, AWS deve verificare la firma per la chiamata API. AWS utilizza la chiave pubblica derivata dal certificato per verificare la firma nell'operazione API provision-byoip-cidr. Questo errore indica che AWS non è riuscito a verificare la firma.

L'errore può essere causato dai seguenti problemi:

• Quando effettui il provisioning, non utilizzi la firma corretta.
• Hai firmato il messaggio con la chiave privata sbagliata.
• Hai caricato il certificato sbagliato nel record RDAP con il RIR.

Per risolvere il problema, crea e carica un nuovo certificato X.509.

Risolvi i problemi di un indirizzo IP bloccato nello stato "pending-provision"

Il completamento del processo di provisioning degli indirizzi pubblicizzabili pubblicamente richiede fino a una settimana.

Esegui il comando AWS CLI describe-byoip-cidrs per monitorare lo stato di avanzamento:

aws ec2 describe-byoip-cidrs --max-items example-value --region example-region

Nota: sostituisci example-value con il numero totale di elementi che devi vedere nell'output del comando. Sostituisci example-region con la tua Regione AWS.

Se lo stato cambia in failed-provision, verifica di aver composto e firmato correttamente il messaggio di autorizzazione. Quindi esegui nuovamente il comando provision-byoip-cidr. Per ulteriori informazioni, consulta Fornisci un intervallo di indirizzi pubblicizzabile pubblicamente in AWS.