View a markdown version of this page

驗證網域控制 - Amazon Virtual Private Cloud
使用 X.509 憑證驗證網域使用 DNS TXT 記錄驗證網域

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

驗證網域控制

在將 IP 地址範圍帶入目的地之前 AWS，您必須使用本節所述的其中一個選項來驗證您是否控制 IP 地址空間。這同時適用於 IPv4 和 IPv6 地址範圍。稍後，當您將 IP 地址範圍帶至 時 AWS， 會 AWS 驗證您是否控制 IP 地址範圍。此驗證可確保客戶無法使用屬於其他人的 IP 範圍，從而防止路由和安全性問題。

您可以使用兩種方法來驗證您控制此範圍：

  • X.509 憑證：如果您的 IP 位址範圍已向支援 RDAP 的網際網路註冊機構 (例如 ARIN、RIPE 和 APNIC) 註冊，您可以使用 X.509 憑證驗證網域所有權。

  • DNS TXT 記錄：無論您的網際網路登錄檔是否支援 RDAP，您都可以使用驗證符記和 DNS TXT 記錄來驗證網域所有權。

使用 X.509 憑證驗證網域

本節介紹如何在將 IP 位址範圍帶入 IPAM 前使用 X.509 憑證驗證網域。

使用 X.509 憑證驗證網域

  1. 請完成 Amazon EC2 User Guide 的 Prerequisites for BYOIP in Amazon EC2 中的這三個步驟。

    注意

    建立 ROA 時，必須將 IPv4 CIDR 的 IP 地址字首的長度上限設定為 /24。若要將 IPv6 CIDR 新增至可公告集區，則 IP 地址字首的長度上限必須為 /48。這可確保您擁有將公有 IP 地址跨 AWS 區域分割的完整彈性。IPAM 會強制執行您設定的長度上限。此長度上限是您宣告的此路由的允許字首最小長度。例如，如果您自攜 /20 CIDR 區塊至 AWS，那麼只要將長度上限設為 /24，即可任意分割更大的區塊 (例如 /21、/22 或 /24)，並將那些更小的 CIDR 區塊分配給任何區域。若要將長度上限設定為 /23，便無法從更大的區塊分割和公告 /24。另請注意，/24 是最小的 IPv4 區塊，/48 則是您可從區域公告到網際網路的最小 IPv6 區塊。

  2. 僅完成《Amazon EC2 使用者指南》中的在 AWS中的佈建可公開公告的地址範圍下的第 1 步和第 2 步，暫時不要佈建地址範圍 (第 3 步)。儲存 text_message 和 signed_message。您稍後在此過程中會需要這些資訊。

完成這些步驟後，請繼續執行 使用 AWS 管理主控台和 AWS CLI 兩者，自攜 IP 至 IPAM 或 僅使用 AWS CLI，自攜 IP CIDR 至 IPAM。

使用 DNS TXT 記錄驗證網域

完成本節中的步驟，在將 IP 位址範圍帶入 IPAM 之前，使用 DNS TXT 記錄驗證網域。

您可以使用 DNS TXT 記錄來驗證您是否控制公有 IP 位址範圍。DNS TXT 記錄是一種 DNS 記錄類型，其中包含關於您網域名稱的資訊。此功能允許您將註冊於任何網際網路註冊機構 (例如 JPNIC、LACNIC 和 AFRINIC) 的 IP 位址帶入，而不限於支援基於 RDAP （註冊資料存取通訊協定) 驗證的機構 (例如 ARIN、RIPE 和 APNIC)。

重要

必須先在免費或進階方案中建立 IPAM，才能繼續。如果您沒有 IPAM，建立 IPAM請先完成。

第 1 步：如果您尚未建立 ROA，請先建立 ROA

您必須在區域網際網路登記機構 (RIR) 中擁有路由來源授權 (ROA)，以公告您希望使用的 IP 位址範圍。如果您的 RIR 中沒有 ROA，請完成 3。在 RIR 中建立 ROA 物件 (該步驟載於《Amazon EC2 使用者指南》。忽略其他步驟。

您可以使用的最特定 IPv4 位址範圍是 /24。針對可公開公告的 CIDR，您可以使用的最特定 IPv6 地址範圍是 /48，而針對不可公開公告的 CIDR，則是 /60。

步驟 2. 建立驗證符記

驗證字符是 AWS產生的隨機值，可用來證明對外部資源的控制。例如，當您將 IP 地址範圍帶至 AWS (BYOIP) 時，您可以使用驗證字符來驗證您是否控制公有 IP 地址範圍。

完成本節的步驟以建立驗證符記，您在本教學稍後的步驟中將需要此字符來將 IP 位址範圍帶入 IPAM。針對 AWS 主控台或 使用下列指示 AWS CLI。

AWS Management Console
建立驗證符記

  1. 請在 https://console.aws.amazon.com/ipam/ 開啟 IPAM 主控台。

  2. 在 AWS 管理主控台中，選擇您建立 IPAM AWS 的區域。

  3. 在左側導覽窗格中，選擇 IPAMs (IPAM)。

  4. 選擇您的 IPAM，然後選擇 驗證符記標籤。

  5. 選取 建立驗證符記。

  6. 建立符記之後，請保持此瀏覽器索引標籤開啟。您需要權杖值、下一個步驟中的權杖名稱，以及後續步驟中的權杖 ID。

注意下列事項：

  • 建立驗證符記後，您可以在 72 小時內重複使用該符記，用於從 IPAM 中佈建的多個 BYOIP CIDR。若超過 72 小時仍需佈建更多 CIDR，則需要建立新的驗證符記。

  • 您最多可以建立 100 個符記。如果您達到限制，請刪除過期的符記。

Command line

  • 使用 create-ipam-external-resource-verification-token 請求 IPAM 建立驗證符記，該字符將用於 DNS 組態：

    aws ec2 create-ipam-external-resource-verification-token --ipam-id ipam-id

    這將傳回具有 TokenName 和 TokenValue 的 IpamExternalResourceVerificationTokenId 和字符，以及符記的過期時間 (NotAfter)。

    { 
    "IpamExternalResourceVerificationToken": { 
        "IpamExternalResourceVerificationTokenId": "ipam-ext-res-ver-token-0309ce7f67a768cf0", 
        "IpamId": "ipam-0f9e8725ac3ae5754", 
        "TokenValue": "a34597c3-5317-4238-9ce7-50da5b6e6dc8", 
        "TokenName": "86950620", 
        "NotAfter": "2024-05-19T14:28:15.927000+00:00", 
        "Status": "valid", 
        "Tags": [], 
        "State": "create-in-progress" }
}

注意下列事項：

步驟 3。設定 DNS 區域與 TXT 記錄

完成本節中的步驟，以設定 DNS 區域和 TXT 記錄。如果您未使用 Route53 作為 DNS，請參閱您的 DNS 提供商提供的文檔來設定 DNS 區域並新增 TXT 記錄。

如果您使用的是 Route53，請注意下列事項：

無論您是使用其他 DNS 供應商或 Route53，當您設定 TXT 記錄時，請注意下列事項：

  • 記錄名稱應為符記名稱。

  • 記錄類型應為 TXT。

  • ResourceRecord 值應為符記值。

範例：

  • 名稱: 86950620.113.0.203.in-addr.arpa

  • Type (類型)：TXT

  • ResourceRecords 值：a34597c3-5317-4238-9ce7-50da5b6e6dc8

其中：

  • 86950620 是驗證符記名稱。

  • 113.0.203.in-addr.arpa 是反向查詢區域名稱。

  • TXT 是記錄類型。

  • a34597c3-5317-4238-9ce7-50da5b6e6dc8 是驗證符記值。

注意

根據使用 BYOIP 帶入 IPAM 的字首大小，必須在 DNS 中建立一或多個身分驗證記錄。這些身分驗證記錄屬於 TXT 記錄類型，並且必須放置在字首本身或其父字首的反向區域中。

  • 對於 IPv4，身分驗證記錄需要與構成字首的八位元組界限範圍對齊。

    • 範例

    • 對於已在八位元組界限對齊的 198.18.123.0/24，您需要在以下位置建立單一身分驗證記錄：

      • token-name.123.18.198.in-addr.arpa. IN TXT "token-value"

    • 對於 198.18.12.0/22，其本身未與八位元組界限對齊，您將需要建立四個身分驗證記錄。這些記錄必須涵蓋在八位元組界限對齊的子網路 198.18.12.0/24、198.18.13.0/24、198.18.14.0/24 和 198.18.15.0/24。對應的 DNS 項目必須是：

      • token-name.12.18.198.in-addr.arpa. IN TXT "token-value"

      • token-name.13.18.198.in-addr.arpa. IN TXT "token-value"

      • token-name.14.18.198.in-addr.arpa. IN TXT "token-value"

      • token-name.15.18.198.in-addr.arpa. IN TXT "token-value"

    • 對於已在八位元組界限對齊的 198.18.0.0/16，您需要建立單一身分驗證記錄：

      • token-name.18.198.in-addr.arpa. IN TXT "token-value"

  • 對於 IPv6，身分驗證記錄需要與構成字首的半位元組界限範圍對齊。有效的小數位值為 32、36、40、44、48、52、56 和 60。

    • 範例

      • 對於已在半位元組界限對齊的 2001:0db8::/40，您需要建立單一身分驗證記錄：

        • token-name.0.0.8.b.d.0.1.0.0.2.ip6.arpa TXT "token-value"

      • 對於 2001:0db8:80::/42，其本身未對齊半位字節界限，您需要建立四個身分驗證記錄。這些記錄必須涵蓋在半位字節界限對齊的子網路 2001:db8:80::/44、2001:db8:90::/44、2001:db8:a0::/44 和 2001:db8:b0::/44。對應的 DNS 項目必須是：

        • token-name.8.0.0.8.b.d.0.1.0.0.2.ip6.arpa TXT "token-value"

        • token-name.9.0.0.8.b.d.0.1.0.0.2.ip6.arpa TXT "token-value"

        • token-name.a.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT "token-value"

        • token-name.b.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT "token-value"

      • 對於本身未在半位界限對齊的非廣告範圍 2001:db8:0:1000::/54，您需要建立四個身分驗證記錄。這些記錄必須涵蓋在半位字節界限對齊的子網路 2001:db8:0:1000::/56、2001:db8:0:1100::/56、2001:db8:0:1200::/56 和 2001:db8:0:1300::/56。對應的 DNS 項目必須是：

        • token-name.0.1.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT "token-value"

        • token-name.1.1.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT "token-value"

        • token-name.2.1.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT "token-value"

        • token-name.3.1.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT "token-value"

    • 若要驗證 token-name 與 "ip6.arpa" 字串之間的正確十六進位數字，請將該數字乘以四。結果應符合字首長度。例如，對於 /56 字首，您應該有 14 個十六進位數字。

完成這些步驟後，請繼續執行 使用 AWS 管理主控台和 AWS CLI 兩者，自攜 IP 至 IPAM 或 僅使用 AWS CLI，自攜 IP CIDR 至 IPAM。