Geleastes IPv4 zu AWS bringen: BYOIP-Anforderungen, Schritte, Kosten

Wenn Sie irgendetwas auf AWS betreiben, zahlen Sie Miete für jede öffentliche IPv4-Adresse, die Sie nutzen. Seit dem 1. Februar 2024 berechnet Amazon $0.005 pro Stunde für jede öffentliche IPv4-Adresse in Ihrem Konto – gebunden oder ungenutzt, ob auf einer EC2-Instanz, einem NAT-Gateway, einem Load Balancer oder als ungenutzte Elastic IP. Das sind etwa $3.65 pro Adresse und Monat. Mit 256 Adressen im Einsatz geben Sie rund $934 pro Monat aus, also mehr als $11,000 pro Jahr – allein für die Adressen.

Es gibt einen dokumentierten Weg, diese Rechnung nicht mehr zu zahlen, und Amazon beschreibt seine Mechanik ausführlich: Bring Your Own IP (BYOIP). Auf diesem Weg eingebrachte Adressen sind von der Gebühr pro Adresse ausgenommen. Was die AWS-Dokumentation nie wirklich beantwortet, ist die Frage, mit der die meisten tatsächlich kommen: Kann ich ein geleastes /24 mitbringen, oder funktioniert BYOIP nur mit Blöcken, die mir gehören? Auch zum realen Kostenvergleich und zu den typischen Stolperfallen schweigt sie.

Dieser Leitfaden schließt alle drei Lücken.

Kurze Antwort: Ja, Sie können ein geleastes /24 per BYOIP zu AWS bringen, und damit entfällt die Gebühr von $0.005 pro Stunde für diese Adressen vollständig. Der Haken: AWS prüft die Kontrolle über den Block über Ihre Internet-Registry, ein geleaster Bereich braucht also die Autorisierung durch den IP-Eigentümer. Der Rest dieses Artikels behandelt die Anforderungen, die Einrichtung in sieben Schritten und die Frage, ob sich der Aufwand lohnt.

Warum AWS BYOIP 2026 wichtig ist: die Gebühr für öffentliches IPv4

Vor Februar 2024 berechnete AWS nur Elastic IPs, die reserviert, aber nicht gebunden waren. Alles andere war kostenfrei. Das änderte sich über Nacht. Heute gilt die Gebühr universell: Jede öffentliche IPv4-Adresse wird mit $0.005 pro Stunde berechnet, genutzt oder ungenutzt, ohne Ausnahme.

In kleinem Maßstab lässt sich das leicht ignorieren. Bei jeder nennenswerten Größe nicht. So schneiden die beiden Modelle bei 256 Adressen – einem vollen /24 – ab.

Die Erkenntnis ist eindeutig: Per BYOIP eingebrachte Adressen entgehen der Gebühr, und Elastic IPs aus Ihrem eigenen Pool kosten nichts. Für ein Team mit einem nennenswerten IPv4-Bestand ist die Wahl zwischen „Amazon vermietet Ihnen die Adressen“ und „Sie bringen Ihre eigenen mit“ jedes Jahr ein fünfstelliger Posten. Ihre eigenen Zahlen können Sie mit aktuellen Leasingpreisen in unserem IPv4-Preisrechner durchrechnen.

Kann man geleastes IPv4 zu AWS bringen?

Ja – und weil die offizielle Dokumentation es nie direkt sagt, lohnt es sich, genau zu erklären, warum.

AWS prüft nicht, ob Ihnen ein Block im rechtlichen Sinn gehört. Es prüft, ob Sie die Kontrolle darüber über die Regional Internet Registry nachweisen können. Zwei Einträge belegen das:

• Eine Route Origin Authorization (ROA) im RPKI-System der Registry, die Amazons ASNs zur Ankündigung des Bereichs autorisiert.

• RDAP-Einträge bei der Registry, die AWS abfragt, um zu bestätigen, dass der Bereich Ihnen zugeordnet ist.

Beide liegen dort, wo die Registrierung liegt – und bei einem geleasten Block ist das beim IP-Eigentümer, nicht beim Mieter. Ein geleastes /24 funktioniert also problemlos mit AWS BYOIP, aber nur mit Mitwirkung des Eigentümers. ROA und RDAP-Aktualisierungen müssen vom registrierten Inhaber kommen.

In der Praxis nimmt Ihnen ein guter Leasing-Anbieter genau das ab. Wenn Sie einen Block über IPbnb leasen, ist die Einrichtung von ROA und RDAP für Cloud-BYOIP Teil der Vereinbarung – der Block kommt AWS-bereit bei Ihnen an, und Sie stellen ihn bereit wie jeden eigenen Bereich. Zwei Dinge sollten Sie vorher klären:

• Ihr Leasingvertrag erlaubt ausdrücklich Cloud-BYOIP. Nicht jeder tut das – unsere BYOIP-Übersicht erklärt, warum.

• Der IP-Eigentümer legt die ROA für Amazons ASNs 16509 und 14618 an und hält sie gültig, solange der Block bei AWS liegt.

Stimmen diese beiden Punkte, verhält sich ein geleaster Block aus Amazons Sicht genauso wie ein eigener.

Anforderungen für AWS BYOIP

Jede der folgenden Anforderungen wird bei der Bereitstellung geprüft. Fehlt eine, bleibt Ihr Bereich in pending-provision hängen, statt live zu gehen.

• Der kleinste Block ist ein /24. Für IPv4 können Sie nichts Spezifischeres als ein /24 mitbringen – keine /25 oder /26. Für IPv6 ist das spezifischste öffentlich angekündigte Präfix ein /48.

• Bei einer unterstützten Registry registriert. Der Block muss bei ARIN, RIPE oder APNIC liegen und auf eine Firma oder Institution registriert sein – niemals auf eine Privatperson.

• Eine ROA, die Amazons ASNs autorisiert. Legen Sie eine ROA an, die die ASNs 16509 und 14618 zur Ankündigung des Bereichs autorisiert (für AWS GovCloud 8987). Setzen Sie die maximale Länge auf /24 und rechnen Sie bis zu 24 Stunden für die Verbreitung, bevor AWS sie sieht.

• Kontrollnachweis per RDAP. AWS bestätigt die Kontrolle über die RDAP-Einträge Ihrer Registry, meist mit einem kurzlebigen X.509-Zertifikat, das Sie nach Abschluss der Bereitstellung entfernen können.

• Fünf Bereiche pro Region. Sie können fünf IPv4- und IPv6-Bereiche pro Region mitbringen. Darüber hinaus brauchen Sie eine Limiterhöhung über den AWS Support.

• Ein Block, jeweils eine Region. Ein Bereich kann nur in einer Region liegen. Sie können denselben Block nicht gleichzeitig aus zwei Regionen ankündigen.
  
  

So bringen Sie ein geleastes /24 zu AWS: 7 Schritte

Sobald die Registry-Seite geklärt ist, besteht die AWS-Seite aus einer Handvoll CLI-Aufrufen. Der Großteil der Zeit vergeht mit dem Warten auf die RPKI-Verbreitung, nicht mit aktiver Arbeit.

1. ROA und RDAP-Einträge vorbereiten. Lassen Sie den IP-Eigentümer die ROA für die ASNs 16509 und 14618 mit maximaler Länge /24 anlegen und bestätigen, dass die RDAP-Einträge aktuell sind. Dieser Schritt ist Voraussetzung für alles Weitere, und die ROA kann bis zu 24 Stunden brauchen, bis sie bei Amazon ankommt.

2. Block bereitstellen. Sobald die ROA verbreitet ist, stellen Sie den Bereich bereit und legen seinen Adresspool an:

aws ec2 provision-byoip-cidr \
  --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$msg",Signature="$sig"

aws ec2 provision-byoip-cidr \
  --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$msg",Signature="$sig"

aws ec2 provision-byoip-cidr \
  --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$msg",Signature="$sig"

aws ec2 provision-byoip-cidr \
  --cidr 203.0.113.0/24 \
  --cidr-authorization-context Message="$msg",Signature="$sig"

Die Bereitstellung läuft asynchron: Der Befehl kehrt sofort zurück, der Bereich ist aber noch nicht nutzbar.

3. Status beobachten. Warten Sie, bis der Status von pending-provision zu provisioned wechselt:

aws ec2 describe-byoip-cidrs --max-results 5

aws ec2 describe-byoip-cidrs --max-results 5

aws ec2 describe-byoip-cidrs --max-results 5

aws ec2 describe-byoip-cidrs --max-results 5

Schlägt der Vorgang fehl, nennt die Statusmeldung den Grund – meist eine nicht passende ROA (siehe Hinweis unten).

4. Bereich ankündigen. Sobald der Status provisioned lautet, weisen Sie AWS an, ihn anzukündigen:

aws ec2 advertise-byoip-cidr --cidr 203

aws ec2 advertise-byoip-cidr --cidr 203

aws ec2 advertise-byoip-cidr --cidr 203

aws ec2 advertise-byoip-cidr --cidr 203

5. Elastic IPs aus Ihrem Pool zuweisen. Beziehen Sie Adressen aus Ihrem eigenen Pool statt aus dem von Amazon – diese Zuweisungen sind kostenfrei:

aws ec2 allocate-address \
  --region eu-central-1 \
  --public-ipv4-pool

aws ec2 allocate-address \
  --region eu-central-1 \
  --public-ipv4-pool

aws ec2 allocate-address \
  --region eu-central-1 \
  --public-ipv4-pool

aws ec2 allocate-address \
  --region eu-central-1 \
  --public-ipv4-pool

6. An Ihre Ressourcen binden. Verknüpfen Sie diese Elastic IPs mit EC2-Instanzen, NAT-Gateways oder Network Load Balancern – genau wie jede andere Elastic IP.

7. Ankündigung prüfen. Bestätigen Sie, dass der Block live ist und korrekt über AWS geroutet wird, bevor Sie echten Traffic darauf verlagern.

Wie lange dauert das realistisch? AWS veröffentlicht keine garantierte Bereitstellungszeit. Planen Sie bis zu 24 Stunden für die ROA-Verbreitung und insgesamt einige Werktage, sobald die Registry-Unterlagen erledigt sind. Behandeln Sie es als geplante Migration, nicht als Änderung innerhalb einer Stunde.

Hinweis zu geleasten Bereichen und Validierungsfehlern

Da die Registry-Einträge eines geleasten Blocks beim Eigentümer liegen, sind die beiden häufigsten Fehler beide Registry-seitig und nicht etwas, das Sie in AWS falsch gemacht haben:

• pending-provision, das nie endet – meist ist die ROA noch nicht verbreitet oder ihre maximale Länge wurde nicht auf /24 gesetzt.

• ROA passt nicht – die ROA deckt nicht exakt den Bereich ab oder autorisiert die falschen ASNs. Prüfen Sie, dass sowohl 16509 als auch 14618 eingetragen sind und die ROA die gesamte Zeit gültig bleibt, in der der Block bei AWS liegt.

Welche AWS-Dienste BYOIP unterstützen

Nach der Bereitstellung lässt sich ein Block auf zwei Hauptwegen in AWS nutzen:

• EC2 und VPC über Elastic IP. Der Kernfall. Weisen Sie Elastic IPs aus Ihrem Pool zu und binden Sie sie an EC2-Instanzen, NAT-Gateways und Network Load Balancer.

• AWS Global Accelerator. Weisen Sie einem Accelerator IPv4-Adressen direkt aus Ihrem eigenen Pool zu (nur IPv4), statt Amazons Anycast-Adressen zu verwenden.

Ein weiterer Dienst trägt den Namen BYOIP, funktioniert aber ganz anders als die obigen – Klarheit darüber erspart Ihnen eine Überraschung:

• Amazon SES. SES hat eine eigene BYOIP-Funktion für E-Mail, doch das ist ein separater, kostenpflichtiger Mechanismus – nicht der Sparweg aus diesem Artikel. SES BYOIP wird monatlich pro Adresse abgerechnet, mit mindestens 256 Adressen, und umgeht daher keine Gebühr wie EC2/VPC BYOIP. Sein Zweck ist der Erhalt einer etablierten Versandreputation, nicht die Senkung von IPv4-Kosten. Wenn niedrigere IPv4-Kosten bei AWS Ihr Ziel sind, ist SES nicht der richtige Dienst.

Einschränkungen und Nachteile

BYOIP ist für viele Teams die richtige Wahl, aber nicht reibungslos. Die ehrliche Liste:

• Fünf Bereiche pro Region, erhöhbar nur per Support-Anfrage.

• Jeweils eine Region pro Block – keine gleichzeitige Ankündigung desselben Bereichs in mehreren Regionen.

• Die Bereitstellung erfolgt nicht sofort. Registry-Verbreitung und AWS-Validierung machen daraus einen geplanten Schritt.

• Sie erwerben kein Eigentum. Einen Block zu AWS zu bringen, übergibt ihn nicht an Amazon – das ist ja der Sinn –, aber ein geleaster Block bleibt ebenso Eigentum des Eigentümers. Bei BYOIP geht es um Routing und Kosten, nicht um Erwerb.

• Wann es sich nicht lohnt. Bei einer Handvoll Adressen ohne vorhandenen Block überwiegt der Einrichtungsaufwand die Ersparnis, und von Amazon bereitgestellte Adressen sind in diesem Maßstab einfacher. BYOIP rechnet sich, sobald Sie Dutzende Adressen betreiben oder IP-Reputation und Kontinuität wichtig sind.

Wenn Sie das gegen einen Wechsel zu einem anderen Anbieter abwägen: Manche Anbieter berechnen denselben Block deutlich günstiger – unser Vergleich günstigerer Clouds zeigt, wann es klüger ist, den Workload zu verlagern statt nur die Adressen.

Kostenrechnung: Lohnt sich BYOIP?

In größerem Maßstab ist der Vergleich deutlich. Nehmen Sie 256 Adressen – ein /24 – in aktiver Nutzung:

• Mit von Amazon bereitgestellten Adressen: 256 × $3.65 = etwa $934 pro Monat, also rund $11,213 pro Jahr, berechnet unabhängig davon, ob die Adressen genutzt werden oder nicht.

• Mit BYOIP: $0 an AWS-Adressgebühren. Elastic IPs aus Ihrem Pool sind kostenfrei. Ihre einzige Ausgabe ist das Leasing des Blocks – und marktübliche Preise für ein /24 liegen bei einem kleinen Bruchteil von $934 pro Monat. Gehört Ihnen der Block bereits, entfällt selbst das.

Auch nach Abzug des Leasings bleibt die Differenz groß, und sie wächst mit jedem Monat, den die Adressen in Ihrem Konto bleiben. Rechnen Sie Ihre eigenen Zahlen mit aktuellen Preisen im IPv4-Preisrechner durch.

FAQ

Berechnet AWS Gebühren für BYOIP-Adressen?

Nein. Über EC2/VPC BYOIP eingebrachte Adressen sind von der Gebühr von $0.005 pro Stunde für öffentliches IPv4 ausgenommen, und Elastic IPs aus Ihrem BYOIP-Pool sind kostenfrei. Die einzige Ausnahme ist Amazon SES BYOIP, eine separate, kostenpflichtige Funktion.

Kann ich geleaste IPv4-Adressen zu AWS bringen?

Ja. AWS prüft die Kontrolle über den Bereich über die Registry – eine ROA für Amazons ASNs plus aktuelle RDAP-Einträge –, nicht das rechtliche Eigentum. Ein geleastes /24 funktioniert problemlos, sofern der IP-Eigentümer diese Autorisierung einrichtet. Ein Leasing-Anbieter wie IPbnb übernimmt das, sodass der Block AWS-bereit ankommt.

Wie viele BYOIP-Bereiche kann ich pro Region mitbringen?

Fünf IPv4- und IPv6-Bereiche pro Region. Für mehr beantragen Sie eine Limiterhöhung über den AWS Support.

Wie lange dauert die BYOIP-Bereitstellung?

AWS nennt keine garantierte Zeit. Planen Sie bis zu 24 Stunden für die Verbreitung der ROA und insgesamt einige Werktage, sobald die Registry-Einträge stehen. Da die Bereitstellung asynchron erfolgt, muss der Bereich den Status provisioned erreichen, bevor Sie ihn ankündigen können.

Welche Nachteile hat AWS BYOIP?

Vor allem die Obergrenze von fünf Bereichen pro Region, die Regel „jeweils eine Region“ und die Tatsache, dass die Bereitstellung eine geplante Migration ist und kein sofortiger Wechsel. Bei sehr kleinem Adressbedarf zahlt sich der Einrichtungsaufwand möglicherweise nicht aus.