BYOIP в DigitalOcean: собствени IPv4 адреси за Droplets

Доказвате контрол над префикса със сертификат в записа му в регистъра и съобщение, подписано със същия ключ. След прегледа на DigitalOcean адресите работят като reserved IPs.

Какво приема DigitalOcean

От документацията на DigitalOcean, в деня на проверката:

• Достъп. BYOIP е зад връзката Request access в долната част на страницата Reserved IPs в Control Panel.
• Размер. От /24 до /18, само IPv4 (ограниченията на DigitalOcean). Първият и вторият адрес на префикса са резервирани, така че /24 Ви дава 254.
• Регистър. ARIN, RIPE NCC, APNIC или някой от другите регионални регистри. DigitalOcean не казва нищо за PA, PI или legacy адреси; изисква да можете да влезете в регистъра и да обновявате публичните записи на префикса.
• Кой анонсира. DigitalOcean, от AS393406.
• Къде. Всеки център за данни, но по един на префикс: адресите могат да се присвояват само на ресурси в избрания център за данни.
• Какво го използва. Droplets, всеки с по един BYOIP или reserved IP в даден момент. External regional load balancers и public NAT gateways приемат BYOIP адрес само при създаването си и той не може да се промени по-късно.
• Цена. „Provisioning BYOIP address blocks and using BYOIP addresses is free.“ (превод: „Предоставянето на BYOIP блокове и използването на BYOIP адреси е безплатно.“) Трансферът на данни се таксува като честотна лента на Droplet.
• Срок. „Expect a response within seven business days.“ (превод: „Очаквайте отговор в рамките на седем работни дни.“)

Преди да започнете

ROA за AS393406. Той трябва да позволява префиксът да се анонсира от AS393406 на DigitalOcean, а регистърът Ви може да го хоства (RPKI и ROA). DigitalOcean не посочва максимална дължина. Запазете ROA на всяка мрежа, която анонсира блока днес, докато превключите.

Двойка ключове и сертификат, създадени с OpenSSL. Примерът на DigitalOcean използва ECC P-384 ключ и приема и RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Сертификатът в записа в регистъра, на един ред. DigitalOcean го чете през RDAP, където трябва да се появява под IP Network, Remarks, Description. Полето, което редактирате, зависи от регистъра:

При другите регистри използвайте полето, което RDAP показва под Remarks, Description. rdap 203.0.113.0/24 показва дали сертификатът е там. Страницата на DigitalOcean не иска Letter of Authorization, нито route обект.

Инструменти. doctl, openssl и rdap на Unix команден ред.

Стъпка по стъпка

01Поискайте достъп от страницата Reserved IPs, преди всичко друго.

02Подпишете съобщението за предоставяне. То посочва UUID на екипа Ви, който doctl account get -o json показва под team, и префикса:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Подайте заявката за един регион на център за данни:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

В Control Panel същата заявка е Networking, Reserved IPs, Add your own IP prefix, като там се иска и проект.

04Изчакайте прегледа. Префиксът показва Provisioning, след това Active. doctl network byoip-prefix get <prefix-id> отчита in_progress, докато процесът приключи.

05Анонсирайте. Нов префикс не се анонсира, докато не го включите:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Присвоете адреси. На Droplets, както бихте присвоили reserved IPs. За load balancer или NAT gateway подайте адреса с --ip при създаването му (doctl 1.165.0 или по-нов); префиксът трябва да е Active и анонсиран в същия регион.

Грешки, които струват един ден

• ROA за грешен ASN на DigitalOcean. Регистърът на ARIN посочва няколко AS номера за DigitalOcean, сред тях AS14061. Страницата за BYOIP посочва само AS393406.
• Active префикс, до който никой не стига. Предоставянето не анонсира префикса. Докато не зададете advertise на true, не пристига трафик.
• Проблем с анонсирането, оставен за утре. DigitalOcean се свързва с Вас, ако види аномалия в анонсирането на префикса Ви. Ако проблемът не бъде отстранен в рамките на един работен ден от началото си, „irrespective of your responsiveness“ (превод: „независимо от Вашата отзивчивост“), DigitalOcean прекратява BYOIP за този префикс и го оттегля.
• Адресите на load balancer и NAT са фиксирани. Задават се при създаването, а глобалните и вътрешните load balancers изобщо не могат да използват BYOIP.
• Страници, които изостават. Страницата с ограничения, последно обновена на 13 юли 2026 г., все още казва, че BYOIP адресите могат да се присвояват само на Droplets. Страниците с инструкции от 3 септември 2026 г. добавят load balancers и NAT gateways.
• Поща и reverse DNS. Страницата с ограничения казва, че SMTP портове 25, 465 и 587 са блокирани и PTR записи не се поддържат за reserved IPs, и не казва дали някое от двете важи за BYOIP адресите. Попитайте, преди да преместите пощенски сървър.

Ако наемате блока

Предварителните изисквания на DigitalOcean са написани за регистранта: „direct control and update authority“ (превод: „пряк контрол и право на обновяване“) над блока и вход в регистъра. При наети адреси промените в регистъра прави държателят: сертификата в записа, който може да редактира само maintainer на държателя, и ROA за AS393406. Вие създавате ключа и сертификата, изпращате сертификата на държателя и пазите частния ключ, за да подпишете заявката от собствения си акаунт. Страниците на DigitalOcean не казват дали приема записи, които държателят редактира вместо Вас, затова споменете наема, когато поискате достъп.

Къде се вписва RTM Networks

Отдаваме под наем /24 и по-големи блокове от нашето собствено адресно пространство в RIPE NCC и продаваме блокове в регионите на RIPE NCC, ARIN и APNIC. За адреси, наети от нас, добавяме Вашия сертификат от DigitalOcean в записа в регистъра и създаваме ROA за AS393406, така че в акаунта Ви остава само самата заявка (наем на IPv4). Ако са Ви нужни по-малко от 256 адреса на Droplet, анонсираме блок и доставяме адресите през GRE или WireGuard, до един-единствен (GRE и WireGuard тунели). Други доставчици: ръководства за BYOIP.