BYOIP u Cloudflare: vlastní IP prefixy v síti Cloudflare

Zdokumentovaný postup v API ověří prefix vůči IRR, RPKI a tokenu vlastnictví a vy ho pak navážete na služby, které budou jeho adresy používat.

Co Cloudflare přijímá

Podle dokumentace Cloudflare v den, kdy jsme ji kontrolovali:

• Kdo. Účty Enterprise, jejichž smlouva zahrnuje BYOIP. Account team to potvrdí, spolu s konfigurací služeb účtu, než začnete s onboardingem.
• Velikost. /24 nebo větší pro IPv4; pro IPv6 /48 až /32.
• Registr. ARIN, RIPE NCC, APNIC nebo jiný z regionálních registrů. Nic o prostoru PA, PI nebo legacy.
• Kdo je origin. AS13335 ve zdokumentovaném postupu; pro vlastní ASN se zeptejte account teamu. Zákazníci, kteří už jsou na AS209242 od Cloudflare, si ho mohou ponechat, ale nové onboardingy používají AS13335.
• Kde. Všechny lokality Cloudflare.
• Služby. Magic Transit, Spectrum, CDN a Gateway DNS locations a dedikované egress IP. Magic Transit má vlastní onboarding, je „not a self-serve product“ (překlad: „není samoobslužný produkt“) a může být jen výchozím bindingem celého prefixu. Prefix slouží buď pro CDN ingress, nebo pro CDN egress, ne pro obojí.
• Cena. Nezveřejněna. Podmínky uvádějí, že adresy se smějí používat „solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services“ (překlad: „výhradně v souvislosti s doménami zákazníka, které dostávají služby Enterprise od Cloudflare“).
• Doba. Alespoň pět hodin provisioningu BGP, než začnete announcovat, a čtyři až šest hodin na propagaci každého service bindingu. Konfigurace Magic Transit „takes around one day to roll out“ (překlad: „se nasazuje zhruba jeden den“).

Než začnete

Cloudflare nemůže prefix onboardovat, pokud selže kterákoli kontrola registrace, IRR, RPKI nebo vlastnictví. Připravte si:

Route objekt, který přesně odpovídá. Jeden objekt route na každý onboardovaný prefix, přesně pro tento prefix, s originem, který Cloudflare použije: AS13335 ve standardním postupu. Pro ověření Cloudflare doporučuje IRR Explorer nebo whois -h rr.ntt.net 203.0.113.0/24.

Správný ROA pro stejný origin. Cloudflare vás žádá ověřit ho ve svém RPKI Portálu a v druhém zdroji, například v Routinatoru (RPKI a ROA).

Letter of agency (LOA), jak Cloudflare nazývá Letter of Authorization, který vyžadují jeho tranzitní poskytovatelé. Cloudflare ho vytvoří za vás, když nastavíte delegate_loa_creation na true, což se opírá o ROA a kontrolu vlastnictví. Ruční LOA musí být PDF a měl by být na hlavičkovém papíře firmy s vlastnoručním podpisem, i když Cloudflare přijme digitální podpis, pokud je jasné, kdo podepsal. Tranzitní poskytovatelé mohou JPG nebo PNG odmítnout a ruční zpracování může onboarding zpomalit.

Místo pro validační token: popis (descr) nebo remarks odpovídajícího route objektu, nebo TXT záznam cf-validation v každé reverzní DNS zóně prefixu.

ID účtu a API token s oprávněními IP Prefixes.

Krok za krokem

Toto je zdokumentovaný postup Cloudflare pro prefixy, které se nepoužívají s Magic Transit; ten má vlastní onboarding přes account team.

01Přidejte prefix do účtu, který ho bude vlastnit:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Z odpovědi si uložte id a ownership_validation_token.

02Zveřejněte token. Přidejte cf-validation: <token> do route objektu, nebo TXT záznam do reverzních zón.

03Validujte. Pošlete POST na .../prefixes/$PREFIX_ID/validate. Když kontroly IRR, RPKI a vlastnictví projdou, pole approved prefixu ukáže "V" a token můžete odstranit. Pokud kontrola selže, detaily prefixu ukazují stavy jako missing, invalid nebo mismatch_asn.

04Navažte prefix na službu. Každý prefix potřebuje výchozí service binding přes celý prefix; specifičtější bindingy mohou jeho části poslat do CDN nebo do služby Spectrum. Cloudflare vytvoří BGP prefix ve staženém stavu. Počítejte alespoň s pěti hodinami a počkejte, dokud nejsou všechny bindingy aktivní.

05Announcujte:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare uvádí, že announcování obvykle trvá dvě až sedm minut a stažení asi 15.

06Pro CDN vytvořte address map, jakmile je prefix announcován, aby proxované DNS záznamy odpovídaly vašimi adresami.

Úskalí

• Nadřazený route objekt nestačí. Cloudflare chce route objekt, který přesně odpovídá každému onboardovanému prefixu, se správným originem.
• Bindingy trvají hodiny a provoz mezitím trpí. Cloudflare uvádí, že služby pro dotčené adresy budou během propagace bindingu pravděpodobně narušeny. Bindingy nastavte dřív, než začnete announcovat, a měňte je mimo špičku.
• Dvě sítě announcují. Když přesouváte aktivní prefix, nechte nejprve announcovat Cloudflare, ověřte ho v looking glassu pod AS13335 a pak stáhněte svůj vlastní announcement. Pokud ten svůj necháte, část provozu může Cloudflare obejít.
• Pravidlo 15 minut. Po změně announcementu prefixu počkejte alespoň 15 minut, než ho změníte znovu; dřívější volání API odmítne s chybou 1004 (HTTP 429, rate_limit_exceeded).

Pokud si blok pronajímáte

Specifické podmínky služeb Cloudflare, naposledy aktualizované 28. září 2026, to řeší přímo. Pokud nejste právním vlastníkem adres, „must obtain written authorization from the legal owner“ (překlad: „musíte získat písemné oprávnění od právního vlastníka“), aby je Cloudflare mohl announcovat, a pokud ho vlastník odvolá, Cloudflare je může přestat announcovat. Držitel také zajistí stranu registru: ROA pro AS13335, route objekt s AS13335 jako originem a validační token v tomto objektu, který může upravit jen maintainer držitele. Podmínky žádají po celou dobu přesná data WHOIS a platné záznamy IRR a RPKI, takže konec pronájmu nebo změna ROA může prefix z Cloudflare vyřadit.

Kde se uplatní RTM Networks

Pronajímáme bloky /24 a větší z našeho vlastního adresního prostoru u RIPE NCC a prodáváme bloky v regionech RIPE NCC, ARIN a APNIC. U prostoru pronajatého od nás vytvoříme ROA a přesný route objekt pro AS13335, přidáme do něj validační token Cloudflare a podepíšeme Letter of Authorization, takže vám zbývají kroky v API (pronájem IPv4). Pokud BYOIP ve vaší smlouvě s Cloudflare není, nebo potřebujete méně než 256 adres, blok announcujeme a doručíme ho na váš server přes GRE nebo WireGuard, až po jedinou adresu (tunely GRE a WireGuard). Další poskytovatelé: návody BYOIP.