BYOIP u DigitalOcean: vlastní IPv4 adresy pro Droplety

Kontrolu nad prefixem prokážete certifikátem v jeho záznamu v registru a zprávou podepsanou stejným klíčem. Po posouzení DigitalOcean fungují adresy jako reserved IPs.

Co DigitalOcean přijímá

Podle dokumentace DigitalOcean v den, kdy jsme ji kontrolovali:

• Přístup. BYOIP je za odkazem Request access v dolní části stránky Reserved IPs v Control Panelu.
• Velikost. /24 až /18, jen IPv4 (limity DigitalOcean). První a druhá adresa prefixu jsou rezervované, takže /24 vám dá 254.
• Registr. ARIN, RIPE NCC, APNIC nebo jiný z regionálních registrů. DigitalOcean nic neuvádí o prostoru PA, PI nebo legacy; žádá, abyste se mohli přihlásit do registru a aktualizovat veřejné záznamy prefixu.
• Kdo je origin. DigitalOcean, z AS393406.
• Kde. Libovolné datacentrum, ale jedno na prefix: adresy lze přiřadit jen prostředkům v datacentru, které zvolíte.
• Co ho používá. Droplety, každý vždy jednu BYOIP nebo reserved IP. Externí regionální load balancery a veřejné NAT gatewaye přijmou adresu BYOIP jen při vytvoření a později ji změnit nelze.
• Cena. „Provisioning BYOIP address blocks and using BYOIP addresses is free.“ (překlad: „Provisioning bloků adres BYOIP i používání adres BYOIP je zdarma.“) Přenos dat se účtuje jako šířka pásma Dropletu.
• Doba. „Expect a response within seven business days.“ (překlad: „Počítejte s odpovědí do sedmi pracovních dní.“)

Než začnete

ROA pro AS393406. Musí prefixu umožnit origin z AS393406 od DigitalOcean a může ho hostovat váš registr (RPKI a ROA). DigitalOcean maximální délku neurčuje. ROA každé sítě, která blok dnes announcuje, ponechte až do přepnutí.

Pár klíčů a certifikát, vytvořené pomocí OpenSSL. Příklad DigitalOcean používá klíč ECC P-384 a přijímá i RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Certifikát v záznamu v registru, na jednom řádku. DigitalOcean ho čte přes RDAP, kde se musí objevit pod IP Network, Remarks, Description. Pole, které upravujete, záleží na registru:

U ostatních registrů použijte pole, které RDAP ukazuje pod Remarks, Description. rdap 203.0.113.0/24 ukáže, zda tam certifikát je. Stránka DigitalOcean nežádá žádný Letter of Authorization ani route objekt.

Nástroje. doctl, openssl a rdap na unixovém příkazovém řádku.

Krok za krokem

01Požádejte o přístup na stránce Reserved IPs, ještě před vším ostatním.

02Podepište zprávu pro provisioning. Uvádí UUID vašeho týmu, které doctl account get -o json ukazuje pod team, a prefix:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Odešlete žádost pro jeden region datacentra:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

V Control Panelu je stejná žádost pod Networking, Reserved IPs, Add your own IP prefix a žádá také projekt.

04Počkejte na posouzení. Prefix ukazuje Provisioning, pak Active. doctl network byoip-prefix get <prefix-id> hlásí in_progress, dokud není hotovo.

05Announcujte. Nový prefix se neannouncuje, dokud ho nezapnete:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Přiřaďte adresy. Dropletům stejně jako reserved IPs. U load balanceru nebo NAT gatewaye předejte adresu pomocí --ip při vytvoření (doctl 1.165.0 nebo novější); prefix musí být Active a announcovaný ve stejném regionu.

Chyby, které stojí den

• ROA pro špatné ASN DigitalOcean. Registr ARIN uvádí pro DigitalOcean několik čísel AS, mezi nimi AS14061. Stránka o BYOIP jmenuje jen AS393406.
• Prefix Active, na který se nikdo nedostane. Provisioning prefix neannouncuje. Dokud nenastavíte advertise na true, žádný provoz nedorazí.
• Problém s announcementem odložený na zítřek. DigitalOcean vás kontaktuje, pokud v announcementu vašeho prefixu uvidí anomálii. Pokud problém není vyřešen do jednoho pracovního dne od jeho začátku, „irrespective of your responsiveness“ (překlad: „bez ohledu na vaši reakci“), DigitalOcean BYOIP pro tento prefix ukončí a stáhne ho.
• Adresy load balancerů a NAT jsou pevné. Nastavují se při vytvoření a globální a interní load balancery BYOIP používat nemohou vůbec.
• Stránky, které zaostávají. Stránka s limity, naposledy aktualizovaná 13. července 2026, stále uvádí, že adresy BYOIP lze přiřadit jen Dropletům. Návody z 3. září 2026 přidávají load balancery a NAT gatewaye.
• Pošta a reverzní DNS. Stránka s limity uvádí, že porty SMTP 25, 465 a 587 jsou na reserved IPs blokované a záznamy PTR nepodporované, a neuvádí, zda se to týká i adres BYOIP. Než přesunete poštovní server, zeptejte se.

Pokud si blok pronajímáte

Předpoklady DigitalOcean jsou psané pro registranta: „direct control and update authority“ (překlad: „přímá kontrola a oprávnění k aktualizaci“) nad blokem a přihlášení do registru. U pronajatého prostoru provede změny v registru držitel: certifikát v záznamu, který může upravit jen maintainer držitele, a ROA pro AS393406. Vy vytvoříte klíč a certifikát, certifikát pošlete držiteli a soukromý klíč si ponecháte, abyste podepsali žádost ze svého vlastního účtu. Stránky DigitalOcean neuvádějí, zda přijímá záznamy, které za vás upraví držitel, proto při žádosti o přístup pronájem zmiňte.

Kde se uplatní RTM Networks

Pronajímáme bloky /24 a větší z našeho vlastního adresního prostoru u RIPE NCC a prodáváme bloky v regionech RIPE NCC, ARIN a APNIC. U prostoru pronajatého od nás přidáme váš certifikát DigitalOcean do záznamu v registru a vytvoříme ROA pro AS393406, takže ve vašem účtu zbývá jen samotná žádost (pronájem IPv4). Pokud na Dropletu potřebujete méně než 256 adres, blok announcujeme a adresy doručíme přes GRE nebo WireGuard, až po jedinou (tunely GRE a WireGuard). Další poskytovatelé: návody BYOIP.