BYOIP hos DigitalOcean: tag dine egne IPv4-adresser med til Droplets

Du beviser kontrol over præfikset med et certifikat i dets registerpost og en besked, der er signeret med samme nøgle. Efter DigitalOceans gennemgang virker adresserne som reserved IPs.

Hvad DigitalOcean accepterer

Fra DigitalOceans dokumentation, den dag vi tjekkede:

• Adgang. BYOIP ligger bag et Request access-link nederst på siden Reserved IPs i Control Panel.
• Størrelse. En /24 til en /18, kun IPv4 (DigitalOceans begrænsninger). Præfiksets første og anden adresse er reserveret, så en /24 giver dig 254.
• Register. ARIN, RIPE NCC, APNIC eller et af de øvrige regionale registre. DigitalOcean siger intet om PA-, PI- eller legacy-adresser; det kræves, at du kan logge ind hos registret og opdatere præfiksets offentlige poster.
• Hvem der er origin. DigitalOcean, fra AS393406.
• Hvor. Ethvert datacenter, men ét pr. præfiks: adresserne kan kun tildeles ressourcer i det datacenter, du vælger.
• Hvad der bruger det. Droplets, én BYOIP- eller reserved IP ad gangen hver. Eksterne regionale load balancere og offentlige NAT-gateways tager kun en BYOIP-adresse, når du opretter dem, og den kan ikke ændres senere.
• Pris. “Provisioning BYOIP address blocks and using BYOIP addresses is free.” (oversættelse: “Det er gratis at klargøre BYOIP-adresseblokke og bruge BYOIP-adresser.”) Dataoverførsel faktureres som Droplet-båndbredde.
• Tid. “Expect a response within seven business days.” (oversættelse: “Regn med et svar inden for syv hverdage.”)

Før du går i gang

En ROA for AS393406. Den skal tillade, at præfikset har DigitalOceans AS393406 som origin, og dit register kan hoste den (RPKI og ROA'er). DigitalOcean angiver ingen maksimal længde. Behold ROA'en for ethvert netværk, der annoncerer blokken i dag, indtil du skifter.

Et nøglepar og et certifikat, lavet med OpenSSL. DigitalOceans eksempel bruger en ECC P-384-nøgle og accepterer også RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Certifikatet i registerposten, på én linje. DigitalOcean læser det via RDAP, hvor det skal stå under IP Network, Remarks, Description. Det felt, du redigerer, afhænger af registret:

Hos de øvrige registre bruger du det felt, som RDAP viser under Remarks, Description. rdap 203.0.113.0/24 viser, om certifikatet er der. DigitalOceans side beder hverken om en Letter of Authorization eller et route-objekt.

Værktøjer. doctl, openssl og rdap på en Unix-kommandolinje.

Trin for trin

01Bed om adgang fra siden Reserved IPs, før alt andet.

02Signér klargøringsbeskeden. Den nævner dit teams UUID, som doctl account get -o json viser under team, og præfikset:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Send anmodningen for én datacenterregion:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

I Control Panel er samme anmodning Networking, Reserved IPs, Add your own IP prefix, som også beder om et projekt.

04Vent på gennemgangen. Præfikset viser Provisioning og så Active. doctl network byoip-prefix get <prefix-id> melder in_progress, indtil det er færdigt.

05Annoncér. Et nyt præfiks annonceres ikke, før du slår det til:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Tildel adresser. Til Droplets, som du ville gøre med reserved IPs. Til en load balancer eller NAT-gateway angiver du adressen med --ip, når du opretter den (doctl 1.165.0 eller nyere); præfikset skal være Active og annonceret i samme region.

Fejl, der koster en dag

• En ROA for det forkerte DigitalOcean-ASN. ARIN's register angiver flere AS-numre for DigitalOcean, blandt dem AS14061. BYOIP-siden nævner kun AS393406.
• Et Active præfiks, som ingen kan nå. Klargøringen annoncerer ikke præfikset. Indtil du sætter advertise til true, kommer der ingen trafik.
• Et annonceringsproblem, der får lov at vente til i morgen. DigitalOcean kontakter dig, hvis det ser en uregelmæssighed i annonceringen af dit præfiks. Er problemet ikke løst inden for én hverdag fra starten, “irrespective of your responsiveness” (oversættelse: “uanset hvor hurtigt du reagerer”), afslutter DigitalOcean BYOIP for præfikset og trækker det tilbage.
• Adresser på load balancere og NAT ligger fast. De sættes ved oprettelsen, og globale og interne load balancere kan slet ikke bruge BYOIP.
• Sider, der halter bagefter. Siden om begrænsninger, senest opdateret den 13. juli 2026, siger stadig, at BYOIP-adresser kun kan tildeles Droplets. Vejledningerne fra den 3. september 2026 tilføjer load balancere og NAT-gateways.
• Mail og reverse DNS. Siden om begrænsninger siger, at SMTP-portene 25, 465 og 587 er blokeret, og at PTR-poster ikke understøttes på reserved IPs, og siger ikke, om det ene eller det andet gælder BYOIP-adresser. Spørg, før du flytter en mailserver.

Hvis du lejer blokken

DigitalOceans forudsætninger er skrevet til registranten: “direct control and update authority” (oversættelse: “direkte kontrol og ret til at opdatere”) over blokken og et login hos registret. Med lejede adresser foretager indehaveren ændringerne i registret: certifikatet i posten, som kun indehaverens maintainer kan redigere, og ROA'en for AS393406. Du laver nøglen og certifikatet, sender certifikatet til indehaveren og beholder den private nøgle til at signere anmodningen fra din egen konto. DigitalOceans sider siger ikke, om DigitalOcean accepterer poster, som en indehaver redigerer for dig, så nævn lejeaftalen, når du beder om adgang.

Hvor RTM Networks passer ind

Vi lejer /24'er og større ud fra vores egne RIPE NCC-adresser og sælger blokke i RIPE NCC-, ARIN- og APNIC-regionerne. For adresser, du lejer af os, tilføjer vi dit DigitalOcean-certifikat i registerposten og opretter ROA'en for AS393406, så selve anmodningen er alt, der er tilbage i din konto (lej IPv4). Har du brug for færre end 256 adresser på en Droplet, annoncerer vi en blok og leverer adresserne over GRE eller WireGuard, ned til en enkelt (GRE- og WireGuard-tunneler). Andre udbydere: BYOIP-guider.