BYOIP στο Cloudflare: τα δικά σας IP prefixes στο δίκτυο του Cloudflare

Μια τεκμηριωμένη διαδικασία μέσω API ελέγχει το prefix έναντι του IRR, του RPKI και ενός token ιδιοκτησίας, και στη συνέχεια το συνδέετε με τις υπηρεσίες που θα χρησιμοποιούν τις διευθύνσεις του.

Τι δέχεται το Cloudflare

Από την τεκμηρίωση του Cloudflare, την ημέρα που την ελέγξαμε:

• Ποιος. Λογαριασμοί Enterprise των οποίων η σύμβαση περιλαμβάνει BYOIP. Η ομάδα λογαριασμού το επιβεβαιώνει, μαζί με τη ρύθμιση υπηρεσιών του λογαριασμού, πριν από την ένταξη.
• Μέγεθος. Ένα /24 ή μεγαλύτερο για IPv4· για IPv6, από /48 έως /32.
• Μητρώο. Το ARIN, το RIPE NCC, το APNIC ή ένα από τα άλλα περιφερειακά μητρώα. Τίποτα για χώρο PA, PI ή legacy.
• Ποιος κάνει το origin. Το AS13335 στην τεκμηριωμένη διαδικασία: για δικό σας ASN, ρωτήστε την ομάδα λογαριασμού. Πελάτες που είναι ήδη στο AS209242 του Cloudflare μπορούν να το κρατήσουν, αλλά οι νέες εντάξεις χρησιμοποιούν το AS13335.
• Πού. Όλες οι τοποθεσίες του Cloudflare.
• Υπηρεσίες. Magic Transit, Spectrum, το CDN, και Gateway DNS locations και dedicated egress IPs. Το Magic Transit έχει δική του ένταξη, «not a self-serve product» (σε μετάφραση: «δεν είναι προϊόν αυτοεξυπηρέτησης»), και μπορεί να είναι μόνο το default binding ενός ολόκληρου prefix. Ένα prefix εξυπηρετεί CDN ingress ή CDN egress, όχι και τα δύο.
• Τιμή. Δεν δημοσιεύεται. Οι όροι αναφέρουν ότι οι διευθύνσεις πρέπει να χρησιμοποιούνται «solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services» (σε μετάφραση: «αποκλειστικά σε σχέση με τα domains του Πελάτη που λαμβάνουν τις Enterprise Services του Cloudflare»).
• Χρόνος. Τουλάχιστον πέντε ώρες παροχής BGP πριν ανακοινώσετε, και τέσσερις έως έξι ώρες για τη διάδοση κάθε service binding. Η ρύθμιση του Magic Transit «takes around one day to roll out» (σε μετάφραση: «χρειάζεται περίπου μία ημέρα για να εφαρμοστεί»).

Πριν ξεκινήσετε

Το Cloudflare δεν μπορεί να εντάξει ένα prefix αν αποτύχει οποιοσδήποτε έλεγχος καταχώρισης, IRR, RPKI ή ιδιοκτησίας. Προετοιμάστε τα εξής:

Ένα route object που ταιριάζει ακριβώς. Ένα αντικείμενο route ανά prefix που εντάσσετε, για ακριβώς αυτό το prefix, με το origin που θα χρησιμοποιήσει το Cloudflare: το AS13335 στην τυπική διαδικασία. Για να το ελέγξετε, το Cloudflare προτείνει το IRR Explorer ή το whois -h rr.ntt.net 203.0.113.0/24.

Ένα σωστό ROA για το ίδιο origin. Το Cloudflare σας ζητά να το επαληθεύσετε στο RPKI Portal του και σε μια δεύτερη πηγή, όπως το Routinator (RPKI και ROA).

Ένα letter of agency (LOA), όπως ονομάζει το Cloudflare το Letter of Authorization, το οποίο απαιτούν οι πάροχοι transit του. Το Cloudflare το δημιουργεί για εσάς όταν ορίσετε το delegate_loa_creation σε true, κάτι που βασίζεται στο ROA και στον έλεγχο ιδιοκτησίας. Ένα χειροκίνητο LOA πρέπει να είναι PDF, και καλό είναι να είναι σε επιστολόχαρτο της εταιρείας με ιδιόχειρη υπογραφή, αν και το Cloudflare δέχεται ψηφιακή υπογραφή αν είναι σαφές ποιος υπέγραψε. Οι πάροχοι transit μπορεί να απορρίψουν ένα JPG ή PNG, και η χειροκίνητη επεξεργασία μπορεί να καθυστερήσει την ένταξη.

Ένα σημείο για το token επαλήθευσης: την περιγραφή (descr) ή τα remarks του αντίστοιχου route object, ή μια εγγραφή TXT cf-validation σε κάθε ζώνη reverse DNS του prefix.

Ένα account ID και ένα API token με τα δικαιώματα IP Prefixes.

Βήμα προς βήμα

Αυτή είναι η τεκμηριωμένη διαδικασία του Cloudflare για prefixes που δεν χρησιμοποιούνται με το Magic Transit, το οποίο έχει δική του ένταξη μέσω της ομάδας λογαριασμού.

01Προσθέστε το prefix στον λογαριασμό που θα το κατέχει:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Κρατήστε το id και το ownership_validation_token από την απάντηση.

02Δημοσιεύστε το token. Προσθέστε το cf-validation: <token> στο route object, ή την εγγραφή TXT στις reverse zones.

03Επαληθεύστε. Στείλτε ένα POST στο .../prefixes/$PREFIX_ID/validate. Όταν περάσουν οι έλεγχοι IRR, RPKI και ιδιοκτησίας, το πεδίο approved του prefix γράφει "V", και μπορείτε να αφαιρέσετε το token. Αν αποτύχει ένας έλεγχος, τα στοιχεία του prefix δείχνουν καταστάσεις όπως missing, invalid ή mismatch_asn.

04Συνδέστε το prefix με μια υπηρεσία. Κάθε prefix χρειάζεται ένα default service binding για ολόκληρο το prefix: πιο συγκεκριμένα bindings μπορούν να στέλνουν μέρη του στο CDN ή στο Spectrum. Το Cloudflare δημιουργεί το BGP prefix σε κατάσταση withdrawn. Υπολογίστε τουλάχιστον πέντε ώρες, και περιμένετε μέχρι να είναι ενεργό κάθε binding.

05Ανακοινώστε:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Το Cloudflare αναφέρει ότι η ανακοίνωση διαρκεί συνήθως δύο έως επτά λεπτά, και η απόσυρση περίπου 15.

06Για το CDN, δημιουργήστε ένα address map μόλις ανακοινωθεί το prefix, ώστε οι proxied εγγραφές DNS να απαντούν με τις διευθύνσεις σας.

Παγίδες

• Ένα route object που καλύπτει ευρύτερο εύρος δεν αρκεί. Το Cloudflare θέλει ένα route object που ταιριάζει ακριβώς με κάθε prefix που εντάσσετε, με το σωστό origin.
• Τα bindings παίρνουν ώρες, και η κίνηση επηρεάζεται στο μεταξύ. Το Cloudflare αναφέρει ότι οι υπηρεσίες για τις σχετικές διευθύνσεις πιθανότατα διακόπτονται όσο διαδίδεται ένα binding. Ρυθμίστε τα bindings πριν ανακοινώσετε, και αλλάζετέ τα εκτός ωρών αιχμής.
• Δύο δίκτυα που ανακοινώνουν. Όταν μετακινείτε ένα ενεργό prefix, αφήστε το Cloudflare να ανακοινώσει πρώτο, ελέγξτε το σε ένα looking glass με το AS13335, και μετά αποσύρετε τη δική σας ανακοίνωση. Αν αφήσετε τη δική σας ενεργή, μέρος της κίνησης μπορεί να παρακάμπτει το Cloudflare.
• Ο κανόνας των 15 λεπτών. Αφού αλλάξετε την ανακοίνωση ενός prefix, περιμένετε τουλάχιστον 15 λεπτά πριν την αλλάξετε ξανά: το API απορρίπτει νωρίτερες κλήσεις με σφάλμα 1004 (HTTP 429, rate_limit_exceeded).

Αν μισθώνετε το μπλοκ

Οι ειδικοί όροι υπηρεσίας του Cloudflare, με τελευταία ενημέρωση στις 28 Σεπτεμβρίου 2026, το καλύπτουν άμεσα. Αν δεν είστε ο νόμιμος κάτοχος των διευθύνσεων, «must obtain written authorization from the legal owner» (σε μετάφραση: «πρέπει να λάβετε γραπτή εξουσιοδότηση από τον νόμιμο κάτοχο») ώστε το Cloudflare να τις ανακοινώνει, και αν ο κάτοχος την ανακαλέσει, το Cloudflare μπορεί να σταματήσει να τις ανακοινώνει. Ο κάτοχος κάνει επίσης την πλευρά του μητρώου: το ROA για το AS13335, το route object με το AS13335 ως origin, και το token επαλήθευσης σε αυτό το αντικείμενο, το οποίο μπορεί να επεξεργαστεί μόνο ο maintainer του κατόχου. Οι όροι ζητούν ακριβή στοιχεία WHOIS και έγκυρες καταχωρίσεις IRR και RPKI ανά πάσα στιγμή, οπότε μια μίσθωση που λήγει ή ένα ROA που αλλάζει μπορεί να βγάλει το prefix από το Cloudflare.

Πού ταιριάζει η RTM Networks

Μισθώνουμε /24 και μεγαλύτερα από τον δικό μας χώρο διευθύνσεων του RIPE NCC, και πουλάμε μπλοκ στις περιοχές του RIPE NCC, του ARIN και του APNIC. Για χώρο που μισθώνετε από εμάς, δημιουργούμε το ROA και το ακριβές route object για το AS13335, προσθέτουμε σε αυτό το token επαλήθευσης του Cloudflare και υπογράφουμε το Letter of Authorization, ώστε να σας μένουν μόνο τα βήματα του API (μίσθωση IPv4). Αν το BYOIP δεν περιλαμβάνεται στη σύμβασή σας με το Cloudflare, ή χρειάζεστε λιγότερες από 256 διευθύνσεις, ανακοινώνουμε ένα μπλοκ και το παραδίδουμε στον διακομιστή σας μέσω GRE ή WireGuard, έως και μία μόνο διεύθυνση (tunnels GRE και WireGuard). Άλλοι πάροχοι: οδηγοί BYOIP.