BYOIP στο DigitalOcean: φέρτε τις δικές σας διευθύνσεις IPv4 σε Droplets

Αποδεικνύετε τον έλεγχο του prefix με ένα πιστοποιητικό στην εγγραφή μητρώου του και ένα μήνυμα υπογεγραμμένο με το ίδιο κλειδί. Μετά τον έλεγχο του DigitalOcean, οι διευθύνσεις λειτουργούν όπως τα reserved IPs.

Τι δέχεται το DigitalOcean

Από την τεκμηρίωση του DigitalOcean, την ημέρα που την ελέγξαμε:

• Πρόσβαση. Το BYOIP βρίσκεται πίσω από έναν σύνδεσμο Request access στο κάτω μέρος της σελίδας Reserved IPs στο Control Panel.
• Μέγεθος. Από /24 έως /18, μόνο IPv4 (τα όρια του DigitalOcean). Η πρώτη και η δεύτερη διεύθυνση του prefix είναι δεσμευμένες, οπότε ένα /24 σας δίνει 254.
• Μητρώο. Το ARIN, το RIPE NCC, το APNIC ή ένα από τα άλλα περιφερειακά μητρώα. Το DigitalOcean δεν λέει τίποτα για χώρο PA, PI ή legacy: ζητά να μπορείτε να συνδεθείτε στο μητρώο και να ενημερώσετε τις δημόσιες εγγραφές του prefix.
• Ποιος κάνει το origin. Το DigitalOcean, από το AS393406.
• Πού. Σε οποιοδήποτε κέντρο δεδομένων, αλλά ένα ανά prefix: οι διευθύνσεις μπορούν να αντιστοιχιστούν μόνο σε πόρους στο κέντρο δεδομένων που επιλέγετε.
• Τι το χρησιμοποιεί. Τα Droplets, μία διεύθυνση BYOIP ή reserved IP το καθένα τη φορά. Οι external regional load balancers και οι public NAT gateways δέχονται διεύθυνση BYOIP μόνο όταν τους δημιουργείτε, και δεν μπορεί να αλλάξει αργότερα.
• Τιμή. «Provisioning BYOIP address blocks and using BYOIP addresses is free.» (σε μετάφραση: «Η παροχή μπλοκ διευθύνσεων BYOIP και η χρήση διευθύνσεων BYOIP είναι δωρεάν.») Η μεταφορά δεδομένων χρεώνεται ως εύρος ζώνης Droplet.
• Χρόνος. «Expect a response within seven business days.» (σε μετάφραση: «Αναμένετε απάντηση εντός επτά εργάσιμων ημερών.»)

Πριν ξεκινήσετε

Ένα ROA για το AS393406. Πρέπει να επιτρέπει στο prefix να έχει origin από το AS393406 του DigitalOcean, και μπορεί να το φιλοξενεί το μητρώο σας (RPKI και ROA). Το DigitalOcean δεν ορίζει μέγιστο μήκος. Κρατήστε το ROA κάθε δικτύου που ανακοινώνει σήμερα το μπλοκ μέχρι να κάνετε την αλλαγή.

Ένα ζεύγος κλειδιών και ένα πιστοποιητικό, φτιαγμένα με OpenSSL. Το παράδειγμα του DigitalOcean χρησιμοποιεί κλειδί ECC P-384 και δέχεται επίσης RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Το πιστοποιητικό στην εγγραφή μητρώου, σε μία γραμμή. Το DigitalOcean το διαβάζει μέσω RDAP, όπου πρέπει να εμφανίζεται κάτω από IP Network, Remarks, Description. Το πεδίο που επεξεργάζεστε εξαρτάται από το μητρώο:

Στα άλλα μητρώα, χρησιμοποιήστε όποιο πεδίο δείχνει το RDAP κάτω από Remarks, Description. Το rdap 203.0.113.0/24 δείχνει αν το πιστοποιητικό υπάρχει. Η σελίδα του DigitalOcean δεν ζητά Letter of Authorization ούτε route object.

Εργαλεία. doctl, openssl και rdap σε γραμμή εντολών Unix.

Βήμα προς βήμα

01Ζητήστε πρόσβαση από τη σελίδα Reserved IPs, πριν από οτιδήποτε άλλο.

02Υπογράψτε το μήνυμα παροχής. Αναφέρει το UUID της ομάδας σας, το οποίο δείχνει το doctl account get -o json κάτω από το team, και το prefix:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Υποβάλετε το αίτημα για μία περιοχή κέντρου δεδομένων:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

Στο Control Panel, το ίδιο αίτημα είναι Networking, Reserved IPs, Add your own IP prefix, που ζητά επίσης ένα project.

04Περιμένετε τον έλεγχο. Το prefix δείχνει Provisioning, και μετά Active. Το doctl network byoip-prefix get <prefix-id> αναφέρει in_progress μέχρι να ολοκληρωθεί.

05Ανακοινώστε. Ένα νέο prefix δεν ανακοινώνεται μέχρι να το ενεργοποιήσετε:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Αντιστοιχίστε διευθύνσεις. Σε Droplets όπως θα κάνατε με reserved IPs. Για load balancer ή NAT gateway, δώστε τη διεύθυνση με --ip όταν τον δημιουργείτε (doctl 1.165.0 ή νεότερο): το prefix πρέπει να είναι Active και να ανακοινώνεται στην ίδια περιοχή.

Λάθη που κοστίζουν μια μέρα

• Ένα ROA για λάθος ASN του DigitalOcean. Το μητρώο του ARIN αναφέρει αρκετούς αριθμούς AS για το DigitalOcean, μεταξύ αυτών το AS14061. Η σελίδα BYOIP αναφέρει μόνο το AS393406.
• Ένα Active prefix που κανείς δεν μπορεί να φτάσει. Η παροχή δεν ανακοινώνει το prefix. Μέχρι να ορίσετε το advertise σε true, δεν φτάνει καμία κίνηση.
• Ένα πρόβλημα ανακοίνωσης που αφήνεται για αύριο. Το DigitalOcean επικοινωνεί μαζί σας αν δει κάποια ανωμαλία στην ανακοίνωση του prefix σας. Αν το πρόβλημα δεν διορθωθεί εντός μίας εργάσιμης ημέρας από την έναρξή του, «irrespective of your responsiveness» (σε μετάφραση: «ανεξάρτητα από την ανταπόκρισή σας»), το DigitalOcean τερματίζει το BYOIP για αυτό το prefix και το αποσύρει.
• Οι διευθύνσεις load balancer και NAT είναι σταθερές. Ορίζονται κατά τη δημιουργία, και οι global και internal load balancers δεν μπορούν να χρησιμοποιήσουν BYOIP καθόλου.
• Σελίδες που καθυστερούν. Η σελίδα ορίων, με τελευταία ενημέρωση στις 13 Ιουλίου 2026, αναφέρει ακόμη ότι οι διευθύνσεις BYOIP μπορούν να αντιστοιχιστούν μόνο σε Droplets. Οι σελίδες οδηγιών της 3ης Σεπτεμβρίου 2026 προσθέτουν load balancers και NAT gateways.
• Αλληλογραφία και reverse DNS. Η σελίδα ορίων αναφέρει ότι οι θύρες SMTP 25, 465 και 587 είναι μπλοκαρισμένες και ότι οι εγγραφές PTR δεν υποστηρίζονται στα reserved IPs, και δεν λέει αν κάποιο από τα δύο ισχύει για διευθύνσεις BYOIP. Ρωτήστε πριν μετακινήσετε έναν mail server.

Αν μισθώνετε το μπλοκ

Οι προϋποθέσεις του DigitalOcean είναι γραμμένες για τον καταχωρισμένο κάτοχο: «direct control and update authority» (σε μετάφραση: «άμεσος έλεγχος και δικαίωμα ενημέρωσης») επί του μπλοκ, και λογαριασμός σύνδεσης στο μητρώο. Με μισθωμένο χώρο, τις αλλαγές στο μητρώο τις κάνει ο κάτοχος: το πιστοποιητικό στην εγγραφή, την οποία μπορεί να επεξεργαστεί μόνο ο maintainer του κατόχου, και το ROA για το AS393406. Εσείς φτιάχνετε το κλειδί και το πιστοποιητικό, στέλνετε στον κάτοχο το πιστοποιητικό, και κρατάτε το ιδιωτικό κλειδί για να υπογράψετε το αίτημα από τον δικό σας λογαριασμό. Οι σελίδες του DigitalOcean δεν λένε αν δέχεται εγγραφές που επεξεργάζεται για εσάς ένας κάτοχος, οπότε αναφέρετε τη μίσθωση όταν ζητάτε πρόσβαση.

Πού ταιριάζει η RTM Networks

Μισθώνουμε /24 και μεγαλύτερα από τον δικό μας χώρο διευθύνσεων του RIPE NCC, και πουλάμε μπλοκ στις περιοχές του RIPE NCC, του ARIN και του APNIC. Για χώρο που μισθώνετε από εμάς, προσθέτουμε το πιστοποιητικό σας για το DigitalOcean στην εγγραφή μητρώου και δημιουργούμε το ROA για το AS393406, ώστε το μόνο που μένει στον λογαριασμό σας να είναι το ίδιο το αίτημα (μίσθωση IPv4). Αν χρειάζεστε λιγότερες από 256 διευθύνσεις σε ένα Droplet, ανακοινώνουμε ένα μπλοκ και παραδίδουμε τις διευθύνσεις μέσω GRE ή WireGuard, έως και μία μόνο (tunnels GRE και WireGuard). Άλλοι πάροχοι: οδηγοί BYOIP.