Trae tu propia IP
BYOIP en DigitalOcean: trae tus propias direcciones IPv4 a los Droplets
Demuestras el control del prefijo con un certificado en su registro y un mensaje firmado con la misma clave. Tras la revisión de DigitalOcean, las direcciones funcionan como reserved IPs.
Qué acepta DigitalOcean
Según la documentación de DigitalOcean, el día que la consultamos:
- Acceso. BYOIP está detrás de un enlace Request access al pie de la página Reserved IPs del Control Panel.
- Tamaño. De un /24 a un /18, solo IPv4 (los límites de DigitalOcean). La primera y la segunda dirección del prefijo están reservadas, así que un /24 te da 254.
- Registro. ARIN, el RIPE NCC, APNIC u otro de los registros regionales. DigitalOcean no dice nada sobre espacio PA, PI o legacy; pide que puedas entrar en el registro y actualizar los registros públicos del prefijo.
- Quién lo origina. DigitalOcean, desde AS393406.
- Dónde. Cualquier centro de datos, pero uno por prefijo: las direcciones solo pueden asignarse a recursos del centro de datos que elijas.
- Qué lo usa. Droplets, una IP BYOIP o reservada cada uno a la vez. Los balanceadores de carga regionales externos y las NAT gateways públicas solo aceptan una dirección BYOIP al crearlos, y no puede cambiarse después.
- Precio. «Provisioning BYOIP address blocks and using BYOIP addresses is free.» (traducción: «Aprovisionar bloques de direcciones BYOIP y usar direcciones BYOIP es gratuito.») La transferencia de datos se factura como ancho de banda de Droplet.
- Plazo. «Expect a response within seven business days.» (traducción: «Cuenta con una respuesta en siete días laborables.»)
Antes de empezar
Un ROA para AS393406. Debe permitir que el prefijo se origine desde el AS393406 de DigitalOcean, y tu registro puede alojarlo (RPKI y ROA). DigitalOcean no especifica una longitud máxima. Mantén el ROA de cualquier red que anuncie hoy el bloque hasta que hagas el cambio.
Un par de claves y un certificado, generados con OpenSSL. El ejemplo de DigitalOcean usa una clave ECC P-384 y también acepta RSA:
openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pemEl certificado en el registro, en una sola línea. DigitalOcean lo lee por RDAP, donde debe aparecer en IP Network, Remarks, Description. El campo que editas depende del registro:
| Registro | Dónde va el certificado |
|---|---|
| RIPE NCC | descr en el objeto del prefijo, mediante Update object en el LIR Portal |
| ARIN | Public Comments de la red (el Net Handle y luego Modify) |
| APNIC | Un nuevo campo descr en la subred, mediante Resource Manager en tu cuenta de APNIC |
En los demás registros, usa el campo que RDAP muestre en Remarks, Description. rdap 203.0.113.0/24 muestra si el certificado está ahí. La página de DigitalOcean no pide Letter of Authorization ni objeto route.
Herramientas. doctl, openssl y rdap en una línea de comandos Unix.
Paso a paso
01Solicita acceso desde la página Reserved IPs, antes que nada.
02Firma el mensaje de aprovisionamiento. Indica el UUID de tu equipo, que doctl account get -o json muestra en team, y el prefijo:
echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt03Envía la solicitud para una región de centro de datos:
doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
--signature "$(cat encoded_signature_file.txt)"En el Control Panel, la misma solicitud está en Networking, Reserved IPs, Add your own IP prefix, que también pide un proyecto.
04Espera la revisión. El prefijo muestra Provisioning y luego Active. doctl network byoip-prefix get <prefix-id> indica in_progress hasta que termina.
05Anuncia. Un prefijo nuevo no se anuncia hasta que lo activas:
doctl network byoip-prefix update <prefix-id> --advertise=true06Asigna direcciones. A los Droplets, como harías con las reserved IPs. Para un balanceador de carga o una NAT gateway, pasa la dirección con --ip al crearlos (doctl 1.165.0 o posterior); el prefijo debe estar Active y anunciado en la misma región.
Errores que cuestan un día
- Un ROA para el ASN equivocado de DigitalOcean. El registro de ARIN indica varios números AS para DigitalOcean, entre ellos AS14061. La página de BYOIP solo nombra AS393406.
- Un prefijo Active al que nadie llega. Aprovisionar no anuncia el prefijo. Hasta que pones
advertiseen true, no llega tráfico. - Un problema de anuncio que se deja para mañana. DigitalOcean se pone en contacto contigo si ve una anomalía en el anuncio de tu prefijo. Si el problema no se resuelve en un día laborable desde que empezó, «irrespective of your responsiveness» (traducción: «con independencia de tu capacidad de respuesta»), DigitalOcean pone fin al BYOIP de ese prefijo y lo retira.
- Las direcciones de balanceadores y NAT son fijas. Se fijan al crearlos, y los balanceadores de carga globales e internos no pueden usar BYOIP en absoluto.
- Páginas que se quedan atrás. La página de límites, actualizada por última vez el 13 de julio de 2026, todavía dice que las direcciones BYOIP solo pueden asignarse a Droplets. Las guías del 3 de septiembre de 2026 añaden balanceadores de carga y NAT gateways.
- Correo y DNS inverso. La página de límites dice que los puertos SMTP 25, 465 y 587 están bloqueados y que los registros PTR no se admiten en las reserved IPs, y no dice si alguna de las dos cosas se aplica a las direcciones BYOIP. Pregunta antes de trasladar un servidor de correo.
Si alquilas el bloque
Los requisitos de DigitalOcean están escritos para el titular del registro: «direct control and update authority» (traducción: «control directo y potestad para actualizar») sobre el bloque, y un acceso al registro. Con espacio alquilado, el titular hace los cambios en el registro: el certificado en el registro, que solo puede editar el maintainer del titular, y el ROA para AS393406. Tú generas la clave y el certificado, envías el certificado al titular y conservas la clave privada para firmar la solicitud desde tu propia cuenta. Las páginas de DigitalOcean no dicen si acepta registros que un titular edita por ti, así que menciona el alquiler cuando solicites acceso.
Dónde encaja RTM Networks
Alquilamos /24 y mayores de nuestro propio espacio de direcciones del RIPE NCC, y vendemos bloques en las regiones RIPE NCC, ARIN y APNIC. Para el espacio que nos alquilas, añadimos tu certificado de DigitalOcean al registro y creamos el ROA para AS393406, así que en tu cuenta solo queda la propia solicitud (alquilar IPv4). Si necesitas menos de 256 direcciones en un Droplet, anunciamos un bloque y entregamos las direcciones por GRE o WireGuard, hasta una sola (túneles GRE y WireGuard). Otros proveedores: guías BYOIP.
Contacto
¿Vas a llevar tu propia IP a DigitalOcean?
Dinos el proveedor, la región y cuántas direcciones necesitas. Alquilamos /24 y bloques mayores con el trabajo de registro para tu proveedor ya hecho, vendemos bloques en propiedad o entregamos menos direcciones por un túnel. Normalmente respondemos en 1 a 3 horas laborables.
