Cloudflare BYOIP: oma IP-prefiksid Cloudflare'i võrgus

Dokumenteeritud API-voog kontrollib prefiksit IRR-i, RPKI ja omanditokeni vastu ning seejärel seote selle teenustega, mis selle aadresse kasutama hakkavad.

Mida Cloudflare aktsepteerib

Cloudflare'i dokumentatsiooni järgi kontrollimise päeval:

• Kes. Enterprise-kontod, mille leping sisaldab BYOIP-d. Kliendimeeskond kinnitab selle ja konto teenusekonfiguratsiooni enne sissetoomist.
• Suurus. IPv4 puhul /24 või suurem; IPv6 puhul /48 kuni /32.
• Register. ARIN, RIPE NCC, APNIC või mõni teine regionaalne register. PA, PI või legacy-ruumi kohta mitte midagi.
• Kes kuulutab välja. Dokumenteeritud voos AS13335; oma ASN-i jaoks küsige kliendimeeskonnalt. Kliendid, kes on juba Cloudflare'i AS209242-l, võivad selle säilitada, kuid uued sissetoomised kasutavad AS13335.
• Kus. Kõik Cloudflare'i asukohad.
• Teenused. Magic Transit, Spectrum, CDN ning Gateway DNS-asukohad ja dedikeeritud väljuvad IP-d. Magic Transitil on oma sissetoomine, see on „not a self-serve product“ (tõlge: „ei ole iseteenindustoode“) ja saab olla ainult terve prefiksi vaikesidumine. Prefiks teenindab kas CDN-i sissetulevat või CDN-i väljuvat liiklust, mitte mõlemat.
• Hind. Ei ole avaldatud. Tingimused ütlevad, et aadresse tohib kasutada „solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services“ (tõlge: „ainult seoses Kliendi domeenidega, mis saavad Cloudflare'i Enterprise-teenuseid“).
• Ajakava. Vähemalt viis tundi BGP ettevalmistust enne väljakuulutamist ja neli kuni kuus tundi iga teenusesidumise levimiseks. Magic Transiti konfiguratsioon „takes around one day to roll out“ (tõlge: „võtab rakendamiseks umbes ühe päeva“).

Enne alustamist

Cloudflare ei saa prefiksit sisse tuua, kui mõni registreerimise, IRR-i, RPKI või omandi kontroll ebaõnnestub. Valmistage ette:

Täpselt vastav route-objekt. Üks route objekt iga sissetoodava prefiksi kohta, täpselt selle prefiksi jaoks, päritoluga, mida Cloudflare kasutab: tavavoos AS13335. Kontrollimiseks soovitab Cloudflare IRR Explorerit või käsku whois -h rr.ntt.net 203.0.113.0/24.

Õige ROA sama päritolu jaoks. Cloudflare palub Teil seda kontrollida oma RPKI Portalis ja teises allikas, näiteks Routinatoris (RPKI ja ROA-d).

Letter of agency (LOA), Cloudflare'i nimetus Letter of Authorizationile, mida nõuavad selle transiidipakkujad. Cloudflare genereerib selle Teie eest, kui seate delegate_loa_creation väärtuseks true; see tugineb ROA-le ja omandikontrollile. Käsitsi LOA peab olema PDF ja peaks olema ettevõtte kirjablanketil käsitsi allkirjaga, kuigi Cloudflare aktsepteerib digiallkirja, kui on selge, kes allkirjastas. Transiidipakkujad võivad JPG või PNG tagasi lükata ja käsitsi töötlemine võib sissetoomist aeglustada.

Koht valideerimistokenile: vastava route-objekti kirjeldus (descr) või remarks või cf-validation TXT-kirje prefiksi igas pöörd-DNS-i tsoonis.

Konto ID ja API-token IP Prefixes õigustega.

Samm-sammult

See on Cloudflare'i dokumenteeritud voog prefiksitele, mida ei kasutata Magic Transitiga; sellel on oma sissetoomine kliendimeeskonna kaudu.

01Lisage prefiks kontole, millele see kuuluma hakkab:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Salvestage vastusest id ja ownership_validation_token.

02Avaldage token. Lisage route-objektile cf-validation: <token> või pöördtsoonidesse TXT-kirje.

03Valideerige. Saatke POST aadressile .../prefixes/$PREFIX_ID/validate. Kui IRR-i, RPKI ja omandi kontrollid läbivad, on prefiksi väljal approved väärtus "V" ja võite tokeni eemaldada. Kui kontroll ebaõnnestub, näitavad prefiksi andmed olekuid nagu missing, invalid või mismatch_asn.

04Siduge prefiks teenusega. Iga prefiks vajab kogu prefiksit katvat vaike-teenusesidumist; spetsiifilisemad sidumised saavad saata selle osi CDN-i või Spectrumisse. Cloudflare loob BGP prefiksi tagasivõetud olekus. Varuge vähemalt viis tundi ja oodake, kuni iga sidumine on aktiivne.

05Kuulutage välja:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare ütleb, et väljakuulutamine võtab tavaliselt kaks kuni seitse minutit ja tagasivõtmine umbes 15.

06CDN-i jaoks looge address map, kui prefiks on välja kuulutatud, et proksitud DNS-kirjed vastaksid Teie aadressidega.

Lõksud

• Katvast route-objektist ei piisa. Cloudflare soovib route-objekti, mis vastab täpselt igale sissetoodavale prefiksile, õige päritoluga.
• Sidumised võtavad tunde ja liiklus kannatab vahepeal. Cloudflare ütleb, et asjaomaste aadresside teenused on sidumise levimise ajal tõenäoliselt häiritud. Seadistage sidumised enne väljakuulutamist ja muutke neid väljaspool tipptunde.
• Kaks võrku kuulutavad. Aktiivse prefiksi kolimisel laske Cloudflare'il esimesena välja kuulutada, kontrollige seda looking glass'is AS13335 all ja võtke seejärel oma väljakuulutus tagasi. Kui jätate enda oma alles, võib osa liiklust Cloudflare'ist mööda minna.
• 15 minuti reegel. Pärast prefiksi väljakuulutuse muutmist oodake vähemalt 15 minutit, enne kui seda uuesti muudate; API lükkab varasemad kutsed tagasi veaga 1004 (HTTP 429, rate_limit_exceeded).

Kui rendite ploki

Cloudflare'i teenusepõhised tingimused, viimati uuendatud 28. septembril 2026, käsitlevad seda otse. Kui Te ei ole aadresside seaduslik omanik, „must obtain written authorization from the legal owner“ (tõlge: „peate saama seaduslikult omanikult kirjaliku volituse“), et Cloudflare need välja kuulutaks, ja kui omanik selle tagasi võtab, võib Cloudflare nende väljakuulutamise lõpetada. Omanik teeb ka registripoolse töö: ROA AS13335 jaoks, route-objekt AS13335-ga päritoluna ja valideerimistoken selles objektis, mida saab muuta ainult omaniku maintainer. Tingimused nõuavad alati täpseid WHOIS-andmeid ning kehtivaid IRR- ja RPKI-kirjeid, seega võib lõppev rent või muutuv ROA prefiksi Cloudflare'ist eemaldada.

Kuhu RTM Networks sobib

Rendime /24 ja suuremaid plokke oma RIPE NCC aadressiruumist ning müüme plokke RIPE NCC, ARIN-i ja APNIC-u piirkondades. Meilt renditud ruumi jaoks loome ROA ja täpse route-objekti AS13335 jaoks, lisame sellele Cloudflare'i valideerimistokeni ja allkirjastame Letter of Authorizationi, nii et Teile jäävad API sammud (IPv4 rent). Kui BYOIP ei ole Teie Cloudflare'i lepingus või vajate alla 256 aadressi, kuulutame ploki välja ja toimetame selle Teie serverisse GRE või WireGuardi kaudu, kuni ühe aadressini (GRE- ja WireGuardi tunnelid). Teised teenusepakkujad: BYOIP juhendid.