Cloudflare ja BYOIP: omat IP-prefiksisi Cloudflaren verkossa

Dokumentoitu API-prosessi tarkistaa prefiksin IRR:ää, RPKI:tä ja omistustokenia vasten, ja sitten sidot sen palveluihin, jotka käyttävät sen osoitteita.

Mitä Cloudflare hyväksyy

Cloudflaren dokumentaation mukaan tarkistuspäivänämme:

• Kenelle. Enterprise-tileille, joiden sopimukseen BYOIP sisältyy. Asiakastiimi vahvistaa tämän ja tilin palvelukonfiguraation ennen käyttöönottoa.
• Koko. /24 tai suurempi IPv4:lle; IPv6:lle /48–/32.
• Rekisteri. ARIN, RIPE NCC, APNIC tai jokin muu alueellinen rekisteri. PA-, PI- tai legacy-avaruudesta ei mitään.
• Kuka ilmoittaa. Dokumentoidussa prosessissa AS13335; omaa ASN:ää varten kysy asiakastiimiltä. Asiakkaat, jotka ovat jo Cloudflaren AS209242:lla, voivat pitää sen, mutta uudet käyttöönotot käyttävät AS13335:tä.
• Missä. Kaikki Cloudflaren sijainnit.
• Palvelut. Magic Transit, Spectrum, CDN sekä Gatewayn DNS-sijainnit ja dedikoidut lähtevän liikenteen IP:t. Magic Transitilla on oma käyttöönottonsa, se on ”not a self-serve product” (suomennos: ”ei itsepalvelutuote”), ja se voi olla vain koko prefiksin oletussidos. Prefiksi palvelee joko CDN:n sisääntuloa tai CDN:n lähtevää liikennettä, ei molempia.
• Hinta. Ei julkaistu. Ehtojen mukaan osoitteita on käytettävä ”solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services” (suomennos: ”ainoastaan niiden Asiakkaan verkkotunnusten yhteydessä, jotka saavat Cloudflaren Enterprise-palveluja”).
• Aikataulu. Vähintään viisi tuntia BGP-provisiointia ennen ilmoittamista ja neljästä kuuteen tuntia kunkin palvelusidoksen leviämiseen. Magic Transitin konfiguraatio ”takes around one day to roll out” (suomennos: ”vie käyttöönotossa noin päivän”).

Ennen kuin aloitat

Cloudflare ei voi ottaa prefiksiä käyttöön, jos jokin rekisteröinti-, IRR-, RPKI- tai omistustarkistus epäonnistuu. Valmistele nämä:

Täsmälleen vastaava route-objekti. Yksi route-objekti jokaista käyttöön otettavaa prefiksiä kohden, täsmälleen sille prefiksille, originina se, jota Cloudflare käyttää: vakioprosessissa AS13335. Tarkistukseen Cloudflare ehdottaa IRR Exploreria tai komentoa whois -h rr.ntt.net 203.0.113.0/24.

Oikea ROA samalle originille. Cloudflare pyytää tarkistamaan sen RPKI-portaalistaan ja toisesta lähteestä, kuten Routinatorista (RPKI ja ROA:t).

Letter of agency (LOA), Cloudflaren nimi Letter of Authorizationille, jota sen transit-toimittajat edellyttävät. Cloudflare luo sen puolestasi, kun asetat delegate_loa_creation-arvoksi true, mikä nojaa ROA:han ja omistustarkistukseen. Käsin tehdyn LOA:n on oltava PDF, ja sen pitäisi olla yrityksen kirjelomakkeella käsin allekirjoitettuna, vaikka Cloudflare hyväksyy digitaalisen allekirjoituksen, jos allekirjoittaja on selvä. Transit-toimittajat voivat hylätä JPG- tai PNG-tiedoston, ja käsin käsittely voi hidastaa käyttöönottoa.

Paikka validointitokenille: vastaavan route-objektin kuvaus (descr) tai remarks, tai cf-validation-TXT-tietue jokaisessa prefiksin käänteisen DNS:n vyöhykkeessä.

Tilitunniste ja API-token, jolla on IP Prefixes -oikeudet.

Vaihe vaiheelta

Tämä on Cloudflaren dokumentoitu prosessi prefikseille, joita ei käytetä Magic Transitin kanssa; Magic Transitilla on oma käyttöönottonsa asiakastiimin kautta.

01Lisää prefiksi tilille, joka omistaa sen:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Tallenna vastauksesta id ja ownership_validation_token.

02Julkaise token. Lisää cf-validation: <token> route-objektiin tai TXT-tietue käänteisvyöhykkeisiin.

03Validoi. Lähetä POST osoitteeseen .../prefixes/$PREFIX_ID/validate. Kun IRR-, RPKI- ja omistustarkistukset menevät läpi, prefiksin approved-kentässä lukee "V", ja voit poistaa tokenin. Jos tarkistus epäonnistuu, prefiksin tiedot näyttävät tiloja kuten missing, invalid tai mismatch_asn.

04Sido prefiksi palveluun. Jokainen prefiksi tarvitsee koko prefiksin kattavan oletuspalvelusidoksen; tarkemmat sidokset voivat ohjata sen osia CDN:lle tai Spectrumille. Cloudflare luo BGP-prefiksin poisvedetyssä tilassa. Varaa vähintään viisi tuntia ja odota, kunnes jokainen sidos on aktiivinen.

05Ilmoita:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflaren mukaan ilmoittaminen kestää tyypillisesti kahdesta seitsemään minuuttia ja poisvetäminen noin 15.

06CDN:ää varten luo address map, kun prefiksi on ilmoitettu, jotta välitetyt DNS-tietueet vastaavat osoitteillasi.

Sudenkuopat

• Kattava route-objekti ei riitä. Cloudflare haluaa route-objektin, joka vastaa täsmälleen jokaista käyttöön otettavaa prefiksiä, oikealla originilla.
• Sidokset vievät tunteja, ja liikenne kärsii sillä välin. Cloudflaren mukaan kyseisten osoitteiden palvelut todennäköisesti häiriintyvät sidoksen leviämisen aikana. Määritä sidokset ennen ilmoittamista ja muuta niitä ruuhka-aikojen ulkopuolella.
• Kaksi verkkoa ilmoittaa. Kun siirrät käytössä olevan prefiksin, anna Cloudflaren ilmoittaa ensin, tarkista se looking glassista AS13335:n alla ja vedä sitten oma ilmoituksesi pois. Jos jätät omasi voimaan, osa liikenteestä voi ohittaa Cloudflaren.
• 15 minuutin sääntö. Kun olet muuttanut prefiksin ilmoitusta, odota vähintään 15 minuuttia ennen kuin muutat sitä uudelleen; API hylkää aiemmat kutsut virheellä 1004 (HTTP 429, rate_limit_exceeded).

Jos vuokraat lohkon

Cloudflaren palvelukohtaiset ehdot, päivitetty viimeksi 28. syyskuuta 2026, kattavat tämän suoraan. Jos et ole osoitteiden laillinen omistaja, sinun ”must obtain written authorization from the legal owner” (suomennos: ”on hankittava kirjallinen valtuutus lailliselta omistajalta”), jotta Cloudflare voi ilmoittaa ne, ja jos omistaja peruu sen, Cloudflare voi lopettaa niiden ilmoittamisen. Haltija hoitaa myös rekisteripuolen: ROA:n AS13335:lle, route-objektin, jonka origin on AS13335, ja validointitokenin tuohon objektiin, jota vain haltijan maintainer voi muokata. Ehdot edellyttävät aina paikkansapitäviä WHOIS-tietoja sekä voimassa olevia IRR- ja RPKI-merkintöjä, joten päättyvä vuokraus tai muuttuva ROA voi pudottaa prefiksin Cloudflaresta.

Missä RTM Networks auttaa

Vuokraamme /24-lohkoja ja suurempia omasta RIPE NCC -osoiteavaruudestamme ja myymme lohkoja RIPE NCC:n, ARINin ja APNICin alueilla. Meiltä vuokratulle avaruudelle luomme ROA:n ja täsmällisen route-objektin AS13335:lle, lisäämme siihen Cloudflaren validointitokenin ja allekirjoitamme Letter of Authorizationin, joten sinulle jäävät API-vaiheet (vuokraa IPv4). Jos BYOIP ei sisälly Cloudflare-sopimukseesi tai tarvitset alle 256 osoitetta, ilmoitamme lohkon ja toimitamme sen palvelimellesi GRE- tai WireGuard-yhteydellä, yksittäiseen osoitteeseen asti (GRE- ja WireGuard-tunnelit). Muut palveluntarjoajat: BYOIP-oppaat.