DigitalOcean ja BYOIP: tuo omat IPv4-osoitteesi Dropleteille

Todistat prefiksin hallinnan varmenteella sen rekisteritietueessa ja samalla avaimella allekirjoitetulla viestillä. DigitalOceanin tarkistuksen jälkeen osoitteet toimivat kuin reserved IP:t.

Mitä DigitalOcean hyväksyy

DigitalOceanin dokumentaation mukaan tarkistuspäivänämme:

• Pääsy. BYOIP on Request access -linkin takana Control Panelin Reserved IPs -sivun alalaidassa.
• Koko. /24–/18, vain IPv4 (DigitalOceanin rajat). Prefiksin ensimmäinen ja toinen osoite on varattu, joten /24 antaa 254.
• Rekisteri. ARIN, RIPE NCC, APNIC tai jokin muu alueellinen rekisteri. DigitalOcean ei sano mitään PA-, PI- tai legacy-avaruudesta; se edellyttää, että voit kirjautua rekisteriin ja päivittää prefiksin julkisia tietueita.
• Kuka ilmoittaa. DigitalOcean, AS393406:sta.
• Missä. Mikä tahansa konesali, mutta yksi prefiksiä kohden: osoitteet voi osoittaa vain valitsemasi konesalin resursseille.
• Mikä käyttää sitä. Dropletit, kukin yksi BYOIP- tai reserved IP kerrallaan. Ulkoiset alueelliset kuormantasaajat ja julkiset NAT-yhdyskäytävät ottavat BYOIP-osoitteen vain luotaessa, eikä sitä voi myöhemmin vaihtaa.
• Hinta. ”Provisioning BYOIP address blocks and using BYOIP addresses is free.” (suomennos: ”BYOIP-osoitelohkojen provisiointi ja BYOIP-osoitteiden käyttö on maksutonta.”) Tiedonsiirto laskutetaan Droplet-kaistana.
• Aikataulu. ”Expect a response within seven business days.” (suomennos: ”Odota vastausta seitsemän työpäivän kuluessa.”)

Ennen kuin aloitat

ROA AS393406:lle. Sen on sallittava prefiksin ilmoittaminen DigitalOceanin AS393406:sta, ja rekisterisi voi ylläpitää sitä (RPKI ja ROA:t). DigitalOcean ei määritä maksimipituutta. Pidä lohkoa nyt ilmoittavan verkon ROA voimassa vaihtoon asti.

Avainpari ja varmenne, tehtynä OpenSSL:llä. DigitalOceanin esimerkki käyttää ECC P-384 -avainta ja hyväksyy myös RSA:n:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Varmenne rekisteritietueessa, yhdellä rivillä. DigitalOcean lukee sen RDAP:n kautta, jossa sen on näyttävä kohdassa IP Network, Remarks, Description. Muokattava kenttä riippuu rekisteristä:

Muissa rekistereissä käytä sitä kenttää, jonka RDAP näyttää kohdassa Remarks, Description. rdap 203.0.113.0/24 näyttää, onko varmenne paikallaan. DigitalOceanin sivu ei pyydä Letter of Authorizationia eikä route-objektia.

Työkalut. doctl, openssl ja rdap Unix-komentorivillä.

Vaihe vaiheelta

01Pyydä pääsyä Reserved IPs -sivulta ennen mitään muuta.

02Allekirjoita provisiointiviesti. Se nimeää tiimisi UUID:n, jonka doctl account get -o json näyttää kohdassa team, ja prefiksin:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Lähetä pyyntö yhdelle konesalialueelle:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

Control Panelissa sama pyyntö on Networking, Reserved IPs, Add your own IP prefix, joka kysyy myös projektia.

04Odota tarkistusta. Prefiksin tila on Provisioning, sitten Active. doctl network byoip-prefix get <prefix-id> raportoi in_progress, kunnes se on valmis.

05Ilmoita. Uutta prefiksiä ei ilmoiteta, ennen kuin kytket sen päälle:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Osoita osoitteet. Dropleteille kuten reserved IP:t. Kuormantasaajalle tai NAT-yhdyskäytävälle anna osoite --ip-valitsimella luotaessa (doctl 1.165.0 tai uudempi); prefiksin on oltava Active ja ilmoitettu samalla alueella.

Virheet, jotka maksavat päivän

• ROA väärälle DigitalOceanin ASN:lle. ARINin rekisteri listaa DigitalOceanille useita AS-numeroita, muun muassa AS14061:n. BYOIP-sivu nimeää vain AS393406:n.
• Active-prefiksi, jota kukaan ei tavoita. Provisiointi ei ilmoita prefiksiä. Ennen kuin asetat advertise-arvoksi true, liikennettä ei saavu.
• Ilmoitusongelma jätetty huomiseen. DigitalOcean ottaa yhteyttä, jos se havaitsee poikkeaman prefiksisi ilmoituksessa. Jos ongelmaa ei korjata yhden työpäivän kuluessa sen alkamisesta, ”irrespective of your responsiveness” (suomennos: ”riippumatta siitä, miten nopeasti reagoit”), DigitalOcean lopettaa BYOIP:n kyseiseltä prefiksiltä ja vetää sen pois.
• Kuormantasaajien ja NATin osoitteet ovat kiinteitä. Ne asetetaan luotaessa, eivätkä globaalit ja sisäiset kuormantasaajat voi käyttää BYOIP:tä lainkaan.
• Jälkeen jäävät sivut. Rajoitussivu, päivitetty viimeksi 13. heinäkuuta 2026, sanoo yhä, että BYOIP-osoitteita voi osoittaa vain Dropleteille. 3. syyskuuta 2026 päivätyt ohjesivut lisäävät kuormantasaajat ja NAT-yhdyskäytävät.
• Sähköposti ja käänteinen DNS. Rajoitussivun mukaan SMTP-portit 25, 465 ja 587 on estetty eikä PTR-tietueita tueta reserved IP:issä, eikä se kerro, koskeeko kumpikaan BYOIP-osoitteita. Kysy ennen kuin siirrät sähköpostipalvelimen.

Jos vuokraat lohkon

DigitalOceanin edellytykset on kirjoitettu rekisteröijälle: ”direct control and update authority” (suomennos: ”suora hallinta- ja päivitysoikeus”) lohkoon ja kirjautuminen rekisteriin. Vuokratussa avaruudessa haltija tekee rekisterimuutokset: varmenteen tietueeseen, jota vain haltijan maintainer voi muokata, ja ROA:n AS393406:lle. Sinä teet avaimen ja varmenteen, lähetät varmenteen haltijalle ja pidät yksityisen avaimen allekirjoittaaksesi pyynnön omalta tililtäsi. DigitalOceanin sivut eivät kerro, hyväksyykö se tietueet, joita haltija muokkaa puolestasi, joten mainitse vuokraus, kun pyydät pääsyä.

Missä RTM Networks auttaa

Vuokraamme /24-lohkoja ja suurempia omasta RIPE NCC -osoiteavaruudestamme ja myymme lohkoja RIPE NCC:n, ARINin ja APNICin alueilla. Meiltä vuokratulle avaruudelle lisäämme DigitalOcean-varmenteesi rekisteritietueeseen ja luomme ROA:n AS393406:lle, joten tilillesi jää vain itse pyyntö (vuokraa IPv4). Jos tarvitset Dropletille alle 256 osoitetta, ilmoitamme lohkon ja toimitamme osoitteet GRE- tai WireGuard-yhteydellä, yksittäiseen osoitteeseen asti (GRE- ja WireGuard-tunnelit). Muut palveluntarjoajat: BYOIP-oppaat.