BYOIP chez DigitalOcean : apportez vos propres adresses IPv4 sur des Droplets

Vous prouvez le contrôle du préfixe avec un certificat dans son objet du registre et un message signé avec la même clé. Après l'examen de DigitalOcean, les adresses fonctionnent comme des reserved IPs.

Ce que DigitalOcean accepte

D'après la documentation de DigitalOcean, le jour de notre vérification :

• Accès. Le BYOIP se trouve derrière un lien Request access en bas de la page Reserved IPs du Control Panel.
• Taille. Du /24 au /18, IPv4 uniquement (les limites de DigitalOcean). La première et la deuxième adresse du préfixe sont réservées : un /24 vous en donne donc 254.
• Registre. L'ARIN, le RIPE NCC, l'APNIC ou l'un des autres registres régionaux. DigitalOcean ne dit rien de l'espace PA, PI ou legacy ; il demande que vous puissiez vous connecter au registre et mettre à jour les enregistrements publics du préfixe.
• Qui annonce. DigitalOcean, depuis AS393406.
• Où. N'importe quel centre de données, mais un seul par préfixe : les adresses ne peuvent être affectées qu'aux ressources du centre de données choisi.
• Ce qui l'utilise. Les Droplets, une adresse BYOIP ou reserved IP chacun à la fois. Les external regional load balancers et les public NAT gateways ne prennent une adresse BYOIP qu'à leur création, et elle ne peut plus être changée ensuite.
• Prix. « Provisioning BYOIP address blocks and using BYOIP addresses is free. » (traduction : « Le provisionnement de blocs d'adresses BYOIP et l'utilisation d'adresses BYOIP sont gratuits. ») Le transfert de données est facturé comme la bande passante des Droplets.
• Délai. « Expect a response within seven business days. » (traduction : « Comptez une réponse sous sept jours ouvrés. »)

Avant de commencer

Un ROA pour AS393406. Il doit permettre au préfixe d'être annoncé depuis AS393406, l'ASN de DigitalOcean, et votre registre peut l'héberger (RPKI et ROA). DigitalOcean ne précise pas de longueur maximale. Gardez le ROA de tout réseau qui annonce le bloc aujourd'hui jusqu'à la bascule.

Une paire de clés et un certificat, créés avec OpenSSL. L'exemple de DigitalOcean utilise une clé ECC P-384 et accepte aussi RSA :

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Le certificat dans l'objet du registre, sur une seule ligne. DigitalOcean le lit via RDAP, où il doit apparaître sous IP Network, Remarks, Description. Le champ à modifier dépend du registre :

Dans les autres registres, utilisez le champ que RDAP affiche sous Remarks, Description. rdap 203.0.113.0/24 montre si le certificat y figure. La page de DigitalOcean ne demande ni lettre d'autorisation ni objet route.

Outils. doctl, openssl et rdap sur une ligne de commande Unix.

Étape par étape

01Demandez l'accès depuis la page Reserved IPs, avant toute chose.

02Signez le message de provisionnement. Il nomme l'UUID de votre équipe, que doctl account get -o json affiche sous team, et le préfixe :

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Soumettez la demande pour une région de centre de données :

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

Dans le Control Panel, la même demande se trouve sous Networking, Reserved IPs, Add your own IP prefix, qui demande aussi un projet.

04Attendez l'examen. Le préfixe affiche Provisioning, puis Active. doctl network byoip-prefix get <prefix-id> renvoie in_progress jusqu'à la fin.

05Annoncez. Un nouveau préfixe n'est pas annoncé tant que vous ne l'activez pas :

doctl network byoip-prefix update <prefix-id> --advertise=true

06Affectez des adresses. Aux Droplets, comme des reserved IPs. Pour un load balancer ou une NAT gateway, passez l'adresse avec --ip à la création (doctl 1.165.0 ou plus récent) ; le préfixe doit être Active et annoncé dans la même région.

Les erreurs qui coûtent une journée

• Un ROA pour le mauvais ASN de DigitalOcean. Le registre de l'ARIN liste plusieurs numéros d'AS pour DigitalOcean, dont AS14061. La page BYOIP ne nomme qu'AS393406.
• Un préfixe Active que personne ne peut joindre. Le provisionnement n'annonce pas le préfixe. Tant que vous ne fixez pas advertise à true, aucun trafic n'arrive.
• Un problème d'annonce remis au lendemain. DigitalOcean vous contacte s'il constate une anomalie dans l'annonce de votre préfixe. Si le problème n'est pas réglé dans un délai d'un jour ouvré après son début, « irrespective of your responsiveness » (traduction : « quelle que soit votre réactivité »), DigitalOcean met fin au BYOIP pour ce préfixe et le retire.
• Les adresses des load balancers et des NAT sont figées. Elles sont fixées à la création, et les load balancers globaux et internes ne peuvent pas du tout utiliser le BYOIP.
• Des pages en retard. La page des limites, mise à jour le 13 juillet 2026, dit encore que les adresses BYOIP ne peuvent être affectées qu'aux Droplets. Les pages pratiques du 3 septembre 2026 ajoutent les load balancers et les NAT gateways.
• Mail et DNS inverse. La page des limites indique que les ports SMTP 25, 465 et 587 sont bloqués et que les enregistrements PTR ne sont pas pris en charge sur les reserved IPs, sans dire si cela s'applique aux adresses BYOIP. Demandez avant de déplacer un serveur de messagerie.

Si vous louez le bloc

Les prérequis de DigitalOcean sont écrits pour le titulaire de l'enregistrement : « direct control and update authority » (traduction : « contrôle direct et pouvoir de mise à jour ») sur le bloc, et un accès au registre. Avec un espace loué, le titulaire fait les modifications au registre : le certificat dans l'objet, que seul le mainteneur du titulaire peut modifier, et le ROA pour AS393406. Vous créez la clé et le certificat, envoyez le certificat au titulaire, et gardez la clé privée pour signer la demande depuis votre propre compte. Les pages de DigitalOcean ne disent pas s'il accepte des enregistrements qu'un titulaire modifie pour vous : mentionnez donc la location quand vous demandez l'accès.

La place de RTM Networks

Nous louons des /24 et plus grands depuis notre propre espace d'adresses RIPE NCC, et vendons des blocs dans les régions du RIPE NCC, de l'ARIN et de l'APNIC. Pour un espace loué chez nous, nous ajoutons votre certificat DigitalOcean à l'objet du registre et créons le ROA pour AS393406 : il ne reste que la demande elle-même dans votre compte (louer de l'IPv4). S'il vous faut moins de 256 adresses sur un Droplet, nous annonçons un bloc et livrons les adresses par GRE ou WireGuard, jusqu'à une seule (tunnels GRE et WireGuard). Autres fournisseurs : guides BYOIP.