BYOIP u Cloudflareu: vlastiti IP prefiksi u Cloudflareovoj mreži

Dokumentirani postupak putem API-ja provjerava prefiks prema IRR-u, RPKI-ju i tokenu vlasništva, a zatim ga povezujete s uslugama koje će koristiti njegove adrese.

Što Cloudflare prihvaća

Prema Cloudflareovoj dokumentaciji, na dan kada smo provjerili:

• Tko. Enterprise računi čiji ugovor uključuje BYOIP. Account tim to potvrđuje, kao i konfiguraciju usluga računa, prije uvođenja.
• Veličina. /24 ili veći za IPv4; za IPv6 od /48 do /32.
• Registar. ARIN, RIPE NCC, APNIC ili jedan od ostalih regionalnih registara. Ništa o PA, PI ili legacy prostoru.
• Tko je ishodište. AS13335 u dokumentiranom postupku; za vlastiti ASN pitajte account tim. Korisnici koji su već na Cloudflareovu AS209242 mogu ga zadržati, ali nova uvođenja koriste AS13335.
• Gdje. Sve Cloudflareove lokacije.
• Usluge. Magic Transit, Spectrum, CDN te Gateway DNS lokacije i namjenske izlazne IP adrese. Magic Transit ima vlastito uvođenje, je „not a self-serve product“ (prijevod: „nije samoposlužni proizvod“) i može biti samo zadano povezivanje cijelog prefiksa. Prefiks služi ulaznom ili izlaznom prometu CDN-a, ne oboma.
• Cijena. Nije objavljena. Uvjeti navode da se adrese moraju koristiti „solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services“ (prijevod: „isključivo u vezi s korisnikovim domenama koje primaju Cloudflareove Enterprise usluge“).
• Vrijeme. Najmanje pet sati osiguravanja BGP-a prije najave i četiri do šest sati da se svako povezivanje s uslugom proširi. Konfiguracija Magic Transita „takes around one day to roll out“ (prijevod: „uvodi se otprilike jedan dan“).

Prije nego što počnete

Cloudflare ne može uvesti prefiks ako ne prođe bilo koja provjera registracije, IRR-a, RPKI-ja ili vlasništva. Pripremite sljedeće:

Route objekt koji se točno podudara. Jedan objekt route po prefiksu koji uvodite, točno za taj prefiks, s ishodištem koje će Cloudflare koristiti: AS13335 u standardnom postupku. Za provjeru Cloudflare predlaže IRR Explorer ili whois -h rr.ntt.net 203.0.113.0/24.

Ispravan ROA za isto ishodište. Cloudflare traži da ga provjerite u njegovu RPKI Portalu i u drugom izvoru, primjerice Routinatoru (RPKI i ROA).

Letter of agency (LOA), Cloudflareov naziv za LOA, koji traže njegovi tranzitni pružatelji. Cloudflare ga izrađuje za vas kada delegate_loa_creation postavite na true, što se oslanja na ROA i provjeru vlasništva. Ručni LOA mora biti PDF i trebao bi biti na memorandumu tvrtke s vlastoručnim potpisom, iako Cloudflare prihvaća i digitalni potpis ako je jasno tko je potpisao. Tranzitni pružatelji mogu odbiti JPG ili PNG, a ručna obrada može usporiti uvođenje.

Mjesto za validacijski token: opis (descr) ili remarks odgovarajućeg route objekta ili TXT zapis cf-validation u svakoj zoni reverznog DNS-a prefiksa.

ID računa i API token s dozvolama IP Prefixes.

Korak po korak

Ovo je Cloudflareov dokumentirani postupak za prefikse koji se ne koriste s Magic Transitom, koji ima vlastito uvođenje preko account tima.

01Dodajte prefiks računu koji će ga posjedovati:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Spremite id i ownership_validation_token iz odgovora.

02Objavite token. Dodajte cf-validation: <token> u route objekt ili TXT zapis u reverzne zone.

03Validirajte. Pošaljite POST na .../prefixes/$PREFIX_ID/validate. Kada provjere IRR-a, RPKI-ja i vlasništva prođu, polje approved prefiksa glasi "V" i token možete ukloniti. Ako provjera ne prođe, pojedinosti prefiksa pokazuju stanja poput missing, invalid ili mismatch_asn.

04Povežite prefiks s uslugom. Svaki prefiks treba zadano povezivanje s uslugom preko cijelog prefiksa; specifičnija povezivanja mogu dijelove poslati u CDN ili Spectrum. Cloudflare BGP prefiks izrađuje u povučenom stanju. Računajte s najmanje pet sati i pričekajte dok svako povezivanje ne bude aktivno.

05Najavite:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare navodi da najava obično traje dvije do sedam minuta, a povlačenje oko 15.

06Za CDN izradite address map kada je prefiks najavljen, kako bi proxirani DNS zapisi odgovarali vašim adresama.

Zamke

• Route objekt koji obuhvaća prefiks nije dovoljan. Cloudflare želi route objekt koji se točno podudara sa svakim prefiksom koji uvodite, s ispravnim ishodištem.
• Povezivanja traju satima, a promet u međuvremenu trpi. Cloudflare navodi da su usluge za dotične adrese vjerojatno poremećene dok se povezivanje širi. Povezivanja postavite prije najave i mijenjajte ih izvan prometnih sati.
• Dvije mreže najavljuju. Kada selite aktivan prefiks, pustite da Cloudflare najavi prvi, provjerite ga na looking glassu pod AS13335, a zatim povucite vlastitu najavu. Ostavite li svoju aktivnu, dio prometa može zaobići Cloudflare.
• Pravilo od 15 minuta. Nakon promjene najave prefiksa pričekajte najmanje 15 minuta prije ponovne promjene; API ranije pozive odbija s pogreškom 1004 (HTTP 429, rate_limit_exceeded).

Ako blok uzimate u najam

Cloudflareovi uvjeti za pojedine usluge, posljednji put ažurirani 28. rujna 2026., to izravno pokrivaju. Ako niste zakoniti vlasnik adresa, „must obtain written authorization from the legal owner“ (prijevod: „morate pribaviti pisano odobrenje zakonitog vlasnika“) da ih Cloudflare najavljuje, a ako ga vlasnik povuče, Cloudflare ih može prestati najavljivati. Nositelj obavlja i stranu registra: ROA za AS13335, route objekt s AS13335 kao ishodištem i validacijski token u tom objektu, koji može uređivati samo nositeljev maintainer. Uvjeti traže točne WHOIS podatke i valjane IRR i RPKI unose u svakom trenutku, pa najam koji istekne ili ROA koji se promijeni može prefiks maknuti s Cloudflarea.

Gdje se uklapa RTM Networks

Iznajmljujemo /24 i veće blokove iz vlastitog adresnog prostora RIPE NCC-a i prodajemo blokove u regijama RIPE NCC-a, ARIN-a i APNIC-a. Za prostor iznajmljen od nas izrađujemo ROA i točan route objekt za AS13335, u njega dodajemo Cloudflareov validacijski token i potpisujemo LOA, pa vam ostaju samo koraci u API-ju (najam IPv4). Ako BYOIP nije u vašem ugovoru s Cloudflareom ili vam treba manje od 256 adresa, najavljujemo blok i isporučujemo ga vašem poslužitelju preko GRE-a ili WireGuarda, sve do jedne adrese (GRE i WireGuard tuneli). Drugi pružatelji: BYOIP vodiči.