BYOIP u DigitalOceanu: vlastite IPv4 adrese na Dropletima

Kontrolu nad prefiksom dokazujete certifikatom u njegovu zapisu registra i porukom potpisanom istim ključem. Nakon DigitalOceanova pregleda adrese rade kao reserved IPs.

Što DigitalOcean prihvaća

Prema DigitalOceanovoj dokumentaciji, na dan kada smo provjerili:

• Pristup. BYOIP se nalazi iza poveznice Request access pri dnu stranice Reserved IPs u Control Panelu.
• Veličina. Od /24 do /18, samo IPv4 (ograničenja DigitalOceana). Prva i druga adresa prefiksa su rezervirane, pa /24 daje 254.
• Registar. ARIN, RIPE NCC, APNIC ili jedan od ostalih regionalnih registara. DigitalOcean ne govori ništa o PA, PI ili legacy prostoru; traži da se možete prijaviti u registar i ažurirati javne zapise prefiksa.
• Tko je ishodište. DigitalOcean, s AS393406.
• Gdje. Bilo koji podatkovni centar, ali jedan po prefiksu: adrese se mogu dodijeliti samo resursima u podatkovnom centru koji odaberete.
• Što ga koristi. Dropleti, svaki s po jednom BYOIP ili reserved IP adresom istodobno. Vanjski regionalni load balanceri i javni NAT gatewayi primaju BYOIP adresu samo pri izradi i ona se kasnije ne može promijeniti.
• Cijena. „Provisioning BYOIP address blocks and using BYOIP addresses is free.“ (prijevod: „Osiguravanje BYOIP blokova adresa i korištenje BYOIP adresa je besplatno.“) Prijenos podataka naplaćuje se kao propusnost Dropleta.
• Vrijeme. „Expect a response within seven business days.“ (prijevod: „Odgovor očekujte u roku od sedam radnih dana.“)

Prije nego što počnete

ROA za AS393406. Mora dopustiti da prefiks ima ishodište s DigitalOceanova AS393406, a može ga hostati vaš registar (RPKI i ROA). DigitalOcean ne navodi najveću duljinu. Zadržite ROA svake mreže koja danas najavljuje blok dok ne prebacite.

Par ključeva i certifikat, izrađeni s OpenSSL-om. DigitalOceanov primjer koristi ključ ECC P-384, a prihvaća i RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Certifikat u zapisu registra, u jednom retku. DigitalOcean ga čita preko RDAP-a, gdje se mora pojaviti pod IP Network, Remarks, Description. Polje koje uređujete ovisi o registru:

Kod ostalih registara koristite polje koje RDAP prikazuje pod Remarks, Description. rdap 203.0.113.0/24 pokazuje je li certifikat ondje. DigitalOceanova stranica ne traži Letter of Authorization (LOA) ni route objekt.

Alati. doctl, openssl i rdap u Unix naredbenom retku.

Korak po korak

01Zatražite pristup sa stranice Reserved IPs, prije svega ostalog.

02Potpišite poruku za osiguravanje. Navodi UUID vašeg tima, koji doctl account get -o json prikazuje pod team, i prefiks:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Podnesite zahtjev za jednu regiju podatkovnog centra:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

U Control Panelu isti zahtjev je Networking, Reserved IPs, Add your own IP prefix, koji traži i projekt.

04Pričekajte pregled. Prefiks prikazuje Provisioning, zatim Active. doctl network byoip-prefix get <prefix-id> javlja in_progress dok ne završi.

05Najavite. Novi prefiks ne najavljuje se dok ga ne uključite:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Dodijelite adrese. Dropletima kao što biste dodijelili reserved IPs. Za load balancer ili NAT gateway adresu predajte s --ip pri izradi (doctl 1.165.0 ili noviji); prefiks mora biti Active i najavljen u istoj regiji.

Pogreške koje koštaju dan

• ROA za pogrešan DigitalOceanov ASN. ARIN-ov registar za DigitalOcean navodi nekoliko AS brojeva, među njima AS14061. Stranica o BYOIP-u navodi samo AS393406.
• Active prefiks do kojeg nitko ne može doći. Osiguravanje ne najavljuje prefiks. Dok advertise ne postavite na true, promet ne stiže.
• Problem s najavom ostavljen za sutra. DigitalOcean vam se javlja ako uoči anomaliju u najavi vašeg prefiksa. Ako problem nije riješen u roku od jednog radnog dana od početka, „irrespective of your responsiveness“ (prijevod: „bez obzira na vašu odzivnost“), DigitalOcean za taj prefiks prekida BYOIP i povlači ga.
• Adrese load balancera i NAT-a su fiksne. Postavljaju se pri izradi, a globalni i interni load balanceri uopće ne mogu koristiti BYOIP.
• Stranice koje kasne. Stranica s ograničenjima, posljednji put ažurirana 13. srpnja 2026., i dalje kaže da se BYOIP adrese mogu dodijeliti samo Dropletima. Stranice s uputama od 3. rujna 2026. dodaju load balancere i NAT gatewaye.
• Pošta i reverzni DNS. Stranica s ograničenjima navodi da su SMTP portovi 25, 465 i 587 blokirani i da PTR zapisi nisu podržani na reserved IPs, a ne kaže vrijedi li išta od toga za BYOIP adrese. Pitajte prije nego što preselite poslužitelj pošte.

Ako blok uzimate u najam

DigitalOceanovi preduvjeti napisani su za registranta: „direct control and update authority“ (prijevod: „izravna kontrola i ovlast ažuriranja“) nad blokom i prijava u registar. Kod iznajmljenog prostora izmjene u registru radi nositelj: certifikat u zapisu, koji može uređivati samo nositeljev maintainer, i ROA za AS393406. Vi izrađujete ključ i certifikat, šaljete certifikat nositelju i zadržavate privatni ključ kako biste zahtjev potpisali iz vlastitog računa. DigitalOceanove stranice ne kažu prihvaća li zapise koje nositelj uređuje za vas, pa najam spomenite kada tražite pristup.

Gdje se uklapa RTM Networks

Iznajmljujemo /24 i veće blokove iz vlastitog adresnog prostora RIPE NCC-a i prodajemo blokove u regijama RIPE NCC-a, ARIN-a i APNIC-a. Za prostor iznajmljen od nas dodajemo vaš DigitalOceanov certifikat u zapis registra i izrađujemo ROA za AS393406, pa vam u računu ostaje samo sam zahtjev (najam IPv4). Ako vam na Dropletu treba manje od 256 adresa, najavljujemo blok i adrese isporučujemo preko GRE-a ili WireGuarda, sve do jedne (GRE i WireGuard tuneli). Drugi pružatelji: BYOIP vodiči.