Cloudflare BYOIP: saját IP-prefixek a Cloudflare hálózatán

Egy dokumentált API-folyamat ellenőrzi a prefixet az IRR, az RPKI és egy tulajdonjogi token alapján, majd Ön azokhoz a szolgáltatásokhoz köti, amelyek a címeit használni fogják.

Mit fogad a Cloudflare

A Cloudflare dokumentációja szerint, azon a napon, amikor ellenőriztük:

• Ki. Azok az Enterprise-fiókok, amelyek szerződése tartalmazza a BYOIP-t. Az ügyfélcsapat ezt, és a fiók szolgáltatáskonfigurációját, a felvétel előtt megerősíti.
• Méret. IPv4-nél /24 vagy nagyobb; IPv6-nál /48 és /32 között.
• Nyilvántartó. Az ARIN, a RIPE NCC, az APNIC vagy a többi regionális nyilvántartó egyike. A PA, PI vagy legacy címtérről semmi.
• Ki az origin. A dokumentált folyamatban az AS13335; saját ASN-hez kérdezze az ügyfélcsapatot. A már a Cloudflare AS209242-jén lévő ügyfelek megtarthatják, de az új felvételek az AS13335-öt használják.
• Hol. A Cloudflare összes helyszínén.
• Szolgáltatások. Magic Transit, Spectrum, a CDN, valamint a Gateway DNS-helyszínei és dedikált kimenő IP-i. A Magic Transitnek saját felvételi folyamata van, „not a self-serve product” (fordítás: „nem önkiszolgáló termék”), és csak egy teljes prefix alapértelmezett bindingja lehet. Egy prefix CDN-bemenetet vagy CDN-kimenetet szolgál ki, a kettőt egyszerre nem.
• Ár. Nem nyilvános. A feltételek szerint a címeket „solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services” (fordítás: „kizárólag az Ügyfél azon domainjeivel összefüggésben, amelyek a Cloudflare Enterprise-szolgáltatásait kapják”) lehet használni.
• Időtartam. Legalább öt óra BGP-provisioning a hirdetés előtt, és négy-hat óra minden service binding terjedésére. A Magic Transit konfigurációja „takes around one day to roll out” (fordítás: „nagyjából egy nap alatt vezethető be”).

Mielőtt elkezdi

A Cloudflare nem vehet fel prefixet, ha bármelyik regisztrációs, IRR-, RPKI- vagy tulajdonjogi ellenőrzés megbukik. Készítse elő ezeket:

Pontosan egyező route objektum. Minden felvett prefixhez egy route objektum, pontosan arra a prefixre, azzal az originnel, amelyet a Cloudflare használni fog: a szokásos folyamatban AS13335. Az ellenőrzéshez a Cloudflare az IRR Explorert vagy a whois -h rr.ntt.net 203.0.113.0/24 parancsot javasolja.

Helyes ROA ugyanarra az originre. A Cloudflare azt kéri, hogy ellenőrizze az RPKI Portalján és egy második forrásban, például a Routinatorban (RPKI és ROA-k).

Letter of agency (LOA), ahogy a Cloudflare a meghatalmazó levelet (Letter of Authorization) nevezi, és amelyet a tranzitszolgáltatói megkövetelnek. A Cloudflare elkészíti Önnek, ha a delegate_loa_creation értékét true-ra állítja; ez a ROA-ra és a tulajdonjogi ellenőrzésre támaszkodik. A kézi LOA-nak PDF-nek kell lennie, és cégjelzéses papíron, saját kezű aláírással kell készülnie, bár a Cloudflare digitális aláírást is elfogad, ha egyértelmű, ki írta alá. A tranzitszolgáltatók elutasíthatnak egy JPG-t vagy PNG-t, és a kézi feldolgozás lassíthatja a felvételt.

Hely a validációs tokennek: a megfelelő route objektum leírása (descr) vagy remarks mezője, vagy egy cf-validation TXT-rekord a prefix minden reverse DNS-zónájában.

Fiókazonosító és API-token az IP Prefixes jogosultságokkal.

Lépésről lépésre

Ez a Cloudflare dokumentált folyamata a Magic Transittel nem használt prefixekhez; a Magic Transitnek saját felvétele van az ügyfélcsapaton keresztül.

01Adja hozzá a prefixet ahhoz a fiókhoz, amelyé lesz:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Mentse el a válaszból az id-t és az ownership_validation_token-t.

02Tegye közzé a tokent. Adja hozzá a cf-validation: <token> sort a route objektumhoz, vagy a TXT-rekordot a reverse zónákhoz.

03Validáljon. Küldjön egy POST-ot a .../prefixes/$PREFIX_ID/validate címre. Ha az IRR-, RPKI- és tulajdonjogi ellenőrzés sikeres, a prefix approved mezője "V" lesz, és a tokent eltávolíthatja. Ha egy ellenőrzés megbukik, a prefix adatai olyan állapotokat mutatnak, mint missing, invalid vagy mismatch_asn.

04Kösse a prefixet egy szolgáltatáshoz. Minden prefixnek kell egy alapértelmezett service binding a teljes prefixre; specifikusabb bindingok egyes részeit a CDN-hez vagy a Spectrumhoz küldhetik. A Cloudflare visszavont állapotban hozza létre a BGP-prefixet. Számoljon legalább öt órával, és várja meg, amíg minden binding aktív.

05Hirdesse meg:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

A Cloudflare szerint a hirdetés jellemzően két-hét perc, a visszavonás nagyjából 15.

06A CDN-hez hozzon létre egy address mapet, amint a prefixet meghirdették, hogy a proxyzott DNS-rekordok az Ön címeivel válaszoljanak.

Buktatók

• Egy lefedő route objektum nem elég. A Cloudflare minden felvett prefixhez pontosan egyező route objektumot kér, a megfelelő originnel.
• A bindingok órákig tartanak, és közben a forgalom szenved. A Cloudflare szerint az érintett címek szolgáltatásai valószínűleg kiesnek, amíg egy binding terjed. A bindingokat a hirdetés előtt állítsa be, és csúcsidőn kívül módosítsa.
• Két hálózat jelenti be. Ha élő prefixet költöztet, hagyja, hogy először a Cloudflare hirdesse, ellenőrizze egy looking glassban AS13335 alatt, aztán vonja vissza a saját bejelentését. Ha a sajátját fenntartja, a forgalom egy része megkerülheti a Cloudflare-t.
• A 15 perces szabály. Egy prefix hirdetésének módosítása után várjon legalább 15 percet, mielőtt újra módosítja; az API a korábbi hívásokat 1004 (HTTP 429, rate_limit_exceeded)-es hibával utasítja el.

Ha bérli a blokkot

A Cloudflare szolgáltatásspecifikus feltételei, utoljára 2026. szeptember 28-án frissítve, ezt közvetlenül szabályozzák. Ha Ön nem jogi tulajdonosa a címeknek, „must obtain written authorization from the legal owner” (fordítás: „írásos engedélyt kell szereznie a jogi tulajdonostól”) ahhoz, hogy a Cloudflare bejelentse őket, és ha a tulajdonos visszavonja, a Cloudflare leállíthatja a hirdetésüket. A registry-oldalt is a jogosult végzi: a ROA-t az AS13335-re, a route objektumot AS13335 originnel, és a validációs tokent abban az objektumban, amelyet csak a jogosult maintainere szerkeszthet. A feltételek mindenkor pontos WHOIS-adatokat és érvényes IRR- és RPKI-bejegyzéseket kérnek, így egy lejáró bérlet vagy egy módosuló ROA levetheti a prefixet a Cloudflare-ről.

Hol segít az RTM Networks

/24-eket és nagyobbakat bérbe adunk saját RIPE NCC-címterünkből, és blokkokat értékesítünk a RIPE NCC, az ARIN és az APNIC régiójában. A tőlünk bérelt címtérnél létrehozzuk a ROA-t és a pontos route objektumot az AS13335-re, hozzáadjuk a Cloudflare validációs tokenjét, és aláírjuk a meghatalmazó levelet, így csak az API-lépések maradnak Önre (IPv4 bérlése). Ha a BYOIP nincs benne a Cloudflare-szerződésében, vagy 256-nál kevesebb címre van szüksége, bejelentünk egy blokkot, és GRE-n vagy WireGuardon át juttatjuk el a szerveréhez, egyetlen címig (GRE- és WireGuard-alagutak). Más szolgáltatók: BYOIP-útmutatók.