DigitalOcean BYOIP: saját IPv4-címek Dropletekhez

A prefix feletti rendelkezést egy, a registry-bejegyzésében elhelyezett tanúsítvánnyal és egy ugyanazzal a kulccsal aláírt üzenettel bizonyítja. A DigitalOcean elbírálása után a címek úgy működnek, mint a reserved IP-k.

Mit fogad a DigitalOcean

A DigitalOcean dokumentációja szerint, azon a napon, amikor ellenőriztük:

• Hozzáférés. A BYOIP egy Request access link mögött van a Control Panel Reserved IPs oldalának alján.
• Méret. /24 és /18 között, csak IPv4 (a DigitalOcean korlátai). A prefix első és második címe foglalt, így egy /24 254 címet ad.
• Nyilvántartó. Az ARIN, a RIPE NCC, az APNIC vagy a többi regionális nyilvántartó egyike. A DigitalOcean semmit nem mond a PA, PI vagy legacy címtérről; azt kéri, hogy be tudjon lépni a nyilvántartóhoz, és frissíteni tudja a prefix nyilvános bejegyzéseit.
• Ki az origin. A DigitalOcean, AS393406-ról.
• Hol. Bármely adatközpontban, de prefixenként egyben: a címek csak a választott adatközpont erőforrásaihoz rendelhetők.
• Mi használja. Dropletek, egyszerre egy BYOIP- vagy reserved IP-vel. Az External regional load balancerek és a public NAT gatewayek csak létrehozáskor kaphatnak BYOIP-címet, és az később nem módosítható.
• Ár. „Provisioning BYOIP address blocks and using BYOIP addresses is free.” (fordítás: „A BYOIP-címblokkok provisioningja és a BYOIP-címek használata ingyenes.”) Az adatforgalmat Droplet-sávszélességként számlázzák.
• Időtartam. „Expect a response within seven business days.” (fordítás: „Hét munkanapon belül válaszra számíthat.”)

Mielőtt elkezdi

ROA az AS393406-ra. Lehetővé kell tennie, hogy a prefix a DigitalOcean AS393406-jából induljon, és a nyilvántartója üzemeltetheti (RPKI és ROA-k). A DigitalOcean nem ad meg maximális hosszt. Minden olyan hálózat ROA-ját, amely ma bejelenti a blokkot, tartsa meg a váltásig.

Kulcspár és tanúsítvány, OpenSSL-lel készítve. A DigitalOcean példája ECC P-384 kulcsot használ, és RSA-t is elfogad:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

A tanúsítvány a registry-bejegyzésben, egy sorban. A DigitalOcean RDAP-on olvassa, ahol az IP Network, Remarks, Description alatt kell megjelennie. Hogy melyik mezőt szerkeszti, az a nyilvántartótól függ:

A többi nyilvántartónál azt a mezőt használja, amelyet az RDAP a Remarks, Description alatt mutat. Az rdap 203.0.113.0/24 megmutatja, ott van-e a tanúsítvány. A DigitalOcean oldala nem kér meghatalmazó levelet (Letter of Authorization) és route objektumot.

Eszközök. doctl, openssl és rdap egy Unix parancssorban.

Lépésről lépésre

01Kérjen hozzáférést a Reserved IPs oldalról, minden más előtt.

02Írja alá a provisioning-üzenetet. Megnevezi a csapata UUID-ját, amelyet a doctl account get -o json a team alatt mutat, és a prefixet:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Küldje be a kérést egy adatközponti régióra:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

A Control Panelben ugyanez a kérés a Networking, Reserved IPs, Add your own IP prefix útvonalon érhető el, amely egy projektet is kér.

04Várja meg az elbírálást. A prefix először Provisioning, majd Active állapotú. A doctl network byoip-prefix get <prefix-id> in_progress állapotot jelez, amíg el nem készül.

05Hirdesse meg. Egy új prefixet nem jelentenek be, amíg be nem kapcsolja:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Rendeljen hozzá címeket. Dropletekhez úgy, ahogy a reserved IP-ket. Load balancerhez vagy NAT gatewayhez a címet létrehozáskor adja meg a --ip kapcsolóval (doctl 1.165.0 vagy újabb); a prefixnek Active állapotúnak és ugyanabban a régióban meghirdetettnek kell lennie.

Hibák, amelyek egy napba kerülnek

• ROA a DigitalOcean rossz ASN-jére. Az ARIN registryje több AS-számot is a DigitalOceanhez sorol, köztük az AS14061-et. A BYOIP-oldal csak az AS393406-ot nevezi meg.
• Egy Active prefix, amelyet senki nem ér el. A provisioning nem jelenti be a prefixet. Amíg az advertise értékét nem állítja true-ra, nem érkezik forgalom.
• Holnapra hagyott bejelentési probléma. A DigitalOcean felveszi Önnel a kapcsolatot, ha rendellenességet lát a prefixe bejelentésében. Ha a problémát a kezdetétől számított egy munkanapon belül nem hárítják el, „irrespective of your responsiveness” (fordítás: „függetlenül attól, mennyire reagál”), a DigitalOcean megszünteti a BYOIP-t az adott prefixre, és visszavonja.
• A load balancer- és NAT-címek rögzítettek. Létrehozáskor állítják be őket, a globális és belső load balancerek pedig egyáltalán nem használhatnak BYOIP-t.
• Lemaradó oldalak. A korlátokról szóló oldal, utoljára 2026. július 13-án frissítve, még mindig azt írja, hogy a BYOIP-címek csak Dropletekhez rendelhetők. A 2026. szeptember 3-i útmutatók a load balancereket és a NAT gatewayeket is hozzáadják.
• Levelezés és reverse DNS. A korlátokról szóló oldal szerint a 25-ös, 465-ös és 587-es SMTP-port blokkolt, és a PTR-rekordok nem támogatottak a reserved IP-ken, és nem mondja meg, vonatkozik-e bármelyik a BYOIP-címekre. Kérdezzen, mielőtt levelezőszervert költöztet.

Ha bérli a blokkot

A DigitalOcean előfeltételei a regisztráltnak szólnak: „direct control and update authority” (fordítás: „közvetlen rendelkezési és módosítási jogkör”) a blokk felett, és belépés a nyilvántartóhoz. Bérelt címtérnél a registry-módosításokat a jogosult végzi: a tanúsítványt a bejegyzésben, amelyet csak a jogosult maintainere szerkeszthet, és a ROA-t az AS393406-ra. Ön készíti a kulcsot és a tanúsítványt, elküldi a tanúsítványt a jogosultnak, és megtartja a privát kulcsot, hogy a saját fiókjából írja alá a kérést. A DigitalOcean oldalai nem mondják meg, elfogadja-e azokat a bejegyzéseket, amelyeket a jogosult szerkeszt Ön helyett, ezért a hozzáférés kérésekor említse meg a bérletet.

Hol segít az RTM Networks

/24-eket és nagyobbakat bérbe adunk saját RIPE NCC-címterünkből, és blokkokat értékesítünk a RIPE NCC, az ARIN és az APNIC régiójában. A tőlünk bérelt címtérnél hozzáadjuk a DigitalOcean-tanúsítványát a registry-bejegyzéshez, és létrehozzuk a ROA-t az AS393406-ra, így a fiókjában csak maga a kérés marad (IPv4 bérlése). Ha 256-nál kevesebb címre van szüksége egy Dropleten, bejelentünk egy blokkot, és GRE-n vagy WireGuardon át juttatjuk el a címeket, egyetlenig (GRE- és WireGuard-alagutak). Más szolgáltatók: BYOIP-útmutatók.