BYOIP hjá Cloudflare: eigin IP-forskeyti á neti Cloudflare

Skjalfest API-ferli ber forskeytið saman við IRR, RPKI og eignartóka, og þú tengir það svo við þjónusturnar sem munu nota tölur þess.

Hvað Cloudflare samþykkir

Samkvæmt skjölun Cloudflare, daginn sem við athuguðum:

• Hver. Enterprise-reikningar þar sem samningurinn nær yfir BYOIP. Tengiliðateymið staðfestir þetta, og þjónustuuppsetningu reikningsins, áður en þú setur upp.
• Stærð. /24 eða stærra fyrir IPv4; fyrir IPv6 frá /48 upp í /32.
• Skráning. ARIN, RIPE NCC, APNIC eða einhver hinna svæðisbundnu skráningaraðilanna. Ekkert um PA-, PI- eða legacy-rými.
• Hver tilkynnir. AS13335 í skjalfesta ferlinu; fyrir eigið ASN, spurðu tengiliðateymið. Viðskiptavinir sem eru þegar á AS209242 hjá Cloudflare mega halda því, en nýjar uppsetningar nota AS13335.
• Hvar. Allir staðir Cloudflare.
• Þjónustur. Magic Transit, Spectrum, CDN, og Gateway DNS-staðir og sérstakar egress-tölur. Magic Transit hefur eigið uppsetningarferli, er „not a self-serve product“ (þýðing: „ekki sjálfsafgreiðsluvara“), og getur aðeins verið sjálfgefin tenging heils forskeytis. Forskeyti þjónar CDN-ingress eða CDN-egress, ekki hvoru tveggja.
• Verð. Ekki birt. Skilmálarnir segja að tölurnar megi nota „solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services“ (þýðing: „eingöngu í tengslum við lén viðskiptavinarins sem fá Enterprise-þjónustu Cloudflare“).
• Tími. Að minnsta kosti fimm klukkustundir af BGP-uppsetningu áður en þú tilkynnir, og fjórar til sex klukkustundir fyrir hverja þjónustutengingu að dreifast. Uppsetning Magic Transit „takes around one day to roll out“ (þýðing: „tekur um einn dag að innleiða“).

Áður en þú byrjar

Cloudflare getur ekki sett upp forskeyti ef einhver athugun á skráningu, IRR, RPKI eða eignarhaldi mistekst. Undirbúðu þetta:

Route-hlutur sem passar nákvæmlega. Einn route-hlutur fyrir hvert forskeyti sem þú setur upp, fyrir nákvæmlega það forskeyti, með uppruna sem Cloudflare mun nota: AS13335 í venjulega ferlinu. Til að athuga hann bendir Cloudflare á IRR Explorer eða whois -h rr.ntt.net 203.0.113.0/24.

Rétt ROA fyrir sama uppruna. Cloudflare biður þig að staðfesta hana í RPKI Portal sínu og í annarri heimild, eins og Routinator (RPKI og ROA).

Letter of agency (LOA), heiti Cloudflare á heimildarbréfinu (Letter of Authorization), sem flutningsaðilar þess krefjast. Cloudflare býr það til fyrir þig þegar þú stillir delegate_loa_creation á true, sem byggir á ROA og eignarathuguninni. Handgert LOA verður að vera PDF, og ætti að vera á bréfsefni fyrirtækisins með eiginhandarundirskrift, þótt Cloudflare samþykki rafræna undirskrift ef ljóst er hver skrifaði undir. Flutningsaðilar geta hafnað JPG eða PNG, og handvirk vinnsla getur hægt á uppsetningu.

Staður fyrir sannprófunartókann: lýsingin (descr) eða remarks í samsvarandi route-hlut, eða cf-validation TXT-færsla í hverju öfugu DNS-svæði forskeytisins.

Auðkenni reiknings og API-tóki með heimildum fyrir IP Prefixes.

Skref fyrir skref

Þetta er skjalfesta ferli Cloudflare fyrir forskeyti sem ekki eru notuð með Magic Transit, sem hefur eigið uppsetningarferli í gegnum tengiliðateymið.

01Bættu forskeytinu við reikninginn sem mun eiga það:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Vistaðu id og ownership_validation_token úr svarinu.

02Birtu tókann. Bættu cf-validation: <token> við route-hlutinn, eða bættu TXT-færslunni við öfugu svæðin.

03Sannprófaðu. Sendu POST á .../prefixes/$PREFIX_ID/validate. Þegar athuganir á IRR, RPKI og eignarhaldi standast stendur "V" í reitnum approved fyrir forskeytið, og þú getur fjarlægt tókann. Ef athugun mistekst sýna upplýsingar forskeytisins stöður eins og missing, invalid eða mismatch_asn.

04Tengdu forskeytið við þjónustu. Hvert forskeyti þarf sjálfgefna þjónustutengingu yfir allt forskeytið; nákvæmari tengingar geta sent hluta þess í CDN eða Spectrum. Cloudflare býr til BGP-forskeytið í afturkölluðu ástandi. Gerðu ráð fyrir að minnsta kosti fimm klukkustundum, og bíddu þar til allar tengingar eru virkar.

05Tilkynntu:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare segir að tilkynning taki yfirleitt tvær til sjö mínútur, og afturköllun um 15.

06Fyrir CDN skaltu búa til address map þegar forskeytið er tilkynnt, svo DNS-færslur sem fara um proxy svari með þínum tölum.

Gildrur

• Route-hlutur sem nær yfir dugar ekki. Cloudflare vill route-hlut sem passar nákvæmlega við hvert forskeyti sem þú setur upp, með réttum uppruna.
• Tengingar taka klukkustundir, og umferð líður fyrir það á meðan. Cloudflare segir að þjónustur fyrir viðkomandi tölur raskist líklega meðan tenging dreifist. Settu tengingar upp áður en þú tilkynnir, og breyttu þeim utan annatíma.
• Tvö net sem tilkynna. Þegar þú flytur forskeyti í notkun skaltu láta Cloudflare tilkynna fyrst, athuga það í looking glass undir AS13335, og draga svo þína eigin tilkynningu til baka. Ef þú lætur þína standa getur hluti umferðar farið fram hjá Cloudflare.
• 15 mínútna reglan. Eftir að þú breytir tilkynningu forskeytis skaltu bíða að minnsta kosti 15 mínútur áður en þú breytir henni aftur; API hafnar fyrri köllum með villu 1004 (HTTP 429, rate_limit_exceeded).

Ef þú leigir blokkina

Þjónustusértækir skilmálar Cloudflare, síðast uppfærðir 28. september 2026, ná beint yfir þetta. Ef þú ert ekki lögmætur eigandi talnanna „must obtain written authorization from the legal owner“ (þýðing: „verður þú að afla skriflegrar heimildar frá lögmætum eiganda“) til að Cloudflare tilkynni þær, og ef eigandinn afturkallar hana getur Cloudflare hætt að tilkynna þær. Rétthafinn sér líka um skráningarhliðina: ROA fyrir AS13335, route-hlutinn með AS13335 sem uppruna, og sannprófunartókann í þeim hlut, sem aðeins maintainer rétthafans getur breytt. Skilmálarnir krefjast réttra WHOIS-gagna og gildra IRR- og RPKI-færslna öllum stundum, svo leiga sem lýkur eða ROA sem breytist getur tekið forskeytið af Cloudflare.

Hvar RTM Networks kemur inn

Við leigjum /24 og stærra úr eigin vistfangarými okkar hjá RIPE NCC, og seljum blokkir á svæðum RIPE NCC, ARIN og APNIC. Fyrir rými sem þú leigir af okkur búum við til ROA og nákvæma route-hlutinn fyrir AS13335, bætum sannprófunartóka Cloudflare í hann og undirritum heimildarbréfið, svo API-skrefin eru það sem eftir er hjá þér (leigja IPv4). Ef BYOIP er ekki í Cloudflare-samningnum þínum, eða þú þarft færri en 256 tölur, tilkynnum við blokk og afhendum hana netþjóninum þínum um GRE eða WireGuard, niður í staka tölu (GRE- og WireGuard-göng). Aðrir þjónustuaðilar: BYOIP-leiðbeiningar.