BYOIP su DigitalOcean: porta i tuoi indirizzi IPv4 sui Droplet

Dimostri il controllo del prefisso con un certificato nel suo record del registro e un messaggio firmato con la stessa chiave. Dopo la revisione di DigitalOcean, gli indirizzi funzionano come reserved IP.

Cosa accetta DigitalOcean

Dalla documentazione di DigitalOcean, il giorno in cui l’abbiamo verificata:

• Accesso. Il BYOIP si trova dietro un link Request access in fondo alla pagina Reserved IPs del Control Panel.
• Dimensione. Da un /24 a un /18, solo IPv4 (i limiti di DigitalOcean). Il primo e il secondo indirizzo del prefisso sono riservati, quindi un /24 te ne dà 254.
• Registro. ARIN, il RIPE NCC, APNIC o uno degli altri registri regionali. DigitalOcean non dice nulla sullo spazio PA, PI o legacy; chiede che tu possa accedere al registro e aggiornare i record pubblici del prefisso.
• Chi lo origina. DigitalOcean, da AS393406.
• Dove. Qualsiasi data center, ma uno per prefisso: gli indirizzi possono essere assegnati solo a risorse nel data center che scegli.
• Cosa lo usa. I Droplet, un BYOIP o reserved IP ciascuno alla volta. I load balancer regionali esterni e i NAT gateway pubblici accettano un indirizzo BYOIP solo quando li crei, e non si può cambiare in seguito.
• Prezzo. “Provisioning BYOIP address blocks and using BYOIP addresses is free.” (traduzione: “Il provisioning di blocchi di indirizzi BYOIP e l’uso di indirizzi BYOIP sono gratuiti.”) Il trasferimento dati è fatturato come banda dei Droplet.
• Tempi. “Expect a response within seven business days.” (traduzione: “Prevedi una risposta entro sette giorni lavorativi.”)

Prima di iniziare

Una ROA per AS393406. Deve permettere al prefisso di essere originato da AS393406 di DigitalOcean, e il tuo registro può ospitarla (RPKI e ROA). DigitalOcean non specifica una lunghezza massima. Mantieni la ROA di qualsiasi rete che oggi annuncia il blocco finché non fai il passaggio.

Una coppia di chiavi e un certificato, creati con OpenSSL. L’esempio di DigitalOcean usa una chiave ECC P-384 e accetta anche RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Il certificato nel record del registro, su una sola riga. DigitalOcean lo legge via RDAP, dove deve comparire sotto IP Network, Remarks, Description. Il campo che modifichi dipende dal registro:

Presso gli altri registri, usa il campo che RDAP mostra sotto Remarks, Description. rdap 203.0.113.0/24 mostra se il certificato c’è. La pagina di DigitalOcean non chiede una Letter of Authorization né un route object.

Strumenti. doctl, openssl e rdap su una riga di comando Unix.

Passo per passo

01Richiedi l’accesso dalla pagina Reserved IPs, prima di qualsiasi altra cosa.

02Firma il messaggio di provisioning. Indica l’UUID del tuo team, che doctl account get -o json mostra sotto team, e il prefisso:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Invia la richiesta per una regione di data center:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

Nel Control Panel, la stessa richiesta è Networking, Reserved IPs, Add your own IP prefix, che chiede anche un progetto.

04Attendi la revisione. Il prefisso mostra Provisioning, poi Active. doctl network byoip-prefix get <prefix-id> riporta in_progress finché non è terminato.

05Annuncia. Un nuovo prefisso non viene annunciato finché non lo attivi:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Assegna gli indirizzi. Ai Droplet come faresti con i reserved IP. Per un load balancer o un NAT gateway, passa l’indirizzo con --ip quando lo crei (doctl 1.165.0 o successivo); il prefisso deve essere Active e annunciato nella stessa regione.

Errori che costano una giornata

• Una ROA per l’ASN sbagliato di DigitalOcean. Il registro dell’ARIN elenca diversi numeri AS per DigitalOcean, tra cui AS14061. La pagina BYOIP indica solo AS393406.
• Un prefisso Active che nessuno raggiunge. Il provisioning non annuncia il prefisso. Finché non imposti advertise su true, non arriva traffico.
• Un problema di annuncio rimandato a domani. DigitalOcean ti contatta se vede un’anomalia nell’annuncio del tuo prefisso. Se il problema non viene risolto entro un giorno lavorativo dal suo inizio, “irrespective of your responsiveness” (traduzione: “indipendentemente dalla tua reattività”), DigitalOcean termina il BYOIP per quel prefisso e lo ritira.
• Gli indirizzi di load balancer e NAT sono fissi. Sono impostati alla creazione, e i load balancer globali e interni non possono usare affatto il BYOIP.
• Pagine non aggiornate. La pagina dei limiti, aggiornata l’ultima volta il 13 luglio 2026, dice ancora che gli indirizzi BYOIP possono essere assegnati solo ai Droplet. Le pagine how-to del 3 settembre 2026 aggiungono load balancer e NAT gateway.
• Posta e DNS inverso. La pagina dei limiti dice che le porte SMTP 25, 465 e 587 sono bloccate e i record PTR non supportati sui reserved IP, e non dice se l’una o l’altra cosa vale per gli indirizzi BYOIP. Chiedi prima di spostare un mail server.

Se il blocco è in affitto

I prerequisiti di DigitalOcean sono scritti per l’intestatario: “direct control and update authority” (traduzione: “controllo diretto e autorità di aggiornamento”) sul blocco, e un accesso al registro. Con spazio in affitto, le modifiche al registro le fa il titolare: il certificato nel record, che solo il maintainer del titolare può modificare, e la ROA per AS393406. Tu crei la chiave e il certificato, invii il certificato al titolare e tieni la chiave privata per firmare la richiesta dal tuo account. Le pagine di DigitalOcean non dicono se accetta record che un titolare modifica per te, quindi menziona l’affitto quando richiedi l’accesso.

Dove entra RTM Networks

Affittiamo /24 e blocchi più grandi dal nostro spazio di indirizzi RIPE NCC, e vendiamo blocchi nelle regioni del RIPE NCC, dell’ARIN e dell’APNIC. Per lo spazio affittato da noi, aggiungiamo il tuo certificato DigitalOcean al record del registro e creiamo la ROA per AS393406, così nel tuo account resta solo la richiesta (affitto di indirizzi IPv4). Se ti servono meno di 256 indirizzi su un Droplet, annunciamo un blocco e consegniamo gli indirizzi via GRE o WireGuard, fino a uno solo (tunnel GRE e WireGuard). Altri provider: guide BYOIP.