Cloudflare BYOIP: savi IP prefiksai Cloudflare tinkle

Aprašytas API procesas patikrina prefiksą pagal IRR, RPKI ir nuosavybės žetoną, o tada jį susiejate su paslaugomis, kurios naudos jo adresus.

Ką priima Cloudflare

Pagal Cloudflare dokumentaciją tą dieną, kai tikrinome:

• Kas. Enterprise paskyros, kurių sutartis apima BYOIP. Tai, ir paskyros paslaugų konfigūraciją, prieš prijungimą patvirtina paskyros komanda.
• Dydis. IPv4 atveju /24 ar didesnis; IPv6 atveju nuo /48 iki /32.
• Registras. ARIN, RIPE NCC, APNIC arba vienas iš kitų regioninių registrų. Nieko apie PA, PI ar legacy erdvę.
• Kas skelbia. Aprašytame procese AS13335; dėl savo ASN klauskite paskyros komandos. Klientai, jau naudojantys Cloudflare AS209242, gali jį išlaikyti, bet nauji prijungimai naudoja AS13335.
• Kur. Visos Cloudflare vietos.
• Paslaugos. Magic Transit, Spectrum, CDN ir Gateway DNS vietos bei dedikuoti išeinančio srauto (egress) IP. Magic Transit turi savo prijungimo procesą, yra „not a self-serve product“ (vertimas: „ne savitarnos produktas“) ir gali būti tik viso prefikso numatytasis susiejimas. Prefiksas aptarnauja arba CDN įeinantį, arba CDN išeinantį srautą, ne abu.
• Kaina. Neskelbiama. Sąlygos sako, kad adresai turi būti naudojami „solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services“ (vertimas: „tik su Kliento domenais, kurie gauna Cloudflare Enterprise paslaugas“).
• Trukmė. Bent penkios valandos BGP paruošimo prieš skelbimą ir nuo keturių iki šešių valandų kiekvienam paslaugos susiejimui išplisti. Magic Transit konfigūracija „takes around one day to roll out“ (vertimas: „įdiegiama maždaug per vieną dieną“).

Prieš pradedant

Cloudflare negali prijungti prefikso, jei nepavyksta kuri nors registracijos, IRR, RPKI ar nuosavybės patikra. Paruoškite:

Tiksliai atitinkantį route objektą. Po vieną route objektą kiekvienam prijungiamam prefiksui, būtent tam prefiksui, su origin, kurį naudos Cloudflare: standartiniame procese AS13335. Patikrinti Cloudflare siūlo IRR Explorer arba whois -h rr.ntt.net 203.0.113.0/24.

Teisingą ROA tam pačiam origin. Cloudflare prašo jį patikrinti savo RPKI Portal ir antrame šaltinyje, pavyzdžiui, Routinator (RPKI ir ROA).

Įgaliojimo raštą (letter of agency, LOA), kaip Cloudflare vadina Letter of Authorization, kurio reikalauja jos tranzito teikėjai. Cloudflare jį sugeneruoja už Jus, kai delegate_loa_creation nustatote į true; tai remiasi ROA ir nuosavybės patikra. Rankinis LOA turi būti PDF, pageidautina ant įmonės blanko su ranka atliktu parašu, nors Cloudflare priima ir skaitmeninį parašą, jei aišku, kas pasirašė. Tranzito teikėjai gali atmesti JPG ar PNG, o rankinis apdorojimas gali sulėtinti prijungimą.

Vietą patvirtinimo žetonui: atitinkamo route objekto aprašymą (descr) arba remarks, arba cf-validation TXT įrašą kiekvienoje prefikso atvirkštinio DNS zonoje.

Paskyros ID ir API žetoną su IP Prefixes teisėmis.

Žingsnis po žingsnio

Tai Cloudflare aprašytas procesas prefiksams, nenaudojamiems su Magic Transit, kuris turi savo prijungimą per paskyros komandą.

01Pridėkite prefiksą paskyrai, kuriai jis priklausys:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Išsaugokite atsakymo id ir ownership_validation_token.

02Paskelbkite žetoną. Pridėkite cf-validation: <token> į route objektą arba TXT įrašą į atvirkštines zonas.

03Patvirtinkite. Išsiųskite POST į .../prefixes/$PREFIX_ID/validate. Kai IRR, RPKI ir nuosavybės patikros praeina, prefikso laukas approved rodo "V", ir žetoną galite pašalinti. Jei patikra nepavyksta, prefikso duomenys rodo tokias būsenas kaip missing, invalid ar mismatch_asn.

04Susiekite prefiksą su paslauga. Kiekvienam prefiksui reikia numatytojo paslaugos susiejimo visam prefiksui; konkretesni susiejimai gali jo dalis nukreipti į CDN ar Spectrum. Cloudflare sukuria BGP prefiksą atšauktos būsenos. Skirkite bent penkias valandas ir palaukite, kol visi susiejimai taps aktyvūs.

05Skelbkite:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare teigia, kad skelbimas paprastai trunka nuo dviejų iki septynių minučių, o atšaukimas apie 15.

06CDN atveju, kai prefiksas paskelbtas, sukurkite adresų žemėlapį (address map), kad tarpininkaujami (proxied) DNS įrašai atsakytų Jūsų adresais.

Spąstai

• Apimančio route objekto nepakanka. Cloudflare nori route objekto, kuris tiksliai atitinka kiekvieną prijungiamą prefiksą, su teisingu origin.
• Susiejimai trunka valandas, ir tuo metu nukenčia srautas. Cloudflare teigia, kad kol susiejimas plinta, atitinkamų adresų paslaugos tikėtinai sutrinka. Susiejimus nustatykite prieš skelbdami ir keiskite ne piko valandomis.
• Du tinklai skelbia. Perkeldami veikiantį prefiksą, leiskite Cloudflare skelbti pirmai, patikrinkite jį looking glass su AS13335, tada atšaukite savo skelbimą. Palikus savąjį, dalis srauto gali aplenkti Cloudflare.
• 15 minučių taisyklė. Pakeitę prefikso skelbimą, palaukite bent 15 minučių prieš keisdami vėl; ankstesnius kvietimus API atmeta su klaida 1004 (HTTP 429, rate_limit_exceeded).

Jei bloką nuomojatės

Cloudflare paslaugoms specifinės sąlygos, paskutinį kartą atnaujintos 2026 m. rugsėjo 28 d., tai aptaria tiesiogiai. Jei nesate teisėtas adresų savininkas, Jūs „must obtain written authorization from the legal owner“ (vertimas: „turite gauti rašytinį teisėto savininko leidimą“), kad Cloudflare juos skelbtų, o jei savininkas jį atšaukia, Cloudflare gali nustoti juos skelbti. Turėtojas taip pat atlieka registro pusę: ROA AS13335, route objektą su AS13335 kaip origin ir patvirtinimo žetoną tame objekte, kurį gali redaguoti tik turėtojo maintainer. Sąlygos reikalauja visada tikslių WHOIS duomenų ir galiojančių IRR bei RPKI įrašų, todėl pasibaigusi nuoma ar pasikeitęs ROA gali prefiksą pašalinti iš Cloudflare.

Kur čia RTM Networks

Nuomojame /24 ir didesnius blokus iš savo RIPE NCC adresų erdvės ir parduodame blokus RIPE NCC, ARIN ir APNIC regionuose. Iš mūsų išnuomotai erdvei sukuriame ROA ir tikslų route objektą AS13335, pridedame į jį Cloudflare patvirtinimo žetoną ir pasirašome įgaliojimo raštą, todėl Jums lieka API žingsniai (IPv4 nuoma). Jei BYOIP nėra Jūsų Cloudflare sutartyje arba Jums reikia mažiau nei 256 adresų, bloką skelbiame ir pristatome į Jūsų serverį per GRE arba WireGuard, iki vieno adreso (GRE ir WireGuard tuneliai). Kiti teikėjai: BYOIP vadovai.