DigitalOcean BYOIP: savi IPv4 adresai Droplet serveriams

Prefikso kontrolę įrodote sertifikatu jo registro įraše ir pranešimu, pasirašytu tuo pačiu raktu. Po DigitalOcean peržiūros adresai veikia kaip reserved IPs.

Ką priima DigitalOcean

Pagal DigitalOcean dokumentaciją tą dieną, kai tikrinome:

• Prieiga. BYOIP pasiekiamas per nuorodą Request access Control Panel Reserved IPs puslapio apačioje.
• Dydis. Nuo /24 iki /18, tik IPv4 (DigitalOcean apribojimai). Pirmas ir antras prefikso adresai rezervuoti, todėl /24 duoda 254.
• Registras. ARIN, RIPE NCC, APNIC arba vienas iš kitų regioninių registrų. DigitalOcean nieko nesako apie PA, PI ar legacy erdvę; ji prašo, kad galėtumėte prisijungti prie registro ir atnaujinti viešus prefikso įrašus.
• Kas skelbia. DigitalOcean, iš AS393406.
• Kur. Bet kuris duomenų centras, bet vienas prefiksui: adresus galima priskirti tik pasirinkto duomenų centro ištekliams.
• Kas juos naudoja. Droplets, kiekvienas po vieną BYOIP ar reserved IP vienu metu. Išoriniai regioniniai apkrovos balansavimo įrenginiai ir viešieji NAT šliuzai BYOIP adresą priima tik juos kuriant, ir vėliau jo pakeisti negalima.
• Kaina. „Provisioning BYOIP address blocks and using BYOIP addresses is free.“ (vertimas: „BYOIP adresų blokų paruošimas ir BYOIP adresų naudojimas nemokami.“) Duomenų perdavimas apmokestinamas kaip Droplet pralaidumas.
• Trukmė. „Expect a response within seven business days.“ (vertimas: „Atsakymo tikėkitės per septynias darbo dienas.“)

Prieš pradedant

ROA AS393406. Jis turi leisti prefiksui kilti iš DigitalOcean AS393406, o jį gali talpinti Jūsų registras (RPKI ir ROA). DigitalOcean nenurodo didžiausio ilgio. Bet kurio tinklo, kuris bloką skelbia šiandien, ROA palikite, kol perjungsite.

Raktų pora ir sertifikatas, sukurti su OpenSSL. DigitalOcean pavyzdyje naudojamas ECC P-384 raktas, taip pat priimamas RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Sertifikatas registro įraše, vienoje eilutėje. DigitalOcean jį skaito per RDAP, kur jis turi būti matomas skiltyje IP Network, Remarks, Description. Kurį lauką redaguojate, priklauso nuo registro:

Kituose registruose naudokite tą lauką, kurį RDAP rodo skiltyje Remarks, Description. rdap 203.0.113.0/24 parodo, ar sertifikatas yra. DigitalOcean puslapis neprašo nei įgaliojimo rašto (Letter of Authorization), nei route objekto.

Įrankiai. doctl, openssl ir rdap Unix komandinėje eilutėje.

Žingsnis po žingsnio

01Paprašykite prieigos Reserved IPs puslapyje, prieš viską.

02Pasirašykite paruošimo pranešimą. Jame nurodomas Jūsų komandos UUID, kurį doctl account get -o json rodo po team, ir prefiksas:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Pateikite užklausą vienam duomenų centro regionui:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

Control Panel ta pati užklausa yra Networking, Reserved IPs, Add your own IP prefix, kur dar prašoma projekto.

04Palaukite peržiūros. Prefiksas rodo Provisioning, tada Active. doctl network byoip-prefix get <prefix-id> rodo in_progress, kol baigta.

05Skelbkite. Naujas prefiksas neskelbiamas, kol jo neįjungiate:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Priskirkite adresus. Droplets, kaip ir reserved IPs. Apkrovos balansavimo įrenginiui ar NAT šliuzui adresą perduokite su --ip jį kurdami (doctl 1.165.0 ar naujesnė); prefiksas turi būti Active ir skelbiamas tame pačiame regione.

Klaidos, kainuojančios dieną

• ROA ne tam DigitalOcean ASN. ARIN registras DigitalOcean nurodo kelis AS numerius, tarp jų AS14061. BYOIP puslapis nurodo tik AS393406.
• Active prefiksas, kurio niekas nepasiekia. Paruošimas prefikso neskelbia. Kol advertise nenustatote į true, srautas neatkeliauja.
• Skelbimo problema, atidėta rytdienai. DigitalOcean su Jumis susisiekia, jei pastebi anomaliją Jūsų prefikso skelbime. Jei problema neištaisoma per vieną darbo dieną nuo jos pradžios, „irrespective of your responsiveness“ (vertimas: „nepriklausomai nuo Jūsų reagavimo“), DigitalOcean nutraukia BYOIP tam prefiksui ir jį atšaukia.
• Apkrovos balansavimo ir NAT adresai fiksuoti. Jie nustatomi kuriant, o globalūs ir vidiniai apkrovos balansavimo įrenginiai BYOIP visai negali naudoti.
• Atsiliekantys puslapiai. Apribojimų puslapis, paskutinį kartą atnaujintas 2026 m. liepos 13 d., vis dar sako, kad BYOIP adresus galima priskirti tik Droplets. 2026 m. rugsėjo 3 d. instrukcijų puslapiai prideda apkrovos balansavimo įrenginius ir NAT šliuzus.
• Paštas ir atvirkštinis DNS. Apribojimų puslapis sako, kad SMTP prievadai 25, 465 ir 587 blokuojami, o PTR įrašai reserved IPs nepalaikomi, ir nesako, ar kuris nors iš šių dalykų taikomas BYOIP adresams. Paklauskite prieš perkeldami pašto serverį.

Jei bloką nuomojatės

DigitalOcean išankstinės sąlygos parašytos registrantui: „direct control and update authority“ (vertimas: „tiesioginė kontrolė ir teisė atnaujinti“) blokui ir prisijungimas prie registro. Su išnuomota erdve registro pakeitimus atlieka turėtojas: sertifikatą įraše, kurį gali redaguoti tik turėtojo maintainer, ir ROA AS393406. Jūs sukuriate raktą ir sertifikatą, sertifikatą nusiunčiate turėtojui, o privatų raktą pasiliekate užklausai pasirašyti iš savo paskyros. DigitalOcean puslapiai nesako, ar ji priima įrašus, kuriuos turėtojas redaguoja už Jus, todėl prašydami prieigos paminėkite nuomą.

Kur čia RTM Networks

Nuomojame /24 ir didesnius blokus iš savo RIPE NCC adresų erdvės ir parduodame blokus RIPE NCC, ARIN ir APNIC regionuose. Iš mūsų išnuomotai erdvei pridedame Jūsų DigitalOcean sertifikatą į registro įrašą ir sukuriame ROA AS393406, todėl Jūsų paskyroje lieka tik pati užklausa (IPv4 nuoma). Jei Droplet reikia mažiau nei 256 adresų, bloką skelbiame ir adresus pristatome per GRE arba WireGuard, iki vieno (GRE ir WireGuard tuneliai). Kiti teikėjai: BYOIP vadovai.