Cloudflare BYOIP: savi IP prefiksi Cloudflare tīklā

Dokumentēts API process pārbauda prefiksu pret IRR, RPKI un īpašumtiesību tokenu, un tad Jūs to piesaistāt pakalpojumiem, kas izmantos tā adreses.

Ko pieņem Cloudflare

Saskaņā ar Cloudflare dokumentāciju dienā, kad pārbaudījām:

• Kas. Enterprise konti, kuru līgumā iekļauts BYOIP. Konta komanda to un konta pakalpojumu konfigurāciju apstiprina, pirms Jūs sākat ienešanu.
• Izmērs. /24 vai lielāks IPv4; IPv6 – no /48 līdz /32.
• Reģistrs. ARIN, RIPE NCC, APNIC vai kāds no pārējiem reģionālajiem reģistriem. Nekā par PA, PI vai legacy telpu.
• Kas paziņo. Dokumentētajā procesā AS13335; par savu ASN jautājiet konta komandai. Klienti, kas jau atrodas Cloudflare AS209242, var to paturēt, bet jaunām ienešanām izmanto AS13335.
• Kur. Visās Cloudflare vietās.
• Pakalpojumi. Magic Transit, Spectrum, CDN un Gateway DNS vietas un dedicated egress IPs. Magic Transit ir savs ienešanas process, tas ir „not a self-serve product” (tulkojums: „nav pašapkalpošanās produkts”) un var būt tikai visa prefiksa noklusējuma piesaiste. Prefikss apkalpo vai nu CDN ienākošo, vai CDN izejošo trafiku, ne abus.
• Cena. Nav publicēta. Noteikumi saka, ka adreses jāizmanto „solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services” (tulkojums: „tikai saistībā ar Klienta domēniem, kas saņem Cloudflare Enterprise pakalpojumus”).
• Laiks. Vismaz piecas stundas BGP nodrošināšanas pirms paziņošanas un četras līdz sešas stundas katras pakalpojuma piesaistes izplatībai. Magic Transit konfigurācija „takes around one day to roll out” (tulkojums: „tiek ieviesta apmēram vienas dienas laikā”).

Pirms sākat

Cloudflare nevar ienest prefiksu, ja neizdodas kāda reģistrācijas, IRR, RPKI vai īpašumtiesību pārbaude. Sagatavojiet šo:

Route objekts, kas precīzi atbilst. Viens route objekts katram ienestajam prefiksam, tieši šim prefiksam, ar izcelsmi, ko izmantos Cloudflare: standarta procesā AS13335. Pārbaudei Cloudflare iesaka IRR Explorer vai whois -h rr.ntt.net 203.0.113.0/24.

Pareizs ROA tai pašai izcelsmei. Cloudflare lūdz to pārbaudīt savā RPKI Portal un otrā avotā, piemēram, Routinator (RPKI un ROA).

Letter of agency (LOA), Cloudflare nosaukums Letter of Authorization, ko prasa tās tranzīta pakalpojumu sniedzēji. Cloudflare to izveido Jūsu vietā, ja iestatāt delegate_loa_creation uz true, kas balstās uz ROA un īpašumtiesību pārbaudi. Manuālam LOA jābūt PDF, un tam vajadzētu būt uz uzņēmuma veidlapas ar rokas parakstu, lai gan Cloudflare pieņem digitālu parakstu, ja ir skaidrs, kas parakstīja. Tranzīta pakalpojumu sniedzēji var noraidīt JPG vai PNG, un manuāla apstrāde var palēnināt ienešanu.

Vieta validācijas tokenam: atbilstošā route objekta apraksts (descr) vai remarks, vai cf-validation TXT ieraksts katrā prefiksa reversā DNS zonā.

Konta ID un API tokens ar IP Prefixes atļaujām.

Soli pa solim

Šis ir Cloudflare dokumentētais process prefiksiem, ko neizmanto ar Magic Transit, kam ir savs ienešanas process caur konta komandu.

01Pievienojiet prefiksu kontam, kam tas piederēs:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Saglabājiet atbildē esošos id un ownership_validation_token.

02Publicējiet tokenu. Pievienojiet cf-validation: <token> route objektam vai TXT ierakstu reversajām zonām.

03Validējiet. Nosūtiet POST uz .../prefixes/$PREFIX_ID/validate. Kad IRR, RPKI un īpašumtiesību pārbaudes ir izturētas, prefiksa lauks approved rāda "V", un tokenu var noņemt. Ja pārbaude neizdodas, prefiksa informācijā redzami tādi stāvokļi kā missing, invalid vai mismatch_asn.

04Piesaistiet prefiksu pakalpojumam. Katram prefiksam vajag noklusējuma pakalpojuma piesaisti visam prefiksam; specifiskākas piesaistes var sūtīt tā daļas uz CDN vai Spectrum. Cloudflare izveido BGP prefiksu atsauktā (withdrawn) stāvoklī. Rēķinieties ar vismaz piecām stundām un gaidiet, līdz katra piesaiste ir aktīva.

05Paziņojiet:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare saka, ka paziņošana parasti aizņem divas līdz septiņas minūtes, un atsaukšana ap 15.

06CDN gadījumā izveidojiet adrešu karti (address map), tiklīdz prefikss ir paziņots, lai starpniekoti (proxied) DNS ieraksti atbildētu ar Jūsu adresēm.

Slazdi

• Aptverošs route objekts nav pietiekams. Cloudflare vēlas route objektu, kas precīzi atbilst katram ienestajam prefiksam, ar pareizo izcelsmi.
• Piesaistes aizņem stundas, un trafiks tikmēr cieš. Cloudflare saka, ka attiecīgo adrešu pakalpojumi, visticamāk, ir traucēti, kamēr piesaiste izplatās. Iestatiet piesaistes pirms paziņošanas un mainiet tās ārpus noslogotajām stundām.
• Divi tīkli paziņo. Kad pārceļat darbojošos prefiksu, ļaujiet Cloudflare paziņot pirmajai, pārbaudiet to looking glass ar AS13335, tad atsauciet savu paziņojumu. Ja atstājat savējo, daļa trafika var apiet Cloudflare.
• 15 minūšu noteikums. Pēc prefiksa paziņošanas maiņas gaidiet vismaz 15 minūtes, pirms maināt to vēlreiz; API noraida agrākus izsaukumus ar kļūdu 1004 (HTTP 429, rate_limit_exceeded).

Ja bloku nomājat

Cloudflare pakalpojumu noteikumi, pēdējo reizi atjaunināti 2026. gada 28. septembrī, to aptver tieši. Ja neesat adrešu likumīgais īpašnieks, Jums „must obtain written authorization from the legal owner” (tulkojums: „jāsaņem rakstisks pilnvarojums no likumīgā īpašnieka”), lai Cloudflare tās paziņotu, un, ja īpašnieks to atsauc, Cloudflare var pārtraukt tās paziņot. Turētājs arī veic reģistra pusi: ROA AS13335, route objektu ar AS13335 kā origin un validācijas tokenu šajā objektā, ko var rediģēt tikai turētāja maintainer. Noteikumi prasa precīzus WHOIS datus un derīgus IRR un RPKI ierakstus visu laiku, tāpēc noma, kas beidzas, vai ROA, kas mainās, var izņemt prefiksu no Cloudflare.

Kur iederas RTM Networks

Mēs iznomājam /24 un lielākus blokus no savas RIPE NCC adrešu telpas un pārdodam blokus RIPE NCC, ARIN un APNIC reģionos. Telpai, kas nomāta no mums, mēs izveidojam ROA un precīzu route objektu AS13335, pievienojam tam Cloudflare validācijas tokenu un parakstām Letter of Authorization, tāpēc Jums atliek API soļi (IPv4 noma). Ja BYOIP nav Jūsu Cloudflare līgumā vai Jums vajag mazāk par 256 adresēm, mēs paziņojam bloku un piegādājam to Jūsu serverim pa GRE vai WireGuard, līdz pat vienai adresei (GRE un WireGuard tuneļi). Citi pakalpojumu sniedzēji: BYOIP ceļveži.