BYOIP hos Cloudflare: egne IP-prefikser på Cloudflares nettverk

En dokumentert API-flyt sjekker prefikset mot IRR, RPKI og en eierskapstoken, og du binder det så til tjenestene som skal bruke adressene.

Hva Cloudflare tar imot

Fra Cloudflares dokumentasjon, den dagen vi sjekket:

• Hvem. Enterprise-kontoer der kontrakten inkluderer BYOIP. Kundeteamet bekrefter dette, og kontoens tjenestekonfigurasjon, før du tar inn prefikset.
• Størrelse. En /24 eller større for IPv4; for IPv6 en /48 opp til en /32.
• Register. ARIN, RIPE NCC, APNIC eller et av de andre regionale registrene. Ingenting om PA-, PI- eller legacy-adresserom.
• Hvem som er origin. AS13335 i den dokumenterte flyten; for ditt eget ASN, spør kundeteamet. Kunder som allerede er på Cloudflares AS209242, kan beholde det, men nye innføringer bruker AS13335.
• Hvor. Alle Cloudflares lokasjoner.
• Tjenester. Magic Transit, Spectrum, CDN-et, og Gateway DNS locations og dedikerte egress-IP-er. Magic Transit har sin egen innføring, er «not a self-serve product» (oversettelse: «ikke et selvbetjeningsprodukt»), og kan bare være standardbindingen for et helt prefiks. Et prefiks betjener CDN-ingress eller CDN-egress, ikke begge.
• Pris. Ikke publisert. Vilkårene sier at adressene skal brukes «solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services» (oversettelse: «utelukkende i forbindelse med kundens domener som mottar Cloudflares Enterprise-tjenester»).
• Tid. Minst fem timer med BGP-klargjøring før du kunngjør, og fire til seks timer for at hver service binding skal spre seg. Konfigurasjonen for Magic Transit «takes around one day to roll out» (oversettelse: «tar rundt én dag å rulle ut»).

Før du begynner

Cloudflare kan ikke ta inn et prefiks hvis noen av sjekkene for registrering, IRR, RPKI eller eierskap feiler. Forbered dette:

Et route-objekt som stemmer nøyaktig. Ett route-objekt per prefiks du tar inn, for nøyaktig det prefikset, med origin som Cloudflare vil bruke: AS13335 i standardflyten. For å sjekke det foreslår Cloudflare IRR Explorer eller whois -h rr.ntt.net 203.0.113.0/24.

En riktig ROA for samme origin. Cloudflare ber deg verifisere den i sin RPKI Portal og i en kilde til, som Routinator (RPKI og ROA-er).

Et letter of agency (LOA), Cloudflares navn på Letter of Authorization, som transittleverandørene deres krever. Cloudflare genererer det for deg når du setter delegate_loa_creation til true, noe som bygger på ROA-en og eierskapssjekken. Et manuelt LOA må være en PDF, og bør være på selskapets brevpapir med håndskrevet signatur, selv om Cloudflare godtar en digital signatur hvis det er tydelig hvem som har signert. Transittleverandører kan avvise en JPG eller PNG, og manuell behandling kan gjøre innføringen tregere.

Et sted for valideringstokenet: beskrivelsen (descr) eller remarks i det tilhørende route-objektet, eller en cf-validation-TXT-post i hver reverse DNS-sone for prefikset.

En konto-ID og et API-token med tillatelsene for IP Prefixes.

Steg for steg

Dette er Cloudflares dokumenterte flyt for prefikser som ikke brukes med Magic Transit, som har sin egen innføring via kundeteamet.

01Legg til prefikset i kontoen som skal eie det:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Lagre id og ownership_validation_token fra svaret.

02Publiser tokenet. Legg cf-validation: <token> til route-objektet, eller TXT-posten til de reverse sonene.

03Valider. Send en POST til .../prefixes/$PREFIX_ID/validate. Når sjekkene for IRR, RPKI og eierskap går gjennom, viser prefiksets felt approved "V", og du kan fjerne tokenet. Feiler en sjekk, viser prefiksdetaljene statuser som missing, invalid eller mismatch_asn.

04Bind prefikset til en tjeneste. Hvert prefiks trenger en standard service binding over hele prefikset; mer spesifikke bindinger kan sende deler av det til CDN-et eller Spectrum. Cloudflare oppretter BGP-prefikset i tilbaketrukket tilstand. Regn med minst fem timer, og vent til hver binding er aktiv.

05Kunngjør:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare sier at kunngjøringen typisk tar to til sju minutter, og tilbaketrekking rundt 15.

06For CDN-et oppretter du et address map når prefikset er kunngjort, slik at proxyede DNS-poster svarer med adressene dine.

Fallgruver

• Et dekkende route-objekt er ikke nok. Cloudflare vil ha et route-objekt som stemmer nøyaktig med hvert prefiks du tar inn, med riktig origin.
• Bindinger tar timer, og trafikken lider imens. Cloudflare sier at tjenester for de berørte adressene sannsynligvis forstyrres mens en binding sprer seg. Sett opp bindinger før du kunngjør, og endre dem utenom travle timer.
• To nettverk som kunngjør. Når du flytter et prefiks i drift, la Cloudflare kunngjøre først, sjekk det i et looking glass under AS13335, og trekk så tilbake din egen kunngjøring. Lar du din stå, kan noe trafikk gå utenom Cloudflare.
• 15-minuttersregelen. Etter at du har endret kunngjøringen av et prefiks, vent minst 15 minutter før du endrer den igjen; API-et avviser tidligere kall med feil 1004 (HTTP 429, rate_limit_exceeded).

Hvis du leier blokken

Cloudflares tjenestespesifikke vilkår, sist oppdatert 28. september 2026, dekker dette direkte. Er du ikke juridisk eier av adressene, «must obtain written authorization from the legal owner» (oversettelse: «må du innhente skriftlig fullmakt fra den juridiske eieren») for at Cloudflare skal kunngjøre dem, og trekker eieren den tilbake, kan Cloudflare slutte å kunngjøre dem. Innehaveren gjør også registerdelen: ROA-en for AS13335, route-objektet med AS13335 som origin, og valideringstokenet i det objektet, som bare innehaverens maintainer kan redigere. Vilkårene krever korrekte WHOIS-data og gyldige IRR- og RPKI-oppføringer til enhver tid, så en leieavtale som avsluttes eller en ROA som endres, kan ta prefikset av Cloudflare.

Hvor RTM Networks passer inn

Vi leier ut /24-er og større fra vårt eget RIPE NCC-adresserom, og selger blokker i regionene til RIPE NCC, ARIN og APNIC. For adresserom leid fra oss oppretter vi ROA-en og det nøyaktige route-objektet for AS13335, legger Cloudflares valideringstoken inn i det og signerer Letter of Authorization, så API-stegene er det som gjenstår for deg (lei IPv4). Er BYOIP ikke med i Cloudflare-kontrakten din, eller trenger du færre enn 256 adresser, kunngjør vi en blokk og leverer den til serveren din over GRE eller WireGuard, ned til én enkelt adresse (GRE- og WireGuard-tunneler). Andre leverandører: BYOIP-guider.