BYOIP hos DigitalOcean: ta med egne IPv4-adresser til Droplets

Du beviser kontroll over prefikset med et sertifikat i registeroppføringen og en melding signert med samme nøkkel. Etter DigitalOceans vurdering virker adressene som reserved IPs.

Hva DigitalOcean tar imot

Fra DigitalOceans dokumentasjon, den dagen vi sjekket:

• Tilgang. BYOIP ligger bak en lenke Request access nederst på siden Reserved IPs i Control Panel.
• Størrelse. En /24 til en /18, bare IPv4 (DigitalOceans grenser). Den første og andre adressen i prefikset er reservert, så en /24 gir deg 254.
• Register. ARIN, RIPE NCC, APNIC eller et av de andre regionale registrene. DigitalOcean sier ingenting om PA-, PI- eller legacy-adresserom; selskapet krever at du kan logge inn hos registeret og oppdatere prefiksets offentlige oppføringer.
• Hvem som er origin. DigitalOcean, fra AS393406.
• Hvor. Hvilket som helst datasenter, men ett per prefiks: adressene kan bare tildeles ressurser i datasenteret du velger.
• Hva som bruker det. Droplets, én BYOIP- eller reserved IP hver om gangen. Eksterne regionale lastbalanserere og offentlige NAT-gatewayer tar en BYOIP-adresse bare når du oppretter dem, og den kan ikke endres senere.
• Pris. «Provisioning BYOIP address blocks and using BYOIP addresses is free.» (oversettelse: «Det er gratis å klargjøre BYOIP-adresseblokker og å bruke BYOIP-adresser.») Dataoverføring faktureres som Droplet-båndbredde.
• Tid. «Expect a response within seven business days.» (oversettelse: «Regn med svar innen sju virkedager.»)

Før du begynner

En ROA for AS393406. Den må tillate at prefikset har origin i DigitalOceans AS393406, og registeret ditt kan være vert for den (RPKI og ROA-er). DigitalOcean oppgir ingen maksimal lengde. Behold ROA-en til ethvert nettverk som kunngjør blokken i dag, til du bytter.

Et nøkkelpar og et sertifikat, laget med OpenSSL. DigitalOceans eksempel bruker en ECC P-384-nøkkel og godtar også RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Sertifikatet i registeroppføringen, på én linje. DigitalOcean leser det over RDAP, der det må vises under IP Network, Remarks, Description. Feltet du redigerer, avhenger av registeret:

Hos de andre registrene bruker du det feltet RDAP viser under Remarks, Description. rdap 203.0.113.0/24 viser om sertifikatet er der. DigitalOceans side ber ikke om noe Letter of Authorization og ikke noe route-objekt.

Verktøy. doctl, openssl og rdap på en Unix-kommandolinje.

Steg for steg

01Be om tilgang fra siden Reserved IPs, før noe annet.

02Signer klargjøringsmeldingen. Den nevner teamets UUID, som doctl account get -o json viser under team, og prefikset:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Send inn forespørselen for én datasenterregion:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

I Control Panel er den samme forespørselen Networking, Reserved IPs, Add your own IP prefix, som også ber om et prosjekt.

04Vent på vurderingen. Prefikset viser Provisioning, så Active. doctl network byoip-prefix get <prefix-id> rapporterer in_progress til det er ferdig.

05Kunngjør. Et nytt prefiks kunngjøres ikke før du slår det på:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Tildel adresser. Til Droplets slik du ville gjort med reserved IPs. For en lastbalanserer eller NAT-gateway oppgir du adressen med --ip når du oppretter den (doctl 1.165.0 eller nyere); prefikset må være Active og kunngjort i samme region.

Feil som koster en dag

• En ROA for feil ASN hos DigitalOcean. ARINs register oppgir flere AS-numre for DigitalOcean, blant dem AS14061. BYOIP-siden nevner bare AS393406.
• Et Active-prefiks ingen kan nå. Klargjøringen kunngjør ikke prefikset. Til du setter advertise til true, kommer det ingen trafikk.
• Et kunngjøringsproblem som får vente til i morgen. DigitalOcean kontakter deg hvis selskapet ser et avvik i kunngjøringen av prefikset ditt. Er problemet ikke løst innen én virkedag fra det startet, «irrespective of your responsiveness» (oversettelse: «uavhengig av hvor raskt du svarer»), avslutter DigitalOcean BYOIP for det prefikset og trekker det tilbake.
• Adressene til lastbalanserere og NAT er faste. De settes ved opprettelse, og globale og interne lastbalanserere kan ikke bruke BYOIP i det hele tatt.
• Sider som henger etter. Siden om begrensninger, sist oppdatert 13. juli 2026, sier fortsatt at BYOIP-adresser bare kan tildeles Droplets. Veiledningssidene fra 3. september 2026 legger til lastbalanserere og NAT-gatewayer.
• E-post og reverse DNS. Siden om begrensninger sier at SMTP-portene 25, 465 og 587 er blokkert og at PTR-oppføringer ikke støttes på reserved IPs, og sier ikke om noe av det gjelder BYOIP-adresser. Spør før du flytter en e-postserver.

Hvis du leier blokken

DigitalOceans forutsetninger er skrevet for registranten: «direct control and update authority» (oversettelse: «direkte kontroll og myndighet til å oppdatere») over blokken, og en innlogging hos registeret. Med leid adresserom gjør innehaveren registerendringene: sertifikatet i oppføringen, som bare innehaverens maintainer kan redigere, og ROA-en for AS393406. Du lager nøkkelen og sertifikatet, sender innehaveren sertifikatet, og beholder den private nøkkelen for å signere forespørselen fra din egen konto. DigitalOceans sider sier ikke om selskapet godtar oppføringer som en innehaver redigerer for deg, så nevn leieavtalen når du ber om tilgang.

Hvor RTM Networks passer inn

Vi leier ut /24-er og større fra vårt eget RIPE NCC-adresserom, og selger blokker i regionene til RIPE NCC, ARIN og APNIC. For adresserom leid fra oss legger vi DigitalOcean-sertifikatet ditt inn i registeroppføringen og oppretter ROA-en for AS393406, så selve forespørselen er alt som gjenstår i kontoen din (lei IPv4). Trenger du færre enn 256 adresser på en Droplet, kunngjør vi en blokk og leverer adressene over GRE eller WireGuard, ned til én enkelt (GRE- og WireGuard-tunneler). Andre leverandører: BYOIP-guider.