BYOIP w DigitalOcean: własne adresy IPv4 na Dropletach

Dowodzisz kontroli nad prefiksem certyfikatem w jego rekordzie rejestru i komunikatem podpisanym tym samym kluczem. Po weryfikacji przez DigitalOcean adresy działają jak reserved IPs.

Co przyjmuje DigitalOcean

Według dokumentacji DigitalOcean w dniu, w którym sprawdzaliśmy:

• Dostęp. BYOIP kryje się za linkiem Request access na dole strony Reserved IPs w Control Panel.
• Rozmiar. Od /24 do /18, tylko IPv4 (limity DigitalOcean). Pierwszy i drugi adres prefiksu są zarezerwowane, więc /24 daje Ci 254.
• Rejestr. ARIN, RIPE NCC, APNIC lub jeden z pozostałych rejestrów regionalnych. DigitalOcean nie mówi nic o przestrzeni PA, PI ani legacy; wymaga, abyś mógł zalogować się do rejestru i aktualizować publiczne rekordy prefiksu.
• Kto ogłasza. DigitalOcean, z AS393406.
• Gdzie. Dowolne centrum danych, ale jedno na prefiks: adresy można przypisywać tylko do zasobów w wybranym centrum danych.
• Co z niego korzysta. Droplety, każdy z jednym adresem BYOIP lub reserved IP naraz. Zewnętrzne regionalne load balancery i publiczne bramy NAT przyjmują adres BYOIP tylko przy tworzeniu i nie można go później zmienić.
• Cena. „Provisioning BYOIP address blocks and using BYOIP addresses is free.” (tłumaczenie: „Udostępnianie bloków adresów BYOIP i używanie adresów BYOIP jest bezpłatne.”) Transfer danych jest rozliczany jak przepustowość Dropletów.
• Czas. „Expect a response within seven business days.” (tłumaczenie: „Odpowiedzi spodziewaj się w ciągu siedmiu dni roboczych.”)

Zanim zaczniesz

ROA dla AS393406. Musi pozwalać, aby źródłem prefiksu był AS393406 DigitalOcean, a może je utrzymywać Twój rejestr (RPKI i ROA). DigitalOcean nie określa maksymalnej długości. Zachowaj ROA każdej sieci, która ogłasza blok dziś, aż do przełączenia.

Para kluczy i certyfikat, utworzone w OpenSSL. Przykład DigitalOcean używa klucza ECC P-384, przyjmuje też RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Certyfikat w rekordzie rejestru, w jednej linii. DigitalOcean odczytuje go przez RDAP, gdzie musi się pojawić pod IP Network, Remarks, Description. Pole, które edytujesz, zależy od rejestru:

W pozostałych rejestrach użyj pola, które RDAP pokazuje pod Remarks, Description. rdap 203.0.113.0/24 pokazuje, czy certyfikat tam jest. Strona DigitalOcean nie prosi o Letter of Authorization ani o obiekt route.

Narzędzia. doctl, openssl i rdap w wierszu poleceń systemu Unix.

Krok po kroku

01Poproś o dostęp na stronie Reserved IPs, zanim zrobisz cokolwiek innego.

02Podpisz komunikat udostępnienia. Zawiera UUID Twojego zespołu, który doctl account get -o json pokazuje pod team, oraz prefiks:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Złóż prośbę dla jednego regionu centrum danych:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

W Control Panel ta sama prośba to Networking, Reserved IPs, Add your own IP prefix, gdzie trzeba też wskazać projekt.

04Poczekaj na weryfikację. Prefiks pokazuje Provisioning, potem Active. doctl network byoip-prefix get <prefix-id> zgłasza in_progress, dopóki proces się nie zakończy.

05Ogłoś. Nowy prefiks nie jest ogłaszany, dopóki go nie włączysz:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Przypisz adresy. Do Dropletów tak jak reserved IPs. Dla load balancera lub bramy NAT podaj adres przez --ip przy tworzeniu (doctl 1.165.0 lub nowszy); prefiks musi być Active i ogłaszany w tym samym regionie.

Błędy, które kosztują dzień

• ROA dla złego ASN DigitalOcean. Rejestr ARIN wymienia dla DigitalOcean kilka numerów AS, w tym AS14061. Strona BYOIP wskazuje tylko AS393406.
• Prefiks Active, do którego nikt nie dociera. Udostępnienie nie ogłasza prefiksu. Dopóki nie ustawisz advertise na true, nie dotrze żaden ruch.
• Problem z ogłoszeniem odłożony na jutro. DigitalOcean kontaktuje się z Tobą, jeśli zauważy anomalię w ogłoszeniu Twojego prefiksu. Jeśli problem nie zostanie usunięty w ciągu jednego dnia roboczego od jego wystąpienia, „irrespective of your responsiveness” (tłumaczenie: „niezależnie od Twojej szybkości reakcji”), DigitalOcean kończy BYOIP dla tego prefiksu i go wycofuje.
• Adresy load balancerów i NAT są stałe. Ustala się je przy tworzeniu, a globalne i wewnętrzne load balancery w ogóle nie mogą używać BYOIP.
• Strony, które nie nadążają. Strona limitów, ostatnio zaktualizowana 13 lipca 2026, nadal mówi, że adresy BYOIP można przypisywać tylko do Dropletów. Instrukcje z 3 września 2026 dodają load balancery i bramy NAT.
• Poczta i reverse DNS. Strona limitów mówi, że porty SMTP 25, 465 i 587 są zablokowane, a rekordy PTR nieobsługiwane na reserved IPs, i nie mówi, czy jedno lub drugie dotyczy adresów BYOIP. Zapytaj, zanim przeniesiesz serwer pocztowy.

Jeśli dzierżawisz blok

Wymagania wstępne DigitalOcean są napisane dla rejestrującego: „direct control and update authority” (tłumaczenie: „bezpośrednia kontrola i uprawnienia do aktualizacji”) nad blokiem oraz login w rejestrze. Przy dzierżawionej przestrzeni zmiany w rejestrze robi posiadacz: certyfikat w rekordzie, który może edytować tylko maintainer posiadacza, oraz ROA dla AS393406. Ty tworzysz klucz i certyfikat, wysyłasz posiadaczowi certyfikat i zachowujesz klucz prywatny, aby podpisać prośbę ze swojego konta. Strony DigitalOcean nie mówią, czy akceptuje rekordy, które edytuje za Ciebie posiadacz, więc wspomnij o dzierżawie, prosząc o dostęp.

Gdzie pasuje RTM Networks

Dzierżawimy /24 i większe z naszej własnej przestrzeni adresowej RIPE NCC i sprzedajemy bloki w regionach RIPE NCC, ARIN i APNIC. Dla przestrzeni dzierżawionej od nas dodajemy Twój certyfikat DigitalOcean do rekordu rejestru i tworzymy ROA dla AS393406, więc na Twoim koncie zostaje tylko sama prośba (dzierżawa IPv4). Jeśli potrzebujesz mniej niż 256 adresów na Droplecie, ogłaszamy blok i dostarczamy adresy przez GRE lub WireGuard, aż do jednego (tunele GRE i WireGuard). Inni dostawcy: przewodniki BYOIP.