BYOIP na DigitalOcean: traga os seus próprios endereços IPv4 para Droplets

Prova o controlo do prefixo com um certificado no seu registo e uma mensagem assinada com a mesma chave. Depois da análise da DigitalOcean, os endereços funcionam como reserved IPs.

O que a DigitalOcean aceita

Segundo a documentação da DigitalOcean, no dia em que a consultámos:

• Acesso. O BYOIP está por trás de uma ligação Request access no fundo da página Reserved IPs do Control Panel.
• Tamanho. De um /24 a um /18, apenas IPv4 (os limites da DigitalOcean). O primeiro e o segundo endereços do prefixo estão reservados, por isso um /24 dá-lhe 254.
• Registo. ARIN, RIPE NCC, APNIC ou um dos outros registos regionais. A DigitalOcean nada diz sobre espaço PA, PI ou legacy; pede que possa entrar no registo e atualizar os registos públicos do prefixo.
• Quem origina. A DigitalOcean, a partir de AS393406.
• Onde. Qualquer datacenter, mas um por prefixo: os endereços só podem ser atribuídos a recursos no datacenter que escolher.
• O que o usa. Droplets, com um BYOIP ou reserved IP cada de cada vez. Os load balancers regionais externos e os NAT gateways públicos só aceitam um endereço BYOIP no momento da criação, e não pode ser alterado depois.
• Preço. "Provisioning BYOIP address blocks and using BYOIP addresses is free." (tradução: «O aprovisionamento de blocos de endereços BYOIP e a utilização de endereços BYOIP são gratuitos.») A transferência de dados é faturada como largura de banda de Droplet.
• Prazo. "Expect a response within seven business days." (tradução: «Conte com uma resposta em sete dias úteis.»)

Antes de começar

Um ROA para AS393406. Tem de permitir que o prefixo tenha origem no AS393406 da DigitalOcean, e o seu registo pode alojá-lo (RPKI e ROA). A DigitalOcean não especifica um comprimento máximo. Mantenha o ROA de qualquer rede que anuncie hoje o bloco até mudar.

Um par de chaves e um certificado, gerados com o OpenSSL. O exemplo da DigitalOcean usa uma chave ECC P-384 e também aceita RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

O certificado no registo, numa só linha. A DigitalOcean lê-o por RDAP, onde tem de aparecer em IP Network, Remarks, Description. O campo que edita depende do registo:

Nos outros registos, use o campo que o RDAP mostrar em Remarks, Description. rdap 203.0.113.0/24 mostra se o certificado lá está. A página da DigitalOcean não pede nenhuma Letter of Authorization nem nenhum objeto route.

Ferramentas. doctl, openssl e rdap numa linha de comandos Unix.

Passo a passo

01Peça acesso na página Reserved IPs, antes de mais nada.

02Assine a mensagem de aprovisionamento. Indica o UUID da sua equipa, que doctl account get -o json mostra em team, e o prefixo:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Submeta o pedido para uma região de datacenter:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

No Control Panel, o mesmo pedido está em Networking, Reserved IPs, Add your own IP prefix, que também pede um projeto.

04Aguarde a análise. O prefixo mostra Provisioning e depois Active. doctl network byoip-prefix get <prefix-id> indica in_progress até estar concluído.

05Anuncie. Um prefixo novo não é anunciado até o ativar:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Atribua endereços. A Droplets, como faria com reserved IPs. Para um load balancer ou NAT gateway, passe o endereço com --ip ao criá-lo (doctl 1.165.0 ou posterior); o prefixo tem de estar Active e anunciado na mesma região.

Erros que custam um dia

• Um ROA para o ASN errado da DigitalOcean. O registo da ARIN indica vários números AS para a DigitalOcean, entre eles AS14061. A página de BYOIP só indica AS393406.
• Um prefixo Active que ninguém alcança. O aprovisionamento não anuncia o prefixo. Até definir advertise como true, não chega tráfego nenhum.
• Um problema de anúncio deixado para amanhã. A DigitalOcean contacta-o se detetar uma anomalia no anúncio do seu prefixo. Se o problema não for resolvido no prazo de um dia útil desde o seu início, "irrespective of your responsiveness" (tradução: «independentemente da sua capacidade de resposta»), a DigitalOcean termina o BYOIP para esse prefixo e retira-o.
• Os endereços de load balancer e NAT são fixos. São definidos na criação, e os load balancers globais e internos não podem usar BYOIP de todo.
• Páginas desatualizadas. A página de limites, atualizada pela última vez a 13 de julho de 2026, ainda diz que os endereços BYOIP só podem ser atribuídos a Droplets. As páginas de instruções de 3 de setembro de 2026 acrescentam load balancers e NAT gateways.
• Correio e DNS inverso. A página de limites diz que as portas SMTP 25, 465 e 587 estão bloqueadas e que os registos PTR não são suportados em reserved IPs, e não diz se alguma destas coisas se aplica a endereços BYOIP. Pergunte antes de mudar um servidor de correio.

Se alugar o bloco

Os pré-requisitos da DigitalOcean estão escritos para o titular do registo: "direct control and update authority" (tradução: «controlo direto e autoridade de atualização») sobre o bloco, e um acesso ao registo. Com espaço alugado, é o titular que faz as alterações no registo: o certificado no registo, que só o maintainer do titular pode editar, e o ROA para AS393406. O cliente gera a chave e o certificado, envia o certificado ao titular e guarda a chave privada para assinar o pedido a partir da sua própria conta. As páginas da DigitalOcean não dizem se aceita registos que um titular edita por si, por isso mencione o aluguer quando pedir acesso.

Onde entra a RTM Networks

Alugamos /24 e maiores a partir do nosso próprio espaço de endereçamento do RIPE NCC, e vendemos blocos nas regiões RIPE NCC, ARIN e APNIC. No espaço que lhe alugamos, acrescentamos o seu certificado DigitalOcean ao registo e criamos o ROA para AS393406, pelo que o próprio pedido é tudo o que fica por fazer na sua conta (alugar IPv4). Se precisar de menos de 256 endereços numa Droplet, anunciamos um bloco e entregamos os endereços por GRE ou WireGuard, até um único (túneis GRE e WireGuard). Outros fornecedores: guias BYOIP.