BYOIP la DigitalOcean: propriile adrese IPv4 pe Droplets

Dovediți controlul asupra prefixului cu un certificat în înregistrarea lui din registru și un mesaj semnat cu aceeași cheie. După analiza DigitalOcean, adresele funcționează ca reserved IPs.

Ce acceptă DigitalOcean

Din documentația DigitalOcean, în ziua în care am verificat:

• Acces. BYOIP stă în spatele unui link Request access în partea de jos a paginii Reserved IPs din Control Panel.
• Mărime. De la /24 la /18, doar IPv4 (limitele DigitalOcean). Prima și a doua adresă a prefixului sunt rezervate, așa că un /24 vă dă 254.
• Registru. ARIN, RIPE NCC, APNIC sau unul dintre celelalte registre regionale. DigitalOcean nu spune nimic despre spațiul PA, PI sau legacy; cere să vă puteți autentifica la registru și să actualizați înregistrările publice ale prefixului.
• Cine este originea. DigitalOcean, din AS393406.
• Unde. Orice datacenter, dar unul per prefix: adresele pot fi atribuite doar resurselor din datacenterul ales.
• Ce o folosește. Droplets, câte un BYOIP sau reserved IP odată. Load balancerele regionale externe și gateway-urile NAT publice primesc o adresă BYOIP doar la creare, iar ea nu mai poate fi schimbată ulterior.
• Preț. „Provisioning BYOIP address blocks and using BYOIP addresses is free.” (traducere: „Configurarea blocurilor de adrese BYOIP și folosirea adreselor BYOIP sunt gratuite.”) Transferul de date se facturează ca lățime de bandă pentru Droplet.
• Termen. „Expect a response within seven business days.” (traducere: „Așteptați un răspuns în cel mult șapte zile lucrătoare.”)

Înainte să începeți

Un ROA pentru AS393406. Trebuie să permită prefixului să aibă originea în AS393406 al DigitalOcean, iar registrul dvs. îl poate găzdui (RPKI și ROA). DigitalOcean nu specifică o lungime maximă. Păstrați ROA-ul oricărei rețele care anunță azi blocul până la comutare.

O pereche de chei și un certificat, făcute cu OpenSSL. Exemplul DigitalOcean folosește o cheie ECC P-384 și acceptă și RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Certificatul în înregistrarea din registru, pe o singură linie. DigitalOcean îl citește prin RDAP, unde trebuie să apară sub IP Network, Remarks, Description. Câmpul pe care îl editați depinde de registru:

La celelalte registre, folosiți câmpul pe care RDAP îl arată sub Remarks, Description. rdap 203.0.113.0/24 arată dacă certificatul este acolo. Pagina DigitalOcean nu cere nicio Letter of Authorization și niciun obiect route.

Unelte. doctl, openssl și rdap într-o linie de comandă Unix.

Pas cu pas

01Cereți acces de pe pagina Reserved IPs, înainte de orice altceva.

02Semnați mesajul de configurare. El numește UUID-ul echipei dvs., pe care doctl account get -o json îl arată la team, și prefixul:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Trimiteți cererea pentru o singură regiune de datacenter:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

În Control Panel, aceeași cerere este Networking, Reserved IPs, Add your own IP prefix, care cere și un proiect.

04Așteptați analiza. Prefixul arată Provisioning, apoi Active. doctl network byoip-prefix get <prefix-id> raportează in_progress până se termină.

05Anunțați. Un prefix nou nu este anunțat până nu îl porniți:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Atribuiți adrese. La Droplets, ca reserved IPs. Pentru un load balancer sau un gateway NAT, dați adresa cu --ip la creare (doctl 1.165.0 sau mai nou); prefixul trebuie să fie Active și anunțat în aceeași regiune.

Greșeli care costă o zi

• Un ROA pentru ASN-ul DigitalOcean greșit. Registrul ARIN trece mai multe numere AS pentru DigitalOcean, printre care AS14061. Pagina BYOIP numește doar AS393406.
• Un prefix Active la care nu ajunge nimeni. Configurarea nu anunță prefixul. Până nu setați advertise la true, nu sosește niciun trafic.
• O problemă de anunț lăsată pe mâine. DigitalOcean vă contactează dacă vede o anomalie în anunțul prefixului dvs. Dacă problema nu este rezolvată în cel mult o zi lucrătoare de la apariție, „irrespective of your responsiveness” (traducere: „indiferent de promptitudinea dvs.”), DigitalOcean încheie BYOIP pentru acel prefix și îl retrage.
• Adresele de load balancer și NAT sunt fixe. Se setează la creare, iar load balancerele globale și interne nu pot folosi deloc BYOIP.
• Pagini rămase în urmă. Pagina de limite, actualizată ultima dată pe 13 iulie 2026, încă spune că adresele BYOIP pot fi atribuite doar la Droplets. Paginile de ghid din 3 septembrie 2026 adaugă load balancerele și gateway-urile NAT.
• E-mail și DNS invers. Pagina de limite spune că porturile SMTP 25, 465 și 587 sunt blocate și înregistrările PTR nu sunt acceptate pe reserved IPs și nu spune dacă vreuna se aplică adreselor BYOIP. Întrebați înainte să mutați un server de e-mail.

Dacă închiriați blocul

Cerințele DigitalOcean sunt scrise pentru titularul înregistrării: „direct control and update authority” (traducere: „control direct și drept de actualizare”) asupra blocului și un cont la registru. La spațiul închiriat, deținătorul face modificările de registru: certificatul în înregistrare, pe care doar maintainerul deținătorului îl poate edita, și ROA-ul pentru AS393406. Dvs. faceți cheia și certificatul, îi trimiteți deținătorului certificatul și păstrați cheia privată ca să semnați cererea din propriul cont. Paginile DigitalOcean nu spun dacă acceptă înregistrări pe care un deținător le editează pentru dvs., așa că menționați închirierea când cereți acces.

Unde se încadrează RTM Networks

Închiriem /24 și mai mari din propriul spațiu de adrese RIPE NCC și vindem blocuri în regiunile RIPE NCC, ARIN și APNIC. Pentru spațiul închiriat de la noi, adăugăm certificatul dvs. DigitalOcean în înregistrarea din registru și creăm ROA-ul pentru AS393406, așa că în contul dvs. rămâne doar cererea însăși (închiriere IPv4). Dacă aveți nevoie de mai puțin de 256 de adrese pe un Droplet, anunțăm un bloc și vă livrăm adresele prin GRE sau WireGuard, până la una singură (tuneluri GRE și WireGuard). Alți furnizori: ghiduri BYOIP.