BYOIP v Cloudflare: vlastné IP prefixy v sieti Cloudflare

Zdokumentovaný postup cez API overí prefix voči IRR, RPKI a tokenu vlastníctva a potom ho naviažete na služby, ktoré budú jeho adresy používať.

Čo Cloudflare prijíma

Z dokumentácie Cloudflare v deň, keď sme ju overovali:

• Kto. Účty Enterprise, ktorých zmluva zahŕňa BYOIP. Account team to, ako aj konfiguráciu služieb účtu, potvrdí pred pridaním prefixu.
• Veľkosť. /24 alebo väčší pre IPv4; pre IPv6 /48 až /32.
• Register. ARIN, RIPE NCC, APNIC alebo niektorý z ostatných regionálnych registrov. Nič o priestore PA, PI alebo legacy.
• Kto je originom. AS13335 v zdokumentovanom postupe; pre vlastné ASN sa opýtajte account teamu. Zákazníci, ktorí už sú na AS209242 od Cloudflare, si ho môžu ponechať, ale nové pridania používajú AS13335.
• Kde. Všetky lokality Cloudflare.
• Služby. Magic Transit, Spectrum, CDN a Gateway DNS locations a dedicated egress IPs. Magic Transit má vlastné pridávanie, je „not a self-serve product“ (preklad: „nie samoobslužný produkt“) a môže byť iba predvoleným bindingom celého prefixu. Prefix slúži buď pre CDN ingress, alebo pre CDN egress, nie oboje.
• Cena. Nezverejnená. Podmienky uvádzajú, že adresy sa musia používať „solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services“ (preklad: „výlučne v súvislosti s doménami zákazníka, ktoré dostávajú služby Enterprise od Cloudflare“).
• Čas. Aspoň päť hodín zriaďovania BGP pred oznamovaním a štyri až šesť hodín na rozšírenie každého service binding. Konfigurácia Magic Transit „takes around one day to roll out“ (preklad: „sa nasadzuje približne jeden deň“).

Skôr než začnete

Cloudflare nemôže prefix pridať, ak zlyhá ktorákoľvek kontrola registrácie, IRR, RPKI alebo vlastníctva. Pripravte si toto:

Objekt route, ktorý presne sedí. Jeden objekt route na každý pridávaný prefix, presne pre ten prefix, s originom, ktorý Cloudflare použije: AS13335 v štandardnom postupe. Na overenie Cloudflare odporúča IRR Explorer alebo whois -h rr.ntt.net 203.0.113.0/24.

Správna ROA pre ten istý origin. Cloudflare vás žiada overiť ju vo svojom RPKI Portal a v druhom zdroji, napríklad v Routinatore (RPKI a ROA).

Letter of agency (LOA), ako Cloudflare nazýva Letter of Authorization, ktorý vyžadujú jeho tranzitní poskytovatelia. Cloudflare ho pre vás vygeneruje, keď nastavíte delegate_loa_creation na true, čo sa opiera o ROA a kontrolu vlastníctva. Ručne vytvorený LOA musí byť PDF a mal by byť na hlavičkovom papieri firmy s vlastnoručným podpisom, hoci Cloudflare prijme aj digitálny podpis, ak je jasné, kto podpísal. Tranzitní poskytovatelia môžu JPG alebo PNG odmietnuť a ručné spracovanie môže pridávanie spomaliť.

Miesto pre validačný token: popis (descr) alebo remarks zodpovedajúceho objektu route, alebo TXT záznam cf-validation v každej reverznej zóne DNS prefixu.

ID účtu a API token s oprávneniami IP Prefixes.

Krok za krokom

Toto je zdokumentovaný postup Cloudflare pre prefixy, ktoré sa nepoužívajú s Magic Transit; ten má vlastné pridávanie cez account team.

01Pridajte prefix do účtu, ktorý ho bude vlastniť:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Z odpovede si uložte id a ownership_validation_token.

02Zverejnite token. Pridajte cf-validation: <token> do objektu route alebo TXT záznam do reverzných zón.

03Validujte. Pošlite POST na .../prefixes/$PREFIX_ID/validate. Keď kontroly IRR, RPKI a vlastníctva prejdú, pole approved prefixu ukazuje "V" a token môžete odstrániť. Ak kontrola zlyhá, detaily prefixu ukazujú stavy ako missing, invalid alebo mismatch_asn.

04Naviažte prefix na službu. Každý prefix potrebuje predvolený service binding na celý prefix; špecifickejšie bindingy môžu posielať jeho časti do CDN alebo Spectrum. Cloudflare vytvorí BGP prefix v stiahnutom stave. Počítajte aspoň s piatimi hodinami a počkajte, kým nie je každý binding aktívny.

05Oznamujte:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare uvádza, že oznámenie zvyčajne trvá dve až sedem minút a stiahnutie asi 15.

06Pre CDN vytvorte address map, keď sa prefix oznamuje, aby proxované záznamy DNS odpovedali vašimi adresami.

Úskalia

• Pokrývajúci objekt route nestačí. Cloudflare chce objekt route, ktorý presne zodpovedá každému pridávanému prefixu, so správnym originom.
• Bindingy trvajú hodiny a prevádzka medzitým trpí. Cloudflare uvádza, že služby pre dotknuté adresy budú počas rozširovania bindingu pravdepodobne narušené. Bindingy nastavte pred oznamovaním a meňte ich mimo špičky.
• Dve siete oznamujú. Keď presúvate živý prefix, nechajte najprv oznamovať Cloudflare, overte ho na looking glass pod AS13335 a potom stiahnite svoje oznámenie. Ak to svoje necháte, časť prevádzky môže Cloudflare obísť.
• Pravidlo 15 minút. Po zmene oznamovania prefixu počkajte aspoň 15 minút, než ho zmeníte znova; API skoršie volania odmietne s chybou 1004 (HTTP 429, rate_limit_exceeded).

Ak si blok prenajímate

Podmienky Cloudflare pre konkrétne služby, naposledy aktualizované 28. septembra 2026, to riešia priamo. Ak nie ste právnym vlastníkom adries, „must obtain written authorization from the legal owner“ (preklad: „musíte získať písomné oprávnenie od právneho vlastníka“), aby ich Cloudflare mohol oznamovať, a ak ho vlastník odvolá, Cloudflare ich môže prestať oznamovať. Držiteľ robí aj stranu registra: ROA pre AS13335, objekt route s AS13335 ako originom a validačný token v tomto objekte, ktorý môže upraviť iba maintainer držiteľa. Podmienky vyžadujú presné údaje WHOIS a platné záznamy IRR a RPKI po celý čas, takže prenájom, ktorý skončí, alebo ROA, ktorá sa zmení, môže prefix z Cloudflare dostať preč.

Kde pomôže RTM Networks

Prenajímame /24 a väčšie z nášho vlastného adresného priestoru RIPE NCC a predávame bloky v regiónoch RIPE NCC, ARIN a APNIC. Pre priestor prenajatý od nás vytvoríme ROA a presný objekt route pre AS13335, pridáme do neho validačný token Cloudflare a podpíšeme Letter of Authorization, takže vám zostávajú kroky v API (prenájom IPv4). Ak BYOIP nie je vo vašej zmluve s Cloudflare alebo potrebujete menej ako 256 adries, blok oznamujeme a doručíme ho na váš server cez GRE alebo WireGuard, až po jedinú adresu (tunely GRE a WireGuard). Ďalší poskytovatelia: sprievodcovia BYOIP.