BYOIP v DigitalOcean: vlastné adresy IPv4 pre Droplety

Kontrolu nad prefixom preukážete certifikátom v jeho zázname v registri a správou podpísanou tým istým kľúčom. Po posúdení zo strany DigitalOcean fungujú adresy ako reserved IPs.

Čo DigitalOcean prijíma

Z dokumentácie DigitalOcean v deň, keď sme ju overovali:

• Prístup. BYOIP je za odkazom Request access v dolnej časti stránky Reserved IPs v Control Panel.
• Veľkosť. /24 až /18, iba IPv4 (limity DigitalOcean). Prvá a druhá adresa prefixu sú rezervované, takže /24 vám dá 254.
• Register. ARIN, RIPE NCC, APNIC alebo niektorý z ostatných regionálnych registrov. DigitalOcean neuvádza nič o priestore PA, PI alebo legacy; žiada, aby ste sa mohli prihlásiť do registra a upraviť verejné záznamy prefixu.
• Kto je originom. DigitalOcean, z AS393406.
• Kde. Akékoľvek dátové centrum, ale jedno na prefix: adresy sa dajú priradiť iba prostriedkom v dátovom centre, ktoré zvolíte.
• Čo ho používa. Droplety, každý naraz jednu adresu BYOIP alebo reserved IP. External regional load balancers a public NAT gateways prijmú adresu BYOIP iba pri vytvorení a tá sa neskôr nedá zmeniť.
• Cena. „Provisioning BYOIP address blocks and using BYOIP addresses is free.“ (preklad: „Zriadenie blokov adries BYOIP a používanie adries BYOIP je bezplatné.“) Prenos dát sa účtuje ako šírka pásma Dropletu.
• Čas. „Expect a response within seven business days.“ (preklad: „Odpoveď očakávajte do siedmich pracovných dní.“)

Skôr než začnete

ROA pre AS393406. Musí prefixu dovoliť origin z AS393406 od DigitalOcean a môže ju hostiť váš register (RPKI a ROA). DigitalOcean neurčuje maximálnu dĺžku. ROA siete, ktorá blok dnes oznamuje, si ponechajte až do prepnutia.

Pár kľúčov a certifikát, vytvorené pomocou OpenSSL. Príklad DigitalOcean používa kľúč ECC P-384 a prijíma aj RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Certifikát v zázname registra, na jednom riadku. DigitalOcean ho číta cez RDAP, kde sa musí objaviť pod IP Network, Remarks, Description. Pole, ktoré upravujete, závisí od registra:

V ostatných registroch použite to pole, ktoré RDAP ukazuje pod Remarks, Description. rdap 203.0.113.0/24 ukáže, či tam certifikát je. Stránka DigitalOcean nežiada žiadny Letter of Authorization ani objekt route.

Nástroje. doctl, openssl a rdap v unixovom príkazovom riadku.

Krok za krokom

01Požiadajte o prístup na stránke Reserved IPs, ešte pred všetkým ostatným.

02Podpíšte správu na zriadenie. Uvádza UUID vášho tímu, ktoré doctl account get -o json ukazuje pod team, a prefix:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Odošlite žiadosť pre jeden región dátového centra:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

V Control Panel je tá istá žiadosť Networking, Reserved IPs, Add your own IP prefix, ktorá sa pýta aj na projekt.

04Počkajte na posúdenie. Prefix ukazuje Provisioning, potom Active. doctl network byoip-prefix get <prefix-id> hlási in_progress, kým nie je hotovo.

05Oznamujte. Nový prefix sa neoznamuje, kým ho nezapnete:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Priraďte adresy. Dropletom rovnako ako reserved IPs. Pre load balancer alebo NAT gateway zadajte adresu pomocou --ip pri jeho vytvorení (doctl 1.165.0 alebo novší); prefix musí byť Active a oznamovaný v tom istom regióne.

Chyby, ktoré stoja deň

• ROA pre nesprávne ASN DigitalOcean. Register ARIN uvádza pre DigitalOcean niekoľko čísel AS, medzi nimi AS14061. Stránka o BYOIP uvádza iba AS393406.
• Prefix Active, na ktorý sa nikto nedostane. Zriadenie prefix neoznamuje. Kým nenastavíte advertise na true, žiadna prevádzka nepríde.
• Problém s oznamovaním odložený na zajtra. DigitalOcean vás kontaktuje, ak zistí anomáliu v oznamovaní vášho prefixu. Ak sa problém neodstráni do jedného pracovného dňa od jeho začiatku, „irrespective of your responsiveness“ (preklad: „bez ohľadu na vašu reakciu“), DigitalOcean ukončí BYOIP pre tento prefix a stiahne ho.
• Adresy load balancerov a NAT sú pevné. Nastavujú sa pri vytvorení a globálne a interné load balancery BYOIP vôbec používať nemôžu.
• Stránky, ktoré zaostávajú. Stránka s limitmi, naposledy aktualizovaná 13. júla 2026, stále uvádza, že adresy BYOIP sa dajú priradiť iba Dropletom. Návody z 3. septembra 2026 pridávajú load balancery a NAT gateways.
• Pošta a reverzné DNS. Stránka s limitmi uvádza, že porty SMTP 25, 465 a 587 sú blokované a záznamy PTR nie sú na reserved IPs podporované, a neuvádza, či sa niečo z toho týka adries BYOIP. Skôr než presuniete poštový server, opýtajte sa.

Ak si blok prenajímate

Predpoklady DigitalOcean sú napísané pre registranta: „direct control and update authority“ (preklad: „priama kontrola a oprávnenie na úpravy“) nad blokom a prihlásenie do registra. Pri prenajatom priestore robí zmeny v registri držiteľ: certifikát v zázname, ktorý môže upraviť iba maintainer držiteľa, a ROA pre AS393406. Vy vytvoríte kľúč a certifikát, certifikát pošlete držiteľovi a súkromný kľúč si ponecháte na podpísanie žiadosti z vlastného účtu. Stránky DigitalOcean neuvádzajú, či prijíma záznamy, ktoré za vás upraví držiteľ, preto pri žiadosti o prístup prenájom spomeňte.

Kde pomôže RTM Networks

Prenajímame /24 a väčšie z nášho vlastného adresného priestoru RIPE NCC a predávame bloky v regiónoch RIPE NCC, ARIN a APNIC. Pre priestor prenajatý od nás pridáme váš certifikát DigitalOcean do záznamu v registri a vytvoríme ROA pre AS393406, takže vo vašom účte zostáva iba samotná žiadosť (prenájom IPv4). Ak potrebujete menej ako 256 adries na Droplete, blok oznamujeme a adresy doručíme cez GRE alebo WireGuard, až po jedinú (tunely GRE a WireGuard). Ďalší poskytovatelia: sprievodcovia BYOIP.