BYOIP pri Cloudflare: lastne predpone IP v omrežju Cloudflare

Dokumentiran postopek API preveri predpono glede na IRR, RPKI in žeton lastništva, nato pa jo vežete na storitve, ki bodo uporabljale njene naslove.

Kaj Cloudflare sprejme

Iz Cloudflarove dokumentacije na dan, ko smo preverjali:

• Kdo. Računi Enterprise, katerih pogodba vključuje BYOIP. Ekipa za račun to in konfiguracijo storitev računa potrdi, preden začnete vpeljavo.
• Velikost. /24 ali večji za IPv4; za IPv6 od /48 do /32.
• Register. ARIN, RIPE NCC, APNIC ali eden od drugih regionalnih registrov. Nič o prostoru PA, PI ali legacy.
• Kdo je izvor. AS13335 v dokumentiranem postopku; za lasten ASN vprašajte ekipo za račun. Stranke, ki so že na Cloudflarovem AS209242, ga lahko obdržijo, nove vpeljave pa uporabljajo AS13335.
• Kje. Vse lokacije Cloudflare.
• Storitve. Magic Transit, Spectrum, CDN ter lokacije Gateway DNS in namenski izhodni IP-ji. Magic Transit ima svojo vpeljavo, je „not a self-serve product“ (prevod: „ni samopostrežni izdelek“) in je lahko samo privzeta vezava cele predpone. Predpona služi vhodu CDN ali izhodu CDN, ne obema.
• Cena. Ni objavljena. Pogoji pravijo, da se naslovi smejo uporabljati „solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services“ (prevod: „izključno v povezavi z domenami stranke, ki prejemajo Cloudflarove storitve Enterprise“).
• Čas. Vsaj pet ur zagotavljanja BGP, preden objavite, in štiri do šest ur, da se razširi vsaka vezava storitve. Konfiguracija Magic Transit „takes around one day to roll out“ (prevod: „se uvaja približno en dan“).

Preden začnete

Cloudflare predpone ne more vpeljati, če spodleti katero koli preverjanje registracije, IRR, RPKI ali lastništva. Pripravite naslednje:

Objekt route, ki se natanko ujema. En objekt route na vsako predpono, ki jo vpeljete, za natanko to predpono, z izvorom, ki ga bo uporabil Cloudflare: AS13335 v standardnem postopku. Za preverjanje Cloudflare predlaga IRR Explorer ali whois -h rr.ntt.net 203.0.113.0/24.

Pravilen ROA za isti izvor. Cloudflare vas prosi, da ga preverite v njegovem RPKI Portal in v drugem viru, na primer Routinator (RPKI in ROA).

Letter of agency (LOA), Cloudflarovo ime za pooblastilo (Letter of Authorization), ki ga zahtevajo njegovi ponudniki tranzita. Cloudflare ga ustvari za vas, ko delegate_loa_creation nastavite na true, kar se opira na ROA in preverjanje lastništva. Ročno izdelan LOA mora biti PDF in naj bo na glavi pisma podjetja z lastnoročnim podpisom, čeprav Cloudflare sprejme digitalni podpis, če je jasno, kdo je podpisal. Ponudniki tranzita lahko JPG ali PNG zavrnejo, ročna obdelava pa lahko upočasni vpeljavo.

Mesto za žeton za preverjanje: opis (descr) ali remarks ustreznega objekta route ali zapis TXT cf-validation v vsaki povratni coni DNS predpone.

ID računa in žeton API z dovoljenji IP Prefixes.

Korak za korakom

To je Cloudflarov dokumentiran postopek za predpone, ki se ne uporabljajo z Magic Transit, ta pa ima svojo vpeljavo prek ekipe za račun.

01Dodajte predpono v račun, ki jo bo imel:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Iz odgovora shranite id in ownership_validation_token.

02Objavite žeton. V objekt route dodajte cf-validation: <token> ali v povratne cone zapis TXT.

03Preverite. Pošljite POST na .../prefixes/$PREFIX_ID/validate. Ko preverjanja IRR, RPKI in lastništva uspejo, polje predpone approved kaže "V" in žeton lahko odstranite. Če preverjanje spodleti, podrobnosti predpone kažejo stanja, kot so missing, invalid ali mismatch_asn.

04Vežite predpono na storitev. Vsaka predpona potrebuje privzeto vezavo storitve čez celo predpono; bolj specifične vezave lahko njene dele pošljejo v CDN ali Spectrum. Cloudflare predpono BGP ustvari v umaknjenem stanju. Računajte z vsaj petimi urami in počakajte, da so vse vezave aktivne.

05Objavite:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare pravi, da objava običajno traja dve do sedem minut, umik pa približno 15.

06Za CDN ustvarite address map, ko je predpona objavljena, da posredovani (proxied) zapisi DNS odgovarjajo z vašimi naslovi.

Pasti

• Pokrivni objekt route ni dovolj. Cloudflare želi objekt route, ki se natanko ujema z vsako predpono, ki jo vpeljete, s pravim izvorom.
• Vezave trajajo ure, promet pa medtem trpi. Cloudflare pravi, da so storitve za zadevne naslove med razširjanjem vezave verjetno motene. Vezave nastavite, preden objavite, in jih spreminjajte zunaj prometnih ur.
• Objavljata dve omrežji. Ko selite živo predpono, naj Cloudflare objavi prvi, preverite jo na looking glass pod AS13335, nato umaknite svojo objavo. Če svojo pustite, lahko del prometa zaobide Cloudflare.
• Pravilo 15 minut. Po spremembi objave predpone počakajte vsaj 15 minut, preden jo spremenite znova; API zgodnejše klice zavrne z napako 1004 (HTTP 429, rate_limit_exceeded).

Če blok najamete

Cloudflarovi pogoji za posamezne storitve, nazadnje posodobljeni 28. septembra 2026, to urejajo neposredno. Če niste zakoniti lastnik naslovov, „must obtain written authorization from the legal owner“ (prevod: „morate pridobiti pisno pooblastilo zakonitega lastnika“), da jih Cloudflare objavlja, in če ga lastnik prekliče, lahko Cloudflare njihovo objavo ustavi. Imetnik uredi tudi stran registra: ROA za AS13335, objekt route z AS13335 kot izvorom in žeton za preverjanje v tem objektu, ki ga lahko ureja samo imetnikov vzdrževalec. Pogoji zahtevajo ves čas točne podatke WHOIS ter veljavne vnose IRR in RPKI, zato lahko najem, ki se konča, ali ROA, ki se spremeni, predpono umakne s Cloudflare.

Kje nastopi RTM Networks

Dajemo v najem bloke /24 in večje iz lastnega naslovnega prostora RIPE NCC ter prodajamo bloke v regijah RIPE NCC, ARIN in APNIC. Za prostor, najet pri nas, ustvarimo ROA in natančen objekt route za AS13335, vanj dodamo Cloudflarov žeton za preverjanje in podpišemo pooblastilo, tako da vam ostanejo koraki API (najem IPv4). Če BYOIP ni v vaši pogodbi s Cloudflare ali potrebujete manj kot 256 naslovov, blok objavimo in ga do vašega strežnika dostavimo prek GRE ali WireGuard, do enega samega naslova (tuneli GRE in WireGuard). Drugi ponudniki: vodniki BYOIP.