BYOIP pri DigitalOcean: lastni IPv4-naslovi na Droplets

Nadzor nad predpono dokažete s potrdilom v njenem zapisu registra in sporočilom, podpisanim z istim ključem. Po pregledu DigitalOcean naslovi delujejo kot reserved IPs.

Kaj DigitalOcean sprejme

Iz dokumentacije DigitalOcean na dan, ko smo preverjali:

• Dostop. BYOIP je za povezavo Request access na dnu strani Reserved IPs v Control Panel.
• Velikost. Od /24 do /18, samo IPv4 (omejitve DigitalOcean). Prvi in drugi naslov predpone sta rezervirana, zato blok /24 da 254 naslovov.
• Register. ARIN, RIPE NCC, APNIC ali eden od drugih regionalnih registrov. DigitalOcean ne pove ničesar o prostoru PA, PI ali legacy; zahteva, da se lahko prijavite v register in posodobite javne zapise predpone.
• Kdo je izvor. DigitalOcean, z AS393406.
• Kje. Kateri koli podatkovni center, a en na predpono: naslovi se lahko dodelijo samo virom v podatkovnem centru, ki ga izberete.
• Kaj ga uporablja. Droplets, vsak hkrati en BYOIP ali reserved IP. Zunanji regionalni izenačevalniki obremenitve in javni prehodi NAT sprejmejo naslov BYOIP samo ob ustvarjanju, pozneje ga ni mogoče spremeniti.
• Cena. „Provisioning BYOIP address blocks and using BYOIP addresses is free.“ (prevod: „Zagotovitev blokov naslovov BYOIP in uporaba naslovov BYOIP sta brezplačni.“) Prenos podatkov se obračuna kot pasovna širina Droplet.
• Čas. „Expect a response within seven business days.“ (prevod: „Odgovor pričakujte v sedmih delovnih dneh.“)

Preden začnete

ROA za AS393406. Predponi mora omogočati izvor iz AS393406 DigitalOcean, gostiti pa ga lahko vaš register (RPKI in ROA). DigitalOcean največje dolžine ne določa. ROA omrežja, ki blok objavlja danes, obdržite, dokler ne preklopite.

Par ključev in potrdilo, izdelana z OpenSSL. Primer DigitalOcean uporablja ključ ECC P-384, sprejme pa tudi RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Potrdilo v zapisu registra, v eni vrstici. DigitalOcean ga bere prek RDAP, kjer se mora pojaviti pod IP Network, Remarks, Description. Polje, ki ga urejate, je odvisno od registra:

Pri drugih registrih uporabite polje, ki ga RDAP kaže pod Remarks, Description. rdap 203.0.113.0/24 pokaže, ali je potrdilo tam. Stran DigitalOcean ne zahteva pooblastila (Letter of Authorization) in ne objekta route.

Orodja. doctl, openssl in rdap v ukazni vrstici Unix.

Korak za korakom

01Zaprosite za dostop na strani Reserved IPs, pred vsem drugim.

02Podpišite sporočilo za zagotovitev. Navaja UUID vaše ekipe, ki ga doctl account get -o json kaže pod team, in predpono:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Oddajte zahtevo za eno regijo podatkovnega centra:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

V Control Panel je ista zahteva Networking, Reserved IPs, Add your own IP prefix, ki zahteva tudi projekt.

04Počakajte na pregled. Predpona kaže Provisioning, nato Active. doctl network byoip-prefix get <prefix-id> poroča in_progress, dokler ni končano.

05Objavite. Nova predpona ni objavljena, dokler je ne vklopite:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Dodelite naslove. Dropletom tako kot reserved IPs. Za izenačevalnik obremenitve ali prehod NAT naslov podate z --ip ob ustvarjanju (doctl 1.165.0 ali novejši); predpona mora biti Active in objavljena v isti regiji.

Napake, ki stanejo dan

• ROA za napačen ASN DigitalOcean. Register ARIN za DigitalOcean navaja več številk AS, med njimi AS14061. Stran o BYOIP navaja samo AS393406.
• Aktivna predpona, ki je nihče ne doseže. Zagotovitev predpone ne objavi. Dokler advertise ne nastavite na true, promet ne prihaja.
• Težava z objavo, odložena na jutri. DigitalOcean se obrne na vas, če v objavi vaše predpone opazi nepravilnost. Če težava ni odpravljena v enem delovnem dnevu od njenega začetka, „irrespective of your responsiveness“ (prevod: „ne glede na vašo odzivnost“), DigitalOcean BYOIP za to predpono ukine in jo umakne.
• Naslovi izenačevalnikov obremenitve in NAT so fiksni. Nastavijo se ob ustvarjanju, globalni in notranji izenačevalniki obremenitve pa BYOIP sploh ne morejo uporabljati.
• Strani, ki zaostajajo. Stran z omejitvami, nazadnje posodobljena 13. julija 2026, še vedno pravi, da se naslovi BYOIP lahko dodelijo samo Dropletom. Strani z navodili s 3. septembra 2026 dodajajo izenačevalnike obremenitve in prehode NAT.
• Pošta in povratni DNS. Stran z omejitvami pravi, da so vrata SMTP 25, 465 in 587 blokirana in zapisi PTR na reserved IPs nepodprti, ne pove pa, ali kar koli od tega velja za naslove BYOIP. Vprašajte, preden preselite poštni strežnik.

Če blok najamete

Predpogoji DigitalOcean so napisani za registranta: „direct control and update authority“ (prevod: „neposreden nadzor in pooblastilo za posodabljanje“) nad blokom in prijava v register. Pri najetem prostoru spremembe v registru naredi imetnik: potrdilo v zapisu, ki ga lahko ureja samo imetnikov vzdrževalec, in ROA za AS393406. Vi izdelate ključ in potrdilo, imetniku pošljete potrdilo, zasebni ključ pa obdržite, da z njim podpišete zahtevo iz svojega računa. Strani DigitalOcean ne povedo, ali sprejme zapise, ki jih za vas uredi imetnik, zato najem omenite, ko zaprosite za dostop.

Kje nastopi RTM Networks

Dajemo v najem bloke /24 in večje iz lastnega naslovnega prostora RIPE NCC ter prodajamo bloke v regijah RIPE NCC, ARIN in APNIC. Za prostor, najet pri nas, vaše potrdilo DigitalOcean dodamo v zapis registra in ustvarimo ROA za AS393406, tako da vam v računu ostane le sama zahteva (najem IPv4). Če na Droplet potrebujete manj kot 256 naslovov, blok objavimo in naslove dostavimo prek GRE ali WireGuard, do enega samega (tuneli GRE in WireGuard). Drugi ponudniki: vodniki BYOIP.