Cloudflare BYOIP: sopstveni IP prefiksi na Cloudflare-ovoj mreži

Dokumentovani API postupak proverava prefiks prema IRR-u, RPKI-ju i tokenu vlasništva, a zatim ga povezujete sa uslugama koje će koristiti njegove adrese.

Šta Cloudflare prihvata

Iz Cloudflare-ove dokumentacije, na dan kada smo proverili:

• Ko. Enterprise nalozi čiji ugovor uključuje BYOIP. Account tim to potvrđuje, kao i konfiguraciju usluga naloga, pre uvođenja.
• Veličina. /24 ili veći za IPv4; za IPv6 od /48 do /32.
• Registar. ARIN, RIPE NCC, APNIC ili neki od ostalih regionalnih registara. Ništa o PA, PI ili legacy prostoru.
• Ko najavljuje (poreklo rute). AS13335 u dokumentovanom postupku; za sopstveni ASN pitajte account tim. Korisnici koji su već na Cloudflare-ovom AS209242 mogu da ga zadrže, ali nova uvođenja koriste AS13335.
• Gde. Sve Cloudflare lokacije.
• Usluge. Magic Transit, Spectrum, CDN, te Gateway DNS lokacije i namenske egress IP adrese. Magic Transit ima sopstveno uvođenje, „not a self-serve product“ (prevod: „nije samouslužni proizvod“), i može biti samo podrazumevani binding celog prefiksa. Prefiks služi za CDN ingress ili CDN egress, ne za oba.
• Cena. Nije objavljena. Uslovi kažu da se adrese moraju koristiti „solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services“ (prevod: „isključivo u vezi sa domenima korisnika koji primaju Cloudflare-ove Enterprise usluge“).
• Trajanje. Najmanje pet sati BGP provisioning-a pre najave, i četiri do šest sati da se svaki service binding propagira. Konfiguracija Magic Transit-a „takes around one day to roll out“ (prevod: „uvodi se za oko jedan dan“).

Pre nego što počnete

Cloudflare ne može da uvede prefiks ako padne bilo koja provera registracije, IRR-a, RPKI-ja ili vlasništva. Pripremite sledeće:

Route objekat koji se tačno poklapa. Jedan route objekat po prefiksu koji uvodite, tačno za taj prefiks, sa poreklom koje će Cloudflare koristiti: AS13335 u standardnom postupku. Za proveru Cloudflare predlaže IRR Explorer ili whois -h rr.ntt.net 203.0.113.0/24.

Ispravan ROA za isto poreklo. Cloudflare traži da ga proverite u njegovom RPKI Portal-u i u drugom izvoru, kao što je Routinator (RPKI i ROA).

Letter of agency (LOA), Cloudflare-ov naziv za Letter of Authorization, koji traže njegovi tranzitni provajderi. Cloudflare ga generiše za Vas kada delegate_loa_creation podesite na true, što se oslanja na ROA i proveru vlasništva. Ručni LOA mora biti PDF i trebalo bi da bude na memorandumu kompanije sa svojeručnim potpisom, mada Cloudflare prihvata i digitalni potpis ako je jasno ko je potpisao. Tranzitni provajderi mogu da odbiju JPG ili PNG, a ručna obrada može da uspori uvođenje.

Mesto za validacioni token: opis (descr) ili remarks odgovarajućeg route objekta, ili cf-validation TXT zapis u svakoj reverse DNS zoni prefiksa.

ID naloga i API token sa dozvolama IP Prefixes.

Korak po korak

Ovo je Cloudflare-ov dokumentovani postupak za prefikse koji se ne koriste sa Magic Transit-om, koji ima sopstveno uvođenje preko account tima.

01Dodajte prefiks nalogu kojem će pripadati:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Sačuvajte id i ownership_validation_token iz odgovora.

02Objavite token. Dodajte cf-validation: <token> u route objekat, ili TXT zapis u reverse zone.

03Validirajte. Pošaljite POST na .../prefixes/$PREFIX_ID/validate. Kada provere IRR-a, RPKI-ja i vlasništva prođu, polje approved prefiksa glasi "V" i možete ukloniti token. Ako provera padne, detalji prefiksa prikazuju stanja kao što su missing, invalid ili mismatch_asn.

04Povežite prefiks sa uslugom. Svakom prefiksu treba podrazumevani service binding preko celog prefiksa; specifičniji binding-ovi mogu delove poslati na CDN ili Spectrum. Cloudflare pravi BGP prefiks u povučenom stanju. Računajte na najmanje pet sati i sačekajte da svaki binding bude aktivan.

05Najavite:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare kaže da najava obično traje dva do sedam minuta, a povlačenje oko 15.

06Za CDN napravite address map kada se prefiks najavi, da bi proxied DNS zapisi odgovarali Vašim adresama.

Zamke

• Route objekat koji pokriva širi opseg nije dovoljan. Cloudflare želi route objekat koji se tačno poklapa sa svakim prefiksom koji uvodite, sa ispravnim poreklom.
• Binding-ovi traju satima, a saobraćaj u međuvremenu trpi. Cloudflare kaže da su usluge za te adrese verovatno poremećene dok se binding propagira. Podesite binding-ove pre najave i menjajte ih van vršnih sati.
• Dve mreže najavljuju. Kada selite aktivan prefiks, pustite da Cloudflare najavi prvi, proverite ga na looking glass-u pod AS13335, pa onda povucite sopstvenu najavu. Ako ostavite svoju, deo saobraćaja može da zaobiđe Cloudflare.
• Pravilo od 15 minuta. Posle izmene najave prefiksa sačekajte najmanje 15 minuta pre nove izmene; API odbija ranije pozive sa greškom 1004 (HTTP 429, rate_limit_exceeded).

Ako zakupljujete blok

Cloudflare-ovi uslovi za pojedinačne usluge, poslednji put ažurirani 28. septembra 2026, ovo pokrivaju direktno. Ako niste zakoniti vlasnik adresa, „must obtain written authorization from the legal owner“ (prevod: „morate pribaviti pismeno ovlašćenje zakonitog vlasnika“) da bi ih Cloudflare najavljivao, a ako ga vlasnik povuče, Cloudflare može da prestane da ih najavljuje. Nosilac obavlja i deo u registru: ROA za AS13335, route objekat sa AS13335 kao poreklom i validacioni token u tom objektu, koji može da menja samo maintainer nosioca. Uslovi traže tačne WHOIS podatke i važeće IRR i RPKI unose u svakom trenutku, pa zakup koji istekne ili ROA koji se promeni može da skine prefiks sa Cloudflare-a.

Gde se uklapa RTM Networks

Dajemo u zakup /24 i veće iz sopstvenog adresnog prostora RIPE NCC-a i prodajemo blokove u regionima RIPE NCC-a, ARIN-a i APNIC-a. Za prostor koji zakupljujete od nas pravimo ROA i tačan route objekat za AS13335, dodajemo u njega Cloudflare-ov validacioni token i potpisujemo Letter of Authorization, pa Vam ostaju samo koraci u API-ju (zakup IPv4). Ako BYOIP nije u Vašem Cloudflare ugovoru, ili Vam treba manje od 256 adresa, najavljujemo blok i isporučujemo ga do Vašeg servera preko GRE ili WireGuard-a, do jedne adrese (GRE i WireGuard tuneli). Drugi provajderi: BYOIP vodiči.