DigitalOcean BYOIP: sopstvene IPv4 adrese na Droplet-ima

Kontrolu nad prefiksom dokazujete sertifikatom u njegovom zapisu registra i porukom potpisanom istim ključem. Posle DigitalOcean-ovog pregleda adrese rade kao reserved IPs.

Šta DigitalOcean prihvata

Iz DigitalOcean-ove dokumentacije, na dan kada smo proverili:

• Pristup. BYOIP se nalazi iza linka Request access pri dnu stranice Reserved IPs u Control Panel-u.
• Veličina. /24 do /18, samo IPv4 (ograničenja DigitalOcean-a). Prva i druga adresa prefiksa su rezervisane, pa /24 daje 254.
• Registar. ARIN, RIPE NCC, APNIC ili neki od ostalih regionalnih registara. DigitalOcean ne kaže ništa o PA, PI ili legacy prostoru; traži da možete da se prijavite u registar i ažurirate javne zapise prefiksa.
• Ko najavljuje (poreklo rute). DigitalOcean, sa AS393406.
• Gde. Bilo koji data centar, ali jedan po prefiksu: adrese se mogu dodeliti samo resursima u data centru koji izaberete.
• Šta ga koristi. Droplet-i, svaki sa najviše jednom BYOIP ili reserved IP adresom u jednom trenutku. Eksterni regionalni load balancer-i i javni NAT gateway-i primaju BYOIP adresu samo pri pravljenju, i ona se kasnije ne može promeniti.
• Cena. „Provisioning BYOIP address blocks and using BYOIP addresses is free.“ (prevod: „Provisioning BYOIP blokova adresa i korišćenje BYOIP adresa su besplatni.“) Prenos podataka naplaćuje se kao Droplet propusni opseg.
• Trajanje. „Expect a response within seven business days.“ (prevod: „Očekujte odgovor u roku od sedam radnih dana.“)

Pre nego što počnete

ROA za AS393406. Mora da dozvoli da prefiks ima poreklo sa DigitalOcean-ovog AS393406, a Vaš registar može da ga hostuje (RPKI i ROA). DigitalOcean ne navodi maksimalnu dužinu. ROA bilo koje mreže koja danas najavljuje blok zadržite dok ne prebacite.

Par ključeva i sertifikat, napravljeni pomoću OpenSSL-a. DigitalOcean-ov primer koristi ECC P-384 ključ, a prihvata i RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Sertifikat u zapisu registra, u jednom redu. DigitalOcean ga čita preko RDAP-a, gde mora da se pojavi pod IP Network, Remarks, Description. Polje koje menjate zavisi od registra:

Kod ostalih registara koristite polje koje RDAP prikazuje pod Remarks, Description. rdap 203.0.113.0/24 pokazuje da li je sertifikat tamo. DigitalOcean-ova stranica ne traži Letter of Authorization ni route objekat.

Alati. doctl, openssl i rdap u Unix komandnoj liniji.

Korak po korak

01Zatražite pristup sa stranice Reserved IPs, pre svega ostalog.

02Potpišite poruku za provisioning. Ona navodi UUID Vašeg tima, koji doctl account get -o json prikazuje pod team, i prefiks:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Podnesite zahtev za jedan region data centra:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

U Control Panel-u isti zahtev je Networking, Reserved IPs, Add your own IP prefix, koji traži i projekat.

04Sačekajte pregled. Prefiks prikazuje Provisioning, pa Active. doctl network byoip-prefix get <prefix-id> prijavljuje in_progress dok se ne završi.

05Najavite. Novi prefiks se ne najavljuje dok ga ne uključite:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Dodelite adrese. Droplet-ima kao što biste dodelili reserved IPs. Za load balancer ili NAT gateway, prosledite adresu sa --ip pri pravljenju (doctl 1.165.0 ili noviji); prefiks mora biti Active i najavljen u istom regionu.

Greške koje koštaju dan

• ROA za pogrešan DigitalOcean ASN. ARIN-ov registar navodi nekoliko AS brojeva za DigitalOcean, među njima AS14061. BYOIP stranica navodi samo AS393406.
• Active prefiks do kojeg niko ne može da dođe. Provisioning ne najavljuje prefiks. Dok advertise ne podesite na true, saobraćaj ne stiže.
• Problem sa najavom ostavljen za sutra. DigitalOcean Vas kontaktira ako uoči anomaliju u najavi Vašeg prefiksa. Ako se problem ne reši u roku od jednog radnog dana od početka, „irrespective of your responsiveness“ (prevod: „bez obzira na Vašu odzivnost“), DigitalOcean prekida BYOIP za taj prefiks i povlači ga.
• Adrese load balancer-a i NAT-a su fiksne. Podešavaju se pri pravljenju, a globalni i interni load balancer-i uopšte ne mogu da koriste BYOIP.
• Stranice koje kasne. Stranica sa ograničenjima, poslednji put ažurirana 13. jula 2026, i dalje kaže da se BYOIP adrese mogu dodeliti samo Droplet-ima. Uputstva od 3. septembra 2026. dodaju load balancer-e i NAT gateway-e.
• Pošta i reverse DNS. Stranica sa ograničenjima kaže da su SMTP portovi 25, 465 i 587 blokirani, a PTR zapisi nepodržani na reserved IPs, i ne kaže da li se išta od toga odnosi na BYOIP adrese. Pitajte pre nego što preselite mail server.

Ako zakupljujete blok

DigitalOcean-ovi preduslovi napisani su za registranta: „direct control and update authority“ (prevod: „direktna kontrola i ovlašćenje za ažuriranje“) nad blokom i prijava u registar. Kod zakupljenog prostora izmene u registru pravi nosilac: sertifikat u zapisu, koji može da menja samo maintainer nosioca, i ROA za AS393406. Vi pravite ključ i sertifikat, šaljete sertifikat nosiocu i zadržavate privatni ključ da biste potpisali zahtev iz sopstvenog naloga. DigitalOcean-ove stranice ne kažu da li prihvata zapise koje nosilac menja za Vas, pa pomenite zakup kada tražite pristup.

Gde se uklapa RTM Networks

Dajemo u zakup /24 i veće iz sopstvenog adresnog prostora RIPE NCC-a i prodajemo blokove u regionima RIPE NCC-a, ARIN-a i APNIC-a. Za prostor koji zakupljujete od nas dodajemo Vaš DigitalOcean sertifikat u zapis registra i pravimo ROA za AS393406, pa u Vašem nalogu ostaje samo sam zahtev (zakup IPv4). Ako Vam treba manje od 256 adresa na Droplet-u, najavljujemo blok i isporučujemo adrese preko GRE ili WireGuard-a, do jedne jedine (GRE i WireGuard tuneli). Drugi provajderi: BYOIP vodiči.