BYOIP hos Cloudflare: dina egna IP-prefix på Cloudflares nät

Ett dokumenterat API-flöde kontrollerar prefixet mot IRR, RPKI och en ägartoken, och du kopplar det sedan till de tjänster som ska använda dess adresser.

Vad Cloudflare godtar

Enligt Cloudflares dokumentation, den dag vi kontrollerade:

• Vem. Enterprise-konton vars avtal omfattar BYOIP. Kontoteamet bekräftar detta, och kontots tjänstekonfiguration, innan du tar in prefixet.
• Storlek. Ett /24 eller större för IPv4; för IPv6 ett /48 upp till ett /32.
• Register. ARIN, RIPE NCC, APNIC eller något av de övriga regionala registren. Inget om PA-, PI- eller legacy-utrymme.
• Vem som annonserar. AS13335 i det dokumenterade flödet; för ditt eget ASN, fråga kontoteamet. Kunder som redan finns på Cloudflares AS209242 får behålla det, men nya intag använder AS13335.
• Var. Alla Cloudflares platser.
• Tjänster. Magic Transit, Spectrum, CDN:et samt DNS-platser och dedikerade utgående IP-adresser i Gateway. Magic Transit har ett eget intag, är ”not a self-serve product” (översättning: ”inte en självserviceprodukt”), och kan bara vara standardkopplingen för ett helt prefix. Ett prefix tjänar inkommande eller utgående CDN-trafik, inte båda.
• Pris. Inte publicerat. Villkoren säger att adresserna får användas ”solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services” (översättning: ”enbart i samband med kundens domäner som får Cloudflares Enterprise-tjänster”).
• Tid. Minst fem timmars BGP-provisionering innan du annonserar, och fyra till sex timmar för att varje service binding ska spridas. Magic Transits konfiguration ”takes around one day to roll out” (översättning: ”tar ungefär en dag att rulla ut”).

Innan du börjar

Cloudflare kan inte ta in ett prefix om någon kontroll av registrering, IRR, RPKI eller ägande misslyckas. Förbered detta:

Ett route-objekt som stämmer exakt. Ett route-objekt per prefix du tar in, för exakt det prefixet, med den origin som Cloudflare ska använda: AS13335 i standardflödet. För att kontrollera det föreslår Cloudflare IRR Explorer eller whois -h rr.ntt.net 203.0.113.0/24.

En korrekt ROA för samma origin. Cloudflare ber dig verifiera den i sin RPKI Portal och i en andra källa, till exempel Routinator (RPKI och ROA).

Ett letter of agency (LOA), Cloudflares namn på Letter of Authorization, som dess transitleverantörer kräver. Cloudflare skapar det åt dig när du sätter delegate_loa_creation till true, vilket bygger på ROA:n och ägarkontrollen. En manuell LOA måste vara en PDF, och bör vara på företagets brevpapper med en handskriven underskrift, även om Cloudflare godtar en digital underskrift om det är tydligt vem som skrev under. Transitleverantörer kan avvisa en JPG eller PNG, och manuell hantering kan bromsa intaget.

En plats för valideringstoken: beskrivningen (descr) eller remarks i det matchande route-objektet, eller en TXT-post cf-validation i varje omvänd DNS-zon för prefixet.

Ett konto-ID och en API-token med behörigheterna för IP Prefixes.

Steg för steg

Det här är Cloudflares dokumenterade flöde för prefix som inte används med Magic Transit, som har ett eget intag via kontoteamet.

01Lägg till prefixet i det konto som ska äga det:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Spara id och ownership_validation_token från svaret.

02Publicera token. Lägg till cf-validation: <token> i route-objektet, eller TXT-posten i de omvända zonerna.

03Validera. Skicka en POST till .../prefixes/$PREFIX_ID/validate. När kontrollerna av IRR, RPKI och ägande går igenom visar prefixets fält approved värdet "V", och du kan ta bort token. Misslyckas en kontroll visar prefixets detaljer statusar som missing, invalid eller mismatch_asn.

04Koppla prefixet till en tjänst. Varje prefix behöver en standardkoppling (service binding) över hela prefixet; mer specifika kopplingar kan skicka delar av det till CDN:et eller Spectrum. Cloudflare skapar BGP-prefixet i tillbakadraget läge. Räkna med minst fem timmar, och vänta tills varje koppling är aktiv.

05Annonsera:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare säger att annonseringen normalt tar två till sju minuter, och tillbakadragandet ungefär 15.

06För CDN:et, skapa en address map när prefixet annonseras, så att proxade DNS-poster svarar med dina adresser.

Fallgropar

• Ett täckande route-objekt räcker inte. Cloudflare vill ha ett route-objekt som stämmer exakt med varje prefix du tar in, med rätt origin.
• Kopplingar tar timmar, och trafiken lider under tiden. Cloudflare säger att tjänster för de berörda adresserna sannolikt störs medan en koppling sprids. Sätt upp kopplingarna innan du annonserar, och ändra dem utanför rusningstid.
• Två nät som annonserar. När du flyttar ett prefix i drift, låt Cloudflare annonsera först, kontrollera det i ett looking glass under AS13335 och dra sedan tillbaka din egen annonsering. Låter du din ligga kvar kan en del trafik gå förbi Cloudflare.
• 15-minutersregeln. Efter att du ändrat annonseringen av ett prefix, vänta minst 15 minuter innan du ändrar den igen; API:t avvisar tidigare anrop med fel 1004 (HTTP 429, rate_limit_exceeded).

Om du hyr blocket

Cloudflares tjänstespecifika villkor, senast uppdaterade den 28 september 2026, tar upp detta direkt. Är du inte juridisk ägare av adresserna ”must obtain written authorization from the legal owner” (översättning: ”måste du skaffa skriftligt godkännande från den juridiska ägaren”) för att Cloudflare ska annonsera dem, och drar ägaren tillbaka det kan Cloudflare sluta annonsera dem. Innehavaren sköter också registersidan: ROA:n för AS13335, route-objektet med AS13335 som origin och valideringstoken i det objektet, som bara innehavarens maintainer kan redigera. Villkoren kräver korrekta WHOIS-uppgifter och giltiga poster i IRR och RPKI hela tiden, så ett hyresavtal som upphör eller en ROA som ändras kan ta bort prefixet från Cloudflare.

Var RTM Networks passar in

Vi hyr ut /24 och större från vårt eget adressutrymme hos RIPE NCC, och säljer block i regionerna för RIPE NCC, ARIN och APNIC. För utrymme du hyr av oss skapar vi ROA:n och det exakta route-objektet för AS13335, lägger in Cloudflares valideringstoken i det och undertecknar Letter of Authorization, så att API-stegen är det som återstår för dig (hyr IPv4). Ingår BYOIP inte i ditt avtal med Cloudflare, eller behöver du färre än 256 adresser, annonserar vi ett block och levererar det till din server över GRE eller WireGuard, ner till en enda adress (GRE- och WireGuard-tunnlar). Andra leverantörer: BYOIP-guider.