BYOIP hos DigitalOcean: ta med dina egna IPv4-adresser till Droplets

Du visar kontroll över prefixet med ett certifikat i dess registerpost och ett meddelande signerat med samma nyckel. Efter DigitalOceans granskning fungerar adresserna som reserved IPs.

Vad DigitalOcean godtar

Enligt DigitalOceans dokumentation, den dag vi kontrollerade:

• Åtkomst. BYOIP ligger bakom en länk Request access längst ner på sidan Reserved IPs i Control Panel.
• Storlek. Ett /24 till ett /18, endast IPv4 (DigitalOceans gränser). Prefixets första och andra adress är reserverade, så ett /24 ger dig 254.
• Register. ARIN, RIPE NCC, APNIC eller något av de övriga regionala registren. DigitalOcean säger inget om PA-, PI- eller legacy-utrymme; det kräver att du kan logga in hos registret och uppdatera prefixets publika poster.
• Vem som annonserar. DigitalOcean, från AS393406.
• Var. Vilket datacenter som helst, men ett per prefix: adresserna kan bara tilldelas resurser i det datacenter du väljer.
• Vad som använder det. Droplets, var och en med en BYOIP-adress eller en reserved IP åt gången. Externa regionala lastbalanserare och publika NAT-gateways tar en BYOIP-adress bara när du skapar dem, och den kan inte ändras senare.
• Pris. ”Provisioning BYOIP address blocks and using BYOIP addresses is free.” (översättning: ”Att provisionera BYOIP-adressblock och använda BYOIP-adresser är gratis.”) Dataöverföring debiteras som bandbredd för Droplets.
• Tid. ”Expect a response within seven business days.” (översättning: ”Räkna med svar inom sju arbetsdagar.”)

Innan du börjar

En ROA för AS393406. Den måste tillåta att prefixet annonseras från DigitalOceans AS393406, och ditt register kan lagra den (RPKI och ROA). DigitalOcean anger ingen maxlängd. Behåll ROA:n för varje nät som annonserar blocket i dag tills du byter.

Ett nyckelpar och ett certifikat, skapade med OpenSSL. DigitalOceans exempel använder en ECC P-384-nyckel och godtar även RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Certifikatet i registerposten, på en rad. DigitalOcean läser det över RDAP, där det måste synas under IP Network, Remarks, Description. Vilket fält du redigerar beror på registret:

Hos de övriga registren använder du det fält som RDAP visar under Remarks, Description. rdap 203.0.113.0/24 visar om certifikatet finns där. DigitalOceans sida ber inte om något Letter of Authorization och inget route-objekt.

Verktyg. doctl, openssl och rdap på en Unix-kommandorad.

Steg för steg

01Begär åtkomst från sidan Reserved IPs, före allt annat.

02Signera provisioneringsmeddelandet. Det anger ditt teams UUID, som doctl account get -o json visar under team, och prefixet:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Skicka in begäran för en datacenterregion:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

I Control Panel är samma begäran Networking, Reserved IPs, Add your own IP prefix, som också frågar efter ett projekt.

04Vänta på granskningen. Prefixet visar Provisioning, sedan Active. doctl network byoip-prefix get <prefix-id> rapporterar in_progress tills det är klart.

05Annonsera. Ett nytt prefix annonseras inte förrän du slår på det:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Tilldela adresser. Till Droplets som du skulle göra med reserved IPs. För en lastbalanserare eller NAT-gateway anger du adressen med --ip när du skapar den (doctl 1.165.0 eller senare); prefixet måste vara Active och annonserat i samma region.

Misstag som kostar en dag

• En ROA för fel ASN hos DigitalOcean. ARIN:s register anger flera AS-nummer för DigitalOcean, bland dem AS14061. BYOIP-sidan nämner bara AS393406.
• Ett Active prefix som ingen når. Provisioneringen annonserar inte prefixet. Tills du sätter advertise till true kommer ingen trafik fram.
• Ett annonseringsproblem som lämnas till i morgon. DigitalOcean kontaktar dig om det ser en avvikelse i ditt prefix annonsering. Är problemet inte åtgärdat inom en arbetsdag från att det började, ”irrespective of your responsiveness” (översättning: ”oavsett hur snabbt du svarar”), avslutar DigitalOcean BYOIP för det prefixet och drar tillbaka det.
• Adresser för lastbalanserare och NAT är fasta. De sätts när resursen skapas, och globala och interna lastbalanserare kan inte använda BYOIP alls.
• Sidor som släpar efter. Sidan om begränsningar, senast uppdaterad den 13 juli 2026, säger fortfarande att BYOIP-adresser bara kan tilldelas Droplets. Instruktionssidorna från den 3 september 2026 lägger till lastbalanserare och NAT-gateways.
• E-post och omvänd DNS. Sidan om begränsningar säger att SMTP-portarna 25, 465 och 587 är blockerade och att PTR-poster inte stöds på reserved IPs, och säger inte om något av det gäller BYOIP-adresser. Fråga innan du flyttar en e-postserver.

Om du hyr blocket

DigitalOceans förutsättningar är skrivna för registranten: ”direct control and update authority” (översättning: ”direkt kontroll och behörighet att uppdatera”) över blocket, och en inloggning hos registret. Med hyrt utrymme gör innehavaren registerändringarna: certifikatet i posten, som bara innehavarens maintainer kan redigera, och ROA:n för AS393406. Du skapar nyckeln och certifikatet, skickar certifikatet till innehavaren och behåller den privata nyckeln för att signera begäran från ditt eget konto. DigitalOceans sidor säger inte om det godtar poster som en innehavare redigerar åt dig, så nämn hyresavtalet när du begär åtkomst.

Var RTM Networks passar in

Vi hyr ut /24 och större från vårt eget adressutrymme hos RIPE NCC, och säljer block i regionerna för RIPE NCC, ARIN och APNIC. För utrymme du hyr av oss lägger vi in ditt DigitalOcean-certifikat i registerposten och skapar ROA:n för AS393406, så att själva begäran är allt som återstår i ditt konto (hyr IPv4). Behöver du färre än 256 adresser på en Droplet annonserar vi ett block och levererar adresserna över GRE eller WireGuard, ner till en enda (GRE- och WireGuard-tunnlar). Andra leverantörer: BYOIP-guider.