Cloudflare BYOIP: Cloudflare ağında kendi IP prefix'leriniz

Belgelenmiş bir API akışı, prefix'i IRR, RPKI ve bir sahiplik token'ına karşı kontrol eder; ardından onu, adreslerini kullanacak hizmetlere bağlarsınız.

Cloudflare neyi kabul ediyor

Kontrol ettiğimiz gün Cloudflare belgelerine göre:

• Kim. Sözleşmesi BYOIP içeren Enterprise hesaplar. Onboard etmeden önce hesap ekibi bunu ve hesabın hizmet yapılandırmasını teyit eder.
• Boyut. IPv4 için bir /24 veya daha büyüğü; IPv6 için /48 ile /32 arası.
• Kayıt. ARIN, RIPE NCC, APNIC veya diğer bölgesel kayıt kuruluşlarından biri. PA, PI veya legacy alan hakkında hiçbir şey yok.
• Kim anons eder. Belgelenmiş akışta AS13335; kendi ASN'niz için hesap ekibine sorun. Cloudflare'in AS209242'sinde halihazırda bulunan müşteriler onu koruyabilir, ancak yeni onboarding'ler AS13335 kullanır.
• Nerede. Tüm Cloudflare lokasyonları.
• Hizmetler. Magic Transit, Spectrum, CDN ve Gateway DNS lokasyonları ile dedicated egress IP'ler. Magic Transit'in kendi onboarding'i vardır, “not a self-serve product” (çeviri: “self servis bir ürün değildir”) ve yalnızca tüm bir prefix'in varsayılan binding'i olabilir. Bir prefix CDN ingress'e veya CDN egress'e hizmet eder, ikisine birden değil.
• Fiyat. Yayımlanmamış. Şartlar, adreslerin “solely in connection with the Customer's domains that are receiving Cloudflare's Enterprise Services” (çeviri: “yalnızca Müşterinin Cloudflare'in Enterprise Hizmetlerini alan alan adlarıyla bağlantılı olarak”) kullanılması gerektiğini söylüyor.
• Süre. Anons etmeden önce en az beş saatlik BGP provizyonu ve her service binding'in yayılması için dört ila altı saat. Magic Transit'in yapılandırması “takes around one day to roll out” (çeviri: “devreye girmesi yaklaşık bir gün sürer”).

Başlamadan önce

Herhangi bir kayıt, IRR, RPKI veya sahiplik kontrolü başarısız olursa Cloudflare bir prefix'i onboard edemez. Şunları hazırlayın:

Tam olarak eşleşen bir route nesnesi. Onboard ettiğiniz her prefix için, tam olarak o prefix için, Cloudflare'in kullanacağı origin ile bir route nesnesi: standart akışta AS13335. Kontrol etmek için Cloudflare, IRR Explorer'ı veya whois -h rr.ntt.net 203.0.113.0/24 komutunu öneriyor.

Aynı origin için doğru bir ROA. Cloudflare onu kendi RPKI Portal'ında ve Routinator gibi ikinci bir kaynakta doğrulamanızı ister (RPKI ve ROA'lar).

Bir letter of agency (LOA), Cloudflare'in transit sağlayıcılarının istediği Yetki Belgesine (Letter of Authorization) verdiği ad. delegate_loa_creation değerini true yaptığınızda Cloudflare onu sizin için oluşturur; bu, ROA'ya ve sahiplik kontrolüne dayanır. Elle hazırlanan bir LOA PDF olmalı, şirket antetli kâğıdında ve ıslak imzalı olmalıdır; yine de kimin imzaladığı açıksa Cloudflare dijital imzayı kabul eder. Transit sağlayıcılar JPG veya PNG'yi reddedebilir ve elle işleme onboarding'i yavaşlatabilir.

Doğrulama token'ı için bir yer: eşleşen route nesnesinin açıklaması (descr) veya remarks alanı ya da prefix'in her reverse DNS zone'unda bir cf-validation TXT kaydı.

Bir hesap ID'si ve bir API token'ı, IP Prefixes izinleriyle.

Adım adım

Bu, hesap ekibi üzerinden kendi onboarding'i olan Magic Transit ile kullanılmayan prefix'ler için Cloudflare'in belgelenmiş akışıdır.

01Prefix'i ekleyin, ona sahip olacak hesaba:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes" \
  --request POST --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"cidr":"203.0.113.0/24","asn":13335,"delegate_loa_creation":true}'

Yanıttaki id ve ownership_validation_token değerlerini kaydedin.

02Token'ı yayımlayın. Route nesnesine cf-validation: <token> ekleyin veya TXT kaydını reverse zone'lara ekleyin.

03Doğrulayın. .../prefixes/$PREFIX_ID/validate adresine bir POST gönderin. IRR, RPKI ve sahiplik kontrolleri geçtiğinde prefix'in approved alanı "V" olur ve token'ı kaldırabilirsiniz. Bir kontrol başarısız olursa, prefix ayrıntıları missing, invalid veya mismatch_asn gibi durumlar gösterir.

04Prefix'i bir hizmete bağlayın. Her prefix'in tüm prefix'i kapsayan varsayılan bir service binding'e ihtiyacı vardır; daha spesifik binding'ler onun parçalarını CDN'e veya Spectrum'a gönderebilir. Cloudflare BGP prefix'ini geri çekilmiş (withdrawn) durumda oluşturur. En az beş saat ayırın ve her binding aktif olana kadar bekleyin.

05Anons edin:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/addressing/prefixes/$PREFIX_ID/bgp/prefixes/$BGP_PREFIX_ID" \
  --request PATCH --header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
  --json '{"on_demand":{"advertised":true}}'

Cloudflare, anons etmenin genellikle iki ila yedi dakika, geri çekmenin ise yaklaşık 15 dakika sürdüğünü söylüyor.

06CDN için, prefix anons edildikten sonra bir address map oluşturun; böylece proxy'lenen DNS kayıtları sizin adreslerinizle yanıt verir.

Tuzaklar

• Kapsayan bir route nesnesi yetmez. Cloudflare, onboard ettiğiniz her prefix ile tam olarak eşleşen, doğru origin'li bir route nesnesi ister.
• Binding'ler saatler sürer ve bu arada trafik etkilenir. Cloudflare, bir binding yayılırken ilgili adreslerin hizmetlerinin muhtemelen kesintiye uğrayacağını söylüyor. Binding'leri anons etmeden önce kurun ve yoğun saatler dışında değiştirin.
• İki ağın anons etmesi. Canlı bir prefix'i taşırken, önce Cloudflare'in anons etmesine izin verin, AS13335 altında bir looking glass'ta kontrol edin, sonra kendi anonsunuzu geri çekin. Sizinkini açık bırakırsanız trafiğin bir kısmı Cloudflare'i atlayabilir.
• 15 dakika kuralı. Bir prefix'in anonsunu değiştirdikten sonra yeniden değiştirmeden önce en az 15 dakika bekleyin; API daha erken çağrıları 1004 (HTTP 429, rate_limit_exceeded) hatasıyla reddeder.

Bloğu kiralıyorsanız

Cloudflare'in en son 28 Eylül 2026'da güncellenen hizmete özel şartları bunu doğrudan ele alıyor. Adreslerin yasal sahibi değilseniz, Cloudflare'in onları anons etmesi için “must obtain written authorization from the legal owner” (çeviri: “yasal sahipten yazılı yetkilendirme almalısınız”) ve sahip bunu geri çekerse Cloudflare onları anons etmeyi durdurabilir. Kayıt tarafını da blok sahibi yapar: AS13335 için ROA, origin'i AS13335 olan route nesnesi ve yalnızca sahibin maintainer'ının düzenleyebildiği o nesnedeki doğrulama token'ı. Şartlar her zaman doğru WHOIS verisi ve geçerli IRR ve RPKI kayıtları istiyor; bu yüzden sona eren bir kiralama veya değişen bir ROA prefix'i Cloudflare'den düşürebilir.

RTM Networks'ün yeri

Kendi RIPE NCC adres alanımızdan /24 ve daha büyük bloklar kiralarız ve RIPE NCC, ARIN ve APNIC bölgelerinde blok satarız. Bizden kiralanan alan için AS13335 adına ROA'yı ve tam eşleşen route nesnesini oluşturur, Cloudflare'in doğrulama token'ını ona ekler ve Yetki Belgesini imzalarız; böylece size API adımları kalır (IPv4 kiralama). BYOIP Cloudflare sözleşmenizde yoksa veya 256'dan az adrese ihtiyacınız varsa, bir bloğu anons eder ve onu GRE veya WireGuard üzerinden, tek bir adrese kadar sunucunuza ulaştırırız (GRE ve WireGuard tünelleri). Diğer sağlayıcılar: BYOIP rehberleri.