DigitalOcean BYOIP: kendi IPv4 adreslerinizi Droplet'lere getirin

Prefix'in kontrolünü, kayıt nesnesindeki bir sertifika ve aynı anahtarla imzalanmış bir mesajla kanıtlarsınız. DigitalOcean'ın incelemesinden sonra adresler reserved IP'ler gibi çalışır.

DigitalOcean neyi kabul ediyor

Kontrol ettiğimiz gün DigitalOcean belgelerine göre:

• Erişim. BYOIP, Control Panel'deki Reserved IPs sayfasının altındaki bir Request access bağlantısının arkasındadır.
• Boyut. Bir /24 ile bir /18 arası, yalnızca IPv4 (DigitalOcean'ın limitleri). Prefix'in birinci ve ikinci adresleri rezervedir; bu yüzden bir /24 size 254 adres verir.
• Kayıt. ARIN, RIPE NCC, APNIC veya diğer bölgesel kayıt kuruluşlarından biri. DigitalOcean PA, PI veya legacy alan hakkında hiçbir şey söylemiyor; kayıt kuruluşunda oturum açıp prefix'in genel kayıtlarını güncelleyebilmenizi istiyor.
• Kim anons eder. DigitalOcean, AS393406'dan.
• Nerede. Herhangi bir veri merkezi, ancak prefix başına bir tane: adresler yalnızca seçtiğiniz veri merkezindeki kaynaklara atanabilir.
• Onu ne kullanır. Droplet'ler, her biri aynı anda bir BYOIP veya reserved IP ile. Harici bölgesel load balancer'lar ve genel NAT gateway'ler bir BYOIP adresini yalnızca onları oluştururken alır ve sonradan değiştirilemez.
• Fiyat. “Provisioning BYOIP address blocks and using BYOIP addresses is free.” (çeviri: “BYOIP adres bloklarını provizyonlamak ve BYOIP adreslerini kullanmak ücretsizdir.”) Veri aktarımı Droplet bant genişliği olarak faturalandırılır.
• Süre. “Expect a response within seven business days.” (çeviri: “Yedi iş günü içinde bir yanıt bekleyin.”)

Başlamadan önce

AS393406 için bir ROA. Prefix'in DigitalOcean'ın AS393406'sından anons edilmesine izin vermeli ve kayıt kuruluşunuz onu barındırabilir (RPKI ve ROA'lar). DigitalOcean bir maksimum uzunluk belirtmiyor. Bugün bloğu anons eden her ağın ROA'sını geçiş yapana kadar koruyun.

Bir anahtar çifti ve bir sertifika, OpenSSL ile oluşturulmuş. DigitalOcean'ın örneği bir ECC P-384 anahtarı kullanır ve RSA'yı da kabul eder:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Kayıt nesnesindeki sertifika, tek satırda. DigitalOcean onu RDAP üzerinden okur; orada IP Network, Remarks, Description altında görünmelidir. Düzenlediğiniz alan kayıt kuruluşuna bağlıdır:

Diğer kayıt kuruluşlarında RDAP'nin Remarks, Description altında gösterdiği alanı kullanın. rdap 203.0.113.0/24 sertifikanın orada olup olmadığını gösterir. DigitalOcean'ın sayfası Yetki Belgesi (Letter of Authorization) veya route nesnesi istemiyor.

Araçlar. Bir Unix komut satırında doctl, openssl ve rdap.

Adım adım

01Erişim talep edin, her şeyden önce Reserved IPs sayfasından.

02Provizyon mesajını imzalayın. Mesaj, doctl account get -o json komutunun team altında gösterdiği ekibinizin UUID'sini ve prefix'i belirtir:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Talebi gönderin, tek bir veri merkezi bölgesi için:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

Control Panel'de aynı talep Networking, Reserved IPs, Add your own IP prefix yoludur ve bir proje de ister.

04İncelemeyi bekleyin. Prefix önce Provisioning, sonra Active gösterir. doctl network byoip-prefix get <prefix-id> bitene kadar in_progress bildirir.

05Anons edin. Yeni bir prefix siz açana kadar anons edilmez:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Adres atayın. Droplet'lere, reserved IP'lerde yaptığınız gibi. Bir load balancer veya NAT gateway için adresi oluştururken --ip ile verin (doctl 1.165.0 veya daha yenisi); prefix aynı bölgede Active ve anons edilmiş olmalıdır.

Bir gün kaybettiren hatalar

• Yanlış DigitalOcean ASN'si için bir ROA. ARIN'in kaydı DigitalOcean için aralarında AS14061'in de bulunduğu birkaç AS numarası listeliyor. BYOIP sayfası yalnızca AS393406'yı adlandırıyor.
• Kimsenin ulaşamadığı Active bir prefix. Provizyon prefix'i anons etmez. advertise değerini true yapana kadar hiçbir trafik gelmez.
• Yarına bırakılan bir anons sorunu. DigitalOcean, prefix'inizin anonsunda bir anormallik görürse sizinle iletişime geçer. Sorun başladığı andan itibaren bir iş günü içinde giderilmezse, “irrespective of your responsiveness” (çeviri: “ne kadar hızlı yanıt verdiğinizden bağımsız olarak”), DigitalOcean o prefix için BYOIP'yi sonlandırır ve onu geri çeker.
• Load balancer ve NAT adresleri sabittir. Oluşturma sırasında belirlenirler ve global ve internal load balancer'lar BYOIP'yi hiç kullanamaz.
• Geride kalan sayfalar. En son 13 Temmuz 2026'da güncellenen limitler sayfası hâlâ BYOIP adreslerinin yalnızca Droplet'lere atanabileceğini söylüyor. 3 Eylül 2026 tarihli nasıl yapılır sayfaları load balancer'ları ve NAT gateway'leri ekliyor.
• E-posta ve reverse DNS. Limitler sayfası, reserved IP'lerde 25, 465 ve 587 numaralı SMTP portlarının engellendiğini ve PTR kayıtlarının desteklenmediğini söylüyor, ancak bunlardan herhangi birinin BYOIP adreslerine uygulanıp uygulanmadığını söylemiyor. Bir e-posta sunucusunu taşımadan önce sorun.

Bloğu kiralıyorsanız

DigitalOcean'ın ön koşulları kayıt sahibi için yazılmıştır: blok üzerinde “direct control and update authority” (çeviri: “doğrudan kontrol ve güncelleme yetkisi”) ve kayıt kuruluşunda bir oturum. Kiralanmış alanda kayıt değişikliklerini blok sahibi yapar: yalnızca sahibin maintainer'ının düzenleyebildiği kayıttaki sertifika ve AS393406 için ROA. Anahtarı ve sertifikayı siz oluşturur, sertifikayı sahibe gönderir ve talebi kendi hesabınızdan imzalamak için özel anahtarı saklarsınız. DigitalOcean'ın sayfaları, bir sahibin sizin için düzenlediği kayıtları kabul edip etmediğini söylemiyor; bu yüzden erişim talep ederken kiralamadan bahsedin.

RTM Networks'ün yeri

Kendi RIPE NCC adres alanımızdan /24 ve daha büyük bloklar kiralarız ve RIPE NCC, ARIN ve APNIC bölgelerinde blok satarız. Bizden kiralanan alan için DigitalOcean sertifikanızı kayıt nesnesine ekler ve AS393406 için ROA'yı oluştururuz; böylece hesabınızda yalnızca talebin kendisi kalır (IPv4 kiralama). Bir Droplet'te 256'dan az adrese ihtiyacınız varsa, bir bloğu anons eder ve adresleri GRE veya WireGuard üzerinden, tek bir adrese kadar ulaştırırız (GRE ve WireGuard tünelleri). Diğer sağlayıcılar: BYOIP rehberleri.