BYOIP у DigitalOcean: власні IPv4-адреси для Droplets

Ви доводите контроль над префіксом сертифікатом у його записі реєстру і повідомленням, підписаним тим самим ключем. Після розгляду DigitalOcean адреси працюють як reserved IPs.

Що приймає DigitalOcean

З документації DigitalOcean, у день нашої перевірки:

• Доступ. BYOIP прихований за посиланням Request access внизу сторінки Reserved IPs у Control Panel.
• Розмір. Від /24 до /18, лише IPv4 (ліміти DigitalOcean). Перша і друга адреси префікса зарезервовані, тож /24 дає вам 254.
• Реєстр. ARIN, RIPE NCC, APNIC або один з інших регіональних реєстрів. DigitalOcean нічого не каже про простір PA, PI чи legacy; він вимагає, щоб ви могли увійти в реєстр і оновити публічні записи префікса.
• Хто анонсує. DigitalOcean, з AS393406.
• Де. Будь-який дата-центр, але один на префікс: адреси можна призначати лише ресурсам у вибраному вами дата-центрі.
• Що може його використовувати. Droplets, кожен з однією адресою BYOIP або reserved IP водночас. Зовнішні регіональні балансувальники навантаження і публічні шлюзи NAT приймають адресу BYOIP лише під час створення, і змінити її пізніше не можна.
• Ціна. «Provisioning BYOIP address blocks and using BYOIP addresses is free.» (переклад: «Надання блоків адрес BYOIP і використання адрес BYOIP безкоштовні.») Передача даних оплачується як трафік Droplet.
• Терміни. «Expect a response within seven business days.» (переклад: «Очікуйте відповіді протягом семи робочих днів.»)

Перед початком

ROA для AS393406. Він має дозволяти анонс префікса з AS393406 від DigitalOcean, і розмістити його може ваш реєстр (RPKI та ROA). DigitalOcean не вказує максимальної довжини. Зберігайте ROA будь-якої мережі, що анонсує блок сьогодні, доки не перемкнете.

Пара ключів і сертифікат, створені за допомогою OpenSSL. Приклад DigitalOcean використовує ключ ECC P-384 і також приймає RSA:

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-384 -out private_key.pem
openssl req -new -x509 -key private_key.pem -days 365 -out x509_certificate.pem
cat x509_certificate.pem | tr -d "\n" > encoded_x509_certificate.pem

Сертифікат у записі реєстру, в одному рядку. DigitalOcean читає його через RDAP, де він має з’являтися в IP Network, Remarks, Description. Поле, яке ви редагуєте, залежить від реєстру:

В інших реєстрах використайте те поле, яке RDAP показує в Remarks, Description. rdap 203.0.113.0/24 показує, чи є там сертифікат. Сторінка DigitalOcean не вимагає ні листа авторизації, ні об’єкта route.

Інструменти. doctl, openssl і rdap у командному рядку Unix.

Крок за кроком

01Запитайте доступ на сторінці Reserved IPs, перш за все.

02Підпишіть повідомлення надання. Воно називає UUID вашої команди, який doctl account get -o json показує в team, і префікс:

echo -n "DO|<team_uuid>|203.0.113.0/24" | openssl dgst -sign private_key.pem -keyform pem -sha256 -out signature_file.txt
cat signature_file.txt | openssl base64 | tr -- '+=/' '-_~' | tr -d "\n" > encoded_signature_file.txt

03Подайте запит для одного регіону дата-центру:

doctl network byoip-prefix create --prefix 203.0.113.0/24 --region ams3 \
  --signature "$(cat encoded_signature_file.txt)"

У Control Panel той самий запит це Networking, Reserved IPs, Add your own IP prefix, де також запитують проєкт.

04Дочекайтеся розгляду. Префікс показує Provisioning, потім Active. doctl network byoip-prefix get <prefix-id> повідомляє in_progress, доки процес не завершиться.

05Анонсуйте. Новий префікс не анонсується, доки ви його не ввімкнете:

doctl network byoip-prefix update <prefix-id> --advertise=true

06Призначте адреси. Для Droplets так само, як reserved IPs. Для балансувальника навантаження чи шлюзу NAT передайте адресу через --ip під час створення (doctl 1.165.0 або новіший); префікс має бути Active і анонсований у тому самому регіоні.

Помилки, що коштують дня

• ROA не для того ASN DigitalOcean. Реєстр ARIN вказує для DigitalOcean кілька номерів AS, серед них AS14061. Сторінка про BYOIP називає лише AS393406.
• Префікс Active, до якого ніхто не може дістатися. Надання не анонсує префікс. Доки ви не встановите advertise на true, трафік не приходить.
• Проблему з анонсом відкладено на завтра. DigitalOcean зв’язується з вами, якщо бачить аномалію в анонсі вашого префікса. Якщо проблему не усунуто протягом одного робочого дня від її початку, «irrespective of your responsiveness» (переклад: «незалежно від вашої оперативності»), DigitalOcean припиняє BYOIP для цього префікса і відкликає його.
• Адреси балансувальників і NAT фіксовані. Вони задаються під час створення, а глобальні та внутрішні балансувальники навантаження взагалі не можуть використовувати BYOIP.
• Сторінки, що відстають. Сторінка обмежень, востаннє оновлена 13 липня 2026 р., досі каже, що адреси BYOIP можна призначати лише Droplets. Інструкції від 3 вересня 2026 р. додають балансувальники навантаження і шлюзи NAT.
• Пошта і зворотний DNS. Сторінка обмежень каже, що порти SMTP 25, 465 і 587 заблоковані, а записи PTR не підтримуються для reserved IPs, і не каже, чи стосується це адрес BYOIP. Запитайте, перш ніж переносити поштовий сервер.

Якщо ви орендуєте блок

Передумови DigitalOcean написані для реєстранта: «direct control and update authority» (переклад: «прямий контроль і повноваження на оновлення») над блоком і вхід у реєстр. З орендованим простором зміни в реєстрі вносить власник: сертифікат у записі, який може редагувати лише maintainer власника, і ROA для AS393406. Ви створюєте ключ і сертифікат, надсилаєте власнику сертифікат і зберігаєте приватний ключ, щоб підписати запит зі свого облікового запису. Сторінки DigitalOcean не кажуть, чи приймає він записи, які за вас редагує власник, тож згадайте оренду, коли запитуватимете доступ.

Де тут RTM Networks

Ми здаємо в оренду /24 і більші блоки з нашого власного адресного простору RIPE NCC і продаємо блоки в регіонах RIPE NCC, ARIN та APNIC. Для простору, орендованого в нас, ми додаємо ваш сертифікат DigitalOcean до запису реєстру і створюємо ROA для AS393406, тож у вашому обліковому записі залишається лише сам запит (оренда IPv4). Якщо вам потрібно менше ніж 256 адрес на Droplet, ми анонсуємо блок і доставляємо адреси через GRE або WireGuard, аж до однієї (GRE- і WireGuard-тунелі). Інші провайдери: посібники BYOIP.