BYOIP в Hetzner: собствени IP адреси в Hetzner

Облачните сървъри и стандартните dedicated сървъри на Hetzner използват адреси, които Hetzner присвоява, а документацията му за тях не казва нищо за внасяне на собствени: при тях начинът да използвате собствени адреси е тунел, вариант 2 по-долу. Това, което Hetzner урежда при заявка, е вариант 1, за custom bare-metal решения.

Вариант 1: BGP upstream на Hetzner

Hetzner посочва това сред специалните си оферти за colocation като интернет upstream с лична, резервирана BGP сесия. В деня на проверката документацията му казваше:

• Вие носите ASN и адресите. Upstream „requires an own ASN“ (превод: „изисква собствен ASN“), Вие анонсирате собствените си IP адреси, а Hetzner не предоставя такива за него.
• Две връзки. Връзката завършва на два резервирани backbone рутера, с BGP сесия на всеки, през две /30 транзитни мрежи, които Hetzner таксува отделно.
• Къде. Custom решения за dedicated сървъри, които се свързват през private network interconnect, така че местоположението им няма значение. Colocation шкафове и клетки във Фалкенщайн (FSN1-DC2), Нюрнберг (NBG1-DC2 и NBG1-DC4) и Хелзинки (HEL1-DC1), макар че засега Hetzner не може да предоставя colocation пространство.
• Кабели. Нужна е кабелна връзка до meet-me room на Hetzner или private interconnect за bare metal.

Трафикът се таксува отгоре по 1 € на TB, а всяка от двете /30 транзитни мрежи по 6,00 € на месец плюс 17,50 € за активиране. Всички тези цени са без ДДС. Цените на Hetzner се променят, затова проверете страницата, посочена в началото на това ръководство, преди да планирате бюджета.

Какво подготвяте

1. AS номер. Ако нямате, спонсориращ LIR може да го уреди за Вас (спонсорство на ASN).
2. /24 или по-голям. Hetzner не публикува минимум за този upstream, но останалата част от интернет филтрира всичко по-малко от /24, така че това е практическата долна граница.
3. ROA, който посочва Вашия ASN за префикса, с максимална дължина, равна на това, което ще анонсирате (RPKI и ROA).
4. Route обект за префикса с Вашия ASN като origin и aut-num обект, който посочва мрежата на Hetzner, AS24940, като Ваш доставчик (upstream). Страниците на Hetzner не посочват ASN на доставчика; AS24940 е на Hetzner Online според RIPE Database.
5. BGP speaker от Ваша страна: Вашият рутер или BIRD или FRR на сървър.

Сесиите

Поискайте от Hetzner upstream чрез акаунта си, като посочите Вашия ASN и префикса. Hetzner присвоява двете транзитни мрежи; след това вдигате по една сесия на връзка и анонсирате само своя префикс. Минимална сесия в BIRD 2, с примерни стойности (64500 за Вашия ASN, 203.0.113.0/24 за Вашия блок, 192.0.2.1 за страната на Hetzner в първата транзитна мрежа):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD анонсира само маршрути, които са в таблицата му, затова блокът protocol static поставя префикса Ви там; без него сесията се вдига и не анонсира нищо. Маршрутът unreachable отговаря само за адресите в блока, които никой интерфейс или по-специфичен маршрут не носи (документацията на BIRD 2, протоколът static). Втората сесия е същата към втората транзитна мрежа. Проверете анонсирането отвън, с looking glass или RPKI валидатор, преди да преместите трафик върху него.

Вариант 2: тунел, за Hetzner Cloud и dedicated сървъри

Ако сървърите Ви са в Hetzner Cloud или на стандартни dedicated машини, няма BGP сесия. Пак можете да използвате собствени адреси на тях: мрежа, която може да анонсира блока, го анонсира, а GRE или WireGuard тунел пренася трафика му до сървъра Ви в Hetzner и обратно. Сървърът вижда адресите, сякаш са локални (как работи тунелът).

Три неща, които трябва да са наред:

• Отговорите се връщат през тунела. Добавете policy route, така че трафикът от блока да излиза през тунела, както показва ръководството за GRE. Изпратен направо, той би носил адрес на източника, който Hetzner никога не е присвоявал на сървъра, а мрежите филтрират такъв трафик.
• Отворете защитната стена за тунела. Ако използвате Hetzner Cloud Firewall, разрешете GRE (IP протокол 47) или UDP порта на WireGuard от другия край на тунела.
• Задайте MTU. 1476 байта за GRE, около 1420 за WireGuard, с MSS clamping, ако сървърът маршрутизира блока нататък към виртуални машини.

Тунелът решава и проблема, който BYOIP никога не решава: може да достави по-малко от 256 адреса, до един-единствен.

Ако наемате блока

При BGP upstream държателят на блока поема работата в регистъра: ROA за Вашия ASN, route обекта и, ако Hetzner поиска, Letter of Authorization, който посочва Вашия ASN и Hetzner като мрежата, която го пренася. При тунел в Hetzner не се променя нищо; мрежата в другия край анонсира блока, а държателят трябва само да упълномощи тази мрежа.

Къде се вписва RTM Networks

Отдаваме под наем /24 и по-големи блокове от собственото си адресно пространство в RIPE NCC, с ROA, route обекта и Letter of Authorization, настроени за Вашия ASN (наем на IPv4), и продаваме блокове в регионите на RIPE NCC, ARIN и APNIC. Спонсорираме AS номера за организации, които нямат собствен LIR. За Hetzner Cloud и dedicated сървъри анонсираме блока сами и го доставяме до сървъра Ви през GRE или WireGuard, във всякакъв размер до един адрес (GRE и WireGuard тунели). Кажете ни кой продукт на Hetzner използвате и колко адреса са Ви нужни. Още доставчици има в нашите ръководства за BYOIP.