BYOIP u Hetzner: vlastní IP adresy u Hetzner

Cloudové servery a standardní dedikované servery Hetzner používají adresy, které přiděluje Hetzner, a jeho dokumentace k nim o přinesení vlastních nic neříká: na nich je cestou k vlastním adresám tunel, možnost 2 níže. Co Hetzner zařídí na vyžádání, je možnost 1, pro bare-metal řešení na míru.

Možnost 1: BGP upstream od Hetzner

Hetzner to uvádí mezi speciálními nabídkami colocation jako internetový upstream s osobní, redundantní BGP session. V den, kdy jsme to kontrolovali, jeho dokumentace uváděla:

• ASN a adresy přinášíte vy. Upstream „requires an own ASN“ (překlad: „vyžaduje vlastní ASN“), announcujete vlastní IP adresy a Hetzner k němu žádné nedodává.
• Dva uplinky. Připojení končí na dvou redundantních páteřních routerech, s BGP session na každém, přes dvě transferové sítě /30, které Hetzner účtuje zvlášť.
• Kde. Řešení na míru pro dedikované servery, které se připojují přes privátní síťové propojení, takže na jejich lokalitě nezáleží. Colocation racky a cage ve Falkensteinu (FSN1-DC2), Norimberku (NBG1-DC2 a NBG1-DC4) a Helsinkách (HEL1-DC1), i když Hetzner nyní colocation prostor poskytnout nemůže.
• Kabeláž. Potřebuje kabeláž do meet-me room Hetzner, nebo u bare metalu privátní propojení.

Provoz se navíc účtuje za 1 € za TB a každá ze dvou transferových sítí /30 za 6,00 € měsíčně plus 17,50 € za zřízení. Všechny tyto ceny jsou bez DPH. Ceny Hetzner se mění, proto si před plánováním rozpočtu zkontrolujte stránku odkázanou v záhlaví tohoto návodu.

Co připravíte

1. Číslo AS. Pokud ho nemáte, může ho pro vás zařídit sponzorující LIR (sponzorství ASN).
2. /24 nebo větší. Hetzner pro tento upstream žádné minimum nezveřejňuje, ale zbytek internetu filtruje vše menší než /24, takže to je praktické minimum.
3. ROA, který pro prefix uvádí vaše ASN, s maximální délkou nastavenou na to, co budete announcovat (RPKI a ROA).
4. Route objekt pro prefix s vaším ASN jako originem a objekt aut-num, který uvádí síť Hetzner, AS24940, jako váš upstream. Stránky Hetzneru ASN upstreamu neuvádějí; AS24940 patří podle RIPE Database společnosti Hetzner Online.
5. BGP speaker na vaší straně: váš router, nebo BIRD či FRR na serveru.

Sessions

Požádejte Hetzner o upstream přes svůj účet a uveďte své ASN a prefix. Hetzner přidělí dvě transferové sítě; vy pak spustíte jednu session na každý uplink a announcujete jen svůj prefix. Minimální session v BIRD 2, s dokumentačními hodnotami (64500 pro vaše ASN, 203.0.113.0/24 pro váš blok, 192.0.2.1 pro stranu Hetzner první transferové sítě):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD announcuje jen routy, které má ve své tabulce, takže blok protocol static tam váš prefix vloží; bez něj se session naváže a nic neannouncuje. Routa unreachable odpovídá jen za adresy v bloku, které nepřenáší žádné rozhraní ani specifičtější routa (dokumentace BIRD 2, protokol static). Druhá session je stejná vůči druhé transferové síti. Než na announcement přesunete provoz, ověřte ho zvenčí, v looking glassu nebo RPKI validátorem.

Možnost 2: tunel, pro Hetzner Cloud a dedikované servery

Pokud jsou vaše servery v Hetzner Cloud nebo na standardních dedikovaných strojích, žádná BGP session k dispozici není. Vlastní adresy na nich přesto používat můžete: síť, která blok announcovat může, to udělá a tunel GRE nebo WireGuard přenáší její provoz na váš server u Hetzner a zpět. Server vidí adresy, jako by byly lokální (jak tunel funguje).

Tři věci, které je třeba udělat správně:

• Odpovědi jdou zpět tunelem. Přidejte policy route, aby provoz z bloku odcházel tunelem, jak ukazuje návod ke GRE. Odeslaný přímo by nesl zdrojovou adresu, kterou Hetzner serveru nikdy nepřidělil, a sítě takový provoz filtrují.
• Otevřete firewall pro tunel. Pokud používáte Hetzner Cloud Firewall, povolte GRE (IP protokol 47) nebo UDP port WireGuardu ze vzdáleného konce tunelu.
• Nastavte MTU. 1 476 bajtů pro GRE, kolem 1 420 pro WireGuard, s MSS clampingem, pokud server směruje blok dál na virtuální stroje.

Tunel také řeší problém, který BYOIP nikdy nevyřeší: může doručit méně než 256 adres, až po jedinou.

Pokud si blok pronajímáte

U BGP upstreamu udělá práci v registru držitel bloku: ROA pro vaše ASN, route objekt a pokud o něj Hetzner požádá, Letter of Authorization, který uvádí vaše ASN a Hetzner jako síť, která ho přenáší. U tunelu se u Hetzner nemění vůbec nic; blok announcuje síť na druhém konci a držitel musí autorizovat jen tuto síť.

Kde se uplatní RTM Networks

Pronajímáme bloky /24 a větší z našeho vlastního adresního prostoru RIPE NCC, s ROA, route objektem a Letter of Authorization nastavenými pro vaše ASN (pronájem IPv4), a prodáváme bloky v regionech RIPE NCC, ARIN a APNIC. Sponzorujeme čísla AS pro organizace, které neprovozují vlastní LIR. Pro Hetzner Cloud a dedikované servery blok announcujeme sami a doručíme ho na váš server přes GRE nebo WireGuard, v libovolné velikosti až po jedinou adresu (tunely GRE a WireGuard). Napište nám, který produkt Hetzner používáte a kolik adres potřebujete. Další poskytovatelé jsou v našich návodech BYOIP.