BYOIP hos Hetzner: dine egne IP-adresser hos Hetzner

Hetzners cloudservere og almindelige dedikerede servere bruger adresser, som Hetzner tildeler, og dokumentationen til dem siger intet om at tage sine egne med: på dem er vejen til dine egne adresser en tunnel, mulighed 2 nedenfor. Det, Hetzner ordner på anmodning, er mulighed 1, til custom bare metal-opsætninger.

Mulighed 1: Hetzners BGP-upstream

Hetzner angiver det under sine særtilbud på colocation som en internet-upstream med en personlig, redundant BGP-session. Den dag vi tjekkede, sagde dokumentationen:

• Du kommer med ASN'et og adresserne. Upstreamen “requires an own ASN” (oversættelse: “kræver et eget ASN”), du annoncerer dine egne IP-adresser, og Hetzner leverer ingen til den.
• To uplinks. Forbindelsen termineres på to redundante backbone-routere, med en BGP-session på hver, over to /30-transfernetværk, som Hetzner fakturerer separat.
• Hvor. Custom-løsninger til dedikerede servere, som forbindes via et privat netværksinterconnect, så deres placering er ligegyldig. Colocation-racks og -cages i Falkenstein (FSN1-DC2), Nürnberg (NBG1-DC2 og NBG1-DC4) og Helsinki (HEL1-DC1), selv om Hetzner for nuværende ikke kan levere colocation-plads.
• Kabling. Det kræver kabling til Hetzners meet-me room, eller det private interconnect til bare metal.

Trafik faktureres oveni med 1 € pr. TB, og hvert af de to /30-transfernetværk med 6,00 € om måneden plus 17,50 € i oprettelse. Alle priserne er ekskl. moms. Hetzners priser ændrer sig, så tjek siden, der er linket til øverst i denne guide, før du lægger budget.

Hvad du forbereder

1. Et AS-nummer. Har du ikke et, kan en sponsoring LIR ordne det for dig (ASN-sponsorat).
2. En /24 eller større. Hetzner offentliggør intet minimum for denne upstream, men resten af internettet filtrerer alt mindre end en /24, så det er den praktiske nedre grænse.
3. En ROA, der nævner dit ASN for præfikset, med den maksimale længde sat til det, du vil annoncere (RPKI og ROA'er).
4. Et route-objekt for præfikset med dit ASN som origin og et aut-num-objekt, der angiver Hetzners netværk, AS24940, som din upstream. Hetzners sider nævner ikke upstreamens ASN; AS24940 tilhører Hetzner Online i RIPE-databasen.
5. En BGP-speaker på din side: din router, eller BIRD eller FRR på en server.

Sessionerne

Bed Hetzner om upstreamen via din konto, og angiv dit ASN og præfikset. Hetzner tildeler de to transfernetværk; du sætter så én session op pr. uplink og annoncerer kun dit præfiks. En minimal session i BIRD 2, med dokumentationsværdier (64500 for dit ASN, 203.0.113.0/24 for din blok, 192.0.2.1 for Hetzners side af det første transfernetværk):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD annoncerer kun routes, der står i tabellen, så blokken protocol static lægger dit præfiks der; uden den kommer sessionen op og annoncerer ingenting. Routen unreachable svarer kun for adresser i blokken, som intet interface eller nogen mere specifik route fører (BIRD 2-dokumentationen, den statiske protokol). Den anden session er den samme mod det andet transfernetværk. Tjek annonceringen udefra, med et looking glass eller en RPKI-validator, før du flytter trafik over på den.

Mulighed 2: en tunnel, til Hetzner Cloud og dedikerede servere

Står dine servere i Hetzner Cloud eller på almindelige dedikerede maskiner, er der ingen BGP-session at få. Du kan stadig bruge dine egne adresser på dem: et netværk, der kan annoncere blokken, gør det, og en GRE- eller WireGuard-tunnel fører trafikken til din Hetzner-server og tilbage. Serveren ser adresserne, som var de lokale (sådan virker tunnelen).

Tre ting, der skal være på plads:

• Svarene går tilbage gennem tunnelen. Tilføj en policy route, så trafik fra blokken går ud gennem tunnelen, som GRE-guiden viser. Sendt direkte ud ville den have en afsenderadresse, som Hetzner aldrig har tildelt serveren, og netværk filtrerer sådan trafik.
• Åbn firewallen for tunnelen. Bruger du Hetzner Cloud Firewall, så tillad GRE (IP-protokol 47) eller WireGuards UDP-port fra tunnelens anden ende.
• Sæt MTU'en. 1.476 byte for GRE, omkring 1.420 for WireGuard, med MSS clamping, hvis serveren router blokken videre til virtuelle maskiner.

En tunnel løser også det problem, BYOIP aldrig løser: den kan levere færre end 256 adresser, helt ned til en enkelt.

Hvis du lejer blokken

Med BGP-upstreamen tager indehaveren af blokken sig af registerarbejdet: ROA'en for dit ASN, route-objektet og, hvis Hetzner beder om det, en Letter of Authorization, der nævner dit ASN og Hetzner som det netværk, der fører det. Med en tunnel ændres der slet intet hos Hetzner; netværket i den anden ende annoncerer blokken, og indehaveren skal kun autorisere det netværk.

Hvor RTM Networks passer ind

Vi lejer /24'er og større ud fra vores egne RIPE NCC-adresser, med ROA'en, route-objektet og din Letter of Authorization sat op til dit ASN (lej IPv4), og sælger blokke i RIPE NCC-, ARIN- og APNIC-regionerne. Vi sponsorerer AS-numre for organisationer, der ikke driver deres egen LIR. Til Hetzner Cloud og dedikerede servere annoncerer vi selv blokken og leverer den til din server over GRE eller WireGuard, i enhver størrelse ned til en enkelt adresse (GRE- og WireGuard-tunneler). Fortæl os, hvilket Hetzner-produkt du bruger, og hvor mange adresser du har brug for. Flere udbydere står i vores BYOIP-guider.