BYOIP στη Hetzner: οι δικές σας διευθύνσεις IP στη Hetzner

Οι διακομιστές cloud και οι τυπικοί dedicated servers της Hetzner χρησιμοποιούν διευθύνσεις που εκχωρεί η Hetzner, και η τεκμηρίωσή της γι' αυτούς δεν λέει τίποτα για το πώς φέρνετε δικές σας: σε αυτούς, ο τρόπος να χρησιμοποιήσετε τις δικές σας διευθύνσεις είναι ένα tunnel, η επιλογή 2 παρακάτω. Αυτό που κανονίζει η Hetzner κατόπιν αιτήματος είναι η επιλογή 1, για custom bare-metal λύσεις.

Επιλογή 1: το BGP upstream της Hetzner

Η Hetzner το αναφέρει στις ειδικές προσφορές colocation ως internet upstream με προσωπικό, εφεδρικό session BGP. Την ημέρα που ελέγξαμε, η τεκμηρίωσή της ανέφερε:

• Εσείς φέρνετε το ASN και τις διευθύνσεις. Το upstream «requires an own ASN» (σε μετάφραση: «απαιτεί δικό σας ASN»), ανακοινώνετε τις δικές σας διευθύνσεις IP, και η Hetzner δεν παρέχει καμία γι' αυτό.
• Δύο uplinks. Η σύνδεση τερματίζει σε δύο εφεδρικούς backbone routers, με ένα session BGP στον καθένα, μέσω δύο transfer networks /30, που η Hetzner χρεώνει χωριστά.
• Πού. Custom λύσεις για dedicated servers, που συνδέονται μέσω private network interconnect, οπότε η τοποθεσία τους δεν έχει σημασία. Racks και cages colocation στο Falkenstein (FSN1-DC2), στη Νυρεμβέργη (NBG1-DC2 και NBG1-DC4) και στο Ελσίνκι (HEL1-DC1), αν και η Hetzner δεν μπορεί να διαθέσει χώρο colocation προς το παρόν.
• Καλωδίωση. Χρειάζεται καλωδίωση προς το meet-me room της Hetzner, ή το private interconnect για bare metal.

Η κίνηση χρεώνεται επιπλέον με 1 € ανά TB, και καθένα από τα δύο transfer networks /30 με 6,00 € τον μήνα συν 17,50 € ενεργοποίηση. Όλες αυτές οι τιμές είναι χωρίς ΦΠΑ. Οι τιμές της Hetzner αλλάζουν, οπότε ελέγξτε τη σελίδα που αναφέρεται στην αρχή αυτού του οδηγού πριν κάνετε προϋπολογισμό.

Τι προετοιμάζετε

1. Έναν αριθμό AS. Αν δεν έχετε, ένας χορηγός LIR μπορεί να τον κανονίσει για εσάς (χορηγία ASN).
2. Ένα /24 ή μεγαλύτερο. Η Hetzner δεν δημοσιεύει ελάχιστο για αυτό το upstream, αλλά το υπόλοιπο διαδίκτυο φιλτράρει οτιδήποτε μικρότερο από /24, οπότε αυτό είναι το πρακτικό κατώτατο όριο.
3. Ένα ROA που αναφέρει το ASN σας για το prefix, με το μέγιστο μήκος ίσο με ό,τι θα ανακοινώσετε (RPKI και ROA).
4. Ένα route object για το prefix με το ASN σας ως origin, και ένα αντικείμενο aut-num που αναφέρει το δίκτυο της Hetzner, το AS24940, ως upstream σας. Οι σελίδες της Hetzner δεν αναφέρουν το ASN του upstream· το AS24940 ανήκει στη Hetzner Online σύμφωνα με τη RIPE Database.
5. Έναν BGP speaker στη δική σας πλευρά: τον router σας, ή BIRD ή FRR σε έναν διακομιστή.

Τα sessions

Ζητήστε από τη Hetzner το upstream μέσω του λογαριασμού σας, δίνοντας το ASN σας και το prefix. Η Hetzner εκχωρεί τα δύο transfer networks: στη συνέχεια ενεργοποιείτε ένα session ανά uplink και ανακοινώνετε μόνο το prefix σας. Ένα ελάχιστο session στο BIRD 2, με τιμές τεκμηρίωσης (64500 για το ASN σας, 203.0.113.0/24 για το μπλοκ σας, 192.0.2.1 για την πλευρά της Hetzner στο πρώτο transfer network):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

Το BIRD ανακοινώνει μόνο διαδρομές που υπάρχουν στον πίνακά του, οπότε το μπλοκ protocol static βάζει εκεί το prefix σας: χωρίς αυτό το session ενεργοποιείται και δεν ανακοινώνει τίποτα. Η διαδρομή unreachable απαντά μόνο για διευθύνσεις του μπλοκ που δεν μεταφέρει καμία διεπαφή ή πιο συγκεκριμένη διαδρομή (τεκμηρίωση BIRD 2, το static protocol). Το δεύτερο session είναι ίδιο, προς το δεύτερο transfer network. Ελέγξτε την ανακοίνωση από έξω, με ένα looking glass ή έναν RPKI validator, πριν μεταφέρετε κίνηση σε αυτήν.

Επιλογή 2: ένα tunnel, για Hetzner Cloud και dedicated servers

Αν οι διακομιστές σας είναι στο Hetzner Cloud ή σε τυπικά dedicated μηχανήματα, δεν υπάρχει session BGP. Μπορείτε όμως να χρησιμοποιήσετε σε αυτούς τις δικές σας διευθύνσεις: ένα δίκτυο που μπορεί να ανακοινώσει το μπλοκ το ανακοινώνει, και ένα tunnel GRE ή WireGuard μεταφέρει την κίνησή του στον διακομιστή σας στη Hetzner και πίσω. Ο διακομιστής βλέπει τις διευθύνσεις σαν να ήταν τοπικές (πώς λειτουργεί το tunnel).

Τρία πράγματα που πρέπει να γίνουν σωστά:

• Οι απαντήσεις επιστρέφουν μέσω του tunnel. Προσθέστε ένα policy route ώστε η κίνηση από το μπλοκ να φεύγει μέσω του tunnel, όπως δείχνει ο οδηγός GRE. Αν έφευγε απευθείας, θα είχε διεύθυνση προέλευσης που η Hetzner δεν εκχώρησε ποτέ στον διακομιστή, και τα δίκτυα φιλτράρουν τέτοια κίνηση.
• Ανοίξτε το firewall για το tunnel. Αν χρησιμοποιείτε το Hetzner Cloud Firewall, επιτρέψτε το GRE (πρωτόκολλο IP 47) ή τη θύρα UDP του WireGuard από το απέναντι άκρο του tunnel.
• Ορίστε το MTU. 1 476 byte για GRE, περίπου 1 420 για WireGuard, με MSS clamping αν ο διακομιστής δρομολογεί το μπλοκ προς εικονικές μηχανές.

Ένα tunnel λύνει επίσης το πρόβλημα που το BYOIP δεν λύνει ποτέ: μπορεί να παραδώσει λιγότερες από 256 διευθύνσεις, έως και μία μόνο.

Αν μισθώνετε το μπλοκ

Με το BGP upstream, ο κάτοχος του μπλοκ κάνει τη δουλειά στο μητρώο: το ROA για το ASN σας, το route object, και, αν η Hetzner ζητήσει, ένα Letter of Authorization που αναφέρει το ASN σας και τη Hetzner ως το δίκτυο που το μεταφέρει. Με ένα tunnel, τίποτα δεν αλλάζει καθόλου στη Hetzner: το δίκτυο στο άλλο άκρο ανακοινώνει το μπλοκ, και ο κάτοχος χρειάζεται μόνο να εξουσιοδοτήσει αυτό το δίκτυο.

Πού ταιριάζει η RTM Networks

Μισθώνουμε /24 και μεγαλύτερα από τον δικό μας χώρο διευθύνσεων στο RIPE NCC, με το ROA, το route object και το Letter of Authorization ρυθμισμένα για το ASN σας (μίσθωση IPv4), και πουλάμε μπλοκ στις περιοχές του RIPE NCC, του ARIN και του APNIC. Γινόμαστε χορηγός για αριθμούς AS οργανισμών που δεν λειτουργούν δικό τους LIR. Για το Hetzner Cloud και τους dedicated servers, ανακοινώνουμε εμείς το μπλοκ και το παραδίδουμε στον διακομιστή σας μέσω GRE ή WireGuard, σε οποιοδήποτε μέγεθος έως και μία μόνο διεύθυνση (tunnels GRE και WireGuard). Πείτε μας ποιο προϊόν της Hetzner χρησιμοποιείτε και πόσες διευθύνσεις χρειάζεστε. Περισσότεροι πάροχοι στους οδηγούς BYOIP μας.