BYOIP en Hetzner: usar tus propias direcciones IP en Hetzner

Los servidores cloud y los servidores dedicados estándar de Hetzner usan direcciones que asigna Hetzner, y su documentación no dice nada sobre traer las tuyas: en ellos, la forma de usar tus propias direcciones es un túnel, la opción 2 de más abajo. Lo que Hetzner gestiona bajo petición es la opción 1, para configuraciones bare metal a medida.

Opción 1: el upstream BGP de Hetzner

Hetzner lo incluye entre sus ofertas especiales de colocation como un upstream a internet con una sesión BGP propia y redundante. El día que lo consultamos, su documentación decía:

• Tú pones el ASN y las direcciones. El upstream «requires an own ASN» (traducción: «exige un ASN propio»), anuncias tus propias direcciones IP, y Hetzner no aporta ninguna.
• Dos uplinks. La conexión termina en dos routers troncales redundantes, con una sesión BGP en cada uno, sobre dos redes de tránsito /30, que Hetzner factura aparte.
• Dónde. Soluciones a medida para servidores dedicados, que se conectan mediante una interconexión de red privada, así que su ubicación no importa. Racks y jaulas de colocation en Falkenstein (FSN1-DC2), Núremberg (NBG1-DC2 y NBG1-DC4) y Helsinki (HEL1-DC1), aunque por ahora Hetzner no puede ofrecer espacio de colocation.
• Cableado. Necesita cableado hasta la meet-me room de Hetzner, o la interconexión privada para bare metal.

El tráfico se factura aparte a 1 € por TB, y cada una de las dos redes de tránsito /30 a 6,00 € al mes más 17,50 € de alta. Todos estos precios son IVA no incluido. Los precios de Hetzner cambian, así que consulta la página enlazada al principio de esta guía antes de presupuestar.

Qué preparas

1. Un número AS. Si no tienes ninguno, un LIR patrocinador puede gestionarlo por ti (patrocinio de PI y ASN).
2. Un /24 o mayor. Hetzner no publica ningún mínimo para este upstream, pero el resto de internet filtra todo lo que sea menor que un /24, así que ese es el mínimo en la práctica.
3. Un ROA que nombre tu ASN para el prefijo, con la longitud máxima fijada en lo que vayas a anunciar (RPKI y ROA).
4. Un objeto route para el prefijo con tu ASN como origen, y un objeto aut-num que indique la red de Hetzner, AS24940, como tu upstream. Las páginas de Hetzner no indican el ASN del upstream; AS24940 es de Hetzner Online según la RIPE Database.
5. Un BGP speaker por tu lado: tu router, o BIRD o FRR en un servidor.

Las sesiones

Pide a Hetzner el upstream desde tu cuenta, indicando tu ASN y el prefijo. Hetzner asigna las dos redes de tránsito; luego levantas una sesión por uplink y anuncias solo tu prefijo. Una sesión mínima en BIRD 2, con valores de documentación (64500 para tu ASN, 203.0.113.0/24 para tu bloque, 192.0.2.1 para el lado de Hetzner de la primera red de tránsito):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD solo anuncia rutas que están en su tabla, así que el bloque protocol static pone ahí tu prefijo; sin él la sesión se levanta y no anuncia nada. La ruta unreachable solo responde por las direcciones del bloque que no lleva ninguna interfaz ni ninguna ruta más específica (documentación de BIRD 2, el protocolo static). La segunda sesión es igual, contra la segunda red de tránsito. Comprueba el anuncio desde fuera, con un looking glass o un validador RPKI, antes de pasarle tráfico.

Opción 2: un túnel, para Hetzner Cloud y servidores dedicados

Si tus servidores están en Hetzner Cloud o en máquinas dedicadas estándar, no hay sesión BGP posible. Aun así puedes usar en ellos tus propias direcciones: una red que puede anunciar el bloque lo anuncia, y un túnel GRE o WireGuard lleva su tráfico a tu servidor de Hetzner y de vuelta. El servidor ve las direcciones como si fueran locales (cómo funciona el túnel).

Tres cosas que hay que hacer bien:

• Las respuestas vuelven por el túnel. Añade una ruta por políticas para que el tráfico del bloque salga por el túnel, como muestra la guía de GRE. Si saliera directamente, llevaría una dirección de origen que Hetzner nunca asignó al servidor, y las redes filtran ese tráfico.
• Abre el firewall para el túnel. Si usas el Hetzner Cloud Firewall, permite GRE (protocolo IP 47) o el puerto UDP de WireGuard desde el otro extremo del túnel.
• Ajusta la MTU. 1476 bytes para GRE, unos 1420 para WireGuard, con MSS clamping si el servidor enruta el bloque hacia máquinas virtuales.

Un túnel también resuelve lo que BYOIP nunca resuelve: puede entregar menos de 256 direcciones, hasta una sola.

Si alquilas el bloque

Con el upstream BGP, el titular del bloque hace el trabajo en el registro: el ROA para tu ASN, el objeto route y, si Hetzner lo pide, una Letter of Authorization que nombre tu ASN y a Hetzner como la red que lo transporta. Con un túnel, no cambia nada en Hetzner; la red del otro extremo anuncia el bloque, y el titular solo tiene que autorizar a esa red.

Dónde encaja RTM Networks

Alquilamos /24 y mayores de nuestro propio espacio de direcciones del RIPE NCC, con el ROA, el objeto route y la Letter of Authorization preparados para tu ASN (alquilar IPv4), y vendemos bloques en las regiones RIPE NCC, ARIN y APNIC. Patrocinamos números AS para organizaciones que no tienen su propio LIR. Para Hetzner Cloud y servidores dedicados, anunciamos nosotros el bloque y lo entregamos a tu servidor por GRE o WireGuard, en cualquier tamaño, hasta una sola dirección (túneles GRE y WireGuard). Dinos qué producto de Hetzner usas y cuántas direcciones necesitas. Más proveedores en nuestras guías BYOIP.