Hetzner BYOIP: oma IP-aadresside kasutamine Hetzneris

Hetzneri pilveserverid ja tavalised dedikeeritud serverid kasutavad Hetzneri eraldatud aadresse ning nende dokumentatsioon ei ütle oma aadresside toomise kohta midagi: neil on oma aadresside kasutamise viis tunnel, allpool võimalus 2. See, mida Hetzner soovi korral korraldab, on võimalus 1, eritellimusel bare-metal-lahenduste jaoks.

Võimalus 1: Hetzneri BGP upstream

Hetzner loetleb selle oma kollokatsiooni eripakkumiste all kui isikliku, dubleeritud BGP-sessiooniga internetiühenduse (upstream). Kontrollimise päeval ütles selle dokumentatsioon:

• ASN-i ja aadressid toote Teie. Upstream „requires an own ASN“ (tõlge: „nõuab oma ASN-i“), Te kuulutate välja oma IP-aadressid ja Hetzner ei anna selle jaoks ühtegi.
• Kaks ühendust. Ühendus lõpeb kahel dubleeritud magistraalruuteril, igaühel BGP-sessioon, kahe /30 transpordivõrgu kaudu, mille eest Hetzner esitab eraldi arve.
• Kus. Eritellimusel lahendused dedikeeritud serveritele, mis ühenduvad privaatse võrguühenduse kaudu, seega nende asukoht ei ole oluline. Kollokatsiooni räkid ja puurid Falkensteinis (FSN1-DC2), Nürnbergis (NBG1-DC2 ja NBG1-DC4) ja Helsingis (HEL1-DC1), kuigi Hetzner ei saa praegu kollokatsiooniruumi pakkuda.
• Kaabeldus. See nõuab kaabeldust Hetzneri meet-me-ruumi või bare metali jaoks privaatset ühendust.

Liiklus arveldatakse lisaks 1 € TB kohta ning kumbki kahest /30 transpordivõrgust 6,00 € kuus pluss 17,50 € alustamistasu. Kõik need hinnad on käibemaksuta. Hetzneri hinnad muutuvad, seega kontrollige enne eelarvestamist selle juhendi alguses viidatud lehte.

Mida ette valmistate

1. AS-number. Kui Teil seda ei ole, saab sponsor-LIR selle Teile korraldada (ASN-i sponsorlus).
2. /24 või suurem. Hetzner ei avalda selle upstreami jaoks miinimumi, kuid ülejäänud internet filtreerib kõike, mis on väiksem kui /24, seega on see praktiline alampiir.
3. ROA, mis nimetab prefiksi jaoks Teie ASN-i ja mille maksimaalne pikkus on seatud sellele, mida välja kuulutate (RPKI ja ROA-d).
4. Route-objekt prefiksile Teie ASN-iga päritoluna ja aut-num objekt, mis loetleb Teie upstreamina Hetzneri võrgu AS24940. Hetzneri lehed upstreami ASN-i ei nimeta; RIPE andmebaasis kuulub AS24940 ettevõttele Hetzner Online.
5. BGP-kõneleja Teie poolel: Teie ruuter või BIRD või FRR serveris.

Sessioonid

Küsige Hetznerilt upstreami oma konto kaudu, andes oma ASN-i ja prefiksi. Hetzner eraldab kaks transpordivõrku; seejärel käivitate iga ühenduse kohta ühe sessiooni ja kuulutate välja ainult oma prefiksi. Minimaalne sessioon BIRD 2-s, dokumentatsiooni väärtustega (64500 Teie ASN-i, 203.0.113.0/24 Teie ploki ja 192.0.2.1 esimese transpordivõrgu Hetzneri poole jaoks):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD kuulutab välja ainult marsruute, mis on tema tabelis, seega paneb plokk protocol static Teie prefiksi sinna; ilma selleta sessioon käivitub, kuid ei kuuluta midagi välja. Marsruut unreachable vastab ainult ploki aadresside eest, mida ükski liides ega spetsiifilisem marsruut ei kanna (BIRD 2 dokumentatsioon, static-protokoll). Teine sessioon on sama, teise transpordivõrgu vastu. Kontrollige väljakuulutust väljastpoolt, looking glass'i või RPKI validaatoriga, enne kui liikluse sinna viite.

Võimalus 2: tunnel, Hetzner Cloudi ja dedikeeritud serverite jaoks

Kui Teie serverid on Hetzner Cloudis või tavalistel dedikeeritud masinatel, ei ole BGP-sessiooni võimalik saada. Saate neil siiski oma aadresse kasutada: võrk, mis saab plokki välja kuulutada, teeb seda ning GRE- või WireGuardi tunnel toimetab selle liikluse Teie Hetzneri serverisse ja tagasi. Server näeb aadresse nii, nagu oleksid need kohalikud (kuidas tunnel töötab).

Kolm asja, mis peavad paigas olema:

• Vastused lähevad tagasi tunneli kaudu. Lisage poliitikamarsruut, et ploki liiklus väljuks tunneli kaudu, nagu GRE juhend näitab. Otse saadetuna kannaks see lähteaadressi, mida Hetzner serverile kunagi ei eraldanud, ja võrgud filtreerivad sellist liiklust.
• Avage tulemüür tunneli jaoks. Kui kasutate Hetzner Cloud Firewalli, lubage GRE (IP-protokoll 47) või WireGuardi UDP-port tunneli teisest otsast.
• Seadke MTU. GRE jaoks 1476 baiti, WireGuardi jaoks umbes 1420, MSS-i piiramisega (MSS clamping), kui server marsruudib ploki edasi virtuaalmasinatele.

Tunnel lahendab ka probleemi, mida BYOIP kunagi ei lahenda: see saab toimetada alla 256 aadressi, kuni ühe aadressini.

Kui rendite ploki

BGP upstreami puhul teeb registritöö ploki omanik: ROA Teie ASN-ile, route-objekt ja, kui Hetzner seda küsib, Letter of Authorization, mis nimetab Teie ASN-i ja Hetzneri seda kandva võrguna. Tunneli puhul ei muutu Hetzneris üldse midagi; teises otsas olev võrk kuulutab ploki välja ja omanik peab volitama ainult seda võrku.

Kuhu RTM Networks sobib

Rendime /24 ja suuremaid plokke oma RIPE NCC aadressiruumist koos Teie ASN-ile seadistatud ROA, route-objekti ja Letter of Authorizationiga (IPv4 rent) ning müüme plokke RIPE NCC, ARIN-i ja APNIC-u piirkondades. Sponsoreerime AS-numbreid organisatsioonidele, kellel ei ole oma LIR-i. Hetzner Cloudi ja dedikeeritud serverite jaoks kuulutame ploki ise välja ja toimetame selle Teie serverisse GRE või WireGuardi kaudu, mis tahes suuruses kuni ühe aadressini (GRE- ja WireGuardi tunnelid). Andke teada, millist Hetzneri toodet kasutate ja mitu aadressi vajate. Rohkem teenusepakkujaid on meie BYOIP juhendites.