Hetzner ja BYOIP: omat IP-osoitteesi Hetznerillä

Hetznerin pilvipalvelimet ja tavalliset dedikoidut palvelimet käyttävät Hetznerin osoittamia osoitteita, eikä niiden dokumentaatio sano mitään omien tuomisesta: niillä tapa käyttää omia osoitteita on tunneli, alla vaihtoehto 2. Pyynnöstä Hetzner järjestää vaihtoehdon 1 räätälöityihin bare metal -ratkaisuihin.

Vaihtoehto 1: Hetznerin BGP-upstream

Hetzner listaa tämän colocation-erikoistarjouksissaan internet-upstreamina, jossa on henkilökohtainen, redundantti BGP-istunto. Tarkistuspäivänämme sen dokumentaatio sanoi:

• Sinä tuot ASN:n ja osoitteet. Upstream ”requires an own ASN” (suomennos: ”edellyttää omaa ASN:ää”), ilmoitat omat IP-osoitteesi, eikä Hetzner toimita sitä varten osoitteita.
• Kaksi uplinkiä. Yhteys päättyy kahteen redundanttiin runkoreitittimeen, kummassakin BGP-istunto, kahden /30-siirtoverkon kautta, jotka Hetzner laskuttaa erikseen.
• Missä. Räätälöidyt ratkaisut dedikoiduille palvelimille, jotka liittyvät yksityisen verkkoyhteyden kautta, joten niiden sijainnilla ei ole väliä. Colocation-räkit ja -häkit Falkensteinissa (FSN1-DC2), Nürnbergissä (NBG1-DC2 ja NBG1-DC4) ja Helsingissä (HEL1-DC1), vaikka Hetzner ei toistaiseksi voi tarjota colocation-tilaa.
• Kaapelointi. Tarvitaan kaapelointi Hetznerin meet-me roomiin tai bare metalin yksityinen yhteys.

Liikenne laskutetaan päälle 1 €/Tt, ja kumpikin kahdesta /30-siirtoverkosta 6,00 € kuukaudessa sekä 17,50 € avausmaksu. Kaikki hinnat ovat ilman arvonlisäveroa. Hetznerin hinnat muuttuvat, joten tarkista tämän oppaan alussa linkitetty sivu ennen budjetointia.

Mitä valmistelet

1. AS-numero. Jos sinulla ei ole sellaista, sponsoroiva LIR voi järjestää sen puolestasi (ASN-sponsorointi).
2. /24 tai suurempi. Hetzner ei julkaise tälle upstreamille minimiä, mutta muu internet suodattaa kaiken /24:ää pienemmän, joten se on käytännön alaraja.
3. ROA, joka nimeää ASN:si prefiksille, maksimipituutena se, mitä ilmoitat (RPKI ja ROA:t).
4. Route-objekti prefiksille, originina ASN:si, ja aut-num-objekti, joka listaa Hetznerin verkon, AS24940:n, upstreamiksesi. Hetznerin sivut eivät kerro upstreamin ASN:ää; AS24940 kuuluu RIPE-tietokannan mukaan Hetzner Onlinelle.
5. BGP-puhuja omalla puolellasi: reitittimesi tai BIRD tai FRR palvelimella.

Istunnot

Pyydä Hetzneriltä upstreamia tilisi kautta ja kerro ASN:si ja prefiksi. Hetzner osoittaa kaksi siirtoverkkoa; sitten avaat yhden istunnon uplinkiä kohden ja ilmoitat vain prefiksisi. Minimaalinen istunto BIRD 2:ssa dokumentaatioarvoilla (64500 ASN:llesi, 203.0.113.0/24 lohkollesi, 192.0.2.1 Hetznerin puolelle ensimmäisessä siirtoverkossa):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD ilmoittaa vain taulussaan olevia reittejä, joten protocol static -lohko vie prefiksisi sinne; ilman sitä istunto nousee ylös eikä ilmoita mitään. unreachable-reitti vastaa vain niistä lohkon osoitteista, joita mikään rajapinta tai tarkempi reitti ei kuljeta (BIRD 2:n dokumentaatio, static-protokolla). Toinen istunto on samanlainen toista siirtoverkkoa vasten. Tarkista ilmoitus ulkopuolelta looking glassilla tai RPKI-validaattorilla ennen kuin siirrät liikennettä sille.

Vaihtoehto 2: tunneli Hetzner Cloudiin ja dedikoiduille palvelimille

Jos palvelimesi ovat Hetzner Cloudissa tai tavallisilla dedikoiduilla koneilla, BGP-istuntoa ei ole saatavilla. Voit silti käyttää omia osoitteitasi niillä: verkko, joka voi ilmoittaa lohkon, tekee sen, ja GRE- tai WireGuard-tunneli kuljettaa sen liikenteen Hetzner-palvelimellesi ja takaisin. Palvelin näkee osoitteet kuin ne olisivat paikallisia (miten tunneli toimii).

Kolme asiaa, jotka pitää tehdä oikein:

• Vastaukset palaavat tunnelin kautta. Lisää policy-reitti, jotta lohkon liikenne lähtee tunnelin kautta, kuten GRE-opas näyttää. Suoraan lähetettynä sen lähdeosoite olisi osoite, jota Hetzner ei ole koskaan osoittanut palvelimelle, ja verkot suodattavat sellaista liikennettä.
• Avaa palomuuri tunnelille. Jos käytät Hetzner Cloud Firewallia, salli GRE (IP-protokolla 47) tai WireGuardin UDP-portti tunnelin toisesta päästä.
• Aseta MTU. 1 476 tavua GRE:lle, noin 1 420 WireGuardille, ja MSS clamping, jos palvelin reitittää lohkon edelleen virtuaalikoneille.

Tunneli ratkaisee myös ongelman, jota BYOIP ei koskaan ratkaise: se voi toimittaa alle 256 osoitetta, yksittäiseen osoitteeseen asti.

Jos vuokraat lohkon

BGP-upstreamissa lohkon haltija tekee rekisterityön: ROA:n ASN:llesi, route-objektin ja, jos Hetzner pyytää, Letter of Authorizationin, joka nimeää ASN:si ja Hetznerin liikennettä kuljettavana verkkona. Tunnelissa Hetznerillä ei muutu mikään; toisen pään verkko ilmoittaa lohkon, ja haltijan tarvitsee vain valtuuttaa tämä verkko.

Missä RTM Networks auttaa

Vuokraamme /24-lohkoja ja suurempia omasta RIPE NCC -osoiteavaruudestamme niin, että ROA, route-objekti ja Letter of Authorization on määritetty ASN:llesi (vuokraa IPv4), ja myymme lohkoja RIPE NCC:n, ARINin ja APNICin alueilla. Sponsoroimme AS-numeroita organisaatioille, jotka eivät ylläpidä omaa LIRiä. Hetzner Cloudiin ja dedikoiduille palvelimille ilmoitamme lohkon itse ja toimitamme sen palvelimellesi GRE- tai WireGuard-yhteydellä, missä tahansa koossa yksittäiseen osoitteeseen asti (GRE- ja WireGuard-tunnelit). Kerro, mitä Hetznerin tuotetta käytät ja montako osoitetta tarvitset. Lisää palveluntarjoajia on BYOIP-oppaissamme.