BYOIP chez Hetzner : utiliser vos propres adresses IP chez Hetzner

Les serveurs cloud et les serveurs dédiés standard de Hetzner utilisent des adresses que Hetzner attribue, et sa documentation à leur sujet ne dit rien de l'apport de vos propres adresses : sur ceux-ci, la façon d'utiliser vos propres adresses est un tunnel, l'option 2 ci-dessous. Ce que Hetzner met en place sur demande est l'option 1, pour les configurations bare metal sur mesure.

Option 1 : l'accès de transit BGP de Hetzner

Hetzner le présente parmi ses offres spéciales de colocation comme un accès de transit Internet avec une session BGP personnelle et redondante. Le jour de notre vérification, sa documentation indiquait :

• Vous apportez l'ASN et les adresses. Le service « requires an own ASN » (traduction : « exige un ASN propre »), vous annoncez vos propres adresses IP, et Hetzner n'en fournit aucune pour lui.
• Deux liens. La connexion aboutit sur deux routeurs de backbone redondants, avec une session BGP sur chacun, via deux réseaux de transfert /30, que Hetzner facture à part.
• Où. Les solutions sur mesure pour serveurs dédiés, qui se raccordent par une interconnexion réseau privée : leur emplacement n'a donc pas d'importance. Les baies et cages de colocation à Falkenstein (FSN1-DC2), Nuremberg (NBG1-DC2 et NBG1-DC4) et Helsinki (HEL1-DC1), même si Hetzner ne peut pas fournir d'espace de colocation pour l'instant.
• Câblage. Il faut un câblage vers la meet-me room de Hetzner, ou l'interconnexion privée pour le bare metal.

Le trafic est facturé en plus à 1 € par To, et chacun des deux réseaux de transfert /30 à 6,00 € par mois plus 17,50 € de mise en service. Tous ces prix s'entendent HT. Les prix de Hetzner changent : vérifiez la page citée en tête de ce guide avant d'établir votre budget.

Ce que vous préparez

1. Un numéro d'AS. Si vous n'en avez pas, un LIR parrain peut s'en charger pour vous (parrainage d'ASN).
2. Un /24 ou plus. Hetzner ne publie aucun minimum pour ce service, mais le reste d'Internet filtre tout ce qui est plus petit qu'un /24 : c'est donc le plancher en pratique.
3. Un ROA qui nomme votre ASN pour le préfixe, avec une longueur maximale égale à ce que vous annoncerez (RPKI et ROA).
4. Un objet route pour le préfixe avec votre ASN comme origine, et un objet aut-num qui liste le réseau de Hetzner, AS24940, comme votre opérateur de transit. Les pages de Hetzner ne nomment pas l'ASN de l'opérateur de transit ; AS24940 appartient à Hetzner Online dans la RIPE Database.
5. Un speaker BGP de votre côté : votre routeur, ou BIRD ou FRR sur un serveur.

Les sessions

Demandez à Hetzner le service via votre compte, en indiquant votre ASN et le préfixe. Hetzner attribue les deux réseaux de transfert ; vous montez ensuite une session par lien et n'annoncez que votre préfixe. Une session minimale dans BIRD 2, avec des valeurs de documentation (64500 pour votre ASN, 203.0.113.0/24 pour votre bloc, 192.0.2.1 pour le côté Hetzner du premier réseau de transfert) :

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD n'annonce que les routes présentes dans sa table : le bloc protocol static y place donc votre préfixe ; sans lui, la session s'établit et n'annonce rien. La route unreachable ne répond que pour les adresses du bloc qu'aucune interface ni route plus spécifique ne porte (documentation de BIRD 2, le protocole static). La seconde session est identique, face au second réseau de transfert. Vérifiez l'annonce depuis l'extérieur, avec un looking glass ou un validateur RPKI, avant d'y faire passer le trafic.

Option 2 : un tunnel, pour Hetzner Cloud et les serveurs dédiés

Si vos serveurs sont dans Hetzner Cloud ou sur des machines dédiées standard, il n'y a pas de session BGP possible. Vous pouvez tout de même y utiliser vos propres adresses : un réseau capable d'annoncer le bloc l'annonce, et un tunnel GRE ou WireGuard achemine son trafic jusqu'à votre serveur Hetzner et retour. Le serveur voit les adresses comme si elles étaient locales (comment fonctionne le tunnel).

Trois points à régler :

• Les réponses repartent par le tunnel. Ajoutez une route de politique pour que le trafic du bloc sorte par le tunnel, comme le montre le guide GRE. Envoyé directement, il porterait une adresse source que Hetzner n'a jamais attribuée au serveur, et les réseaux filtrent ce trafic.
• Ouvrez le pare-feu pour le tunnel. Si vous utilisez le Hetzner Cloud Firewall, autorisez GRE (protocole IP 47) ou le port UDP de WireGuard depuis l'autre extrémité du tunnel.
• Réglez la MTU. 1 476 octets pour GRE, environ 1 420 pour WireGuard, avec du MSS clamping si le serveur route le bloc vers des machines virtuelles.

Un tunnel résout aussi le problème que le BYOIP ne résout jamais : il peut livrer moins de 256 adresses, jusqu'à une seule.

Si vous louez le bloc

Avec l'accès de transit BGP, le titulaire du bloc fait le travail côté registre : le ROA pour votre ASN, l'objet route et, si Hetzner en demande une, une lettre d'autorisation qui nomme votre ASN et Hetzner comme réseau qui le transporte. Avec un tunnel, rien ne change du tout chez Hetzner ; le réseau à l'autre extrémité annonce le bloc, et le titulaire n'a qu'à autoriser ce réseau.

La place de RTM Networks

Nous louons des /24 et plus grands issus de nos propres adresses RIPE NCC, avec le ROA, l'objet route et la lettre d'autorisation configurés pour votre ASN (louer de l'IPv4), et vendons des blocs dans les régions RIPE NCC, ARIN et APNIC. Nous parrainons des numéros d'AS pour les organisations qui ne sont pas elles-mêmes LIR. Pour Hetzner Cloud et les serveurs dédiés, nous annonçons nous-mêmes le bloc et le livrons à votre serveur par GRE ou WireGuard, dans toute taille jusqu'à une seule adresse (tunnels GRE et WireGuard). Indiquez-nous le produit Hetzner que vous utilisez et le nombre d'adresses dont vous avez besoin. D'autres fournisseurs figurent dans nos guides BYOIP.