BYOIP kod Hetznera: vlastite IP adrese kod Hetznera

Hetznerovi poslužitelji u oblaku i standardni namjenski poslužitelji koriste adrese koje dodjeljuje Hetzner, a njegova dokumentacija za njih ne govori ništa o donošenju vlastitih: na njima je način za korištenje vlastitih adresa tunel, opcija 2 u nastavku. Ono što Hetzner uređuje na zahtjev je opcija 1, za prilagođene bare-metal postave.

Opcija 1: Hetznerov BGP upstream

Hetzner to navodi među posebnim ponudama za kolokaciju kao internetski upstream s osobnom, redundantnom BGP sesijom. Na dan kada smo provjerili njegova je dokumentacija navodila:

• Vi donosite ASN i adrese. Upstream „requires an own ASN“ (prijevod: „traži vlastiti ASN“), vi najavljujete vlastite IP adrese, a Hetzner za njega ne osigurava nijednu.
• Dva uplinka. Veza završava na dvama redundantnim okosničkim usmjerivačima, s BGP sesijom na svakom, preko dviju prijenosnih mreža /30, koje Hetzner naplaćuje zasebno.
• Gdje. Prilagođena rješenja za namjenske poslužitelje, koji se povezuju preko privatne mrežne međuveze, pa njihova lokacija nije važna. Kolokacijski rackovi i kavezi u Falkensteinu (FSN1-DC2), Nürnbergu (NBG1-DC2 i NBG1-DC4) i Helsinkiju (HEL1-DC1), iako Hetzner zasad ne može osigurati prostor za kolokaciju.
• Kabliranje. Treba kabliranje do Hetznerove meet-me sobe ili privatna međuveza za bare metal.

Promet se dodatno naplaćuje po 1 € po TB, a svaka od dviju prijenosnih mreža /30 po 6,00 € mjesečno uz 17,50 € za postavljanje. Sve te cijene su bez PDV-a. Hetznerove cijene se mijenjaju, pa provjerite stranicu na koju upućuje vrh ovog vodiča prije nego što napravite proračun.

Što pripremate

1. AS broj. Ako ga nemate, sponzorski LIR može ga urediti za vas (sponzorstvo ASN-a).
2. /24 ili veći. Hetzner ne objavljuje minimum za ovaj upstream, ali ostatak interneta filtrira sve manje od /24, pa je to praktična donja granica.
3. ROA koji navodi vaš ASN za prefiks, s najvećom duljinom postavljenom na ono što ćete najavljivati (RPKI i ROA).
4. Route objekt za prefiks s vašim ASN-om kao ishodištem i aut-num objekt koji Hetznerovu mrežu, AS24940, navodi kao vaš upstream. Hetznerove stranice ne navode ASN upstreama; AS24940 prema RIPE bazi pripada Hetzner Onlineu.
5. BGP govornik na vašoj strani: vaš usmjerivač ili BIRD ili FRR na poslužitelju.

Sesije

Zatražite od Hetznera upstream putem svog računa, navodeći svoj ASN i prefiks. Hetzner dodjeljuje dvije prijenosne mreže; vi zatim podižete jednu sesiju po uplinku i najavljujete samo svoj prefiks. Minimalna sesija u BIRD-u 2, s dokumentacijskim vrijednostima (64500 za vaš ASN, 203.0.113.0/24 za vaš blok, 192.0.2.1 za Hetznerovu stranu prve prijenosne mreže):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD najavljuje samo rute koje su u njegovoj tablici, pa blok protocol static ondje stavlja vaš prefiks; bez njega sesija se podiže i ne najavljuje ništa. Ruta unreachable odgovara samo za adrese u bloku koje ne nosi nijedno sučelje ni specifičnija ruta (dokumentacija BIRD-a 2, statički protokol). Druga sesija je ista prema drugoj prijenosnoj mreži. Najavu provjerite izvana, looking glassom ili RPKI validatorom, prije nego što na nju prebacite promet.

Opcija 2: tunel, za Hetzner Cloud i namjenske poslužitelje

Ako su vaši poslužitelji u Hetzner Cloudu ili na standardnim namjenskim strojevima, BGP sesije nema. Na njima ipak možete koristiti vlastite adrese: mreža koja može najavljivati blok to čini, a GRE ili WireGuard tunel prenosi njegov promet do vašeg Hetznerova poslužitelja i natrag. Poslužitelj adrese vidi kao da su lokalne (kako tunel funkcionira).

Tri stvari treba napraviti kako treba:

• Odgovori se vraćaju kroz tunel. Dodajte pravilo usmjeravanja (policy route) kako bi promet iz bloka izlazio kroz tunel, kako pokazuje vodič za GRE. Poslan izravno, nosio bi izvornu adresu koju Hetzner poslužitelju nikada nije dodijelio, a mreže takav promet filtriraju.
• Otvorite vatrozid za tunel. Ako koristite Hetzner Cloud Firewall, dopustite GRE (IP protokol 47) ili WireGuardov UDP port s udaljenog kraja tunela.
• Postavite MTU. 1.476 bajtova za GRE, oko 1.420 za WireGuard, uz MSS clamping ako poslužitelj blok dalje usmjerava na virtualne strojeve.

Tunel rješava i problem koji BYOIP nikada ne rješava: može isporučiti manje od 256 adresa, sve do jedne.

Ako blok uzimate u najam

Uz BGP upstream posao u registru obavlja nositelj bloka: ROA za vaš ASN, route objekt i, ako ga Hetzner zatraži, Letter of Authorization (LOA) koji navodi vaš ASN i Hetzner kao mrežu koja ga prenosi. Uz tunel se kod Hetznera ne mijenja ništa; mreža na drugom kraju najavljuje blok, a nositelj treba ovlastiti samo tu mrežu.

Gdje se uklapa RTM Networks

Iznajmljujemo /24 i veće blokove iz vlastitog adresnog prostora RIPE NCC-a, s ROA-om, route objektom i LOA-om postavljenima za vaš ASN (najam IPv4), i prodajemo blokove u regijama RIPE NCC-a, ARIN-a i APNIC-a. Sponzoriramo AS brojeve za organizacije koje nemaju vlastiti LIR. Za Hetzner Cloud i namjenske poslužitelje blok najavljujemo sami i isporučujemo ga vašem poslužitelju preko GRE-a ili WireGuarda, u bilo kojoj veličini sve do jedne adrese (GRE i WireGuard tuneli). Recite nam koji Hetznerov proizvod koristite i koliko vam adresa treba. Više pružatelja nalazi se u našim BYOIP vodičima.