Hetzner BYOIP: saját IP-címek használata a Hetznernél

A Hetzner felhőszerverei és szokásos dedikált szerverei a Hetzner által kiosztott címeket használják, és a hozzájuk tartozó dokumentáció semmit nem mond saját címek behozataláról: ezeken a saját címek használatának módja egy alagút, lásd lent a 2. lehetőséget. Amit a Hetzner kérésre megold, az az 1. lehetőség, egyedi bare-metal megoldásokhoz.

1. lehetőség: a Hetzner BGP-upstreamje

A Hetzner ezt a colocation különajánlatai között sorolja fel, internetes upstreamként személyes, redundáns BGP-munkamenettel. Azon a napon, amikor ellenőriztük, a dokumentációja ezt írta:

• Az ASN-t és a címeket Ön hozza. Az upstream „requires an own ASN” (fordítás: „saját ASN-t igényel”), Ön a saját IP-címeit jelenti be, és a Hetzner ehhez egyet sem ad.
• Két uplink. A kapcsolat két redundáns gerincrouteren végződik, mindegyiken egy BGP-munkamenettel, két /30-as transzferhálózaton át, amelyeket a Hetzner külön számláz.
• Hol. Dedikált szerverekhez egyedi megoldások, amelyek privát hálózati összeköttetésen kapcsolódnak, így a helyük nem számít. Colocation rackek és cage-ek Falkensteinben (FSN1-DC2), Nürnbergben (NBG1-DC2 és NBG1-DC4) és Helsinkiben (HEL1-DC1), bár a Hetzner jelenleg nem tud colocation-helyet biztosítani.
• Kábelezés. A Hetzner meet-me roomjához vezető kábelezés kell, bare metalnál pedig a privát összeköttetés.

A forgalmat ezen felül TB-onként 1 €-val számlázzák, a két /30-as transzferhálózat mindegyikét havi 6,00 €-val plusz 17,50 € beállítási díjjal. Ezek az árak mind áfa nélkül értendők. A Hetzner árai változnak, ezért a költségvetés előtt nézze meg az útmutató elején linkelt oldalt.

Amit előkészít

1. Egy AS-szám. Ha nincs, egy szponzoráló LIR elintézheti Önnek (ASN-szponzorálás).
2. Egy /24 vagy nagyobb. A Hetzner nem tesz közzé minimumot ehhez az upstreamhez, de az internet többi része kiszűr mindent, ami kisebb egy /24-nél, így gyakorlatilag ez az alsó határ.
3. Egy ROA, amely a prefixre az Ön ASN-jét nevezi meg, a maximális hosszt arra állítva, amit bejelent (RPKI és ROA-k).
4. Egy route objektum a prefixre, az Ön ASN-jével mint originnel, és egy aut-num objektum, amely a Hetzner hálózatát, az AS24940-et sorolja fel upstreamként. A Hetzner oldalai nem nevezik meg az upstream ASN-jét; az AS24940 a RIPE Database szerint a Hetzner Online-é.
5. Egy BGP speaker az Ön oldalán: a routere, vagy BIRD vagy FRR egy szerveren.

A munkamenetek

Kérje az upstreamet a Hetznertől a fiókján keresztül, megadva az ASN-jét és a prefixet. A Hetzner kiosztja a két transzferhálózatot; ezután uplinkenként egy munkamenetet indít, és csak a saját prefixét jelenti be. Egy minimális munkamenet BIRD 2-ben, dokumentációs értékekkel (64500 az Ön ASN-je, 203.0.113.0/24 a blokkja, 192.0.2.1 az első transzferhálózat Hetzner-oldala):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

A BIRD csak a táblájában lévő útvonalakat jelenti be, ezért a protocol static blokk teszi oda a prefixét; nélküle a munkamenet felépül, de semmit nem jelent be. Az unreachable útvonal csak a blokk azon címeire válaszol, amelyeket egyetlen interfész vagy specifikusabb útvonal sem visz (BIRD 2 dokumentáció, a static protokoll). A második munkamenet ugyanilyen, a második transzferhálózat felé. Ellenőrizze a bejelentést kívülről, egy looking glassszal vagy egy RPKI-validátorral, mielőtt forgalmat terel rá.

2. lehetőség: alagút, Hetzner Cloudhoz és dedikált szerverekhez

Ha a szerverei a Hetzner Cloudban vagy szokásos dedikált gépeken vannak, BGP-munkamenetre nincs lehetőség. A saját címeit mégis használhatja rajtuk: egy hálózat, amely be tudja jelenteni a blokkot, bejelenti, és egy GRE- vagy WireGuard-alagút a Hetzner-szerveréhez és vissza szállítja a forgalmát. A szerver a címeket helyiként látja (hogyan működik az alagút).

Három dolog, amelyet jól kell beállítani:

• A válaszok az alagúton át mennek vissza. Adjon hozzá egy policy route-ot, hogy a blokkból érkező forgalom az alagúton át távozzon, ahogy a GRE-útmutató mutatja. Ha közvetlenül menne ki, olyan forráscímet hordozna, amelyet a Hetzner soha nem osztott ki a szervernek, és a hálózatok kiszűrik az ilyen forgalmat.
• Nyissa meg a tűzfalat az alagútnak. Ha a Hetzner Cloud Firewallt használja, engedélyezze a GRE-t (47-es IP-protokoll) vagy a WireGuard UDP-portját az alagút túlsó végéről.
• Állítsa be az MTU-t. GRE-nél 1476 bájt, WireGuardnál 1420 körül, MSS clampinggel, ha a szerver virtuális gépek felé továbbítja a blokkot.

Az alagút azt a problémát is megoldja, amelyet a BYOIP soha: 256-nál kevesebb címet is eljuttathat, akár egyetlenet is.

Ha bérli a blokkot

A BGP-upstreamnél a blokk jogosultja végzi a registry-munkát: a ROA-t az Ön ASN-jére, a route objektumot, és ha a Hetzner kér ilyet, egy meghatalmazó levelet (Letter of Authorization), amely megnevezi az Ön ASN-jét és a Hetznert mint az azt szállító hálózatot. Alagútnál a Hetznernél semmi nem változik; a túloldali hálózat jelenti be a blokkot, a jogosultnak pedig csak azt a hálózatot kell felhatalmaznia.

Hol segít az RTM Networks

/24-eket és nagyobbakat bérbe adunk saját RIPE NCC-címterünkből, a ROA-val, a route objektummal és a meghatalmazó levéllel az Ön ASN-jére beállítva (IPv4 bérlése), és blokkokat adunk el a RIPE NCC, az ARIN és az APNIC régiójában. AS-számokat szponzorálunk azoknak a szervezeteknek, amelyek nem üzemeltetnek saját LIR-t. Hetzner Cloudhoz és dedikált szerverekhez mi magunk jelentjük be a blokkot, és GRE-n vagy WireGuardon át juttatjuk el a szerveréhez, bármilyen méretben, egészen egyetlen címig (GRE- és WireGuard-alagutak). Írja meg, melyik Hetzner-terméket használja, és hány címre van szüksége. További szolgáltatók a BYOIP-útmutatóinkban.