BYOIP hjá Hetzner: að nota eigin IP-tölur hjá Hetzner

Skýjaþjónar og hefðbundnir sérþjónar Hetzner nota tölur sem Hetzner úthlutar, og skjölun þess fyrir þá segir ekkert um að koma með eigin tölur: á þeim er leiðin til að nota eigin tölur göng, kostur 2 hér að neðan. Það sem Hetzner útvegar gegn beiðni er kostur 1, fyrir sérsniðnar bare metal-lausnir.

Kostur 1: BGP-upstream Hetzner

Hetzner listar þetta undir sértilboðum sínum fyrir colocation sem upstream-tengingu við internetið með persónulegri, tvöfaldri BGP-lotu. Daginn sem við athuguðum sagði skjölun þess:

• Þú kemur með ASN og tölurnar. Tengingin „requires an own ASN“ (þýðing: „krefst eigin ASN“), þú tilkynnir eigin IP-tölur, og Hetzner útvegar engar fyrir hana.
• Tvær tengingar. Tengingin endar á tveimur tvöföldum stofnbeinum, með BGP-lotu á hvorum, yfir tvö /30-flutningsnet, sem Hetzner rukkar sérstaklega fyrir.
• Hvar. Sérlausnir fyrir sérþjóna, sem tengjast um einkanetstengingu, svo staðsetning þeirra skiptir ekki máli. Colocation-skápar og -búr í Falkenstein (FSN1-DC2), Nürnberg (NBG1-DC2 og NBG1-DC4) og Helsinki (HEL1-DC1), þótt Hetzner geti ekki útvegað hýsingarrými í bili.
• Lagnir. Það þarf lagnir að meet-me-herbergi Hetzner, eða einkatenginguna fyrir bare metal.

Umferð er rukkuð á 1 € á TB til viðbótar, og hvort tveggja /30-flutningsnetanna á 6,00 € á mánuði auk 17,50 € í stofngjald. Öll þessi verð eru án VSK. Verð Hetzner breytast, svo athugaðu síðuna sem vísað er á efst í þessum leiðbeiningum áður en þú gerir áætlun.

Það sem þú undirbýrð

1. AS-númer. Ef þú hefur ekkert getur kostunar-LIR (sponsoring LIR) útvegað það fyrir þig (kostun ASN).
2. /24 eða stærra. Hetzner birtir ekkert lágmark fyrir þessa tengingu, en restin af internetinu síar allt sem er minna en /24, svo það er lágmarkið í reynd.
3. ROA sem tilgreinir þitt ASN fyrir forskeytið, með hámarkslengd stillta á það sem þú munt tilkynna (RPKI og ROA).
4. Route-hlutur fyrir forskeytið með þitt ASN sem uppruna, og aut-num-hlutur sem listar net Hetzner, AS24940, sem upstream-aðila þinn. Síður Hetzner nefna ekki ASN upstream-aðilans; AS24940 tilheyrir Hetzner Online samkvæmt RIPE Database.
5. BGP-búnaður þín megin: beinirinn þinn, eða BIRD eða FRR á netþjóni.

Loturnar

Biddu Hetzner um tenginguna í gegnum reikninginn þinn, og gefðu upp AS-númerið þitt og forskeytið. Hetzner úthlutar flutningsnetunum tveimur; þú setur svo upp eina lotu á hverja tengingu og tilkynnir aðeins forskeytið þitt. Lágmarkslota í BIRD 2, með dæmagildum (64500 fyrir þitt ASN, 203.0.113.0/24 fyrir blokkina þína, 192.0.2.1 fyrir hlið Hetzner á fyrra flutningsnetinu):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD tilkynnir aðeins leiðir sem eru í töflu þess, svo protocol static-blokkin setur forskeytið þitt þangað; án hennar kemst lotan upp og tilkynnir ekkert. unreachable-leiðin svarar aðeins fyrir tölur í blokkinni sem ekkert viðmót eða nákvæmari leið ber (skjölun BIRD 2, static-samskiptareglan). Seinni lotan er eins á móti seinna flutningsnetinu. Athugaðu tilkynninguna utan frá, með looking glass eða RPKI-sannprófara, áður en þú færir umferð á hana.

Kostur 2: göng, fyrir Hetzner Cloud og sérþjóna

Ef netþjónarnir þínir eru í Hetzner Cloud eða á hefðbundnum sérþjónum er engin BGP-lota í boði. Þú getur samt notað eigin tölur á þeim: net sem getur tilkynnt blokkina gerir það, og GRE- eða WireGuard-göng flytja umferð hennar til netþjónsins þíns hjá Hetzner og til baka. Netþjónninn sér tölurnar eins og þær væru staðbundnar (hvernig göngin virka).

Þrjú atriði sem þarf að gera rétt:

• Svör fara til baka um göngin. Bættu við stefnuleið (policy route) svo umferð frá blokkinni fari út um göngin, eins og GRE-leiðbeiningarnar sýna. Send beint út myndi hún bera upprunatölu sem Hetzner úthlutaði netþjóninum aldrei, og net sía slíka umferð.
• Opnaðu eldvegginn fyrir göngin. Ef þú notar Hetzner Cloud Firewall skaltu leyfa GRE (IP-samskiptareglu 47) eða UDP-gátt WireGuard frá hinum enda ganganna.
• Stilltu MTU. 1.476 bæti fyrir GRE, um 1.420 fyrir WireGuard, með MSS clamping ef netþjónninn leiðir blokkina áfram til sýndarvéla.

Göng leysa líka vandann sem BYOIP leysir aldrei: þau geta afhent færri en 256 tölur, niður í staka tölu.

Ef þú leigir blokkina

Með BGP-upstream sér rétthafi blokkarinnar um skráningarvinnuna: ROA fyrir þitt ASN, route-hlutinn, og, ef Hetzner biður um það, heimildarbréf (Letter of Authorization) sem tilgreinir þitt ASN og Hetzner sem netið sem ber það. Með göngum breytist ekkert hjá Hetzner; netið á hinum endanum tilkynnir blokkina, og rétthafinn þarf aðeins að heimila það net.

Hvar RTM Networks kemur inn

Við leigjum /24 og stærra úr eigin vistfangarými okkar hjá RIPE NCC, með ROA, route-hlutnum og heimildarbréfinu uppsettum fyrir þitt ASN (leigja IPv4), og seljum blokkir á svæðum RIPE NCC, ARIN og APNIC. Við kostum AS-númer fyrir fyrirtæki sem reka ekki eigið LIR. Fyrir Hetzner Cloud og sérþjóna tilkynnum við blokkina sjálf og afhendum hana netþjóninum þínum um GRE eða WireGuard, í hvaða stærð sem er niður í staka tölu (GRE- og WireGuard-göng). Segðu okkur hvaða vöru Hetzner þú notar og hve margar tölur þú þarft. Fleiri þjónustuaðilar eru í BYOIP-leiðbeiningunum okkar.