BYOIP su Hetzner: usare i tuoi indirizzi IP su Hetzner

I server cloud e i server dedicati standard di Hetzner usano indirizzi assegnati da Hetzner, e la loro documentazione non dice nulla sul portare i propri: su quelli, il modo per usare i tuoi indirizzi è un tunnel, l’opzione 2 qui sotto. Ciò che Hetzner organizza su richiesta è l’opzione 1, per configurazioni bare metal su misura.

Opzione 1: l’upstream BGP di Hetzner

Hetzner lo elenca tra le offerte speciali di colocation come upstream internet con una sessione BGP personale e ridondante. Il giorno in cui abbiamo verificato, la sua documentazione diceva:

• ASN e indirizzi li porti tu. L’upstream “requires an own ASN” (traduzione: “richiede un ASN proprio”), annunci i tuoi indirizzi IP, e Hetzner non ne fornisce per esso.
• Due uplink. La connessione termina su due router di backbone ridondanti, con una sessione BGP su ciascuno, tramite due reti di trasferimento /30, che Hetzner fattura a parte.
• Dove. Soluzioni su misura per server dedicati, che si collegano tramite un’interconnessione di rete privata, quindi la loro posizione non conta. Rack e cage in colocation a Falkenstein (FSN1-DC2), Norimberga (NBG1-DC2 e NBG1-DC4) e Helsinki (HEL1-DC1), anche se per ora Hetzner non può fornire spazio in colocation.
• Cablaggio. Serve il cablaggio verso la meet-me room di Hetzner, o l’interconnessione privata per il bare metal.

Il traffico è fatturato in aggiunta a 1 € per TB, e ciascuna delle due reti di trasferimento /30 a 6,00 € al mese più 17,50 € di attivazione. Tutti questi prezzi sono IVA esclusa. I prezzi di Hetzner cambiano, quindi controlla la pagina collegata in cima a questa guida prima di fare un budget.

Cosa prepari

1. Un numero AS. Se non ne hai uno, un LIR sponsor può occuparsene per te (sponsorizzazione di ASN).
2. Un /24 o più grande. Hetzner non pubblica un minimo per questo upstream, ma il resto di internet filtra tutto ciò che è più piccolo di un /24, quindi quello è il limite pratico.
3. Una ROA che indica il tuo ASN per il prefisso, con la lunghezza massima impostata su ciò che annuncerai (RPKI e ROA).
4. Un route object per il prefisso con il tuo ASN come origin, e un oggetto aut-num che elenca la rete di Hetzner, AS24940, come tuo upstream. Le pagine di Hetzner non indicano l’ASN dell’upstream; AS24940 è di Hetzner Online secondo il RIPE Database.
5. Uno speaker BGP dal tuo lato: il tuo router, oppure BIRD o FRR su un server.

Le sessioni

Chiedi a Hetzner l’upstream tramite il tuo account, indicando il tuo ASN e il prefisso. Hetzner assegna le due reti di trasferimento; tu poi attivi una sessione per uplink e annunci solo il tuo prefisso. Una sessione minima in BIRD 2, con valori di documentazione (64500 per il tuo ASN, 203.0.113.0/24 per il tuo blocco, 192.0.2.1 per il lato Hetzner della prima rete di trasferimento):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD annuncia solo le route presenti nella sua tabella, quindi il blocco protocol static vi inserisce il tuo prefisso; senza di esso la sessione si attiva e non annuncia nulla. La route unreachable risponde solo per gli indirizzi del blocco che nessuna interfaccia o route più specifica porta (documentazione di BIRD 2, il protocollo static). La seconda sessione è uguale, verso la seconda rete di trasferimento. Verifica l’annuncio dall’esterno, con un looking glass o un validatore RPKI, prima di spostarci il traffico.

Opzione 2: un tunnel, per Hetzner Cloud e i server dedicati

Se i tuoi server sono su Hetzner Cloud o su macchine dedicate standard, non c’è una sessione BGP da avere. Puoi comunque usare i tuoi indirizzi su di essi: una rete che può annunciare il blocco lo annuncia, e un tunnel GRE o WireGuard porta il suo traffico al tuo server Hetzner e ritorno. Il server vede gli indirizzi come se fossero locali (come funziona il tunnel).

Tre cose da fare bene:

• Le risposte tornano attraverso il tunnel. Aggiungi una policy route in modo che il traffico dal blocco esca attraverso il tunnel, come mostra la guida GRE. Se uscisse direttamente, porterebbe un indirizzo sorgente che Hetzner non ha mai assegnato al server, e le reti filtrano quel traffico.
• Apri il firewall per il tunnel. Se usi l’Hetzner Cloud Firewall, consenti GRE (protocollo IP 47) o la porta UDP di WireGuard dall’altro capo del tunnel.
• Imposta la MTU. 1.476 byte per GRE, circa 1.420 per WireGuard, con MSS clamping se il server instrada il blocco verso macchine virtuali.

Un tunnel risolve anche il problema che il BYOIP non risolve mai: può consegnare meno di 256 indirizzi, fino a uno solo.

Se il blocco è in affitto

Con l’upstream BGP, il titolare del blocco si occupa del lavoro sul registro: la ROA per il tuo ASN, il route object e, se Hetzner la chiede, una Letter of Authorization che indica il tuo ASN e Hetzner come rete che lo trasporta. Con un tunnel, presso Hetzner non cambia proprio nulla; la rete all’altro capo annuncia il blocco, e il titolare deve solo autorizzare quella rete.

Dove entra RTM Networks

Affittiamo /24 e blocchi più grandi dal nostro spazio di indirizzi RIPE NCC, con la ROA, il route object e la Letter of Authorization configurati per il tuo ASN (affitto IPv4), e vendiamo blocchi nelle regioni del RIPE NCC, dell’ARIN e dell’APNIC. Sponsorizziamo numeri AS per le organizzazioni che non gestiscono un proprio LIR. Per Hetzner Cloud e i server dedicati, annunciamo noi il blocco e lo consegniamo al tuo server via GRE o WireGuard, in qualsiasi dimensione, fino a un solo indirizzo (tunnel GRE e WireGuard). Dicci quale prodotto Hetzner usi e quanti indirizzi ti servono. Altri provider sono nelle nostre guide BYOIP.