Hetzner BYOIP: savi IP adresai Hetzner

Hetzner debesijos serveriai ir standartiniai dedikuoti serveriai naudoja adresus, kuriuos paskiria Hetzner, o jų dokumentacija nieko nesako apie savų adresų atsinešimą: juose savus adresus naudoti galima per tunelį, 2 būdas toliau. Tai, ką Hetzner sutvarko per užklausą, yra 1 būdas, individualiems bare metal sprendimams.

1 būdas: Hetzner BGP upstream

Hetzner tai nurodo tarp savo colocation specialių pasiūlymų kaip interneto upstream su asmenine, rezervuota BGP sesija. Tą dieną, kai tikrinome, jos dokumentacija sakė:

• ASN ir adresus atsinešate Jūs. Upstream „requires an own ASN“ (vertimas: „reikalauja savo ASN“), savo IP adresus skelbiate Jūs, o Hetzner jam jokių adresų nesuteikia.
• Dvi jungtys. Jungtis baigiasi dviejuose rezervuotuose magistralės maršrutizatoriuose, su BGP sesija kiekviename, per du /30 perdavimo tinklus, kuriuos Hetzner apmokestina atskirai.
• Kur. Individualūs sprendimai dedikuotiems serveriams, kurie jungiasi per privačią tinklo jungtį, todėl jų vieta nesvarbi. Colocation spintos ir narvai Falkenšteine (FSN1-DC2), Niurnberge (NBG1-DC2 ir NBG1-DC4) ir Helsinkyje (HEL1-DC1), nors šiuo metu Hetzner colocation vietos suteikti negali.
• Kabeliai. Reikia kabelių iki Hetzner meet-me room arba privačios jungties bare metal atveju.

Srautas papildomai apmokestinamas po 1 € už TB, o kiekvienas iš dviejų /30 perdavimo tinklų po 6,00 € per mėnesį plius 17,50 € įdiegimo. Visos šios kainos be PVM. Hetzner kainos keičiasi, todėl prieš planuodami biudžetą patikrinkite šio vadovo viršuje nurodytą puslapį.

Ką paruošiate

1. AS numerį. Jei jo neturite, jį Jums gali sutvarkyti remiantysis LIR (ASN rėmimas).
2. /24 ar didesnį bloką. Hetzner šiam upstream minimumo neskelbia, bet likęs internetas filtruoja viską, kas mažiau nei /24, todėl tai yra praktinė riba.
3. ROA, nurodantį Jūsų ASN prefiksui, su didžiausiu ilgiu pagal tai, ką skelbsite (RPKI ir ROA).
4. Route objektą prefiksui su Jūsų ASN kaip origin ir aut-num objektą, kuriame Hetzner tinklas, AS24940, nurodytas kaip Jūsų upstream. Hetzner puslapiuose upstream ASN nenurodytas; pagal RIPE duomenų bazę AS24940 priklauso Hetzner Online.
5. BGP kalbėtoją (BGP speaker) savo pusėje: savo maršrutizatorių arba BIRD ar FRR serveryje.

Sesijos

Paprašykite Hetzner upstream per savo paskyrą, nurodydami savo ASN ir prefiksą. Hetzner paskiria du perdavimo tinklus; tada kiekvienai jungčiai pakeliate po vieną sesiją ir skelbiate tik savo prefiksą. Minimali sesija BIRD 2, su dokumentacijos reikšmėmis (64500 Jūsų ASN, 203.0.113.0/24 Jūsų blokui, 192.0.2.1 Hetzner pusei pirmajame perdavimo tinkle):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD skelbia tik maršrutus, kurie yra jo lentelėje, todėl blokas protocol static įrašo ten Jūsų prefiksą; be jo sesija pakyla, bet nieko neskelbia. Maršrutas unreachable atsako tik už tuos bloko adresus, kurių neperduoda jokia sąsaja ar konkretesnis maršrutas (BIRD 2 dokumentacija, statinis protokolas). Antroji sesija tokia pati, su antruoju perdavimo tinklu. Prieš perkeldami srautą, patikrinkite skelbimą iš išorės, su looking glass ar RPKI tikrintuvu.

2 būdas: tunelis Hetzner Cloud ir dedikuotiems serveriams

Jei Jūsų serveriai yra Hetzner Cloud arba standartinėse dedikuotose mašinose, BGP sesijos nėra. Vis tiek galite juose naudoti savus adresus: tinklas, galintis skelbti bloką, jį skelbia, o GRE arba WireGuard tunelis perduoda jo srautą į Jūsų Hetzner serverį ir atgal. Serveris mato adresus taip, lyg jie būtų vietiniai (kaip veikia tunelis).

Trys dalykai, kuriuos reikia padaryti teisingai:

• Atsakymai grįžta per tunelį. Pridėkite politikos maršrutą (policy route), kad srautas iš bloko išeitų per tunelį, kaip rodo GRE vadovas. Išsiųstas tiesiai, jis turėtų šaltinio adresą, kurio Hetzner serveriui niekada nepaskyrė, o tinklai tokį srautą filtruoja.
• Atverkite ugniasienę tuneliui. Jei naudojate Hetzner Cloud Firewall, leiskite GRE (IP protokolas 47) arba WireGuard UDP prievadą iš kito tunelio galo.
• Nustatykite MTU. 1 476 baitai GRE, apie 1 420 WireGuard, su MSS ribojimu (MSS clamping), jei serveris bloką maršrutizuoja toliau į virtualias mašinas.

Tunelis taip pat išsprendžia problemą, kurios BYOIP niekada neišsprendžia: jis gali pristatyti mažiau nei 256 adresus, iki vieno.

Jei bloką nuomojatės

Su BGP upstream registro darbus atlieka bloko turėtojas: ROA Jūsų ASN, route objektą ir, jei Hetzner jo paprašo, įgaliojimo raštą (Letter of Authorization), nurodantį Jūsų ASN ir Hetzner kaip jį perduodantį tinklą. Su tuneliu Hetzner pusėje niekas nesikeičia; bloką skelbia tinklas kitame gale, o turėtojui tereikia autorizuoti tą tinklą.

Kur čia RTM Networks

Nuomojame /24 ir didesnius blokus iš savo RIPE NCC adresų erdvės su ROA, route objektu ir įgaliojimo raštu, paruoštais Jūsų ASN (IPv4 nuoma), ir parduodame blokus RIPE NCC, ARIN ir APNIC regionuose. Remiame AS numerius organizacijoms, neturinčioms savo LIR. Hetzner Cloud ir dedikuotiems serveriams bloką skelbiame patys ir pristatome į Jūsų serverį per GRE arba WireGuard, bet kokio dydžio iki vieno adreso (GRE ir WireGuard tuneliai). Nurodykite, kurį Hetzner produktą naudojate ir kiek adresų Jums reikia. Daugiau teikėjų rasite mūsų BYOIP vadovuose.