Hetzner BYOIP: savu IP adrešu izmantošana Hetzner

Hetzner mākoņa serveri un standarta dedicated serveri izmanto adreses, ko piešķir Hetzner, un tās dokumentācija par tiem neko nesaka par savu adrešu ienešanu: tajos veids, kā izmantot savas adreses, ir tunelis, 2. iespēja zemāk. Pēc pieprasījuma Hetzner nokārto 1. iespēju, pielāgotiem bare metal risinājumiem.

1. iespēja: Hetzner BGP upstream

Hetzner to norāda starp saviem colocation īpašajiem piedāvājumiem kā interneta upstream ar personisku, redundantu BGP sesiju. Dienā, kad pārbaudījām, tās dokumentācija teica:

• ASN un adreses ienesat Jūs. Upstream „requires an own ASN” (tulkojums: „prasa savu ASN”), Jūs paziņojat (announce) savas IP adreses, un Hetzner tam nevienu nepiegādā.
• Divi savienojumi. Savienojums beidzas divos redundantos maģistrāles maršrutētājos ar BGP sesiju katrā, pa diviem /30 tranzīta tīkliem, ko Hetzner rēķina atsevišķi.
• Kur. Pielāgoti risinājumi dedicated serveriem, kas savienojas caur privātu tīkla starpsavienojumu, tāpēc to atrašanās vietai nav nozīmes. Colocation statnes un būri Falkenšteinā (FSN1-DC2), Nirnbergā (NBG1-DC2 un NBG1-DC4) un Helsinkos (HEL1-DC1), lai gan Hetzner pagaidām nevar nodrošināt colocation vietu.
• Kabeļi. Vajag kabeļus līdz Hetzner meet-me room vai privāto starpsavienojumu bare metal.

Trafiku papildus rēķina pa 1 € par TB, un katru no diviem /30 tranzīta tīkliem pa 6,00 € mēnesī plus 17,50 € iestatīšanai. Visas šīs cenas ir bez PVN. Hetzner cenas mainās, tāpēc pirms budžeta plānošanas pārbaudiet lapu, uz kuru saite ir šī ceļveža augšā.

Ko sagatavojat

1. AS numuru. Ja Jums tāda nav, to Jums var nokārtot sponsorējošs LIR (ASN sponsorēšana).
2. /24 vai lielāku. Hetzner šim upstream minimumu nepublicē, bet pārējais internets filtrē visu, kas mazāks par /24, tāpēc tā ir praktiskā apakšējā robeža.
3. ROA, kas norāda Jūsu ASN prefiksam, ar maksimālo garumu, kas iestatīts uz to, ko paziņosiet (RPKI un ROA).
4. Route objektu prefiksam ar Jūsu ASN kā origin un aut-num objektu, kas norāda Hetzner tīklu, AS24940, kā Jūsu upstream. Hetzner lapās upstream ASN nav norādīts; RIPE datubāzē AS24940 pieder Hetzner Online.
5. BGP runātāju Jūsu pusē: Jūsu maršrutētāju vai BIRD vai FRR serverī.

Sesijas

Pajautājiet Hetzner par upstream caur savu kontu, norādot savu ASN un prefiksu. Hetzner piešķir divus tranzīta tīklus; tad Jūs palaižat vienu sesiju katram savienojumam un paziņojat tikai savu prefiksu. Minimāla sesija BIRD 2 ar dokumentācijas vērtībām (64500 Jūsu ASN, 203.0.113.0/24 Jūsu blokam, 192.0.2.1 Hetzner pusei pirmajā tranzīta tīklā):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD paziņo tikai maršrutus, kas ir tā tabulā, tāpēc bloks protocol static ievieto tur Jūsu prefiksu; bez tā sesija izveidojas un neko nepaziņo. Maršruts unreachable atbild tikai par tām bloka adresēm, kuras nepārnēsā neviena saskarne vai specifiskāks maršruts (BIRD 2 dokumentācija, static protokols). Otrā sesija ir tāda pati pret otro tranzīta tīklu. Pārbaudiet paziņojumu no ārpuses ar looking glass vai RPKI validatoru, pirms pārvirzāt uz to trafiku.

2. iespēja: tunelis Hetzner Cloud un dedicated serveriem

Ja Jūsu serveri ir Hetzner Cloud vai standarta dedicated mašīnās, BGP sesijas nav. Savas adreses tajos tomēr var izmantot: tīkls, kas var paziņot bloku, to dara, un GRE vai WireGuard tunelis nogādā tā trafiku līdz Jūsu Hetzner serverim un atpakaļ. Serveris redz adreses, it kā tās būtu lokālas (kā darbojas tunelis).

Trīs lietas, kas jāizdara pareizi:

• Atbildes atgriežas caur tuneli. Pievienojiet politikas maršrutu (policy route), lai trafiks no bloka izietu caur tuneli, kā rāda GRE ceļvedis. Nosūtīts tieši, tas nestu avota adresi, ko Hetzner serverim nekad nav piešķīrusi, un tīkli šādu trafiku filtrē.
• Atveriet ugunsmūri tunelim. Ja izmantojat Hetzner Cloud Firewall, atļaujiet GRE (IP protokols 47) vai WireGuard UDP portu no tuneļa otra gala.
• Iestatiet MTU. 1476 baiti GRE, ap 1420 WireGuard, ar MSS clamping, ja serveris maršrutē bloku tālāk uz virtuālajām mašīnām.

Tunelis atrisina arī problēmu, ko BYOIP nekad neatrisina: tas var piegādāt mazāk nekā 256 adreses, līdz pat vienai.

Ja bloku nomājat

Ar BGP upstream reģistra darbu veic bloka turētājs: ROA Jūsu ASN, route objektu un, ja Hetzner to prasa, Letter of Authorization, kas norāda Jūsu ASN un Hetzner kā tīklu, kas to pārnēsā. Ar tuneli pie Hetzner nekas nemainās; tīkls otrā galā paziņo bloku, un turētājam jāautorizē tikai šis tīkls.

Kur iederas RTM Networks

Mēs iznomājam /24 un lielākus blokus no mūsu pašu RIPE NCC adrešu telpas ar ROA, route objektu un Letter of Authorization, kas iestatīti Jūsu ASN (IPv4 noma), un pārdodam blokus RIPE NCC, ARIN un APNIC reģionos. Mēs sponsorējam AS numurus organizācijām, kurām nav sava LIR. Hetzner Cloud un dedicated serveriem mēs paši paziņojam bloku un piegādājam to Jūsu serverim pa GRE vai WireGuard, jebkurā izmērā līdz pat vienai adresei (GRE un WireGuard tuneļi). Pasakiet mums, kuru Hetzner produktu izmantojat un cik adrešu Jums vajag. Vairāk pakalpojumu sniedzēju ir mūsu BYOIP ceļvežos.