BYOIP hos Hetzner: bruk egne IP-adresser hos Hetzner

Hetzners skyservere og vanlige dedikerte servere bruker adresser som Hetzner tildeler, og dokumentasjonen for dem sier ingenting om å ta med egne: på dem er veien til egne adresser en tunnel, alternativ 2 nedenfor. Det Hetzner ordner på forespørsel, er alternativ 1, for tilpassede bare metal-oppsett.

Alternativ 1: Hetzners BGP-upstream

Hetzner oppgir dette under sine spesialtilbud for colocation som en internett-upstream med en personlig, redundant BGP-sesjon. Den dagen vi sjekket, sa dokumentasjonen:

• Du tar med ASN-et og adressene. Upstreamen «requires an own ASN» (oversettelse: «krever et eget ASN»), du kunngjør dine egne IP-adresser, og Hetzner leverer ingen til den.
• To opplinker. Forbindelsen termineres på to redundante backbone-rutere, med en BGP-sesjon på hver, over to /30-transfernett, som Hetzner fakturerer separat.
• Hvor. Tilpassede løsninger for dedikerte servere, som kobles til via en privat nettverkssammenkobling, så plasseringen spiller ingen rolle. Colocation-rack og -bur i Falkenstein (FSN1-DC2), Nürnberg (NBG1-DC2 og NBG1-DC4) og Helsingfors (HEL1-DC1), selv om Hetzner foreløpig ikke kan tilby colocation-plass.
• Kabling. Det trengs kabling til Hetzners meet-me room, eller den private sammenkoblingen for bare metal.

Trafikk faktureres i tillegg med 1 € per TB, og hvert av de to /30-transfernettene med 6,00 € per måned pluss 17,50 € i etablering. Alle disse prisene er eks. mva. Hetzners priser endres, så sjekk siden det lenkes til øverst i denne guiden før du budsjetterer.

Hva du forbereder

1. Et AS-nummer. Har du ikke et, kan en sponsor-LIR ordne det for deg (sponsing av ASN).
2. En /24 eller større. Hetzner publiserer ikke noe minimum for denne upstreamen, men resten av internett filtrerer alt mindre enn en /24, så det er i praksis nedre grense.
3. En ROA som nevner ASN-et ditt for prefikset, med maksimal lengde satt til det du skal kunngjøre (RPKI og ROA-er).
4. Et route-objekt for prefikset med ditt ASN som origin, og et aut-num-objekt som oppgir Hetzners nettverk, AS24940, som din upstream. Hetzners sider oppgir ikke upstreamens ASN; AS24940 tilhører Hetzner Online i RIPE-databasen.
5. En BGP-speaker på din side: ruteren din, eller BIRD eller FRR på en server.

Sesjonene

Be Hetzner om upstreamen via kontoen din, med ASN-et ditt og prefikset. Hetzner tildeler de to transfernettene; du setter så opp én sesjon per opplink og kunngjør bare prefikset ditt. En minimal sesjon i BIRD 2, med dokumentasjonsverdier (64500 for ASN-et ditt, 203.0.113.0/24 for blokken din, 192.0.2.1 for Hetzners side av det første transfernettet):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD kunngjør bare ruter som står i tabellen, så blokken protocol static legger prefikset ditt der; uten den kommer sesjonen opp og kunngjør ingenting. Ruten unreachable svarer bare for adresser i blokken som ingen grensesnitt eller mer spesifikk rute fører (BIRD 2-dokumentasjonen, static-protokollen). Den andre sesjonen er lik, mot det andre transfernettet. Sjekk kunngjøringen utenfra, med et looking glass eller en RPKI-validator, før du flytter trafikk over på den.

Alternativ 2: en tunnel, for Hetzner Cloud og dedikerte servere

Står serverne dine i Hetzner Cloud eller på vanlige dedikerte maskiner, finnes det ingen BGP-sesjon å få. Du kan likevel bruke egne adresser på dem: et nettverk som kan kunngjøre blokken, gjør det, og en GRE- eller WireGuard-tunnel fører trafikken til Hetzner-serveren din og tilbake. Serveren ser adressene som om de var lokale (slik virker tunnelen).

Tre ting å få riktig:

• Svarene går tilbake gjennom tunnelen. Legg til en policy-rute slik at trafikk fra blokken går ut gjennom tunnelen, slik GRE-guiden viser. Sendt rett ut ville den bære en avsenderadresse Hetzner aldri har tildelt serveren, og nettverk filtrerer slik trafikk.
• Åpne brannmuren for tunnelen. Bruker du Hetzner Cloud Firewall, tillat GRE (IP-protokoll 47) eller WireGuards UDP-port fra den andre enden av tunnelen.
• Sett MTU. 1 476 byte for GRE, rundt 1 420 for WireGuard, med MSS clamping hvis serveren ruter blokken videre til virtuelle maskiner.

En tunnel løser også problemet BYOIP aldri løser: den kan levere færre enn 256 adresser, ned til én enkelt.

Hvis du leier blokken

Med BGP-upstreamen gjør innehaveren av blokken registerarbeidet: ROA-en for ASN-et ditt, route-objektet og, hvis Hetzner ber om det, en Letter of Authorization som nevner ASN-et ditt og Hetzner som nettverket som fører det. Med en tunnel endres ingenting hos Hetzner i det hele tatt; nettverket i den andre enden kunngjør blokken, og innehaveren trenger bare å autorisere det nettverket.

Hvor RTM Networks passer inn

Vi leier ut /24-er og større fra vårt eget RIPE NCC-adresserom, med ROA-en, route-objektet og Letter of Authorization satt opp for ASN-et ditt (lei IPv4), og selger blokker i regionene til RIPE NCC, ARIN og APNIC. Vi sponser AS-numre for organisasjoner som ikke driver sin egen LIR. For Hetzner Cloud og dedikerte servere kunngjør vi blokken selv og leverer den til serveren din over GRE eller WireGuard, i hvilken som helst størrelse ned til én enkelt adresse (GRE- og WireGuard-tunneler). Fortell oss hvilket Hetzner-produkt du bruker og hvor mange adresser du trenger. Flere leverandører finner du i BYOIP-guidene våre.