BYOIP w Hetznerze: własne adresy IP w Hetznerze

Serwery chmurowe i standardowe serwery dedykowane Hetznera używają adresów przydzielanych przez Hetznera, a jego dokumentacja dla nich nie mówi nic o wnoszeniu własnych: na nich sposobem na własne adresy jest tunel, opcja 2 poniżej. To, co Hetzner organizuje na życzenie, to opcja 1, dla niestandardowych konfiguracji bare metal.

Opcja 1: upstream BGP Hetznera

Hetzner wymienia to wśród ofert specjalnych kolokacji jako łącze do internetu (upstream) z osobistą, redundantną sesją BGP. W dniu, w którym sprawdzaliśmy, jego dokumentacja mówiła:

• Ty wnosisz ASN i adresy. Upstream „requires an own ASN” (tłumaczenie: „wymaga własnego ASN”), ogłaszasz własne adresy IP, a Hetzner żadnych do niego nie dostarcza.
• Dwa łącza. Połączenie kończy się na dwóch redundantnych routerach szkieletowych, z sesją BGP na każdym, przez dwie sieci tranzytowe /30, które Hetzner rozlicza osobno.
• Gdzie. Niestandardowe rozwiązania dla serwerów dedykowanych, które łączą się przez prywatne połączenie sieciowe, więc ich lokalizacja nie ma znaczenia. Szafy i klatki kolokacyjne w Falkenstein (FSN1-DC2), Norymberdze (NBG1-DC2 i NBG1-DC4) i Helsinkach (HEL1-DC1), choć Hetzner na razie nie może udostępniać przestrzeni kolokacyjnej.
• Okablowanie. Wymaga okablowania do meet-me room Hetznera albo prywatnego połączenia dla bare metal.

Ruch jest rozliczany dodatkowo po 1 € za TB, a każda z dwóch sieci tranzytowych /30 po 6,00 € miesięcznie plus 17,50 € za uruchomienie. Wszystkie te ceny są netto. Ceny Hetznera się zmieniają, więc przed planowaniem budżetu sprawdź stronę podlinkowaną na początku tego przewodnika.

Co przygotowujesz

1. Numer AS. Jeśli go nie masz, może go dla Ciebie załatwić sponsorujący LIR (sponsoring ASN).
2. /24 lub większy. Hetzner nie publikuje minimum dla tego upstreamu, ale reszta internetu filtruje wszystko mniejsze niż /24, więc to jest praktyczna granica.
3. ROA wskazujące Twój ASN dla prefiksu, z maksymalną długością ustawioną na to, co będziesz ogłaszać (RPKI i ROA).
4. Obiekt route dla prefiksu z Twoim ASN jako źródłem oraz obiekt aut-num, który wymienia sieć Hetznera, AS24940, jako Twojego operatora nadrzędnego. Strony Hetznera nie podają ASN operatora nadrzędnego; według RIPE Database AS24940 należy do Hetzner Online.
5. Głośnik BGP (BGP speaker) po Twojej stronie: Twój router albo BIRD lub FRR na serwerze.

Sesje

Poproś Hetznera o upstream przez swoje konto, podając swój ASN i prefiks. Hetzner przydziela dwie sieci tranzytowe; potem zestawiasz po jednej sesji na łącze i ogłaszasz tylko swój prefiks. Minimalna sesja w BIRD 2, z wartościami dokumentacyjnymi (64500 jako Twój ASN, 203.0.113.0/24 jako Twój blok, 192.0.2.1 jako strona Hetznera w pierwszej sieci tranzytowej):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD ogłasza tylko trasy, które są w jego tablicy, więc blok protocol static umieszcza tam Twój prefiks; bez niego sesja się zestawia i nie ogłasza niczego. Trasa unreachable odpowiada tylko za adresy w bloku, których nie obsługuje żaden interfejs ani bardziej szczegółowa trasa (dokumentacja BIRD 2, protokół static). Druga sesja wygląda tak samo, z drugą siecią tranzytową. Sprawdź ogłoszenie z zewnątrz, w looking glass lub walidatorze RPKI, zanim przeniesiesz na nie ruch.

Opcja 2: tunel, dla Hetzner Cloud i serwerów dedykowanych

Jeśli Twoje serwery są w Hetzner Cloud lub na standardowych maszynach dedykowanych, sesji BGP nie dostaniesz. Mimo to możesz używać na nich własnych adresów: sieć, która może ogłosić blok, ogłasza go, a tunel GRE lub WireGuard przenosi jego ruch do Twojego serwera w Hetznerze i z powrotem. Serwer widzi adresy, jakby były lokalne (jak działa tunel).

Trzy rzeczy, o które trzeba zadbać:

• Odpowiedzi wracają przez tunel. Dodaj regułę routingu (policy route), aby ruch z bloku wychodził przez tunel, jak pokazuje przewodnik po GRE. Wysłany prosto niósłby adres źródłowy, którego Hetzner nigdy nie przydzielił serwerowi, a sieci taki ruch filtrują.
• Otwórz zaporę dla tunelu. Jeśli używasz Hetzner Cloud Firewall, zezwól na GRE (protokół IP 47) lub na port UDP WireGuard z drugiego końca tunelu.
• Ustaw MTU. 1476 bajtów dla GRE, około 1420 dla WireGuard, z MSS clamping, jeśli serwer routuje blok dalej do maszyn wirtualnych.

Tunel rozwiązuje też problem, którego BYOIP nigdy nie rozwiązuje: może dostarczyć mniej niż 256 adresów, aż do jednego.

Jeśli dzierżawisz blok

Przy upstreamie BGP pracę w rejestrze wykonuje posiadacz bloku: ROA dla Twojego ASN, obiekt route oraz, jeśli Hetzner o to poprosi, Letter of Authorization wskazujący Twój ASN i Hetznera jako sieć, która go przenosi. Przy tunelu w Hetznerze nic się nie zmienia; blok ogłasza sieć na drugim końcu, a posiadacz musi tylko upoważnić tę sieć.

Gdzie pasuje RTM Networks

Dzierżawimy /24 i większe z własnej przestrzeni adresowej RIPE NCC, z ROA, obiektem route i Letter of Authorization skonfigurowanymi dla Twojego ASN (dzierżawa IPv4), i sprzedajemy bloki w regionach RIPE NCC, ARIN i APNIC. Sponsorujemy numery AS dla organizacji, które nie prowadzą własnego LIR. Dla Hetzner Cloud i serwerów dedykowanych sami ogłaszamy blok i dostarczamy go do Twojego serwera przez GRE lub WireGuard, w dowolnym rozmiarze, aż do jednego adresu (tunele GRE i WireGuard). Napisz, z którego produktu Hetznera korzystasz i ilu adresów potrzebujesz. Więcej dostawców znajdziesz w naszych przewodnikach BYOIP.