BYOIP la Hetzner: propriile adrese IP la Hetzner

Serverele cloud și serverele dedicate standard ale Hetzner folosesc adrese alocate de Hetzner, iar documentația pentru ele nu spune nimic despre aducerea propriilor adrese: pe acestea, calea de a vă folosi propriile adrese este un tunel, opțiunea 2 de mai jos. Ce aranjează Hetzner la cerere este opțiunea 1, pentru configurații bare metal personalizate.

Opțiunea 1: upstreamul BGP de la Hetzner

Hetzner trece acest serviciu la ofertele speciale de colocare, ca upstream de internet cu o sesiune BGP personală, redundantă. În ziua în care am verificat, documentația sa spunea:

• Dvs. aduceți ASN-ul și adresele. Upstreamul „requires an own ASN” (traducere: „cere un ASN propriu”), vă anunțați propriile adrese IP, iar Hetzner nu furnizează niciuna pentru el.
• Două uplinkuri. Conexiunea se termină pe două routere de backbone redundante, cu câte o sesiune BGP pe fiecare, prin două rețele de transfer /30, pe care Hetzner le facturează separat.
• Unde. Soluții personalizate pentru servere dedicate, care se conectează printr-o interconectare de rețea privată, așa că locația lor nu contează. Rack-uri și cuști de colocare în Falkenstein (FSN1-DC2), Nürnberg (NBG1-DC2 și NBG1-DC4) și Helsinki (HEL1-DC1), deși Hetzner nu poate oferi deocamdată spațiu de colocare.
• Cablare. Are nevoie de cablare către meet-me room-ul Hetzner sau de interconectarea privată pentru bare metal.

Traficul se facturează în plus cu 1 € per TB, iar fiecare dintre cele două rețele de transfer /30 cu 6,00 € pe lună plus 17,50 € configurare. Toate aceste prețuri sunt fără TVA. Prețurile Hetzner se schimbă, așa că verificați pagina legată în capul acestui ghid înainte să bugetați.

Ce pregătiți

1. Un număr AS. Dacă nu aveți unul, un LIR sponsor vi-l poate aranja (sponsorizare PI și ASN).
2. Un /24 sau mai mare. Hetzner nu publică niciun minim pentru acest upstream, dar restul internetului filtrează orice este mai mic decât un /24, așa că acesta este pragul practic.
3. Un ROA care numește ASN-ul dvs. pentru prefix, cu lungimea maximă setată la ce veți anunța (RPKI și ROA).
4. Un obiect route pentru prefix cu ASN-ul dvs. ca origine și un obiect aut-num care trece rețeaua Hetzner, AS24940, ca upstream al dvs. Paginile Hetzner nu numesc ASN-ul upstream-ului; AS24940 aparține Hetzner Online conform RIPE Database.
5. Un BGP speaker de partea dvs.: routerul dvs. sau BIRD ori FRR pe un server.

Sesiunile

Cereți Hetzner upstreamul prin contul dvs., dând ASN-ul și prefixul. Hetzner alocă cele două rețele de transfer; apoi porniți câte o sesiune per uplink și anunțați doar prefixul dvs. O sesiune minimă în BIRD 2, cu valori de documentație (64500 pentru ASN-ul dvs., 203.0.113.0/24 pentru blocul dvs., 192.0.2.1 pentru partea Hetzner a primei rețele de transfer):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD anunță doar rutele care sunt în tabela sa, așa că blocul protocol static vă pune acolo prefixul; fără el, sesiunea pornește și nu anunță nimic. Ruta unreachable răspunde doar pentru adresele din bloc pe care nu le poartă nicio interfață sau rută mai specifică (documentația BIRD 2, protocolul static). A doua sesiune este la fel, către a doua rețea de transfer. Verificați anunțul din exterior, cu un looking glass sau un validator RPKI, înainte să mutați traficul pe el.

Opțiunea 2: un tunel, pentru Hetzner Cloud și serverele dedicate

Dacă serverele dvs. sunt în Hetzner Cloud sau pe mașini dedicate standard, nu există nicio sesiune BGP. Vă puteți totuși folosi propriile adrese pe ele: o rețea care poate anunța blocul îl anunță, iar un tunel GRE sau WireGuard îi duce traficul la serverul dvs. Hetzner și înapoi. Serverul vede adresele ca și cum ar fi locale (cum funcționează tunelul).

Trei lucruri de făcut corect:

• Răspunsurile se întorc prin tunel. Adăugați o rută de politică astfel încât traficul din bloc să iasă prin tunel, așa cum arată ghidul GRE. Trimis direct, ar purta o adresă sursă pe care Hetzner nu a alocat-o niciodată serverului, iar rețelele filtrează un asemenea trafic.
• Deschideți firewallul pentru tunel. Dacă folosiți Hetzner Cloud Firewall, permiteți GRE (protocolul IP 47) sau portul UDP al WireGuard de la capătul celălalt al tunelului.
• Setați MTU-ul. 1.476 de octeți pentru GRE, în jur de 1.420 pentru WireGuard, cu MSS clamping dacă serverul rutează blocul mai departe către mașini virtuale.

Un tunel rezolvă și problema pe care BYOIP nu o rezolvă niciodată: poate livra mai puțin de 256 de adrese, până la una singură.

Dacă închiriați blocul

Cu upstreamul BGP, deținătorul blocului face munca de registru: ROA-ul pentru ASN-ul dvs., obiectul route și, dacă Hetzner cere una, o Letter of Authorization care numește ASN-ul dvs. și Hetzner ca rețeaua care îl poartă. Cu un tunel, la Hetzner nu se schimbă absolut nimic; rețeaua de la celălalt capăt anunță blocul, iar deținătorul trebuie doar să autorizeze acea rețea.

Unde se încadrează RTM Networks

Închiriem /24 și mai mari din propriul nostru spațiu de adrese RIPE NCC, cu ROA-ul, obiectul route și Letter of Authorization configurate pentru ASN-ul dvs. (închiriere IPv4), și vindem blocuri în regiunile RIPE NCC, ARIN și APNIC. Sponsorizăm numere AS pentru organizațiile care nu au propriul LIR. Pentru Hetzner Cloud și serverele dedicate, anunțăm noi înșine blocul și îl livrăm la serverul dvs. prin GRE sau WireGuard, în orice mărime, până la o singură adresă (tuneluri GRE și WireGuard). Spuneți-ne ce produs Hetzner folosiți și de câte adrese aveți nevoie. Mai mulți furnizori sunt în ghidurile noastre BYOIP.