BYOIP v Hetzneri: vlastné IP adresy v Hetzneri

Cloudové servery a štandardné dedikované servery Hetzneru používajú adresy, ktoré prideľuje Hetzner, a jeho dokumentácia k nim nehovorí nič o prinesení vlastných: na nich je spôsobom, ako používať vlastné adresy, tunel, možnosť 2 nižšie. To, čo Hetzner zariadi na požiadanie, je možnosť 1, pre konfigurácie bare metal na mieru.

Možnosť 1: BGP upstream od Hetzneru

Hetzner to uvádza medzi špeciálnymi ponukami kolokácie ako internetový upstream s osobnou, redundantnou reláciou BGP. V deň, keď sme to overovali, jeho dokumentácia uvádzala:

• ASN a adresy prinášate vy. Upstream „requires an own ASN“ (preklad: „vyžaduje vlastné ASN“), oznamujete vlastné IP adresy a Hetzner preň žiadne nedodáva.
• Dve linky. Spojenie končí na dvoch redundantných chrbticových smerovačoch, s reláciou BGP na každom, cez dve tranzitné siete /30, ktoré Hetzner účtuje samostatne.
• Kde. Riešenia na mieru pre dedikované servery, ktoré sa pripájajú cez privátne sieťové prepojenie, takže na ich lokalite nezáleží. Kolokačné racky a klietky vo Falkensteine (FSN1-DC2), Norimbergu (NBG1-DC2 a NBG1-DC4) a Helsinkách (HEL1-DC1), hoci Hetzner zatiaľ nemôže kolokačný priestor poskytovať.
• Kabeláž. Potrebuje kabeláž do meet-me room Hetzneru alebo privátne prepojenie pre bare metal.

Prevádzka sa účtuje navyše po 1 € za TB a každá z dvoch tranzitných sietí /30 po 6,00 € mesačne plus 17,50 € za zriadenie. Všetky tieto ceny sú bez DPH. Ceny Hetzneru sa menia, preto si pred plánovaním rozpočtu overte stránku odkazovanú na začiatku tohto sprievodcu.

Čo pripravíte

1. Číslo AS. Ak ho nemáte, môže vám ho vybaviť sponzorujúci LIR (sponzorstvo ASN).
2. /24 alebo väčší. Hetzner pre tento upstream nezverejňuje žiadne minimum, ale zvyšok internetu filtruje čokoľvek menšie ako /24, takže to je praktická spodná hranica.
3. ROA, ktorá uvádza vaše ASN pre prefix, s maximálnou dĺžkou nastavenou na to, čo budete oznamovať (RPKI a ROA).
4. Objekt route pre prefix s vaším ASN ako originom a objekt aut-num, ktorý uvádza sieť Hetzneru, AS24940, ako váš upstream. Stránky Hetzneru ASN upstreamu neuvádzajú; AS24940 patrí podľa RIPE Database spoločnosti Hetzner Online.
5. BGP speaker na vašej strane: váš smerovač, alebo BIRD či FRR na serveri.

Relácie

Požiadajte Hetzner o upstream cez svoj účet, s uvedením vášho ASN a prefixu. Hetzner pridelí dve tranzitné siete; vy potom spustíte jednu reláciu na každú linku a oznamujete iba svoj prefix. Minimálna relácia v BIRD 2, s dokumentačnými hodnotami (64500 pre vaše ASN, 203.0.113.0/24 pre váš blok, 192.0.2.1 pre stranu Hetzneru v prvej tranzitnej sieti):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD oznamuje iba cesty, ktoré má vo svojej tabuľke, takže blok protocol static tam váš prefix vloží; bez neho sa relácia nadviaže a neoznamuje nič. Cesta unreachable odpovedá iba za adresy v bloku, ktoré neprenáša žiadne rozhranie ani špecifickejšia cesta (dokumentácia BIRD 2, protokol static). Druhá relácia je rovnaká voči druhej tranzitnej sieti. Skôr než na oznámenie presuniete prevádzku, overte ho zvonka, cez looking glass alebo validátor RPKI.

Možnosť 2: tunel, pre Hetzner Cloud a dedikované servery

Ak sú vaše servery v Hetzner Cloud alebo na štandardných dedikovaných strojoch, žiadna relácia BGP nie je k dispozícii. Vlastné adresy na nich napriek tomu môžete používať: sieť, ktorá môže blok oznamovať, ho oznamuje a tunel GRE alebo WireGuard prenáša jeho prevádzku na váš server v Hetzneri a späť. Server vidí adresy, ako keby boli lokálne (ako tunel funguje).

Tri veci, ktoré treba nastaviť správne:

• Odpovede idú späť cez tunel. Pridajte policy route, aby prevádzka z bloku odchádzala cez tunel, ako ukazuje sprievodca GRE. Ak by išla priamo, niesla by zdrojovú adresu, ktorú Hetzner serveru nikdy nepridelil, a siete takú prevádzku filtrujú.
• Otvorte firewall pre tunel. Ak používate Hetzner Cloud Firewall, povoľte GRE (IP protokol 47) alebo port UDP WireGuardu zo vzdialeného konca tunela.
• Nastavte MTU. 1 476 bajtov pre GRE, okolo 1 420 pre WireGuard, s MSS clamping, ak server smeruje blok ďalej na virtuálne stroje.

Tunel tiež rieši problém, ktorý BYOIP nikdy nerieši: dokáže doručiť menej ako 256 adries, až po jedinú.

Ak si blok prenajímate

Pri BGP upstreame robí prácu v registri držiteľ bloku: ROA pre vaše ASN, objekt route a, ak oň Hetzner požiada, Letter of Authorization, ktorý uvádza vaše ASN a Hetzner ako sieť, ktorá ho prenáša. Pri tuneli sa v Hetzneri nemení vôbec nič; blok oznamuje sieť na druhom konci a držiteľ musí autorizovať iba túto sieť.

Kde pomôže RTM Networks

Prenajímame /24 a väčšie z vlastného adresného priestoru RIPE NCC, s ROA, objektom route a Letter of Authorization nastavenými pre vaše ASN (prenájom IPv4), a predávame bloky v regiónoch RIPE NCC, ARIN a APNIC. Sponzorujeme čísla AS pre organizácie, ktoré neprevádzkujú vlastný LIR. Pre Hetzner Cloud a dedikované servery blok oznamujeme sami a doručíme ho na váš server cez GRE alebo WireGuard, v akejkoľvek veľkosti až po jedinú adresu (tunely GRE a WireGuard). Povedzte nám, ktorý produkt Hetzneru používate a koľko adries potrebujete. Ďalší poskytovatelia sú v našich sprievodcoch BYOIP.