BYOIP pri Hetzner: uporaba lastnih IP-naslovov pri Hetzner

Hetznerjevi strežniki v oblaku in standardni namenski strežniki uporabljajo naslove, ki jih dodeli Hetzner, njegova dokumentacija zanje pa o prinašanju lastnih ne pove ničesar: na njih je način za uporabo lastnih naslovov tunel, možnost 2 spodaj. Kar Hetzner uredi na zahtevo, je možnost 1, za postavitve bare metal po meri.

Možnost 1: Hetznerjev upstream BGP

Hetzner to navaja med posebnimi ponudbami za kolokacijo kot internetno povezljivost (upstream) z osebno, redundantno sejo BGP. Na dan, ko smo preverjali, je njegova dokumentacija navajala:

• ASN in naslove prinesete vi. Upstream „requires an own ASN“ (prevod: „zahteva lasten ASN“), objavljate lastne IP-naslove, Hetzner pa zanj ne zagotovi nobenih.
• Dve povezavi. Povezava se konča na dveh redundantnih hrbteničnih usmerjevalnikih, s sejo BGP na vsakem, prek dveh prenosnih omrežij /30, ki ju Hetzner zaračuna posebej.
• Kje. Rešitve po meri za namenske strežnike, ki se povežejo prek zasebne omrežne medpovezave, zato njihova lokacija ni pomembna. Omare in kletke v kolokaciji v Falkensteinu (FSN1-DC2), Nürnbergu (NBG1-DC2 in NBG1-DC4) in Helsinkih (HEL1-DC1), čeprav Hetzner zaenkrat ne more zagotoviti prostora za kolokacijo.
• Kabli. Potrebna je kabelska povezava do Hetznerjeve sobe meet-me room ali zasebna medpovezava za bare metal.

Promet se dodatno zaračuna po 1 € na TB, vsako od dveh prenosnih omrežij /30 pa po 6,00 € na mesec in 17,50 € za vzpostavitev. Vse te cene so brez DDV. Hetznerjeve cene se spreminjajo, zato pred načrtovanjem proračuna preverite stran, povezano na vrhu tega vodnika.

Kaj pripravite

1. Številko AS. Če je nimate, jo lahko za vas uredi sponzorski LIR (sponzorstvo ASN).
2. Blok /24 ali večji. Hetzner za ta upstream ne objavlja najmanjše velikosti, preostali internet pa filtrira vse, kar je manjše od /24, zato je to praktična spodnja meja.
3. ROA, ki za predpono navaja vaš ASN, z največjo dolžino, nastavljeno na to, kar boste objavili (RPKI in ROA).
4. Objekt route za predpono z vašim ASN kot izvorom in objekt aut-num, ki Hetznerjevo omrežje, AS24940, navaja kot vaš upstream. Hetznerjeve strani ne navajajo ASN upstreama; AS24940 po RIPE Database pripada Hetzner Online.
5. Govorca BGP na vaši strani: vaš usmerjevalnik ali BIRD ali FRR na strežniku.

Seje

Hetzner prosite za upstream prek svojega računa in navedite svoj ASN in predpono. Hetzner dodeli dve prenosni omrežji; nato vzpostavite eno sejo na povezavo in objavite samo svojo predpono. Najmanjša seja v BIRD 2 z dokumentacijskimi vrednostmi (64500 za vaš ASN, 203.0.113.0/24 za vaš blok, 192.0.2.1 za Hetznerjevo stran prvega prenosnega omrežja):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD objavlja samo poti, ki so v njegovi tabeli, zato blok protocol static tja postavi vašo predpono; brez njega se seja vzpostavi in ne objavi ničesar. Pot unreachable odgovarja samo za naslove v bloku, ki jih ne nosi noben vmesnik ali bolj specifična pot (dokumentacija BIRD 2, protokol static). Druga seja je enaka, proti drugemu prenosnemu omrežju. Preden nanjo preusmerite promet, objavo preverite od zunaj, z looking glass ali validatorjem RPKI.

Možnost 2: tunel, za Hetzner Cloud in namenske strežnike

Če so vaši strežniki v Hetzner Cloud ali na standardnih namenskih strojih, seje BGP ni. Lastne naslove lahko na njih vseeno uporabljate: omrežje, ki lahko blok objavi, ga objavi, tunel GRE ali WireGuard pa njegov promet prenaša do vašega strežnika Hetzner in nazaj. Strežnik vidi naslove, kot da so lokalni (kako tunel deluje).

Tri stvari, ki jih morate urediti:

• Odgovori se vračajo skozi tunel. Dodajte pravilo usmerjanja (policy route), da promet iz bloka odhaja skozi tunel, kot kaže vodnik za GRE. Poslan neposredno bi nosil izvorni naslov, ki ga Hetzner strežniku nikoli ni dodelil, omrežja pa tak promet filtrirajo.
• Odprite požarni zid za tunel. Če uporabljate Hetzner Cloud Firewall, dovolite GRE (protokol IP 47) ali vrata UDP WireGuard z drugega konca tunela.
• Nastavite MTU. 1.476 bajtov za GRE, okoli 1.420 za WireGuard, z MSS clamping, če strežnik blok usmerja naprej na virtualne stroje.

Tunel reši tudi težavo, ki je BYOIP nikoli ne: dostavi lahko manj kot 256 naslovov, vse do enega samega.

Če blok najamete

Pri upstreamu BGP delo v registru opravi imetnik bloka: ROA za vaš ASN, objekt route in, če ga Hetzner zahteva, pooblastilo (Letter of Authorization), ki navaja vaš ASN in Hetzner kot omrežje, ki ga prenaša. Pri tunelu se pri Hetzner ne spremeni nič; blok objavlja omrežje na drugem koncu, imetnik pa mora pooblastiti samo to omrežje.

Kje nastopi RTM Networks

Dajemo v najem bloke /24 in večje iz lastnega naslovnega prostora RIPE NCC, z ROA, objektom route in pooblastilom, nastavljenimi za vaš ASN (najem IPv4), in prodajamo bloke v regijah RIPE NCC, ARIN in APNIC. Sponzoriramo številke AS za organizacije, ki nimajo lastnega LIR. Za Hetzner Cloud in namenske strežnike blok objavimo sami in ga do vašega strežnika dostavimo prek GRE ali WireGuard, v kateri koli velikosti, vse do enega samega naslova (tuneli GRE in WireGuard). Povejte nam, kateri Hetznerjev izdelek uporabljate in koliko naslovov potrebujete. Več ponudnikov je v naših vodnikih BYOIP.