Hetzner BYOIP: sopstvene IP adrese kod Hetzner-a

Hetzner-ovi cloud serveri i standardni dedicated serveri koriste adrese koje dodeljuje Hetzner, a njegova dokumentacija za njih ne kaže ništa o donošenju sopstvenih: na njima je način da koristite sopstvene adrese tunel, opcija 2 u nastavku. Ono što Hetzner dogovara na zahtev je opcija 1, za custom bare-metal rešenja.

Opcija 1: Hetzner-ov BGP upstream

Hetzner ovo navodi među specijalnim ponudama za kolokaciju kao internet upstream sa ličnom, redundantnom BGP sesijom. Na dan kada smo proverili, njegova dokumentacija je navodila:

• ASN i adrese donosite Vi. Upstream „requires an own ASN“ (prevod: „zahteva sopstveni ASN“), najavljujete sopstvene IP adrese, a Hetzner za to ne daje nijednu.
• Dva uplinka. Veza se završava na dva redundantna backbone rutera, sa BGP sesijom na svakom, preko dve /30 transfer mreže, koje Hetzner naplaćuje zasebno.
• Gde. Custom rešenja za dedicated servere, koja se povezuju preko privatne mrežne interkonekcije, pa njihova lokacija nije bitna. Kolokacioni rekovi i kavezi u Falkenštajnu (FSN1-DC2), Nirnbergu (NBG1-DC2 i NBG1-DC4) i Helsinkiju (HEL1-DC1), mada Hetzner za sada ne može da obezbedi kolokacioni prostor.
• Kabliranje. Potrebno je kabliranje do Hetzner-ove meet-me sobe, ili privatna interkonekcija za bare metal.

Saobraćaj se naplaćuje dodatno po 1 € po TB, a svaka od dve /30 transfer mreže po 6,00 € mesečno plus 17,50 € za postavljanje. Sve ove cene su bez PDV-a. Hetzner-ove cene se menjaju, pa proverite stranicu navedenu na vrhu ovog vodiča pre nego što napravite budžet.

Šta pripremate

1. AS broj. Ako ga nemate, sponzorski LIR može da ga sredi za Vas (sponzorstvo za ASN).
2. /24 ili veći. Hetzner ne objavljuje minimum za ovaj upstream, ali ostatak interneta filtrira sve manje od /24, pa je to praktična donja granica.
3. ROA koji navodi Vaš ASN za prefiks, sa maksimalnom dužinom podešenom na ono što ćete najavljivati (RPKI i ROA).
4. Route objekat za prefiks sa Vašim ASN-om kao poreklom, i aut-num objekat koji navodi Hetzner-ovu mrežu, AS24940, kao Vaš upstream. Hetzner-ove stranice ne navode ASN upstream-a; AS24940 prema RIPE Database pripada Hetzner Online-u.
5. BGP speaker na Vašoj strani: Vaš ruter, ili BIRD ili FRR na serveru.

Sesije

Zatražite od Hetzner-a upstream preko svog naloga, navodeći svoj ASN i prefiks. Hetzner dodeljuje dve transfer mreže; Vi zatim podižete po jednu sesiju po uplinku i najavljujete samo svoj prefiks. Minimalna sesija u BIRD 2, sa vrednostima iz dokumentacije (64500 za Vaš ASN, 203.0.113.0/24 za Vaš blok, 192.0.2.1 za Hetzner-ovu stranu prve transfer mreže):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD najavljuje samo rute koje su u njegovoj tabeli, pa blok protocol static tamo stavlja Vaš prefiks; bez njega sesija se podiže i ne najavljuje ništa. Ruta unreachable odgovara samo za adrese u bloku koje ne nosi nijedan interfejs ili specifičnija ruta (BIRD 2 dokumentacija, static protokol). Druga sesija je ista, prema drugoj transfer mreži. Proverite najavu spolja, looking glass-om ili RPKI validatorom, pre nego što preusmerite saobraćaj na nju.

Opcija 2: tunel, za Hetzner Cloud i dedicated servere

Ako su Vaši serveri u Hetzner Cloud-u ili na standardnim dedicated mašinama, BGP sesije nema. Sopstvene adrese na njima ipak možete da koristite: mreža koja može da najavi blok to radi, a GRE ili WireGuard tunel prenosi njegov saobraćaj do Vašeg Hetzner servera i nazad. Server vidi adrese kao da su lokalne (kako tunel radi).

Tri stvari koje treba dobro podesiti:

• Odgovori se vraćaju kroz tunel. Dodajte policy rutu tako da saobraćaj iz bloka izlazi kroz tunel, kako pokazuje GRE vodič. Poslat direktno, nosio bi izvornu adresu koju Hetzner nikada nije dodelio serveru, a mreže takav saobraćaj filtriraju.
• Otvorite firewall za tunel. Ako koristite Hetzner Cloud Firewall, dozvolite GRE (IP protokol 47) ili WireGuard-ov UDP port sa drugog kraja tunela.
• Podesite MTU. 1.476 bajtova za GRE, oko 1.420 za WireGuard, sa MSS clamping-om ako server prosleđuje blok dalje virtuelnim mašinama.

Tunel rešava i problem koji BYOIP nikada ne rešava: može da isporuči manje od 256 adresa, sve do jedne jedine.

Ako zakupljujete blok

Sa BGP upstream-om, nosilac bloka obavlja posao u registru: ROA za Vaš ASN, route objekat i, ako ga Hetzner zatraži, Letter of Authorization koji navodi Vaš ASN i Hetzner kao mrežu koja ga prenosi. Sa tunelom se kod Hetzner-a ne menja ništa; mreža na drugom kraju najavljuje blok, a nosilac treba samo da ovlasti tu mrežu.

Gde se uklapa RTM Networks

Dajemo u zakup /24 i veće iz sopstvenog adresnog prostora RIPE NCC-a, sa ROA-om, route objektom i Letter of Authorization podešenim za Vaš ASN (zakup IPv4), i prodajemo blokove u regionima RIPE NCC-a, ARIN-a i APNIC-a. Sponzorišemo AS brojeve za organizacije koje ne vode sopstveni LIR. Za Hetzner Cloud i dedicated servere sami najavljujemo blok i isporučujemo ga do Vašeg servera preko GRE ili WireGuard-a, u bilo kojoj veličini, sve do jedne adrese (GRE i WireGuard tuneli). Recite nam koji Hetzner proizvod koristite i koliko adresa Vam treba. Više provajdera je u našim BYOIP vodičima.