BYOIP hos Hetzner: att använda egna IP-adresser hos Hetzner

Hetzners molnservrar och vanliga dedikerade servrar använder adresser som Hetzner tilldelar, och dess dokumentation för dem säger inget om att ta med egna: på dem är vägen till egna adresser en tunnel, alternativ 2 nedan. Det Hetzner ordnar på begäran är alternativ 1, för anpassade bare metal-lösningar.

Alternativ 1: Hetzners BGP-upstream

Hetzner listar detta bland sina specialerbjudanden för colocation som en internetupstream med en personlig, redundant BGP-session. Den dag vi kontrollerade sa dess dokumentation:

• Du tar med ASN och adresser. Upstreamen ”requires an own ASN” (översättning: ”kräver ett eget ASN”), du annonserar dina egna IP-adresser, och Hetzner tillhandahåller inga för den.
• Två upplänkar. Anslutningen termineras på två redundanta stamnätsroutrar, med en BGP-session på varje, över två transfernät på /30, som Hetzner fakturerar separat.
• Var. Anpassade lösningar för dedikerade servrar, som ansluts via en privat nätsammankoppling, så deras plats spelar ingen roll. Colocation-rack och burar i Falkenstein (FSN1-DC2), Nürnberg (NBG1-DC2 och NBG1-DC4) och Helsingfors (HEL1-DC1), även om Hetzner för närvarande inte kan erbjuda colocation-utrymme.
• Kablage. Den kräver kablage till Hetzners meet-me room, eller den privata sammankopplingen för bare metal.

Trafik faktureras med 1 € per TB utöver det, och vart och ett av de två transfernäten på /30 med 6,00 € i månaden plus 17,50 € i startavgift. Alla dessa priser är exkl. moms. Hetzners priser ändras, så kontrollera sidan som länkas överst i den här guiden innan du budgeterar.

Vad du förbereder

1. Ett AS-nummer. Har du inget kan en sponsrande LIR ordna ett åt dig (ASN-sponsring).
2. Ett /24 eller större. Hetzner publicerar inget minimum för den här upstreamen, men resten av internet filtrerar allt mindre än ett /24, så det är den praktiska gränsen.
3. En ROA som anger ditt ASN för prefixet, med maxlängden satt till det du kommer att annonsera (RPKI och ROA).
4. Ett route-objekt för prefixet med ditt ASN som origin, och ett aut-num-objekt som anger Hetzners nät, AS24940, som din upstream. Hetzners sidor anger inte upstreamens ASN; AS24940 tillhör Hetzner Online i RIPE-databasen.
5. En BGP-talare på din sida: din router, eller BIRD eller FRR på en server.

Sessionerna

Be Hetzner om upstreamen via ditt konto, och ange ditt ASN och prefixet. Hetzner tilldelar de två transfernäten; du sätter sedan upp en session per upplänk och annonserar bara ditt prefix. En minimal session i BIRD 2, med dokumentationsvärden (64500 för ditt ASN, 203.0.113.0/24 för ditt block, 192.0.2.1 för Hetzners sida av det första transfernätet):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD annonserar bara routes som finns i dess tabell, så blocket protocol static lägger in ditt prefix där; utan det kommer sessionen upp och annonserar ingenting. Routen unreachable svarar bara för adresser i blocket som inget gränssnitt eller ingen mer specifik route bär (BIRD 2-dokumentationen, protokollet static). Den andra sessionen är likadan mot det andra transfernätet. Kontrollera annonseringen utifrån, med ett looking glass eller en RPKI-validator, innan du flyttar trafik till den.

Alternativ 2: en tunnel, för Hetzner Cloud och dedikerade servrar

Står dina servrar i Hetzner Cloud eller på vanliga dedikerade maskiner finns det ingen BGP-session att få. Du kan ändå använda egna adresser på dem: ett nät som kan annonsera blocket gör det, och en GRE- eller WireGuard-tunnel för trafiken till din server hos Hetzner och tillbaka. Servern ser adresserna som om de vore lokala (så fungerar tunneln).

Tre saker att få rätt:

• Svaren går tillbaka genom tunneln. Lägg till en policyroute så att trafik från blocket lämnar via tunneln, som GRE-guiden visar. Skickad direkt ut skulle den bära en källadress som Hetzner aldrig tilldelat servern, och nät filtrerar sådan trafik.
• Öppna brandväggen för tunneln. Använder du Hetzner Cloud Firewall, tillåt GRE (IP-protokoll 47) eller WireGuards UDP-port från tunnelns andra ände.
• Ställ in MTU. 1 476 byte för GRE, runt 1 420 för WireGuard, med MSS clamping om servern routar blocket vidare till virtuella maskiner.

En tunnel löser också det problem som BYOIP aldrig löser: den kan leverera färre än 256 adresser, ner till en enda.

Om du hyr blocket

Med BGP-upstreamen sköter blockets innehavare registerarbetet: ROA:n för ditt ASN, route-objektet och, om Hetzner ber om ett, en Letter of Authorization som anger ditt ASN och Hetzner som det nät som bär det. Med en tunnel ändras ingenting alls hos Hetzner; nätet i andra änden annonserar blocket, och innehavaren behöver bara godkänna det nätet.

Var RTM Networks passar in

Vi hyr ut /24 och större från vårt eget RIPE NCC-adressutrymme, med ROA:n, route-objektet och Letter of Authorization uppsatta för ditt ASN (hyra IPv4), och säljer block i RIPE NCC:s, ARIN:s och APNIC:s regioner. Vi sponsrar AS-nummer för organisationer som inte driver en egen LIR. För Hetzner Cloud och dedikerade servrar annonserar vi blocket själva och levererar det till din server över GRE eller WireGuard, i valfri storlek ner till en enda adress (GRE- och WireGuard-tunnlar). Berätta vilken Hetzner-produkt du kör och hur många adresser du behöver. Fler leverantörer finns i våra BYOIP-guider.