Hetzner BYOIP: Hetzner'de kendi IP adreslerinizi kullanmak

Hetzner'in bulut sunucuları ve standart dedicated sunucuları Hetzner'in atadığı adresleri kullanır ve onlarla ilgili belgeleri kendi adreslerinizi getirmeye dair hiçbir şey söylemez: bunlarda kendi adreslerinizi kullanmanın yolu, aşağıdaki 2. seçenek olan bir tüneldir. Hetzner'in talep üzerine ayarladığı şey, özel bare metal kurulumlar için 1. seçenektir.

1. seçenek: Hetzner'in BGP upstream'i

Hetzner bunu colocation özel teklifleri arasında, kişisel ve yedekli bir BGP oturumlu internet upstream'i olarak listeliyor. Kontrol ettiğimiz gün belgeleri şunu söylüyordu:

• ASN'yi ve adresleri siz getirirsiniz. Upstream “requires an own ASN” (çeviri: “kendi ASN'nizi gerektirir”), kendi IP adreslerinizi anons edersiniz ve Hetzner bunun için hiç adres sağlamaz.
• İki uplink. Bağlantı, her birinde bir BGP oturumu olan iki yedekli backbone router'da, Hetzner'in ayrıca faturalandırdığı iki /30 transfer ağı üzerinden sonlanır.
• Nerede. Özel bir ağ interconnect'i üzerinden bağlanan, bu yüzden konumlarının önemi olmayan dedicated sunucular için özel çözümler. Falkenstein (FSN1-DC2), Nürnberg (NBG1-DC2 ve NBG1-DC4) ve Helsinki'deki (HEL1-DC1) colocation rack ve cage'leri; ancak Hetzner şu an için colocation alanı sağlayamıyor.
• Kablolama. Hetzner'in meet-me room'una kablolama veya bare metal için özel interconnect gerekir.

Trafik bunun üzerine TB başına 1 € olarak, iki /30 transfer ağının her biri de aylık 6,00 € artı 17,50 € kurulum olarak faturalandırılır. Bu fiyatların hepsi KDV hariçtir. Hetzner'in fiyatları değişir; bu yüzden bütçe yapmadan önce bu rehberin başında bağlantısı verilen sayfayı kontrol edin.

Neler hazırlarsınız

1. Bir AS numarası. Yoksa, bir sponsor LIR bunu sizin için ayarlayabilir (ASN sponsorluğu).
2. Bir /24 veya daha büyüğü. Hetzner bu upstream için bir alt sınır yayımlamıyor, ancak internetin geri kalanı /24'ten küçük her şeyi filtreler; dolayısıyla pratik alt sınır budur.
3. Bir ROA, prefix için ASN'nizi adlandıran, maksimum uzunluğu anons edeceğiniz şeye ayarlanmış (RPKI ve ROA'lar).
4. Bir route nesnesi, origin olarak ASN'nizle prefix için, ve Hetzner'in ağı AS24940'ı upstream'iniz olarak listeleyen bir aut-num nesnesi. Hetzner'in sayfaları upstream'in ASN'sini belirtmez; RIPE Database'e göre AS24940 Hetzner Online'a aittir.
5. Bir BGP speaker, sizin tarafınızda: router'ınız ya da bir sunucuda BIRD veya FRR.

Oturumlar

Upstream'i hesabınız üzerinden ASN'nizi ve prefix'i vererek Hetzner'den isteyin. Hetzner iki transfer ağını atar; ardından uplink başına bir oturum açar ve yalnızca prefix'inizi anons edersiniz. Belgeleme değerleriyle (ASN'niz için 64500, bloğunuz için 203.0.113.0/24, ilk transfer ağının Hetzner tarafı için 192.0.2.1) BIRD 2'de asgari bir oturum:

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD yalnızca tablosundaki route'ları anons eder; bu yüzden protocol static bloğu prefix'inizi oraya koyar; o olmadan oturum açılır ve hiçbir şey anons etmez. unreachable route yalnızca bloktaki, hiçbir arayüzün veya daha spesifik bir route'un taşımadığı adresler için yanıt verir (BIRD 2 belgeleri, static protokolü). İkinci oturum, ikinci transfer ağına karşı aynısıdır. Trafiği ona taşımadan önce anonsu dışarıdan, bir looking glass veya bir RPKI doğrulayıcısıyla kontrol edin.

2. seçenek: Hetzner Cloud ve dedicated sunucular için bir tünel

Sunucularınız Hetzner Cloud'da veya standart dedicated makinelerdeyse, kurulacak bir BGP oturumu yoktur. Yine de kendi adreslerinizi onlarda kullanabilirsiniz: bloğu anons edebilen bir ağ bunu yapar ve bir GRE veya WireGuard tüneli trafiğini Hetzner sunucunuza taşıyıp geri getirir. Sunucu adresleri yerelmiş gibi görür (tünelin nasıl çalıştığı).

Doğru yapılması gereken üç şey:

• Yanıtlar tünel üzerinden geri döner. GRE rehberinin gösterdiği gibi, bloktan gelen trafiğin tünelden çıkması için bir policy route ekleyin. Doğrudan gönderilirse, Hetzner'in sunucuya hiç atamadığı bir kaynak adres taşırdı ve ağlar böyle trafiği filtreler.
• Tünel için güvenlik duvarını açın. Hetzner Cloud Firewall kullanıyorsanız, tünelin uzak ucundan GRE'ye (47 numaralı IP protokolü) veya WireGuard'ın UDP portuna izin verin.
• MTU'yu ayarlayın. GRE için 1.476 bayt, WireGuard için 1.420 civarı; sunucu bloğu sanal makinelere yönlendiriyorsa MSS clamping ile.

Bir tünel, BYOIP'nin hiçbir zaman çözmediği sorunu da çözer: 256'dan az adresi, tek bir adrese kadar ulaştırabilir.

Bloğu kiralıyorsanız

BGP upstream'iyle kayıt işini bloğun sahibi yapar: ASN'niz için ROA, route nesnesi ve Hetzner isterse, ASN'nizi ve onu taşıyan ağ olarak Hetzner'i adlandıran bir Yetki Belgesi (Letter of Authorization). Bir tünelle Hetzner tarafında hiçbir şey değişmez; bloğu diğer uçtaki ağ anons eder ve sahibin yalnızca o ağı yetkilendirmesi gerekir.

RTM Networks'ün yeri

Kendi RIPE NCC adres alanımızdan, ROA, route nesnesi ve Yetki Belgesi ASN'niz için hazırlanmış olarak /24 ve daha büyük bloklar kiralarız (IPv4 kiralama) ve RIPE NCC, ARIN ve APNIC bölgelerinde blok satarız. Kendi LIR'ını işletmeyen kuruluşlar için AS numaraları için sponsorluk yaparız. Hetzner Cloud ve dedicated sunucular için bloğu kendimiz anons eder ve onu GRE veya WireGuard üzerinden, tek bir adrese kadar her boyutta sunucunuza ulaştırırız (GRE ve WireGuard tünelleri). Bize hangi Hetzner ürününü kullandığınızı ve kaç adrese ihtiyacınız olduğunu söyleyin. Daha fazla sağlayıcı BYOIP rehberlerimizde.