BYOIP у Hetzner: власні IP-адреси в Hetzner

Хмарні сервери і стандартні виділені сервери Hetzner використовують адреси, які призначає Hetzner, і його документація для них нічого не каже про використання власних: на них спосіб використовувати власні адреси це тунель, варіант 2 нижче. Те, що Hetzner організовує на запит, це варіант 1, для індивідуальних рішень на bare metal.

Варіант 1: аплінк BGP від Hetzner

Hetzner вказує це серед своїх спеціальних пропозицій для колокації як інтернет-аплінк з персональною резервованою сесією BGP. У день нашої перевірки його документація казала:

• ASN і адреси приносите ви. Аплінк «requires an own ASN» (переклад: «вимагає власного ASN»), ви анонсуєте власні IP-адреси, і Hetzner жодних для нього не надає.
• Два аплінки. З’єднання завершується на двох резервованих магістральних маршрутизаторах, з сесією BGP на кожному, через дві транзитні мережі /30, за які Hetzner виставляє рахунок окремо.
• Де. Індивідуальні рішення для виділених серверів, які підключаються через приватне мережеве з’єднання, тож їхнє розташування не має значення. Стійки і кейджі колокації у Фалькенштайні (FSN1-DC2), Нюрнберзі (NBG1-DC2 і NBG1-DC4) і Гельсінкі (HEL1-DC1), хоча наразі Hetzner не може надати місце для колокації.
• Кабелі. Потрібне кабельне підключення до meet-me room Hetzner або приватне з’єднання для bare metal.

Трафік оплачується додатково по 1 € за ТБ, а кожна з двох транзитних мереж /30 по 6,00 € на місяць плюс 17,50 € за налаштування. Усі ці ціни без ПДВ. Ціни Hetzner змінюються, тож перевірте сторінку, на яку посилається початок цього посібника, перш ніж планувати бюджет.

Що ви готуєте

1. Номер AS. Якщо у вас його немає, його може організувати для вас спонсорський LIR (спонсорство ASN).
2. /24 або більший блок. Hetzner не публікує мінімуму для цього аплінку, але решта інтернету фільтрує все, що менше за /24, тож це практична нижня межа.
3. ROA, що називає ваш ASN для префікса, з максимальною довжиною, рівною тому, що ви анонсуватимете (RPKI та ROA).
4. Об’єкт route для префікса з вашим ASN як origin і об’єкт aut-num, що вказує мережу Hetzner, AS24940, як ваш аплінк. Сторінки Hetzner не називають ASN аплінка; за RIPE Database AS24940 належить Hetzner Online.
5. BGP-спікер з вашого боку: ваш маршрутизатор або BIRD чи FRR на сервері.

Сесії

Запитайте Hetzner про аплінк через свій обліковий запис, вказавши ваш ASN і префікс. Hetzner призначає дві транзитні мережі; потім ви піднімаєте по одній сесії на аплінк і анонсуєте лише свій префікс. Мінімальна сесія в BIRD 2, з документаційними значеннями (64500 для вашого ASN, 203.0.113.0/24 для вашого блоку, 192.0.2.1 для сторони Hetzner у першій транзитній мережі):

protocol static {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp hetzner1 {
  local as 64500;
  neighbor 192.0.2.1 as 24940;
  ipv4 {
    import all;
    export filter { if net = 203.0.113.0/24 then accept; reject; };
  };
}

BIRD анонсує лише маршрути, які є в його таблиці, тож блок protocol static додає туди ваш префікс; без нього сесія піднімається і нічого не анонсує. Маршрут unreachable відповідає лише за адреси в блоці, які не обслуговує жоден інтерфейс чи специфічніший маршрут (документація BIRD 2, протокол static). Друга сесія така сама, з другою транзитною мережею. Перевірте анонс ззовні, через looking glass або валідатор RPKI, перш ніж переводити на нього трафік.

Варіант 2: тунель, для Hetzner Cloud і виділених серверів

Якщо ваші сервери в Hetzner Cloud або на стандартних виділених машинах, сесії BGP не буде. Ви все одно можете використовувати на них власні адреси: мережа, яка може анонсувати блок, робить це, а тунель GRE або WireGuard доставляє його трафік до вашого сервера Hetzner і назад. Сервер бачить адреси, наче вони локальні (як працює тунель).

Три речі, які треба зробити правильно:

• Відповіді повертаються через тунель. Додайте policy route, щоб трафік з блоку виходив через тунель, як показує посібник з GRE. Надісланий напряму, він мав би адресу відправника, яку Hetzner ніколи не призначав серверу, а мережі фільтрують такий трафік.
• Відкрийте фаєрвол для тунелю. Якщо ви використовуєте Hetzner Cloud Firewall, дозвольте GRE (IP-протокол 47) або UDP-порт WireGuard з дальнього кінця тунелю.
• Налаштуйте MTU. 1 476 байтів для GRE, близько 1 420 для WireGuard, з MSS clamping, якщо сервер маршрутизує блок далі до віртуальних машин.

Тунель також розв’язує проблему, яку BYOIP ніколи не розв’язує: він може доставити менш ніж 256 адрес, аж до однієї.

Якщо ви орендуєте блок

З аплінком BGP роботу в реєстрі виконує власник блоку: ROA для вашого ASN, об’єкт route і, якщо Hetzner попросить, лист авторизації, що називає ваш ASN і Hetzner як мережу, яка його передає. З тунелем у Hetzner взагалі нічого не змінюється; блок анонсує мережа на іншому кінці, і власнику потрібно лише авторизувати цю мережу.

Де тут RTM Networks

Ми здаємо в оренду /24 і більші блоки з власного адресного простору RIPE NCC, з ROA, об’єктом route і листом авторизації, налаштованими для вашого ASN (оренда IPv4), і продаємо блоки в регіонах RIPE NCC, ARIN і APNIC. Ми спонсоруємо номери AS для організацій, які не мають власного LIR. Для Hetzner Cloud і виділених серверів ми самі анонсуємо блок і доставляємо його до вашого сервера через GRE або WireGuard, будь-якого розміру аж до однієї адреси (GRE- і WireGuard-тунелі). Скажіть нам, який продукт Hetzner ви використовуєте і скільки адрес вам потрібно. Більше провайдерів у наших посібниках BYOIP.