Przejdź do treści 
Pokażę ci, jak możesz sieć hetzner i poprawnie go skonfigurować, aby zwiększyć wydajność, bezpieczeństwo i skalowalność w ukierunkowany sposób. Przyjmuję praktyczne podejście: od panelu chmury i wariantów routingu po awaryjne adresy IP, wirtualne adresy MAC, IPv6, bezpieczeństwo, diagnostykę błędów i monitorowanie.
Punkty centralne
- Przestrzeń adresowa wybrać: Czysto używać RFC 1918, planować czyste podsieci.
- Tryb określić: Routed, Bridge lub vSwitch w zależności od aplikacji.
- Linux-Konfiguracja: ifupdown, netplan, systemd-networkd zachowują spójność.
- Przełączanie awaryjne & MAC: Prawidłowe przypisywanie wirtualnych adresów MAC, ustawianie tras hosta.
- Bezpieczeństwo & Monitorowanie: Ustanowienie segmentacji, zapór ogniowych, dzienników i kontroli.
Podstawy konfiguracji sieci Hetzner
Właściwe planowanie zapobiega późniejszym wydatkom i przynosi wymierne korzyści. Wydajność. Oddzielam systemy wewnętrzne do osobnej sieci w chmurze, izoluję wrażliwe komponenty i utrzymuję wektor ataku publicznego na niewielkim poziomie, co minimalizuje ryzyko. Bezpieczeństwo znacznie wzrosła. Prywatne sieci w chmurze Hetzner Cloud pozwalają mi na szczegółową kontrolę, przejrzyste ścieżki przepływu danych i mniejszy szum rozgłoszeniowy. Wcześnie definiuję, które serwery potrzebują adresów publicznych, a które mówią tylko wewnętrznie, aby routing, zapory ogniowe i alokacja adresów IP pozostały logiczne. Ta przejrzystość opłaca się, gdy w grę wchodzi przełączanie awaryjne, równoważenie obciążenia lub orkiestracja kontenerów i muszę zarządzać wieloma serwerami. Podsieci jasno zorganizowane.
Hetzner Cloud-Panel: Utwórz sieć i wybierz przestrzeń adresową
W panelu chmury tworzę nową sieć, przypisuję unikalną nazwę dla każdego projektu i wybieram zakres adresów RFC 1918, taki jak 10.0.0.0/8, 172.16.0.0/12 lub 192.168.0.0/16 jako zakres Blok IP. Na wczesnym etapie planuję podsieci, takie jak /24 dla warstw aplikacji, /28 dla dostępu administracyjnego lub /26 dla baz danych, aby wzrost pozostał czysto zmapowany. Następnie integruję serwery, load balancery i dodatkowe usługi, aby komunikacja została nawiązana natychmiast. Dla nowicjuszy na platformie, jestem szczęśliwy mogąc dostarczyć kompaktowe rozwiązanie Przegląd serwerów w chmurzektóry podsumowuje najważniejsze opcje. Gdy tylko sieć jest gotowa, testuję podstawową dostępność i sprawdzam grupy zabezpieczeń, aby żadne niepotrzebne porty nie pozostały otwarte, a moja sieć jest gotowa do pracy. Firewall-obowiązują zasady.
Szczegółowy projekt podsieci i planowanie IP
Pracuję z jasnymi konwencjami nazewnictwa i numeracji, aby później intuicyjnie rozpoznawać podsieci. Każda strefa (np. app, db, mgmt, edge) ma stały zakres numerów i udokumentowany standardowy rozmiar. Celowo rezerwuję obszary buforowe między podsieciami, aby umożliwić rozszerzenia bez zmiany numeracji. Tam, gdzie usługi skalują się poziomo, wolę zaplanować kilka /25 lub /26 zamiast jednego dużego /22; dzięki temu listy ACL i trasy są szczupłe. Utrzymuję oddzielne zarządzanie /28 dla dostępu administratora, które konsekwentnie wzmacniam i udostępniam za pośrednictwem VPN lub hostów bastionowych. Kiedy łączę lokalizacje zewnętrzne, od samego początku definiuję wyraźne, nienakładające się obszary i ustawiam trasy statyczne specjalnie tak, aby nie było konfliktów.
Routed, Bridge lub vSwitch: właściwy tryb
Skupiam się na trzech głównych wariantach: Trasowany dla dodatkowych podsieci i adresów awaryjnych, bridge, jeśli goście mają działać jak własne serwery, oraz vSwitch dla elastycznych konfiguracji i NAT. W modelu routowanym dodatkowe adresy są dołączane do głównego MAC hosta; aktywuję przekazywanie IP dla IPv4 i IPv6 i ustawiam trasy hosta do bramy. W przypadku Bridge, goście wymagają widocznego MAC w sieci; ubiegam się o wirtualny MAC dla każdego przypisanego IP i łączę go z gościem. Łączę vSwitch z maskaradą, aby maszyny wirtualne z prywatnymi adresami mogły uzyskać dostęp do Internetu, podczas gdy usługi wewnętrzne pozostają chronione. Ten wybór kontroluje późniejszy wysiłek, Przejrzystość i odporność na błędy mojej platformy.
| Tryb | Użycie | Wymagania wstępne | Zalety | Niebezpieczeństwo potknięcia |
|---|---|---|---|---|
| Trasowany | Dodatkowe podsieci, awaryjne adresy IP | Przekierowanie IP, trasa hosta | Przejrzysty routing, dobry Skalowanie | Czyste utrzymywanie trasy bramy/hosta |
| Most | Goście jako "własne serwery" | Wirtualny adres MAC na adres IP | Rzeczywista widoczność na gościa | Zarządzanie MAC w Robot niezbędny |
| vSwitch + NAT | Prywatne maszyny wirtualne z Internetem | Maskarada, zapora sieciowa | Wysoka izolacja wewnętrzna | Prawidłowe utrzymywanie reguł NAT |
Konfiguracje hybrydowe: chmura, dedykowane i przejściowe
W środowiskach hybrydowych łączę sieci chmurowe z dedykowanymi serwerami za pośrednictwem jawnych instancji routerów. Jasno zdefiniowana podsieć tranzytowa i trasy statyczne zapewniają, że obie strony widzą tylko wymagane prefiksy. W zależności od wymagań bezpieczeństwa zezwalam na przechodzenie ruchu przez instancję brzegową za pośrednictwem NAT lub podsieci trasowania w sposób przezroczysty. Ważne jest, aby brama była zaprojektowana pod kątem wysokiej dostępności - na przykład z dwiema maszynami wirtualnymi routera, które sprawdzają nawzajem swój stan i płynnie przejmują kontrolę w przypadku awarii. Mam też gotową listę kontrolną: trasy w panelu chmury są prawidłowe, przekazywanie aktywne, stany zapory są spójne, a kontrole kondycji sprawdzają nie tylko ICMP, ale także odpowiednie porty.
Konfiguracja Linuksa: prawidłowe korzystanie z ifupdown, netplan i systemd-networkd
W Debianie/Ubuntu z ifupdown, przechowuję konfigurację w /etc/network/interfaces lub w /etc/network/interfaces.d i zachowuję Trasa hosta poprawne. Do adresowania IP hosta używam /32 (255.255.255.255) i ustawiam bramę jako pointopoint, aby jądro znało sąsiada. W netplan (Ubuntu 18.04, 20.04, 22.04) definiuję adresy, trasy i on-link, aby domyślna trasa pasowała natychmiast. Jeśli wymieniam sprzęt, sprawdzam oznaczenie interfejsu i zmieniam je na przykład z eth0 na enp7s0, aby karta sieciowa znów się pojawiła. W przypadku systemd-networkd, zarządzam plikami .network i .netdev, przeładowuję usługi, a następnie zawsze testuję DNS, routing i Łączność.
Dostrajanie sieci: MTU, odciążanie, routing zasad
Sprawdzam MTU od końca do końca, zwłaszcza gdy w grę wchodzą VPN, nakładki lub tunele. Jeśli wartości nie są prawidłowe, dochodzi do fragmentacji lub spadków. Aktywuję sondowanie TCP MTU na bramach i ustawiam zaciski MSS w odpowiednich miejscach, aby utrzymać solidne połączenia. Używam funkcji offloadingu (GRO/LRO/TSO) celowo: częściowo dezaktywuję je na hypervisorach lub do nagrywania pakietów, ale pozostawiam je włączone dla czystych ścieżek danych - w zależności od zmierzonych wartości. Jeśli mam kilka upstreamów lub zróżnicowane polityki egress, używam routingu opartego na polityce z własnymi tablicami routingu i regułami ip. Dokumentuję każdą specjalną regułę, aby późniejsze zmiany nie wywoływały niezauważonych efektów ubocznych.
Failover IP, wirtualne MAC i load balancery w praktyce
O dodatkowe IP ubiegam się w Hetzner Robot na adres wirtualny MAC i przypisuję je do gościa, aby ARP działało poprawnie. W konfiguracji routowanej, główny MAC pozostaje na hoście i kieruję podsieci wyraźnie do gościa. W scenariuszach mostkowych gość otrzymuje swój własny widoczny MAC, dzięki czemu działa jako niezależny serwer. W przypadku przełączania awaryjnego definiuję, która maszyna aktualnie ogłasza adres IP; podczas przełączania dostosowuję routing i, jeśli to konieczne, gratuity ARP, aby ruch docierał natychmiast. Używam load balancerów, aby oddzielić ruch front-end od systemów back-end, zapewnić równomierną dystrybucję, a tym samym zwiększyć wydajność. Dostępność.
Przejrzysta konstrukcja przełączania IP
Polegam na jasnych mechanizmach aktywnego przełączania: albo aktywna instancja ogłasza adres IP za pośrednictwem ARP/NDP, a pasywna pozostaje cicha, albo specjalnie przeciągam domyślną trasę do nowej aktywnej maszyny. Narzędzia takie jak implementacje VRRP pomagają, ale zawsze testuję całą interakcję, w tym zapory ogniowe, pamięci podręczne sąsiadów i możliwe ramy czasowe ARP. Ważne: Po przełączeniu sprawdzam dostępność zarówno z sieci wewnętrznej, jak i z zewnętrznych punktów testowych. W przypadku usług z wieloma połączeniami TCP planuję krótkie okresy karencji, aby otwarte sesje wygasały czysto lub były szybko przywracane.
Konfiguracja protokołu IPv6: Czyste wdrożenie podwójnego stosu
Aktywuję IPv6 równolegle z IPv4, aby klienci mogli korzystać z nowoczesnego Łączność i zapory sieciowe są zduplikowane. Dla każdego interfejsu ustawiam przypisane prefiksy, trasę bramy i sprawdzam wykrywanie sąsiadów oraz SLAAC lub przypisanie statyczne. Sprawdzam, czy usługi powinny nasłuchiwać na :: i 0.0.0.0, czy też oddzielne wiązania mają sens. Testy z ping6, tracepath6 i curl poprzez rekordy AAAA pokazują mi, czy DNS i routing są poprawne. W zaporach sieciowych kopiuję reguły dla IPv4 na IPv6, aby nie pozostały żadne luki i mogę używać tych samych reguł. Poziom bezpieczeństwa zasięg.
Bezpieczeństwo: segmentacja, reguły, hartowanie
Segmentuję sieci według funkcji, takich jak aplikacje, dane, zarządzanie i bezpieczne przejścia z wyraźnym ACL. Każdy dział ma dostęp tylko do tego, czego potrzebuje, podczas gdy dostęp administratora odbywa się przez VPN lub hosty bastionowe. Zapory sieciowe domyślnie blokują cały ruch przychodzący, a następnie zezwalam na określone porty dla usług. Zabezpieczam SSH za pomocą kluczy, kontroli portów, limitów szybkości i opcjonalnego blokowania portów w celu unieważnienia skanowania. Testuję zmiany w kontrolowany sposób, natychmiast je dokumentuję i szybko wycofuję w przypadku problemów, tak aby Bezpieczeństwo operacyjne utrzymuje się na wysokim poziomie.
Orkiestracja zapór sieciowych w chmurze i na hoście
Łączę zapory sieciowe w chmurze z regułami opartymi na hoście. Te pierwsze zapewniają mi centralną warstwę, która niezawodnie ogranicza podstawowy dostęp, podczas gdy te drugie chronią obciążenia granularnie i mogą być szablonowane. Ważna jest spójność: standardowe porty i dostęp do zarządzania mają przypisane identyczne reguły we wszystkich strefach. Utrzymuję restrykcyjne zasady wyjścia, aby można było osiągnąć tylko zdefiniowane cele. W przypadku wrażliwych środowisk używam również hostów skokowych z krótkotrwałym dostępem i ochroną wieloskładnikową. Centralnie koreluję logi, aby szybko zrozumieć blokady i ograniczyć liczbę fałszywych alarmów.
Rozwiązywanie problemów: szybkie rozpoznawanie typowych błędów
Jeśli serwer nie ma sieci po zamianie, najpierw sprawdzam nazwę interfejsu i dostosowuję ją. Konfiguracja włączony. Jeśli routing się nie powiedzie, ponownie aktywuję przekierowanie IP i sprawdzam trasy hostów oraz domyślną bramę. Błędy we wpisywaniu adresów, masek sieci lub łącza często prowadzą do nieosiągalności; porównuję konfigurację i rzeczywiste trasy jądra. W przypadku problemów z mostem sprawdzam wirtualne adresy MAC i tablice ARP, aby upewnić się, że mapowania są prawidłowe. Dzienniki w /var/log/syslog, journalctl i dmesg dostarczają mi informacji o sterownikach, błędach DHCP lub zablokowanych połączeniach. Pakiety.
Systematyczne rozwiązywanie problemów i diagnostyka pakietów
- Sprawdzenie warstwy: Łączenie, prędkość/dupleks, status VLAN/mostka, następnie IP/route, a następnie usługi.
- Porównanie rzeczywiste / docelowe: adres ip / trasa / reguła vs. pliki konfiguracyjne, zapisz odchylenia na piśmie.
- Nagrywanie pakietów: ukierunkowane na interfejs i hosta, obserwacja odciążania, sprawdzanie TLS-SNI/ALPN.
- Kontrola krzyżowa: Testy z wielu źródeł (wewnętrznych/zewnętrznych) w celu wykrycia problemów asymetrycznych.
- Możliwość wycofania: Zaplanuj zdefiniowaną ścieżkę powrotu przed każdą zmianą.
Ukierunkowane monitorowanie, dokumentacja i skalowanie
Monitoruję opóźnienia, utratę pakietów i jitter za pomocą kontroli ICMP, kontroli portów i analiz przepływu, dzięki czemu mogę wcześnie wykrywać anomalie i Trendy rozpoznać. Tworzę kopie zapasowe wersji statusów konfiguracji, opisuję zmiany z najwyższą dokładnością i przygotowuję playbooki. Jeśli chodzi o rekordy DNS i czyste konwencje nazewnictwa, używam kompaktowego rozwiązania Przewodnik DNSdzięki czemu usługi pozostają spójnie rozpoznawalne. W miarę rozwoju platformy rozszerzam podsieci, dodaję więcej load balancerów i standaryzuję grupy bezpieczeństwa. Pozwala mi to na bezpieczne skalowanie, minimalizowanie przestojów i utrzymywanie jasnych standardów bezpieczeństwa. Struktury.
Automatyzacja: Terraform, Ansible i spójne wdrożenia
Buduję powtarzalne sieci: Nazewnictwo, podsieci, trasy, firewalle i przypisania serwerów są mapowane jako kod. Pozwala mi to tworzyć identyczne topologie testowe i produkcyjne, testować zmiany z wyprzedzeniem i ograniczać błędy podczas pisania. Na poziomie hosta generuję pliki konfiguracyjne z szablonów i wstrzykuję parametry, takie jak IP, brama, trasy i MTU na rolę. Używam Cloud-init do ustawienia sieci i podstaw SSH bezpośrednio podczas provisioningu serwera. Wprowadzając zmiany, najpierw sprawdzam je w fazie przejściowej, a następnie uruchamiam w małych partiach i uważnie obserwuję telemetrię.
Zarządzanie zmianami i możliwościami
Planuję okna konserwacji i definiuję poziomy awaryjne. Każda zmiana w sieci otrzymuje mały plan testowy z punktami pomiarowymi przed/po zmianie. W przypadku przepustowości sprawdzam przepustowość na strefę, obciążenie połączeń na bramach i rozwój połączeń/minutę. Dodaję dodatkowe bramki na wczesnym etapie lub oddzielne trasy ruchu (wschód/zachód vs. północ/południe), zanim pojawią się wąskie gardła. Na bieżąco aktualizuję dokumentację: Plany IP, szkice routingu, zasady firewalla i obowiązki są aktualne i łatwe do znalezienia przez zespół.
Porównanie dostawców dla projektów intensywnie wykorzystujących sieć
Oceniam dostawców na podstawie połączenia, zakresu funkcji, użyteczności i Elastyczność. W przypadku projektów o wysokich wymaganiach sieciowych, stawiam webhoster.de na pierwszym miejscu ze względu na dedykowane sieci i wszechstronne możliwości dostosowywania. Hetzner zapewnia potężne serwery w chmurze i serwery dedykowane, które są bardzo dobrze dostosowane do wielu scenariuszy i wysoko oceniane. Strato obejmuje standardowe przypadki użycia, podczas gdy IONOS oferuje dobre opcje w niektórych przypadkach, ale zapewnia mniej swobody dla specjalnych konfiguracji. Ta kategoryzacja pomaga mi wybrać odpowiedni fundament i podjąć późniejsze decyzje. Wąskie gardła których należy unikać.
| Miejsce | Dostawca | Funkcje sieciowe | Wydajność |
|---|---|---|---|
| 1 | webhoster.de | Dedykowane sieci, szybkie połączenie, duże możliwości dostosowania | Znakomity |
| 2 | Hetzner | Wydajna chmura i serwery dedykowane | Bardzo dobry |
| 3 | Strato | Standardowe funkcje sieciowe | Dobry |
| 4 | IONOS | Zaawansowane opcje, ograniczony zakres niestandardowych konfiguracji | Dobry |
Kubernetes i sieci kontenerowe w praktyce
W przypadku orkiestracji kontenerów kładę podwaliny w sieci. Pracownicy otrzymują interfejsy w sieci prywatnej, płaszczyzna kontrolna jest wyraźnie podzielona na segmenty, a strąki wychodzące mają zdefiniowaną ścieżkę NAT. Wybieram CNI, który pasuje do konfiguracji: Warianty oparte na routingu ułatwiają mi rozwiązywanie problemów i oszczędzają narzuty, podczas gdy nakładki często zapewniają większą elastyczność pod względem izolacji. Load balancery oddzielają Ingress od backendów; kontrole kondycji są identyczne jak w przypadku aplikacji, a nie tylko proste kontrole TCP. Uruchamiam również podwójne stosy w klastrze, aby usługi mogły być osiągane w sposób czysty za pośrednictwem rekordów AAAA. W przypadku usług stanowych definiuję jasne zasady sieciowe (wschód/zachód), tak aby otwarte były tylko wymagane porty między strąkami. Zawsze testuję aktualizacje komponentów CNI i Kube w klastrze przejściowym, w tym przepustowość, opóźnienia i scenariusze awarii.
Wydajność pod obciążeniem: mierzalna optymalizacja
Regularnie mierzę: bazowe opóźnienia w strefach, opóźnienia do publicznych punktów końcowych, przepustowość między portami oraz wymagania RTO/RPO dla krytycznych usług. Wąskie gardła często występują w kilku punktach: bramy NAT, przeciążone zapory stanowe, zbyt małe tablice śledzenia połączeń lub po prostu zbyt mało procesora na routerach. Systematycznie zwiększam przepustowość, dystrybuuję przepływy, aktywuję wiele kolejek na kartach sieciowych i zwracam uwagę na równoważenie pinningu/IRQ w stosownych przypadkach. Bardzo ważne jest, aby unikać niepotrzebnej inspekcji stanowej w czystych sieciach szkieletowych wschód/zachód i zamiast tego ustawić tam czyste listy ACL. W przypadku odciążania TLS oddzielam ruch danych od ruchu kontrolnego, aby obciążenia L7 nie konkurowały z połączeniami zarządzania. Wszystko to dokumentuję wartościami początkowymi i docelowymi - optymalizacje są "zakończone" dopiero wtedy, gdy przynoszą wymierne korzyści.
Krótkie podsumowanie: Jak skutecznie skonfigurować sieci Hetzner?
Zaczynam od jasnego planu, definiuję przestrzenie adresowe, wybieram odpowiednie Tryb i dokumentuję każdy krok. Następnie konsekwentnie konfiguruję sieci Linux, w razie potrzeby aktywuję przekierowanie IP i dokładnie testuję routing i DNS. Integruję awaryjne adresy IP i wirtualne adresy MAC w uporządkowany sposób, aby przełączanie działało płynnie. Bezpieczeństwo pozostaje na wysokim poziomie dzięki segmentacji, silnym zaporom ogniowym i konsekwentnemu łataniu, a monitorowanie ujawnia nieprawidłowości na wczesnym etapie. W ten sposób uzyskuję hetzner Konfiguracja sieci niezawodnie zapewnia wydajność przy jednoczesnym zachowaniu elastyczności platformy na potrzeby rozwoju.
