Наша сеть: AS58269, своя маршрутизация, резервные пути

AS58269 - автономная система CloudHosting SIA, зарегистрированная в RIPE NCC под именем AS-CLOUDHOSTING. Собственная AS значит, что политику маршрутизации мы определяем сами: у каких операторов покупаем транзит, как трафик входит и выходит и как быстро мы реагируем, когда какой-то путь ведёт себя плохо. Провайдеры без своей сети арендуют всё это у кого-то ещё и при проблемах с маршрутизацией могут только переслать ваш тикет. Весь комплект проверяется в публичной базе RIPE: AS, наши префиксы и route-объекты там видны. Собственная AS - это и причина, по которой мы можем поднимать BGP-сессии клиентам с их префиксами.

Собственные блоки IPv4, включая 185.8.60.0/22 и несколько сетей /24, например 91.220.43.0/24; у всех есть route-объекты в базе RIPE с origin AS58269. Кроме того, у нас есть блок IPv6 /32, 2a03:3440::/32. Адреса ваших услуг приходят из этого пространства с корректными данными whois и обратным DNS под нашим контролем, что важно для доставляемости почты и для любого, кто проверяет, откуда на самом деле адреса у его провайдера. Whois по любому нашему адресу указывает на CloudHosting SIA в Риге, а не на цепочку посредников, и адреса услугам выделяются из этого же пространства, без арендованных блоков.

Несколько независимых, сознательно не связанных между собой операторов, каждый с полной таблицей BGP; точный состав может меняться по мере оптимизации маршрутов, а с клиентами колокации и корпоративными клиентами мы открыто обсуждаем детали. Для остальных важно поведение: если один аплинк деградирует или падает, BGP за секунды автоматически переносит трафик на оставшиеся пути, не дожидаясь, пока проснётся инженер. Авария одного оператора не становится нашим простоем, и ровно ради этого существует собственная AS. Полные таблицы из нескольких источников также означают, что исходящие маршруты всегда кратчайшие из доступных, а не умолчание одного оператора.

Да, двумя способами. Если у вас уже есть PI-адреса или ASN, мы анонсируем ваши префиксы со своей границы или поднимаем BGP-сессии с вашей AS; для колокации это стандартное дополнение. Если ресурсов ещё нет, наша услуга регистрации IP и AS получает PI IPv4, IPv6 и номера AS через RIPE NCC, где CloudHosting выступает вашим sponsoring LIR и берёт бумажную работу на себя. Ресурсы остаются вашими: если когда-нибудь уйдёте, адреса уедут с вами. На практике всё начинается с короткого письма в поддержку: опишите ресурсы, и инженер ответит конкретными шагами.

Три уровня по бюджету и требованиям. Управляемый site-to-site VPN (IPsec или WireGuard) поверх существующих интернет-каналов - самый быстрый и дешёвый. Carrier Ethernet даёт канал L2 точка-точка между вашим объектом и дата-центром без публичного интернета на пути. Dark fiber по рижскому метро-региону - высший уровень: ваша собственная жила, lit или unlit, с опциями DWDM, когда одной длины волны мало. Все три варианта проектируют, сдают и мониторят наши инженеры. Если не знаете, какой уровень подходит вашему случаю, опишите обе конечные точки, и мы предложим решение с ценой.

Тарифы VPS идут со стандартным портом 1 Гбит и опциями 2.5 или 10 Гбит на старших тарифах. Выделенные серверы работают в нашей 10-гигабитной сети. Клиенты колокации выбирают аплинки на стойку, включая 10G и гарантированную полосу из списка дополнений. Внутри дата-центра приватные VLAN между вашими услугами не считаются публичным трафиком, поэтому сервер приложения, говорящий со своей базой, или ночные бэкапы не стоят вам ничего дополнительно. Если не уверены, что требует ваша нагрузка, опишите её поддержке, и размер порта посоветуем честно, без перепродажи.

У нас есть собственный блок IPv6 /32, 2a03:3440::/32, с route6-объектом, анонсируемым из AS58269; это публичные данные RIPE. IPv4 остаётся умолчанием для услуг, потому что именно его до сих пор ждёт большинство клиентского софта, и в каждую услугу включён выделенный IPv4-адрес. Если проекту нужен IPv6, скажите поддержке при заказе, и мы настроим его для конкретной услуги. Мы предпочитаем сказать это честно, а не печатать значок IPv6 на каждой странице сайта. Адресное пространство готово, поэтому включение IPv6 для конкретного проекта - вопрос конфигурации, а не ресурсов.

Поскольку адресное пространство наше, обратный DNS под нашим прямым контролем: пришлите поддержке желаемое имя хоста, и PTR-запись для вашего IPv4-адреса будет установлена. Для почтовых серверов это критично, и PTR мы ставим с оглядкой на весь ваш комплект SPF, DKIM и DMARC, чтобы проверки доставляемости проходили стабильно. Клиенты колокации и корпоративные клиенты со своими префиксами сохраняют контроль над своими обратными зонами, а при желании мы делегируем rDNS на ваши серверы имён. Смена PTR ничего не стоит, и делать её можно так часто, как нужно проекту.

BGP делает свою работу: сессии к отказавшему оператору падают, маршруты отзываются, и трафик автоматически уходит на оставшиеся аплинки. Для большинства клиентов событие незаметно или выглядит коротким миганием. Наши инженеры получают тревогу сразу и разбирают причину с оператором, пока сеть работает по оставшимся путям. В этом практическая разница между собственной multi-homed AS и схемой с одним аплинком, где то же событие означает простой, пока у провайдера кто-нибудь возьмёт трубку. После инцидента мы собираем факты и, если клиенты были затронуты, рассказываем, что именно произошло.

Явно вредоносный объёмный трафик фильтруется на границе сети, а сама сеть мониторится круглосуточно. Для атак уровня приложения главное - серверная сторона: файрвол, ограничение запросов и разумное кэширование останавливают основную часть того, что реально долетает, и наши инженеры помогают всё это настроить. Если ваш проект - вероятная цель, поговорите с нами до заказа: предложим архитектуру с защищённым frontend и бэкендами в приватной сети и подключим внешний сервис очистки там, где он действительно нужен. Большинство реальных атак заканчивается на фильтрах границы и правильном файрволе, не доходя до самого приложения.

Из Риги Балтия находится в считанных миллисекундах, столицы Северных стран и Варшава укладываются в несколько десятков миллисекунд, а Западная Европа предсказуема, потому что наши маршруты идут по магистралям крупных операторов. Синтетическую таблицу задержек мы не публикуем: ваши реальные цифры зависят от сетей ваших пользователей, а не от нашего маркетинга. Честный способ узнать: попросите у нас тестовый адрес, попингуйте его оттуда, где реально сидят ваши пользователи, и измерьте до покупки. Продажи, которые переживают ping-тест, нам и нравятся. Тестовый адрес выдаём бесплатно и без записи на созвоны с продавцами.

Да, и верить нам на слово не нужно. Откройте любое зеркало базы RIPE и запросите AS58269: вы увидите AS-CLOUDHOSTING за CloudHosting SIA, наши route-объекты IPv4 и блок IPv6 /32. Запустите traceroute до любой нашей услуги, и он закончится внутри нашего собственного адресного пространства, а не в сети перепродавца. Эта страница утверждает только то, что подтверждают публичные записи, и именно так мы сами хотели бы, чтобы с нами разговаривал любой провайдер. Если что-то на этой странице перестанет совпадать с записями, скажите нам, и мы исправим страницу, а не историю.