Amazon AWS s IPv6

Už som moc nečakal, že by sa v 2017 ohľadom IPv6 niečo nové stalo. Ja používam IPv6 natívne tu v Norimbergu a od 2016 natívne aj v Piešťanoch cez Orange DSL. Predtým som používal HEnet.

Dnes sa dopočujem o tom, že Amazon otvoril IPv6 pre AWS oficialne. Prečo je to teraz ale téma pre Infovojnu? Lebo je to propaganda.

Môj posledný zamesnávateľ bol klient Amazonu AWS, používali DynamoDB, Lambda, S3 a samozrejme ich EC2. EC2 je teraz tá problematická časť. A preto si o tom pokecáme.

Keď používam EC2, čiže elastický cloud, kde sa mi automatizovane rozširuje počet vserverov podľa záťaže, otázka je, že ako ich managujem. Samozrejme, existujú možnosti to všetko provisionovať cez Amazon AWS a nechať ten zbytok rozdeliť cez Amazonov vlastný load balancer NAT. Jediný, kto by ale bol v stave postaviť custom hotové XEN image na provisionovanie som bol ja. Ale keďže tam išlo o penáze a okrem mňa sa do toho nikdo nerozumel, tak som dal od toho ruky preč. Mimochodom, to je dôležitá kvalita odborníka. Odborník nie je meraný na tom, ako sme tam mali jedného nemenovaného kolegu, ktorý vedel všetko a hlavne všetko lepšie a potom sa púšťal do všetkého a keď to posral, tak sme za to museli pykať všetci, keďže zamesnávateľovi vznikali tisíceurové škody. Ak chceš mať všetky EC2 instancie dosiahnuteľné, buď im to v Amazone necháš zapísať do firewallu, ktorý ťa potom presmeruje tam kam chceš (port-forwarding), čo podľa mojich informácií Amazon nepodporuje, alebo ideš do toho cez VPN, čo je možnosť (private cloud), ale to stojí veľké peniaze. My sme obšťávali ten problém z časti tak, že bol jeden EC2, ktorý bežal furt, VPN server a cez toho sa managovali ostatné, ale to bol hack a nikdy to nebolo používané produktívne, čiže to boli len EC2 vývojárov, po ktorých skákali.

Amazon AWS má s týmto ale tiež problém, lebo pri veľkom počte EC2 instancií potrebujú aj veľa IPv4 adries. Tieto boli vždy NATované, ale aj tak. Tie Juniper NAT pre carrierov síce rieši aj veľa problémov u ISP, hlavne na mobilných sieťach (2G, 3G, 4G), ale dlhodobo nemajú zmysel. Ako príklad môžem spomenúť to, že mobilné siete sú často odpájané od Facebooku, lebo Facebook pozerá, či sa nedej nejaky DoS útok a keď tam vidia kopec konexií z jednej IP adresy, tak to timeoutnu. NAT zvyšuje zas latenciu, keďže čím viac statov mám, o to väčšia je tabuľka statov o to dlhšie trvá túto prekračovať hore-dole, aby mapping sedel pre každý vstúpený / vystúpený packet a port (lebo aj tie su iné vnútri a vonku). Ak používaš servicy, ktoré využívajú UDP protokol, tak musíš k tomu celému ešte posielať aj keepalive packety, lebo Amazonov NAT sa bude snažiť držať tabuľku čo najkratšiu a neaktívne staty čo najskôr vyhadzovať von.

A teraz v roku 2017 príde Amazon s tým, že ponúka zákazníkom možnosť IPv6. Za tie peniaze, čo im človek platí, si mohli kúpiť poriadne routre, a switche, a ľudí, že to mohli ponúkať už dávno, ako Softlayer od IBM alebo Digitalocean. A ak vychádzame oprávnene z toho, že IQ ITčkara v Amazone nie je moc vysoké, vieme si predstaviť, že tam niekdo zatiahne flag ako IGMP snooping a bude vymalované. A to v 2017, keď už väčšina ISP ticho IPv6 prideľuje.

A nezabúdajme na killer-argument, že Amazon si týmto vyriešil svoje NAT problémy, ktoré si sami spôsobili. To žiadny blázon od nich nežiadal, aby to kedy robili. IPv6 existuje už od konca 90tych rokov, Amazon AWS mohol byť už od vzniku IPv6 enabled. Ale teraz bude PR Amazonu gratulovať zákazníkom, že teraz môžu využívať ich služby aj cez IPv6. Nech si gratulujú sami. Kde boli doteraz?

Odkazy:

• IPv6 na Orange DSL http://orangedsl.piestany.me/
• Wikipedia: Amazon AWS DynamoDB https://en.wikipedia.org/wiki/Amazon_DynamoDB
• Wikipedia: Amazon AWS Lambda https://en.wikipedia.org/wiki/AWS_Lambda
• Wikipedia: Amazon AWS S3 https://en.wikipedia.org/wiki/Amazon_S3
• Wikipedia: Amazon AWS EC2 https://en.wikipedia.org/wiki/Amazon_Elastic_Compute_Cloud
• Hurricane Electric TunnelBroker IPv6 cez IPv4 https://tunnelbroker.net/
• Oficialne vyhlásenie Amazonu o zavedení IPv6 v ich AWS sieti https://aws.amazon.com/blogs/aws/aws-ipv6-update-global-support-spanning-15-regions-multiple-aws-services/