Rede AWS Lambda sobre IPv6

Por John Lee, Sr. Solutions Architect na Amazon Web Services e Sahil Bhimjiani, Solutions Architect na Amazon Web Services.

O esgotamento de endereços IPv4 é um desafio na rede moderna, pois a maioria dos endereços IPv4 foi esgotada com o crescimento da internet. Anteriormente, o AWS Lambda suportava apenas conectividade de entrada e saída sobre IPv4, mas desde então introduziu suporte para endpoints dual-stack, para que você possa fazer a transição de IPv4 para IPv6. A AWS continua a adicionar suporte para IPv6, anunciando recentemente suporte para conectividade IPv6 de entrada sobre AWS PrivateLink, e <a href=”https://aws.amazon.com/blogs/aws/amazon-api-gateway-now-supports-dual-stack-ipv4-and-ipv6-endpoints/” target=”_blank” rel=”noopener noreferrer”>suporte a endpoint dual-stack para Amazon API Gateway.

Com essas capacidades IPv6 agora disponíveis no Lambda, você deve entender como usá-las efetivamente. Esta publicação examina os benefícios da transição de funções Lambda para IPv6, fornece orientação prática para implementar suporte dual-stack em seu ambiente Lambda e considerações para manter a compatibilidade com sistemas existentes durante a migração.

Benefícios da transição

Você pode fazer a transição para IPv6 para preparar sua arquitetura geral para o futuro, preparando-se com antecedência para a transição mais ampla para IPv6, e estabelecer compatibilidade com clientes ou serviços IPv6. O IPv6 também elimina a necessidade de um NAT gateway quando as funções Lambda precisam de conectividade com a internet a partir de uma sub-rede privada em sua Amazon Virtual Private Cloud (Amazon VPC). As funções Lambda podem direcionar o tráfego para o egress-only internet gateway, potencialmente eliminando o NAT gateway e suas cobranças associadas e simplificando o design da rede. Esta transição proporciona economia de custos, pois os egress-only internet gateways são gratuitos, ao contrário dos NAT gateways que incorrem em uma cobrança por hora. Além disso, o IPv6 oferece eficiência de rede aprimorada ao eliminar a sobrecarga de tradução NAT, para que as funções Lambda possam estabelecer conexões diretas com os clientes. O IPv6 também tem mais vantagens, como Quality of Service (QoS) nativo, que simplifica a estrutura do cabeçalho e reduz fragmentações de pacotes.

Implicações arquiteturais

As funções Lambda são frequentemente implantadas dentro de uma VPC para acessar recursos da VPC. Para que as funções Lambda da VPC acessem a internet, rotear o tráfego através de um NAT gateway é uma abordagem comum. Para funções Lambda com suporte IPv6, as funções Lambda agora podem rotear o tráfego diretamente através do egress-only internet gateway, o que elimina a necessidade de um NAT gateway e o salto extra, conforme mostrado nas figuras a seguir.

Uma vez que o egress-only internet gateway esteja em vigor, você precisa atualizar a tabela de rotas para refletir isso. Se você usou 0.0.0.0/0 como a rota padrão para tráfego IPv4, você deve adicionar ::/0 como a rota padrão para tráfego IPv6. A imagem a seguir mostra a tabela de rotas atualizada.

Se você estiver usando URLs de função Lambda, nenhuma transição é necessária. As URLs de função Lambda são inerentemente capazes de IPv6 e podem ser acessadas por clientes IPv6 sem necessidade de mudanças arquiteturais ou modificações. Esta compatibilidade IPv6 para URLs de função opera independentemente da configuração da VPC da sua função Lambda, e os clientes podem alcançar suas URLs de função Lambda sobre IPv6 mesmo quando o dual-stack não está ativado em sua VPC.

Para funções Lambda que interagem exclusivamente com serviços AWS através de tráfego interno, o IPv6 oferece benefícios limitados. Por exemplo, em uma arquitetura onde uma função Lambda processa solicitações do Amazon API Gateway e consulta um banco de dados hospedado no Amazon Relational Database Service (Amazon RDS), nenhuma mudança arquitetural é esperada. O tráfego interno roteia usando o endpoint do cluster RDS e o Amazon Resource Name (ARN) do Lambda, não endereços IP, conforme mostrado na figura a seguir.

Transição de IPv4 para IPv6

Por padrão, as funções Lambda se comunicam sobre IPv4 com seus destinos. Para que as funções Lambda se comuniquem com destinos IPv6, a configuração de VPC dual-stack é necessária. Isso permite que as funções Lambda se comuniquem sobre IPv4 e IPv6.

Se sua VPC não tiver suporte IPv6, então você precisa primeiro adicionar suporte IPv6 para sua VPC. Você precisa seguir estas etapas para ativar o tráfego IPv6 para uma função Lambda:

1. Atribuir bloco IPv6 à VPC: Você precisa editar os CIDRs da VPC existente para adicionar um bloco CIDR IPv6. Se você selecionar a opção de bloco CIDR IPv6 fornecido pela Amazon, então você receberá um bloco CIDR IPv6 /56 do pool Amazon de endereços IPv6. Você também tem a opção de atribuir um bloco CIDR IPv6 alocado pelo Amazon VPC IP Address Manager ou seu próprio bloco CIDR IPv6.
2. Atribuir bloco IPv6 às Sub-redes: Após atribuir um bloco CIDR IPv6 à VPC, você deve configurar manualmente blocos CIDR IPv6 para cada sub-rede existente, com cada sub-rede recebendo uma porção do espaço de endereços IPv6 da VPC.
3. Atualizar tabelas de rotas: Para que o tráfego IPv6 da sua função Lambda alcance a internet, você precisa adicionar uma rota (::/0) para o egress-only internet gateway.
4. Atualizar grupos de segurança: Por padrão, os grupos de segurança permitem todo o tráfego de saída. Para restringir o tráfego IPv6 de saída da sua função Lambda, você deve remover a regra de saída padrão e adicionar regras de saída restritivas específicas. Para tráfego de entrada, regras de grupo de segurança são necessárias quando sua função Lambda recebe conexões de rede diretas, como tráfego através de conexões AWS PrivateLink.
5. Habilitar dual-stack IPv6 na função Lambda: Quando você atribui endereços IPv6 para a sub-rede da sua função Lambda, você pode ativar dual-stack IPv6 para a função Lambda. Em seguida, o Lambda cria novas Elastic network interfaces (ENI) com protocolos IPv4 e IPv6 com endereços IPv4 e IPv6. Embora a maioria das atualizações para a função Lambda tenha tempo de inatividade zero, ativar dual-stack pode causar interrupção na conectividade. Para evitar tempo de inatividade durante a transição, recomendamos usar versões e aliases do Lambda para implementar uma estratégia de implantação blue/green. Você pode publicar sua função Lambda habilitada para IPv6 como uma nova versão enquanto mantém a versão atual ativa e serve o tráfego através do alias. Após testar a nova versão IPv6, você pode atualizar o alias para alternar o tráfego. Esta abordagem fornece uma capacidade de rollback, e você pode reverter o alias para apontar de volta para a versão anterior, se necessário.

Quando você tiver concluído essas etapas, sua função Lambda pode suportar rede dual-stack e se comunicar sobre IPv4 e IPv6.

Conclusão

Nesta publicação, cobrimos os benefícios da transição de suas funções AWS Lambda de IPv4 para IPv6, as implicações arquiteturais e as etapas de como você poderia fazer a transição. Recomendamos fazer a transição de suas funções Lambda para suportar tráfego IPv4 e IPv6 para obter seus benefícios. O suporte IPv6 do Lambda ajuda a abordar o esgotamento de IPv4 enquanto fornece economia de custos e clarificação de rede. Uma vez que as organizações façam a transição para suportar apenas tráfego IPv6, elas podem eliminar NAT gateways para funções Lambda que precisam de acesso à internet, reduzindo assim custos e complexidade arquitetural. À medida que a AWS expande o suporte IPv6 entre os serviços, fazer a transição de funções Lambda para rede dual-stack posiciona as organizações para compatibilidade de longo prazo enquanto entrega benefícios operacionais imediatos.

Para mais informações sobre como ativar o acesso IPv6 para funções Lambda em VPC dual-stack, consulte a documentação do Lambda. Para mais recursos de aprendizado Serverless, visite Serverless Land.

Este conteúdo foi traduzido do publicação original do blog, que pode ser encontrado aqui.

Autores

	John Lee é Sr. Solutions Architect na Amazon Web Services.
	Sahil Bhimjiani é Solutions Architect na Amazon Web Services.

Tradutores

Daniel Abib é Arquiteto de Soluções Sênior e Especialista em Amazon Bedrock na AWS, com mais de 25 anos trabalhando com gerenciamento de projetos, arquiteturas de soluções escaláveis, desenvolvimento de sistemas e CI/CD, microsserviços, arquitetura Serverless & Containers e especialização em Machine Learning. Ele trabalha apoiando Startups, ajudando-os em sua jornada para a nuvem. https://www.linkedin.com/in/danielabib/

Nicolas Tarzia é Senior Technical Account Manager na AWS, com mais de 13 anos de experiência, com ampla experiência em arquitetura cloud, engenharia e design de software. Atualmente está habilitando empresas do ramo de ISV (Independent Software Vendors) simplificando a operação na nuvem e otimizando os custos em cloud. Sua área de interesse são tecnologias serverless. https://www.linkedin.com/in/nicolastarzia