Link Local-Addressen bei AWS
This content is more than 4 years old and the cloud moves fast so some information may be slightly out of date.
Im sogenannten APIPA/Link Local-Bereich (siehe RFC 3927) sind auf AWS EC2-Instanzen mehrere Dienste erreichbar, von denen der Metadata Service mit Abstand der Bekannteste und Wichtigste ist.
Allerdings gibt es dort auch andere Services (siehe Post “Default DNS-Server in AWS VPCs”), die in der Dokumentation teils recht versteckt sind.
Update 27.01.2020: IPv6 Adressen ULA hinzugefügt
Das sind:
| IPv4 | IPv6 | Zweck |
|---|---|---|
| 169.254.169.123 | fd00:ec2::123 | AWS eigener NTP-Server seit 2017 |
| 169.254.169.250/251 | Microsoft KMS-Server zum Check von Windowslizenzen | |
| 169.254.169.253 | fd00:ec2::253 | DNS Endpunkt, falls DNS Support im VPC aktiv ist |
| 169.254.169.254 | fd00:ec2::254 | Metadataservice auf Port 80 |
Die IPs mit 169er Prefix sind übrigens von Security Groups völlig unabhängig, da sie auf Hypervisorebene direkt verarbeitet werden. Deswegen findet sich auch kein “Metadata-Agent” auf den Instanzen und die Route für den 169.254er Bereich zeigt auf das normale Netzwerkinterface. Der Zugriff kann aufgrund dieser Implementation nur auf der OS-Ebene eingeschränkt werden - was aber nicht ratsam ist, da damit auch EC2 Rollen nicht mehr funktionieren.
Durch die Verwendung des RFC 3927 Addressbereichs umgeht AWS elegant Routingprobleme, die bei der Nutzung von RFC1918-Addressen in Hybridumgebungen sonst entstehen könnten. Dasselbe Prinzip wird übrigens auch bei den Default-Transfernetzen bei VPN-Verbindungen angewandt, die aus dem 169.254er Bereich ausgewählt werden.
