IPv6, doble pila y VPC IPAM

Con dos VPC, una hoja de cálculo alcanza para anotar rangos. Con doscientas VPC en cincuenta cuentas y cuatro regiones, la hoja se desactualiza y aparecen los choques. Al mismo tiempo, las direcciones IPv4 públicas escasean y tienen costo. AWS responde con dos herramientas: administrar los rangos de forma central y adoptar IPv6.

VPC IPAM: un solo mapa de direcciones

IPAM se integra con AWS Organizations: activas una cuenta de administración delegada, normalmente la de red, y desde ahí ves las direcciones de todas las cuentas. Sus piezas:

• Scopes: al crear el IPAM nacen dos, uno privado y uno público. Cada scope representa una red; dos redes desconectadas pueden reutilizar rangos en scopes distintos.
• Pools: grupos de rangos organizados en jerarquía. Un pool superior 10.0.0.0/8 se parte en pools por región y luego por ambiente: producción, desarrollo.
• Reglas de asignación: tamaño mínimo, máximo y por defecto de cada CIDR, y etiquetas obligatorias. Una VPC que pide su rango al pool recibe uno libre, nunca uno que ya esté en uso.
• Monitoreo: IPAM marca cada recurso según cumpla o no las reglas (compliant, noncompliant, unmanaged) y detecta solapamientos. Guarda el historial de quién tuvo cada dirección.
• Public IP Insights: muestra todas las IPv4 públicas de la cuenta y quién las usa.

1. 1

   Delega la administración

   Desde la cuenta de administración de Organizations, designa la cuenta de red como administradora de IPAM.
2. 2

   Diseña la jerarquía

   Pool superior con el rango de la organización → un pool por región → pools por ambiente con reglas de tamaño y etiquetas.
3. 3

   Comparte los pools

   Usa AWS RAM para compartir cada pool con las OU o cuentas que pueden tomar rangos de él.
4. 4

   Crea VPC desde el pool

   En la consola, la CLI o Terraform, la VPC pide un CIDR al pool en lugar de escribirlo a mano.
5. 5

   Vigila

   Revisa el estado de cumplimiento y los solapamientos. Una SCP puede exigir que toda VPC nueva use un pool de IPAM.

Por qué IPv6 dejó de ser opcional

Desde el 1 de febrero de 2024, AWS cobra por todas las direcciones IPv4 públicas, estén asociadas a un recurso o libres. Eso incluye las IP públicas de instancias, NAT Gateway y balanceadores. Las que traes con BYOIP (Bring Your Own IP) quedan fuera de ese cobro. El precio vigente está en la página de precios de Amazon VPC. IPv6 no tiene ese cargo y es la salida de largo plazo.

Qué cambia con IPv6 en una VPC

Puedes pedir a AWS un bloque IPv6 para tu VPC: es un /56 y no eliges cuál. Las subredes suelen recibir un /64. Con IPAM y rangos IPv6 propios o contiguos de Amazon, una VPC admite bloques de /44 a /60 y una subred de /44 a /64, en saltos de /4. La VPC siempre conserva su CIDR IPv4; lo que puede ser solo IPv6 es la subred.

El egress-only internet gateway es la portería de solo salida para IPv6: es stateful, deja salir y permite las respuestas, pero nadie de afuera inicia una conexión. Ocupa en IPv6 el lugar del NAT Gateway, sin traducir direcciones.

Doble pila o solo IPv6

Una subred dual-stack tiene CIDR IPv4 e IPv6: cada recurso habla los dos protocolos y nada se rompe. Una subred IPv6-only no tiene IPv4. Ahorra direcciones, pero exige instancias basadas en Nitro y servicios que soporten IPv6. Si un recurso solo IPv6 necesita hablar con un destino que solo tiene IPv4, entran dos piezas:

• DNS64: lo activas por subred. Si el destino no tiene registro AAAA, el Resolver fabrica una dirección IPv6 anteponiendo el prefijo 64:ff9b::/96 a la IPv4.
• NAT64: viene incluido en todo NAT Gateway. Agregas la ruta 64:ff9b::/96 → NAT Gateway y él traduce IPv6 a IPv4 y de vuelta.

Un plan de migración que no rompe nada

1. 1

   Inventario

   Lista servicios, librerías y equipos de la oficina que no soportan IPv6. Crea en IPAM un pool IPv6 para la organización.
2. 2

   Agrega IPv6 a la VPC y a las subredes

   Asociar un bloque IPv6 no interrumpe el tráfico IPv4. Cada subred recibe su /64.
3. 3

   Rutas

   Subredes públicas: ::/0 → Internet Gateway. Privadas: ::/0 → egress-only internet gateway.
4. 4

   Security Groups y NACL

   Duplica las reglas necesarias con rangos IPv6 y permite ICMPv6.
5. 5

   Abre la puerta principal

   Pasa los balanceadores a dualstack y publica registros AAAA junto a los A. Las apps deben escuchar en IPv6.
6. 6

   Nuevas cargas en IPv6-only

   Con la doble pila estable, lanza lo nuevo en subredes solo IPv6 con DNS64 y NAT64 para lo que siga en IPv4.

La base de CIDR y subredes está en Direcciones IP y CIDR, y las rutas en Rutas, gateways y NAT. Para el costo de la IPv4 y del NAT, mira Costos de datos.