Automatización de las actualizaciones de la lista de prefijos con IPAM
Una lista de prefijos administrada es un conjunto de bloques CIDR que puede utilizar como referencia en las reglas de los grupos de seguridad y en las tablas de enrutamiento, en lugar de especificar direcciones IP individuales. Por ejemplo, en lugar de crear reglas de grupo de seguridad independientes para 10.1.0.0/16, 10.2.0.0/16 y 10.3.0.0/16, puede crear una única lista de prefijos que incluya los tres bloques CIDR y hacer referencia a esta en una sola regla.
Hay dos tipos:
-
Listas de prefijos administradas por el cliente: rangos de direcciones IP que usted define y administra
-
Listas de prefijos administradas por AWS: rangos de direcciones IP para servicios de AWS (como S3 o CloudFront)
Esta característica de IPAM automatiza la administración de las listas de prefijos administradas por el cliente y mantiene las entradas CIDR sincronizadas con los cambios en la red.
El problema que esto resuelve
Sin la automatización, los equipos de red deben invertir una cantidad considerable de tiempo en actualizar manualmente las listas de prefijos cuando cambia la infraestructura y en garantizar la coherencia de dichas listas en todos los entornos y regiones.
IPAM soluciona este problema al permitir la creación de reglas que actualizan automáticamente las listas de prefijos. Puede usar dos enfoques: hacer referencia a los bloques CIDR de los grupos de IPAM o crear reglas basadas en los recursos reales de AWS, por ejemplo: “incluir todas las VPC etiquetadas con env=prod”, “incluir todas las subredes en us-east-1” o “incluir todas las direcciones IP elásticas pertenecientes a la cuenta 123456789”. Al agregar o eliminar estos recursos, IPAM actualiza la lista de prefijos con sus bloques CIDR de forma automática.
Funcionamiento
Cree reglas que indiquen a IPAM qué direcciones IP incluir en una lista de prefijos. Por ejemplo: “incluir todos los bloques CIDR de las VPC etiquetadas con env=prod”. Cuando agregue o elimine VPC de producción, IPAM actualiza la lista de prefijos de forma automática.
Cuándo se debe usar
-
Grupos de seguridad: cree una regla “incluir todas las VPC etiquetadas con env=prod” para que, al agregar nuevas VPC de producción, estas se autoricen automáticamente en las reglas del grupo de seguridad
-
Multirregión: implemente las mismas reglas de IPAM en varias regiones para mantener listas de prefijos idénticas sin copiar manualmente las entradas CIDR
-
Infraestructura dinámica: cuando cree o elimine VPC o subredes, los bloques CIDR se agregarán o eliminarán automáticamente de las listas de prefijos, sin necesidad de actualizaciones manuales
Requisitos previos
Antes de comenzar, asegúrese de que dispone de lo siguiente:
-
Un IPAM con el nivel avanzado habilitado
-
Una lista de prefijos administrada por el cliente (o cree una durante la configuración)
-
Permisos de IAM para las operaciones de IPAM y de listas de prefijos de EC2
Pasos de configuración
Paso 1: Creación de un solucionador de lista de prefijos de IPAM
Defina qué bloques CIDR incluir en la lista de prefijos mediante la creación de un solucionador de lista de prefijos de IPAM.
Paso 2: Creación de un destino de solucionador para conectarlo a una lista de prefijos
Vincule el solucionador a una lista de prefijos existente mediante la creación de un destino de solucionador. Use el ID del solucionador devuelto en el paso 1.
IPAM ahora actualiza automáticamente la lista de prefijos según las reglas. La lista de prefijos se completará con los CIDR que coincidan con los criterios.
Paso 3: Supervisión de versiones y sincronización
Como resultado de crear un solucionador y un destino de lista de prefijos, el solucionador genera versiones de CIDR según las reglas, y el destino sincroniza esos CIDR del solucionador con una lista de prefijos administrada específica. Cada versión es una instantánea de los CIDR que coincidían con las reglas en ese momento. El número de versión aumenta cada vez que la lista de CIDR cambia debido a modificaciones en la infraestructura.
Ejemplo de la versión:
Estado inicial (versión 1)
Entorno de producción:
vpc-prod-web (10.1.0.0/16): etiquetado con env=prod
vpc-prod-db (10.2.0.0/16): etiquetado con env=prod
Regla del solucionador: incluir todas las VPC etiquetadas con env=prod
CIDR de la versión 1: 10.1.0.0/16, 10.2.0.0/16
Cambio en la infraestructura (versión 2)
Nueva VPC agregada:
vpc-prod-api (10.3.0.0/16): etiquetado con env=prod
IPAM detecta automáticamente el cambio y crea una nueva versión.
CIDR de la versión 2: 10.1.0.0/16, 10.2.0.0/16, 10.3.0.0/16
Esta sección explica cómo supervisar la creación de versiones mediante la consola de AWS o la CLI de AWS, y cómo verificar la sincronización correcta mediante la CLI de AWS.
Además, se recomienda configurar alarmas de CloudWatch basadas en las métricas de fallos, ya que podría ser necesario reevaluar y ajustar las reglas de selección de CIDR para mantenerse dentro de los límites de tamaño de las listas de versiones y de prefijos. Para obtener una lista de las métricas de CloudWatch relacionadas con las listas de prefijos de IPAM, consulte Métricas del solucionador de lista de prefijos de IPAM.
Paso 4: (opcional) Habilitación y desactivación de la sincronización de la lista de prefijos de IPAM
Si una lista de prefijos administrada se ha configurado como destino de una lista de prefijos de IPAM y desea realizar cambios en dicha lista sin necesitar permisos para acceder al destino del solucionador de lista de prefijos de IPAM, puede modificar la lista de prefijos administrada y desactivar la sincronización con el solucionador de lista de prefijos de IPAM. Cuando la sincronización está desactivada, los CIDR de la lista de prefijos no se actualizan automáticamente y es posible modificarlos. Cuando está habilitada, los CIDR de la lista de prefijos se actualizan automáticamente en función de las reglas de selección de CIDR del solucionador asociado.
