Kontakt: +49 511 59095 – 942

Link Local-Addressen bei AWS

Im sogenannten APIPA/Link Local-Bereich (siehe RFC 3927) sind auf AWS EC2-Instanzen mehrere Dienste erreichbar, von denen der Metadata Service mit Abstand der Bekannteste und Wichtigste ist.

Allerdings gibt es dort auch andere Services (siehe Post “Default DNS-Server in AWS VPCs”), die in der Dokumentation teils recht versteckt sind.

Das sind:

ip Zweck
169.254.169.123               AWS eigener NTP-Server seit 2017
169.254.169.250251      Microsoft KMS-Server zum Check von Windowslizenzen
169.254.169.253               DNS Endpunkt, falls DNS Support im VPC aktiv ist
169.254.169.254               Metadataservice auf Port 80

Die IPs mit 169er Prefix sind übrigens von Security Groups völlig unabhängig, da sie auf Hypervisorebene direkt verarbeitet werden. Deswegen findet sich auch kein “Metadata-Agent” auf den Instanzen und die Route für den 169.254er Bereich zeigt auf das normale Netzwerkinterface. Der Zugriff kann aufgrund dieser Implementation nur auf der OS-Ebene eingeschränkt werden - was aber nicht ratsam ist, da damit auch EC2 Rollen nicht mehr funktionieren.

Durch die Verwendung des RFC 3927 Addressbereichs umgeht AWS elegant Routingprobleme, die bei der Nutzung von RFC1918-Addressen in Hybridumgebungen sonst entstehen könnten. Dasselbe Prinzip wird übrigens auch bei den Default-Transfernetzen bei VPN-Verbindungen angewandt, die aus dem 169.254er Bereich ausgewählt werden.