С понедельника каждый создаваемый нами экземпляр получает маршрутизируемый IPv6 /64. Без запроса, без тикета, без галочки, без оплаты. Существующие экземпляры получили свои адреса в ходе того же развёртывания, и никому не пришлось просить.
Тем, кому нужно нормальное разделение на подсети, доступен /48 за четыре евро в месяц, делегированный, а не вырезанный из нашего пространства.
Маршрутизируемый, а не проксируемый
Это различие — суть вопроса, и стоит быть дотошным.
Проксируемая схема означает, что сайт отвечает на neighbor discovery от вашего имени и пересылает вам пакеты. Это работает для одного адреса и разваливается, как только вы хотите разместить адреса на контейнерах, запустить маршрутизатор внутри экземпляра или переместить адрес между машинами. Также появляется зависимость, о которой вы не просили: ваш трафик зависит от корректной работы части инфраструктуры, а это ещё одна точка отказа.
Маршрутизируемый означает, что префикс находится в таблице маршрутизации и указывает на ваш экземпляр, а что происходит с адресами внутри — ваше дело. Вы можете разместить их на контейнерах, передать виртуальным машинам внутри экземпляра или оставить неиспользованными. Нашей инфраструктуре об этом знать не нужно.
Делегирование осуществляется через DHCPv6-PD для /48 и статическую маршрутизацию для /64.
Обратный DNS
Редактируется для каждого адреса из панели, для всего префикса, без обращения в поддержку. Прямые и обратные записи, с обычной задержкой для всего, что кэшируется выше по цепочке. Операторы почтовых серверов заботятся об этом больше всех, и это был второй по частоте запрос, который мы получали по IPv6.
Что мы не фильтруем
Мы не фильтруем типы ICMPv6, от которых зависит обнаружение MTU пути. Их блокировка — классический способ создать сеть, которая работает до тех пор, пока кто-то не отправит большой пакет, и многие провайдеры делают это случайно.
Защита от router advertisement работает на уровне инфраструктуры, поэтому неправильно настроенный экземпляр не сможет объявить себя маршрутом по умолчанию для всех остальных. Это защищает ваших соседей от вас и вас от них, и это единственная IPv6-фильтрация, которую мы выполняем.
Почему сейчас
IPv4-адреса становятся по-настоящему дорогими, и цена движется только в одном направлении. Дополнительные адреса здесь стоят три евро в месяц, что отражает наши затраты, а не придуманную наценку, и эта цифра не снизится в ближайшие десять лет.
Любая рабочая нагрузка, которая сегодня может работать в двойном стеке, через три года не потребует второго IPv4-адреса. Мы предпочитаем потратить две недели инженерной работы сейчас, чем вести такие разговоры с тысячей клиентов потом.
Есть и более простая причина. Взимать плату за IPv6 или требовать запроса на него — привычка, которую индустрия приобрела, когда адресное пространство было дефицитным ресурсом. Оно давно перестало быть дефицитным.
Шероховатости
На двух площадках при запуске не было подходящего выделенного пространства /48, и функция появилась там на девять дней позже, чем везде. Этим клиентам сообщили индивидуально, а не позволили обнаружить это самим, что является низкой планкой, и мы упоминаем об этом, потому что анонс о развёртывании, претендующий на полное покрытие, обычно лжёт.
Один образ в каталоге поставлялся с отключённым по умолчанию IPv6 в ядре и был пересобран. Если вы создали экземпляр из устаревшей локальной копии этого образа, включение сводится к одному sysctl, а база знаний содержит подробности.
Что по-прежнему требует IPv4
Больше, чем должно. Значительная доля домашних и мобильных сетей остаётся IPv4-only, некоторые зеркала пакетов по-прежнему используют один стек, а многие корпоративные сети ни за что не будут маршрутизировать AAAA-записи. Каждый экземпляр сохраняет как минимум один IPv4-адрес по этой причине, и мы не предлагаем его отбирать.
Двойной стек — разумный вариант по умолчанию и останется таковым ещё годы. Изменение здесь в том, что половина этого больше не требует запроса.