Uma VPC atualmente usa apenas IPv4 com sub-redes públicas e privadas, NAT gateways, tabelas de rotas e ACLs já configurados. Um CIDR IPv6 é atribuído à VPC, endereços IPv6 de sub-rede são adicionados, rotas são atualizadas e ACLs são alteradas para permitir IPv6. As sub-redes públicas podem acessar a internet via IPv6, mas as sub-redes privadas não conseguem iniciar conexões IPv6 de saída. O que o administrador SysOps deve fazer para fornecer acesso à internet somente de saída via IPv6 a partir das sub-redes privadas?

Para permitir que sub-redes privadas iniciem conexões IPv6 de saída para a internet, mas sem permitir conexões de entrada não solicitadas, é necessário um Egress-Only Internet Gateway. Este gateway é a contraparte IPv6 do NAT Gateway para IPv4, fornecendo conectividade de saída unidirecional. Criar e anexar um Egress-Only Internet Gateway à VPC e adicionar uma rota padrão (::/0) na tabela de rotas das sub-redes privadas apontando para ele resolve o problema. Habilitar NAT IPv6 nos NAT Gateways existentes não é uma opção, pois NAT Gateways são exclusivamente para IPv4. Provisionar um NAT Gateway dedicado somente para IPv6 também não é correto, pois o serviço equivalente para IPv6 é o Egress-Only Internet Gateway. Adicionar uma rota padrão para o Internet Gateway existente permitiria tráfego de entrada não solicitado, o que não é o objetivo para sub-redes privadas.