某银行的移动堆栈运行在一个仅使用 IPv4 的 VPC 中。该银行必须集成一个需要 IPv6 的第三方 API。服务器位于私有子网中，必须发起所有 IPv6 连接，并且不得接受来自公共互联网的 IPv6 流量。VPC 和私有子网已启用 IPv6。哪种配置能提供所需的仅出口 IPv6 行为？

正确答案是：在 VPC 中创建 Egress-Only Internet Gateway。在子网路由表中添加将 IPv6 流量发送到 Egress-Only Internet Gateway 的路由。 Egress-Only Internet Gateway (EIGW) 专门用于为私有子网中的 IPv6 实例提供出站（Egress）互联网访问，同时阻止来自互联网的入站（Ingress）连接。这正是题目中“必须发起所有 IPv6 连接，并且不得接受来自公共互联网的 IPv6 流量”的要求。将子网路由表中的 IPv6 默认路由（::/0）指向 EIGW，即可实现此目的。 选项一和选项二的 NAT Gateway 和 NAT 实例主要用于 IPv4 流量，不能直接用于 IPv6 出口。IPv6 不需要 NAT，因为其地址空间足够大。 选项四在 Egress-Only Internet Gateway 上附加安全组是错误的，因为 EIGW 本身不接受安全组。EIGW 的设计就决定了它只允许出站流量，无需额外的安全组来拒绝入站流量。