Un VPC utilise actuellement uniquement IPv4 avec des sous-réseaux publics et privés, des passerelles NAT, des tables de routage et des ACL déjà configurés. Le VPC se voit attribuer un CIDR IPv6, des adresses IPv6 de sous-réseau sont ajoutées, les routes sont mises à jour et les ACL sont modifiées pour autoriser IPv6. Les sous-réseaux publics peuvent accéder à Internet via IPv6, mais les sous-réseaux privés ne peuvent pas initier de connexions sortantes IPv6. Que doit faire l'administrateur SysOps pour fournir un accès Internet IPv6 sortant uniquement à partir des sous-réseaux privés ?

Pour permettre aux sous-réseaux privés d'un VPC d'initier des connexions IPv6 sortantes vers Internet sans permettre les connexions entrantes non sollicitées, une passerelle Internet à sens unique (Egress-Only Internet Gateway - EIGW) est la solution appropriée. L'EIGW est spécifiquement conçue pour l'IPv6 et fournit une fonctionnalité similaire à celle d'une passerelle NAT pour l'IPv4, mais pour l'IPv6. Après avoir créé et attaché l'EIGW au VPC, une route par défaut (::/0) doit être ajoutée à la table de routage des sous-réseaux privés, pointant vers l'EIGW. Les passerelles NAT existantes sont conçues pour l'IPv4 et ne gèrent pas le NAT IPv6. Provisionner une passerelle NAT dédiée IPv6 n'est pas une fonctionnalité native d'AWS pour l'IPv6 ; l'EIGW est l'équivalent. Envoyer le trafic IPv6 vers la passerelle Internet existante rendrait les instances des sous-réseaux privés directement accessibles depuis Internet via IPv6, ce qui compromet la sécurité.