Une charge de travail s'exécute sur des milliers d'instances EC2 dans un VPC doté de sous-réseaux publics et privés. Les sous-réseaux publics acheminent 0.0.0.0/0 vers une passerelle Internet ; les sous-réseaux privés acheminent 0.0.0.0/0 vers une passerelle NAT. Vous devez migrer le parc vers IPv6 tout en garantissant que les instances des sous-réseaux privés ne sont pas accessibles depuis l'Internet public. Que doit faire l'architecte de solutions ?

La bonne solution consiste à associer un bloc CIDR IPv6 fourni par Amazon au VPC et à tous les sous-réseaux. Pour les sous-réseaux privés, afin de permettre la communication sortante vers Internet sans permettre d'accès entrant, une passerelle Internet à sens unique (Egress-Only Internet Gateway) est nécessaire. Cette passerelle permet aux instances IPv6 des sous-réseaux privés d'initier des connexions vers Internet, mais empêche les connexions initiées depuis Internet d'atteindre ces instances. L'option d'utiliser un bloc CIDR IPv6 personnalisé n'est pas standard pour les VPC AWS, qui utilisent des blocs fournis par Amazon. Acheminer ::/0 vers une passerelle Internet pour les sous-réseaux privés rendrait les instances accessibles depuis Internet, ce qui contredit l'exigence. Une passerelle NAT ne gère pas le trafic IPv6 de la même manière qu'une passerelle Internet à sens unique pour la sortie.