如何为AWS EC2实例正确配置IPv6地址？

Question

如何为AWS EC2实例正确配置IPv6地址？常见问题之一是：在启用IPv6时，虽然已为VPC和子网启用了IPv6 CIDR并分配了/64地址块，EC2实例仍无法获取或通信IPv6地址。可能原因包括未正确配置安全组规则（如缺少允许ICMPv6的入站规则）、路由表未添加指向Internet的IPv6默认路由（::/0 指向互联网网关），或操作系统层面禁用了IPv6。此外，Amazon Linux 2等系统需确认网络接口配置文件中是否启用DHCPv6或使用SLAAC自动获取地址。如何排查并确保端到端IPv6连通性？

Answer 1

如何为AWS EC2实例正确配置IPv6地址？深入排查与端到端连通性保障

1. IPv6在AWS中的基础架构概述

AWS支持IPv6通过双栈模式（Dual-Stack）实现，即每个EC2实例可同时拥有IPv4和IPv6地址。要启用IPv6，必须在VPC、子网、路由表、安全组及操作系统层面进行协同配置。

VPC需分配一个IPv6 CIDR块（通常为/56），子网从中继承一个/64前缀。EC2实例通过SLAAC（无状态地址自动配置）或DHCPv6获取全局单播地址。

• VPC级别：启用IPv6 CIDR
• 子网级别：关联IPv6 CIDR块
• 路由表：添加 ::/0 → 互联网网关（IGW）
• 安全组：允许ICMPv6入站流量
• 网络接口：操作系统启用IPv6协议栈

2. 配置步骤详解

配置层级	关键操作	验证方法
VPC	关联Amazon-provided IPv6 CIDR (/56)	控制台查看“IPv6 CIDR”是否已分配
子网	从VPC CIDR中分配/64给子网	检查子网属性中的“IPv6 CIDR Block”
路由表	添加路由 ::/0 指向 IGW	使用CLI命令 aws ec2 describe-route-tables
安全组	允许ICMPv6类型128（Echo Request）和129（Echo Reply）	测试ping6外网地址
实例启动	确保使用支持IPv6的AMI（如Amazon Linux 2）	登录后执行 ip -6 addr show

3. 常见问题分类与排查路径

即使完成上述配置，仍可能出现“无法获取IPv6地址”或“无法通信”的情况。以下是按层级划分的常见故障点：

1. 网络层缺失默认路由：未在子网路由表中添加 ::/0 → IGW
2. 安全组阻断ICMPv6：导致ping不通，误判为无连接
3. NACL限制IPv6流量：默认允许所有，但自定义NACL可能显式拒绝
4. 操作系统禁用IPv6：内核参数设置 net.ipv6.conf.all.disable_ipv6=1
5. ENI未正确分配IPv6地址：检查EC2控制台网络接口详情页
6. DNS解析失败：/etc/resolv.conf 中缺少IPv6 DNS服务器
7. 防火墙软件干扰：如firewalld、iptables对IPv6规则做了DROP
8. 实例类型不支持IPv6：部分旧型实例（如t2.micro）不支持
9. 跨区域资源访问限制：S3、CloudFront等服务需开启双栈终端节点
10. 应用绑定仅限IPv4：Web服务器监听 0.0.0.0 而非 [::]

4. 端到端连通性诊断流程图

graph TD
    A[开始: 创建支持IPv6的VPC] --> B{是否分配IPv6 CIDR?}
    B -- 否 --> C[在VPC上分配Amazon-provided IPv6 CIDR]
    B -- 是 --> D[为子网分配/64 IPv6块]
    D --> E[更新路由表: 添加 ::/0 → IGW]
    E --> F[配置安全组: 允许ICMPv6入站]
    F --> G[启动EC2实例]
    G --> H{OS是否启用IPv6?}
    H -- 否 --> I[修改 sysctl 或 network-scripts]
    H -- 是 --> J[执行 ip -6 addr show]
    J --> K{是否有公网IPv6地址?}
    K -- 否 --> L[检查DHCPv6/SLAAC配置]
    K -- 是 --> M[ping6 ipv6.google.com]
    M --> N{是否可达?}
    N -- 否 --> O[检查NACL、防火墙、DNS]
    N -- 是 --> P[成功建立IPv6连通性]
    

5. 操作系统级配置（以Amazon Linux 2为例）

即便底层网络配置正确，操作系统仍可能未启用IPv6自动获取机制。需检查以下文件：

# /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0
BOOTPROTO=dhcp
ONBOOT=yes
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes


若使用NetworkManager，则可通过：

nmcli con mod "System eth0" ipv6.method auto

确认IPv6协议栈启用：

sysctl net.ipv6.conf.all.disable_ipv6

返回值应为0。若为1，需在/etc/sysctl.conf中注释或设为0，并重启网络服务。

6. 实用诊断命令清单

命令	用途说明
ip -6 addr show	查看IPv6地址分配状态
ip -6 route show	检查IPv6路由是否存在 ::/0
ping6 ipv6.google.com	测试对外IPv6连通性
curl -6 ifconfig.co	验证公网IPv6出口地址
tcpdump ip6	抓取IPv6数据包分析通信过程
systemctl status firewalld	确认防火墙未阻止IPv6流量
aws ec2 describe-instances --instance-id i-xxx --query 'Reservations[].Instances[].NetworkInterfaces[].Ipv6Addresses'	从AWS CLI验证ENI是否分配IPv6