AWS VPCのIPv6デュアルスタック設計入門｜Egress-Only Internet GatewayとEC2のIPv6有効化手順

この記事のポイント

・VPCの/56 IPv6 CIDRはAmazon提供の無料ブロック（GUAアドレス）を使う
・パブリックサブネットはIGW、プライベートサブネットはEgress-Only IGWでIPv6経路を分ける
・セキュリティグループのIPv4ルール（0.0.0.0/0）はIPv6に自動適用されない——別途::/0の追加が必須
・EC2へのIPv6自動割り当てはサブネット側でassign-ipv6-address-on-creationを有効化する

# VPCのIDを確認する
aws ec2 describe-vpcs --region ap-northeast-1   --query 'Vpcs[*].{VpcId:VpcId,Cidr:CidrBlock,Name:Tags[?Key==]|[0].Value}'

# VPCにAmazon提供のIPv6 CIDRブロックを割り当てる
aws ec2 associate-vpc-cidr-block   --vpc-id vpc-0abc1234def567890   --amazon-provided-ipv6-cidr-block   --region ap-northeast-1

aws ec2 describe-vpcs   --vpc-ids vpc-0abc1234def567890   --query 'Vpcs[0].Ipv6CidrBlockAssociationSet'   --region ap-northeast-1

[
    {
        "AssociationId": "vpc-cidr-assoc-0a1b2c3d4e5f67890",
        "Ipv6CidrBlock": "2600:1f14:abcd:ef00::/56",
        "Ipv6CidrBlockState": {
            "State": "associated"
        },
        "Ipv6Pool": "Amazon"
    }
]

# パブリックサブネット（AZ-a）にIPv6 CIDRを割り当てる
aws ec2 associate-subnet-cidr-block   --subnet-id subnet-0pub1a2b3c4d5e6f7   --ipv6-cidr-block 2600:1f14:abcd:ef00::/64   --region ap-northeast-1

# パブリックサブネット（AZ-c）
aws ec2 associate-subnet-cidr-block   --subnet-id subnet-0pub8a9b0c1d2e3f4   --ipv6-cidr-block 2600:1f14:abcd:ef01::/64   --region ap-northeast-1

# パブリックサブネット（AZ-d）
aws ec2 associate-subnet-cidr-block   --subnet-id subnet-0pub5e6f7a8b9c0d1   --ipv6-cidr-block 2600:1f14:abcd:ef02::/64   --region ap-northeast-1

# プライベートサブネット（AZ-a）にIPv6 CIDRを割り当てる
aws ec2 associate-subnet-cidr-block   --subnet-id subnet-0prv1a2b3c4d5e6f7   --ipv6-cidr-block 2600:1f14:abcd:ef10::/64   --region ap-northeast-1

# プライベートサブネット（AZ-c）
aws ec2 associate-subnet-cidr-block   --subnet-id subnet-0prv8a9b0c1d2e3f4   --ipv6-cidr-block 2600:1f14:abcd:ef11::/64   --region ap-northeast-1

# Egress-Only Internet Gatewayを作成する
aws ec2 create-egress-only-internet-gateway   --vpc-id vpc-0abc1234def567890   --region ap-northeast-1

# 作成したEIGWのIDを確認する
aws ec2 describe-egress-only-internet-gateways   --region ap-northeast-1   --query 'EgressOnlyInternetGateways[*].{Id:EgressOnlyInternetGatewayId,State:Attachments[0].State}'

# プライベートサブネットのルートテーブルにEIGW経由のIPv6ルートを追加
aws ec2 create-route   --route-table-id rtb-0priv1a2b3c4d5e6f   --destination-ipv6-cidr-block ::/0   --egress-only-internet-gateway-id eigw-0a1b2c3d4e5f67890   --region ap-northeast-1

# パブリックサブネットのルートテーブルにIGW経由のIPv6ルートを追加
aws ec2 create-route   --route-table-id rtb-0pub1a2b3c4d5e6f   --destination-ipv6-cidr-block ::/0   --gateway-id igw-0a1b2c3d4e5f67890   --region ap-northeast-1

# サブネットのIPv6自動割り当てを有効化する
aws ec2 modify-subnet-attribute   --subnet-id subnet-0pub1a2b3c4d5e6f7   --assign-ipv6-address-on-creation   --region ap-northeast-1

# 設定を確認する（trueになっていれば有効）
aws ec2 describe-subnets   --subnet-ids subnet-0pub1a2b3c4d5e6f7   --query 'Subnets[0].{SubnetId:SubnetId,AutoIPv6:AssignIpv6AddressOnCreation,IPv6Block:Ipv6CidrBlockAssociationSet[0].Ipv6CidrBlock}'

# 既存EC2のENIにIPv6アドレスを追加する（インスタンスIDからENI IDを取得）
ENI_ID=

aws ec2 assign-ipv6-addresses   --network-interface-id    --ipv6-address-count 1   --region ap-northeast-1

# EC2上でIPv6アドレスを確認する（Amazon Linux 2023）
$ ip -6 addr show eth0
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9001 state UP qlen 1000
    inet6 2600:1f14:abcd:ef00:ff4a:b8c:d123:456a/128 scope global dynamic
       valid_lft 549sec preferred_lft 249sec
    inet6 fe80::887:b9ff:fe78:a1b2/64 scope link
       valid_lft forever preferred_lft forever

# IPv6の疎通確認（Googleのパブリックアドレスへping6）
$ ping6 -c 3 2404:6800:4004:819::200e
PING 2404:6800:4004:819::200e(2404:6800:4004:819::200e) 56 data bytes
64 bytes from 2404:6800:4004:819::200e: icmp_seq=1 ttl=118 time=3.42 ms
64 bytes from 2404:6800:4004:819::200e: icmp_seq=2 ttl=118 time=3.38 ms
64 bytes from 2404:6800:4004:819::200e: icmp_seq=3 ttl=118 time=3.41 ms

--- 2404:6800:4004:819::200e ping statistics ---
3 packets transmitted, 3 received, 0% packet loss

# SSH（TCP 22）のIPv6インバウンドルールを追加
aws ec2 authorize-security-group-ingress   --group-id sg-0a1b2c3d4e5f67890   --ip-permissions '[{"IpProtocol":"tcp","FromPort":22,"ToPort":22,"Ipv6Ranges":[{"CidrIpv6":"::/0"}]}]'   --region ap-northeast-1

# HTTPS（TCP 443）のIPv6インバウンドルールを追加
aws ec2 authorize-security-group-ingress   --group-id sg-0a1b2c3d4e5f67890   --ip-permissions '[{"IpProtocol":"tcp","FromPort":443,"ToPort":443,"Ipv6Ranges":[{"CidrIpv6":"::/0"}]}]'   --region ap-northeast-1

# ICMPv6（ping6に必要。プロトコル58、-1は全タイプを意味する）のインバウンドルールを追加
aws ec2 authorize-security-group-ingress   --group-id sg-0a1b2c3d4e5f67890   --ip-permissions '[{"IpProtocol":"58","FromPort":-1,"ToPort":-1,"Ipv6Ranges":[{"CidrIpv6":"::/0"}]}]'   --region ap-northeast-1

# アウトバウンドのIPv6を全許可（プライベートEC2からEIGW経由でインターネットへ）
aws ec2 authorize-security-group-egress   --group-id sg-0a1b2c3d4e5f67890   --ip-permissions '[{"IpProtocol":"-1","Ipv6Ranges":[{"CidrIpv6":"::/0"}]}]'   --region ap-northeast-1

aws ec2 describe-vpcs   --vpc-ids vpc-0abc1234def567890   --query 'Vpcs[0].Ipv6CidrBlockAssociationSet[0].{Cidr:Ipv6CidrBlock,State:Ipv6CidrBlockState.State}'

aws ec2 describe-subnets   --subnet-ids subnet-0pub1a2b3c4d5e6f7   --query 'Subnets[0].{AutoIPv6:AssignIpv6AddressOnCreation,IPv6Block:Ipv6CidrBlockAssociationSet[0].Ipv6CidrBlock}'

aws ec2 describe-route-tables   --route-table-ids rtb-0priv1a2b3c4d5e6f   --query 'RouteTables[0].Routes[?DestinationIpv6CidrBlock!=null]'

aws ec2 describe-security-groups   --group-ids sg-0a1b2c3d4e5f67890   --query 'SecurityGroups[0].IpPermissions[?Ipv6Ranges[0].CidrIpv6!=null].{Proto:IpProtocol,From:FromPort,IPv6:Ipv6Ranges[0].CidrIpv6}'

aws ec2 describe-instances   --instance-ids i-0a1b2c3d4e5f67890   --query 'Reservations[0].Instances[0].NetworkInterfaces[0].Ipv6Addresses'