**发布时间:** 2025-09-24
**厂商:** AWS
**类型:** BLOG
**原始链接:** https://aws.amazon.com/blogs/networking-and-content-delivery/aws-site-to-site-vpn-now-supports-ipv6-on-the-outside-ips/
---
<!-- AI_TASK_START: AI标题翻译 -->
[新产品/新功能] AWS Site-to-Site VPN 的外部 IP 地址现已支持 IPv6
<!-- AI_TASK_END: AI标题翻译 -->
<!-- AI_TASK_START: AI竞争分析 -->
# 产品功能分析
## 新功能/新产品概述
AWS Site-to-Site VPN是一项全托管服务,它通过 **IPSec** 隧道在客户的本地数据中心或分支机构与AWS资源之间建立安全连接。本次发布的新功能是为其 **外部IP地址 (Outside IPs)** 增加了IPv6支持。此前,AWS已支持在隧道内部传输IPv6流量,而此次更新使得VPN隧道的两个端点本身也可以使用IPv6地址进行通信,从而实现了端到端的纯IPv6 VPN连接。
该功能的目标用户是正在向IPv6迁移、面临公有IPv4地址枯竭问题,或因合规性要求必须使用IPv6网络的组织。它消除了在IPv6网络间建立VPN时对IPv4进行转换(IPv6>IPv4>IPv6)的依赖,简化了网络架构,将AWS定位为支持混合云原生IPv6连接的领先平台。
## 关键客户价值
- **简化IPv6迁移与原生连接**
- **业务价值:** 允许客户直接连接两个纯IPv6网络,无需复杂的地址转换或双栈配置。这极大地简化了网络架构,降低了运维复杂性和潜在的单点故障风险。
- **差异化优势:** 与许多仍依赖IPv4作为底层传输(underlay)的VPN解决方案相比,AWS提供了真正的端到端原生IPv6连接能力。这对于追求网络架构现代化、希望彻底淘汰IPv4依赖的企业具有很强的吸引力。
- **应对IPv4地址枯竭并降低成本**
- **业务价值:** 公共IPv4地址是一种日益稀缺且昂贵的资源。通过在VPN外部隧道上使用IPv6,客户可以节约宝贵的公共IPv4地址,从而直接降低网络连接的总体拥有成本。
- **实现机制:** 该功能免除了在AWS VPN端点和客户侧网关(Customer Gateway)上配置和付费购买公共IPv4地址的需求,尤其是在需要部署大量VPN连接的场景下,成本节约效果显著。
- **满足合规与监管要求**
- **业务价值:** 在联邦政府、医疗、金融和电信等受严格监管的行业中,IPv6的采用通常是强制性的。此功能使客户能够构建完全符合这些行业标准的IPv6-only网络环境,帮助他们在混合云部署中满足合规性审查。
## 关键技术洞察
- **深度集成于现代网络核心服务**
- **技术独特性:** _该功能要求VPN连接必须终止于 **AWS Transit Gateway** 或 **AWS Cloud WAN** 的核心网络边缘 (CNE)_。这表明该IPv6功能并非对传统虚拟私有网关(VGW)的简单扩展,而是深度集成在AWS新一代可扩展的云网络中枢服务中。
- **技术影响:** 这种架构确保了IPv6 VPN连接能够充分利用 **Transit Gateway** 和 **Cloud WAN** 带来的高级路由、网络分段和大规模互联能力,为企业构建复杂的全球IPv6网络提供了坚实且可扩展的基础。
- **基于标准化协议实现与互操作性**
- **技术工作原理:** 底层依然采用标准的 **IPSec** 协议栈进行加密和隧道封装,并通过 **BGP** (边界网关协议) 进行动态路由交换。
- **技术创新点:** 创新之处在于将这些成熟的标准协议无缝地应用于纯IPv6传输环境。原文通过使用开源软件 **Strongswan** (用于IPSec) 和 **Free Range Routing (FRR)** (用于BGP) 成功模拟了客户侧设备,这有力地证明了该方案具备良好的开放性和与业界主流VPN设备的互操作性。
- **自动化隧道接口地址管理**
- **技术工作原理:** 隧道内部接口的IPv6地址(Inside IPs)由AWS从唯一的本地地址(ULA)范围 `fd00::/8` 中自动分配,并为每个隧道端点分配一个 `/126` 的前缀。
- **技术影响:** 这种自动化分配机制简化了网络管理员的配置工作,避免了在点对点隧道链路上手动规划和分配IP地址的复杂性,有效降低了因配置错误导致连接中断的风险。
## 其他信息
- **部署与运维便利性**
- 提供了完整的 **CloudFormation** 模板,用户可一键部署包含VPC、EC2、Transit Gateway和VPN连接在内的完整测试环境,极大地降低了用户评估和验证该功能的门槛。
- 监控机制与IPv4 VPN保持一致,可复用现有的 **Amazon CloudWatch** 告警和日志监控方案,确保了运维体验的平滑过渡和连续性。
- **重要限制**
- 不支持将现有的IPv4 Site-to-Site VPN连接直接升级或转换为IPv6连接。用户必须创建全新的VPN连接来实现此功能,这可能需要纳入现有业务的迁移规划中。
<!-- AI_TASK_END: AI竞争分析 -->
<!-- AI_TASK_START: AI全文翻译 -->
# AWS Site-to-Site VPN 现已支持在外部 IP 上使用 IPv6
**原始链接:** [https://aws.amazon.com/blogs/networking-and-content-delivery/aws-site-to-site-vpn-now-supports-ipv6-on-the-outside-ips/](https://aws.amazon.com/blogs/networking-and-content-delivery/aws-site-to-site-vpn-now-supports-ipv6-on-the-outside-ips/)
**发布时间:** 2025-09-24
**厂商:** AWS
**类型:** BLOG
---
[Amazon Web Services (AWS) 站点到站点 VPN (Site-to-Site VPN)](https://docs.aws.amazon.com/vpn/latest/s2svpn/VPC_VPN.html) 是一项完全托管的服务,允许您使用 IP 安全 (IPSec) 隧道在您的数据中心或分支机构与 AWS 资源之间建立安全连接。它为各种工作负载提供关键连接:将本地工作负载连接到云端、将设备连接到云端以及提供加密通信。Site-to-Site VPN 是团队快速建立连接的通用选择。配置 VPN 隧道时,您必须选择外部和内部 IP 地址。在 2018 年之前,IPv4 是外部和内部 IP 地址的唯一选择。随后,我们发布了对内部 IP 地址的 IPv6 支持。在 2025 年 7 月,我们扩展了此功能并 [宣布](https://aws.amazon.com/about-aws/whats-new/2025/07/aws-site-to-site-vpn-supports-ipv6-addresses-outer-tunnel-ips/) 也可以为外部 IP 地址指定 IPv6。用户现在可以使用纯 IPv6 地址通过 Site-to-Site VPN 连接其 IPv6 网络,无需再进行 IPv6>IPv4>IPv6 转换。
## IPv6 支持的优势
1. **迁移到 IPv6:** 随着这项新功能的发布,迁移到 IPv6 变得更加直接,允许用户仅使用 IPv6 连接两个 IPv6 网络。
2. **IP 地址枯竭:** 在 IPv4 资源日益稀缺的环境中,为外部隧道利用 IPv6 可以节省宝贵的 IPv4 地址。
3. **降低成本:** 通过在外部 IP 上使用 IPv6,您还可以降低连接两个网络的成本,因为无需为隧道两端 (AWS 端和您的本地端) 的公共 IPv4 地址付费。
4. **法规与合规性:** 如果您在联邦、医疗、金融和电信等受监管行业工作,使用 IPv6 外部地址可以帮助您满足纯 IPv6 网络的要求。
## 支持的配置
仅当 Site-to-Site VPN 终止于 [AWS Transit Gateway](https://aws.amazon.com/transit-gateway/) 或 [AWS Cloud WAN](https://aws.amazon.com/cloud-wan/) 核心网络边缘 (CNE) 时,才支持 IPv6。图 1 展示了一个终止于 Transit Gateway 的 IPv6 Site-to-Site VPN 示例。

*图 1: 连接到 Transit Gateway 的纯 IPv6 VPN*
将 IPv6 Site-to-Site VPN 终止于 CNE 的模式与上图类似。
## IPv6 Site-to-Site VPN 概述
要开始体验 IPv6 Site-to-Site VPN,请下载 [AWS CloudFormation](https://aws.amazon.com/cloudformation/) [模板](https://d2908q01vomqb2.cloudfront.net/artifacts/NetworkingAndContentDeliveryBlog/1542/ipv6-s2s-cf-template.yml) 并在您选择的 [AWS 区域 (AWS Region)](https://aws.amazon.com/about-aws/global-infrastructure/regions_az/) 中进行部署。该模板仅需一个参数:一个用于通知您任何潜在中断的电子邮件地址。模板会在您的账户中预置以下基础设施 (如图 2 所示)。

*图 2: 通过 CloudFormation 部署的 IPv6 Site-to-Site VPN 环境*
部署此模板会产生费用,具体费用在本文章的“成本”部分有详细说明。有关拆除说明,请参阅“清理”部分。在下一节中,我们将逐步介绍部署的基础设施。
### 企业数据中心模拟
为了模拟企业数据中心,模板部署了一个包含以下基础设施的 VPC:
1. 一个具有两个前缀的双栈 (dual stack) Amazon VPC:一个 IPv4 前缀和一个 IPv6 前缀。
1. VPC 的 IPv6 地址可能因您使用的是 AWS 提供的 IPv6 还是自带 IP (BYOIP) 地址而异。
2. 一个附加到 VPC 的互联网网关 (internet gateway)。这是我们 VPN 的底层网络,允许我们安装和配置 [Amazon Elastic Compute Cloud (Amazon EC2)](https://aws.amazon.com/ec2/) VPN 路由器,该路由器用于模拟您的本地路由器。
3. 两个纯 IPv6 公共子网 (用于托管 Amazon EC2 VPN 路由器)。
1. 在上述纯 IPv6 公共子网中部署一个 EC2 实例以模拟 VPN 路由器。
4. 两个公共双栈子网。
1. 在上述子网中部署两个 NAT 网关以执行 NAT64,这使我们能够使用 [AWS Systems Manager Session Manager](https://docs.aws.amazon.com/systems-manager/latest/userguide/session-manager.html) 直接连接到 Amazon EC2 VPN 路由器。NAT 网关对于通过 cfn-* 钩子通知 CloudFormation 脚本执行完成也至关重要。
5. 两个私有双栈子网,用于托管 [VPC 端点 (VPC endpoints)](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html) ,以便通过 [AWS PrivateLink](https://aws.amazon.com/privatelink/) 访问其他 AWS 服务。
6. 两个纯 IPv6 私有子网,用于托管一个我们可以 ping 通以进行测试的实例。
1. 在上述纯 IPv6 私有子网中部署一个 EC2 实例以模拟测试实例。
### AWS 基础设施
该模板将 IPv6 Site-to-Site VPN 终止于一个 Transit Gateway,我们部署了以下基础设施。
1. 一个具有两个前缀的双栈 Amazon VPC:一个 IPv4 前缀和一个 IPv6 前缀。
1. VPC 的 IPv6 地址可能因您使用的是 AWS 提供的 IPv6 还是 BYOIP 而异。
2. 两个私有双栈子网,用于托管 Transit Gateway 连接。
3. 一个支持 [IPv6 的 Transit Gateway](https://docs.aws.amazon.com/whitepapers/latest/ipv6-on-aws/amazon-vpc-connectivity-options-for-ipv6.html#ipv6-connectivity-with-transit-gateway) 。
1. VPC 附加到 Transit Gateway,与默认路由表关联,并将路由传播到默认路由表。
4. 两个纯 IPv6 私有子网,用于托管一个我们可以 ping 通以进行测试的实例。
1. 在上述纯 IPv6 私有子网中部署一个 EC2 实例以模拟测试实例。
5. 两个私有双栈子网,用于托管 [VPC 端点 (VPC endpoints)](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html) ,以便通过 [AWS PrivateLink](https://aws.amazon.com/privatelink/) 访问其他 AWS 服务。
1. 在上述双栈私有子网中部署一个 EC2 实例作为跳板机。这是必需的,因为此 VPC 中没有 NAT 网关来执行 NAT64。
### 通用基础设施
1. [AWS Secrets Manager](https://aws.amazon.com/secrets-manager/) 用于管理 VPN 预共享密钥。
2. [Amazon CloudWatch](https://aws.amazon.com/cloudwatch/) 用于存储日志、指标和警报。
3. 一个 [Amazon Simple Notification Service (Amazon SNS)](https://aws.amazon.com/pm/sns/) 主题,用于通知您任何中断,例如隧道中断。
4. 一个 [AWS Key Management Service (AWS KMS)](https://aws.amazon.com/kms/) 客户托管密钥 (CMK) ,用于加密 CloudWatch 日志、Secrets Manager 中的密钥以及 SNS 主题。
### VPN 基础设施
该模板还部署了以下 VPN 连接资源,以在模拟的本地数据中心和 AWS 之间构建 IPv6 Site-to-Site VPN:
1. VPC 中的一个客户网关 (customer gateway) ,逻辑上代表您的本地路由器。
2. 一个终止于 Transit Gateway 的 IPv6 Site-to-Site VPN 连接。
3. 模拟路由器的 EC2 实例的配置。
## IPv6 Site-to-Site VPN 演练
以下步骤将引导您完成 IPv6 Site-to-Site VPN 的演练。
### 先决条件
您需要满足以下先决条件才能进行此演练:
- CloudFormation [模板](https://d2908q01vomqb2.cloudfront.net/artifacts/NetworkingAndContentDeliveryBlog/1542/ipv6-s2s-cf-template.yml) 已成功部署且无任何错误。
### 步骤 1. 客户网关
1. 打开 Amazon VPC 控制台并导航至 **Virtual private network (VPN)** > **Customer gateways**。

*图 3: 导航至客户网关*
2. 我们已经为您部署了一个客户网关。为 IPv6 Site-to-Site VPN 创建客户网关的步骤与 IPv4 Site-to-Site VPN 相同。唯一的区别是它指向您路由器的 IPv6 地址。在我们的案例中,它指向模拟 VPN 路由器的 EC2 实例的 IPv6 地址。

*图 4: AWS VPC 控制台,客户网关选中视图*
3. 如果您导航到 Amazon EC2 控制台,然后转到 **Instances**,应该会有一个名为 (`…-onprem-vpn/vpn-router-instance`) 的实例,其 IPv6 地址与之一致。

*图 5: 显示 IP 的 EC2 VPN 路由器*
### 步骤 2. IPv6 Site-to-Site VPN
该模板还部署了一个 IPv6 Site-to-Site VPN 连接。

*图 6: IPv6 S2S VPN 详细视图*
1. 1. 打开 Amazon VPC 控制台。
2. 在导航窗格中,在 **Virtual private network (VPN)** 下,选择 **Site-to-Site VPN connections**。
3. 选择由模板创建的名为 `…-vpn-connection` 的 VPN 连接。
4. 它关联了一个 IPv6 **Customer gateway address**。
5. 导航到 **Tunnel details** 选项卡。
6. 它有两个 IPv6 外部 IP 地址,每个隧道一个。
7. 它有两个 `/126` IPv6 内部 IP 地址前缀。这些地址由 AWS 从 `fd00::/8` 范围内分配。在此前缀中,连接的 AWS 端是第一个可用的 IPv6 地址,而您的连接端是第二个可用的 IPv6 地址。例如,如果您的内部 IPv6 前缀是 `fd00:…:cd90/126`,那么 AWS 端的 IPv6 地址是 `fd00:…:cd91`,您的端的 IPv6 地址是 `fd00:…:cd92`。更多详情,请参阅 [文档](https://docs.aws.amazon.com/vpn/latest/s2svpn/VPNTunnels.html#:~:text=Amazon%20uses%20the%20first%20usable%20IPv6%20address%20in%20the%20subnet) 。
8. IPv6 Site-to-Site VPN 使用动态路由,将本地前缀通告给 AWS。
您可以观察到本地路由 (`2001:db8:0:0::/56`) 通过 Site-to-Site VPN 连接传播到 Transit Gateway 路由表中。

*图 7: 本地路由传播到 Transit Gateway 路由表*
1. 1. 导航到 Amazon VPC 控制台。
2. 在导航窗格中,在 **Transit gateways** 下,选择 **Transit gateway route tables**。
3. 选择与作为此堆栈一部分创建的 Transit Gateway 关联的路由表。您可以参考名为 `AwsTransitGatewayId` 的 CloudFormation 输出变量,以确保您正在查看正确的 Transit Gateway 路由表。
2. 您还可以验证 AWS 路由已传播到您的本地端。
1. 导航到 Amazon EC2 控制台。
2. 选择名为 `…-onprem-vpc/vpn-router-instance` 的实例。
3. 在右上角,选择 **Connect**。
4. 使用 **Session Manager** 选项卡并选择 **Connect**,这将使用 Systems Manager 连接到 Amazon EC2 VPN 路由器。
5. 在 shell 窗口中运行命令 `sudo vtysh -c "show ipv6 route bgp"`,您应该会观察到来自 VPC 的 IPv6 前缀 (`2001:db8:1:0::/56`) 已被传播。
```
$ sudo vtysh -c "show ipv6 route bgp"
Codes: K - kernel route, C - connected, S - static, R - RIPng,
O - OSPFv3, I - IS-IS, B - BGP, N - NHRP, T - Table,
v - VNC, V - VNC-Direct, A - Babel, F - PBR,
f - OpenFabric,
> - selected route, * - FIB route, q - queued, r - rejected, b - backup
t - trapped, o - offload failure
B>* 2001:db8:1:0::/56 [20/100] via fd00:…:7ee5, vti2, weight 1, 00:54:18
* via fd00:…:cd91, vti1, weight 1, 00:54:18
```
### 它是如何设置的
为了本文的目的,我们使用了开源软件 Strongswan 来模拟 IPsec VPN,并使用 Free Range Routing (FRR) 进行 BGP。Strongswan 和 FRR 的详细配置超出了本文的范围。但是,您可以通过 CloudFormation [模板](https://d2908q01vomqb2.cloudfront.net/artifacts/NetworkingAndContentDeliveryBlog/1542/ipv6-s2s-cf-template.yml) 深入了解其设置。
## 测试 IPv6 连接性
您可以通过从 AWS 端和/或本地端进行 ping 测试来检验连接性。我们在两端都部署了两个位于纯 IPv6 子网中的 EC2 实例来演示连接性。
### 步骤 1. 从 AWS 到本地的 ping
1. 导航到 Amazon EC2 控制台,并使用 Systems Manager 连接到 AWS 端的 Amazon EC2 跳板机 (`…-aws-vpc/jump-instance`)。
1. 这是必需的,因为我们在 AWS 端没有 NAT 网关来启用 NAT64。
2. 选择 AWS 跳板机实例,选择右上角的 **Connect**,选择 **Session Manager**,然后选择 **Connect**。
2. 从跳板机,您现在可以 SSH 到 AWS 端的 EC2 测试实例。
1. 运行 `~/connect-to-aws-test-instance.sh` 以使用辅助脚本连接到测试实例。
3. 连接后,按照此 Amazon Managed Services [指南](https://docs.aws.amazon.com/managedservices/latest/onboardingguide/find-instance-id.html) 获取本地测试实例 (`…-onprem-vpc/test-instance`) 的 IPv6 地址。
4. 使用 `ping6 -c 3 2001:db8:0:7:…:3447` 运行 ping 测试,确保替换为您环境特定的 IP 地址。
5. 如果 ping 成功,您应该会观察到以下输出:
```
[ec2-user@i-000000002 ~]$ ping6 -c 3 2001:db8:0:7:…:3447
PING 2001:db8:0:7:…:3447(2001:db8:0:7:…:3447) 56 data bytes
64 bytes from 2001:db8:0:7:…:3447: icmp_seq=1 ttl=253 time=2.69 ms
64 bytes from 2001:db8:0:7:…:3447: icmp_seq=2 ttl=253 time=1.90 ms
64 bytes from 2001:db8:0:7:…:3447: icmp_seq=3 ttl=253 time=1.88 ms
--- 2001:db8:0:7:…:3447 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 1.887/2.162/2.694/0.377 ms
```
### 步骤 2. 从本地到 AWS 的 ping
1. 导航到 Amazon EC2 控制台,并使用 Systems Manager 连接到本地测试实例 (`…-onprem-vpc/test-instance`)。
1. 选择本地测试实例,选择右上角的 **Connect**,选择 **Session Manager**,然后选择 **Connect**。
2. 连接后,按照此 Amazon Managed Services [指南](https://docs.aws.amazon.com/managedservices/latest/onboardingguide/find-instance-id.html) 获取 AWS 测试实例 (`…-aws-vpc/test-instance`) 的 IPv6 地址。
3. 使用 `ping6 -c 3 2001:db8:1:0:…:9816` 运行 ping 测试,确保替换为您环境特定的 IP 地址。
4. 如果 ping 成功,您应该会观察到以下输出:
```
sh-4.2$ ping6 -c 3 2001:db8:1:0:…:9816
PING 2001:db8:1:0:…:9816(2001:db8:1:0:…:9816) 56 data bytes
64 bytes from 2001:db8:1:0:…:9816: icmp_seq=1 ttl=252 time=2.20 ms
64 bytes from 2001:db8:1:0:…:9816: icmp_seq=2 ttl=252 time=1.91 ms
64 bytes from 2001:db8:1:0:…:9816: icmp_seq=3 ttl=252 time=1.82 ms
--- 2001:db8:1:0:…:9816 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 1.829/1.983/2.205/0.160 ms
```
## 可观测性
监控 IPv6 Site-to-Site VPN 的过程与监控 IPv4 Site-to-Site VPN 相同。本文提供的 [模板](https://d2908q01vomqb2.cloudfront.net/artifacts/NetworkingAndContentDeliveryBlog/1542/ipv6-s2s-cf-template.yml) 通过 CloudWatch 警报提供了基本的监控功能。当 VPN 隧道状态发生变化时,警报会被触发,并通过 SNS 主题向您的电子邮件发送通知。发送到您电子邮件的通知应类似于以下内容 (如图 3 所示):

*图 8: 针对隧道状态变化的 CloudWatch 警报通知*
要模拟上述行为,您可以手动关闭 VPN 隧道。这可以通过停止 EC2 VPN 路由器实例 (`…-onprem-vpc/vpn-router-instance`) 来实现。
1. 导航到 Amazon EC2 控制台。
2. 选择名为 `…-onprem-vpc/vpn-router-instance` 的实例。
3. 从右上角菜单中,选择 **Instance State**,然后选择 **Stop**。
测试完成后,按照上一节中描述的相同过程选择 **Start**。
对于高级监控功能,我们使用文章 [设置 AWS Site-to-Site VPN 自动化监控解决方案](https://aws.amazon.com/blogs/networking-and-content-delivery/setting-up-of-aws-site-to-site-vpn-automated-monitoring-solution/) 中详述的现有解决方案。我们对其进行调整,以使用在我们的 IPv6 Site-to-Site VPN 设置期间创建的 CloudWatch 日志组和 SNS 主题。部署 [模板](https://github.com/aws-samples/aws-setup-vpn-monitoring/blob/main/templates/vpn-tunnel-monitoring.yaml) ,根据需要使用辅助提示输入必要的参数。您需要来自 IPv6 Site-to-Site VPN CloudFormation 堆栈的两个输出值:`VpnTunnelStateNotificationTopicArn` 和 `VpnConnectionLogGroupName`。更多详情请参考下图 (如图 9 所示)。

*图 9: 可观测性堆栈部署*
上述监控解决方案通过使用现有的日志组来适应您特定的 VPN 设置,确保无需额外配置即可实现无缝集成。按照 [文章说明](https://aws.amazon.com/blogs/networking-and-content-delivery/setting-up-of-aws-site-to-site-vpn-automated-monitoring-solution/) 为您的 IPv6 Site-to-Site VPN 部署监控解决方案,该方案提供实时问题检测、带有特定错误修复步骤的可操作警报,并加快问题解决速度。
## 清理
要清理为本文预置的资源,请删除 CloudFormation 堆栈。
## 成本
使用 IPv6 外部 IP 的 Site-to-Site VPN 定价遵循与 IPv4 相同的定价原则,并额外增加了 IPv6 地址不产生额外费用的好处。有关详细的定价信息,请访问 [VPN 定价页面](https://aws.amazon.com/vpn/pricing/) 。
部署 CloudFormation 模板会产生以下成本:
1. Site-to-Site VPN 连接每小时费用和数据传出 (DTO) 费用。
2. EC2 实例的成本:
1. 用于模拟 VPN 路由器和关联的 [Amazon Elastic Block Store (Amazon EBS)](https://aws.amazon.com/ebs/)
2. 跳板机和关联的 EBS 卷。
3. 测试连接性和关联的 EBS 卷。
3. 两个 NAT 网关的成本,用于启用 Systems Manager 和 CloudFormation 消息流以配置 VPN 路由器。
4. Transit Gateway 和两个连接的成本。
5. VPC 端点的成本,用于在两个 VPC 之间实现对 AWS 服务 (如 Systems Manager、Secrets Manager、AWS KMS、[Amazon Simple Queue Service (Amazon SQS)](https://aws.amazon.com/sqs/) 和 [Amazon S3](https://aws.amazon.com/s3/)) 的私有连接。
6. 其他资源
1. 用于中断通知的 SNS 主题的成本。
2. 作为自定义资源一部分,在堆栈创建/更新期间调用 [AWS Lambda](https://aws.amazon.com/lambda/) 的成本。
3. Amazon SQS 死信队列 (DLQ) 的成本。
我们创建了一个方便的 [AWS 定价计算器链接](https://calculator.aws/#/estimate?id=56f9d0c0dd53ea4d27d68bde2da970521a596f78) ,以帮助您直观地了解此成本,供您参考。
## 注意事项
- 您 [不能在现有的 IPv4 Site-to-Site VPN 连接上启用 IPv6](https://docs.aws.amazon.com/vpn/latest/s2svpn/ipv4-ipv6.html) 。
- 在为实际场景部署时,请确保您的 Site-to-Site VPN 遵循 [弹性最佳实践](https://docs.aws.amazon.com/vpn/latest/s2svpn/disaster-recovery-resiliency.html) 。
- 考虑为您的 Site-to-Site VPN 隧道提供更多 [监控选项](https://docs.aws.amazon.com/vpn/latest/s2svpn/creating-alarms-vpn.html) 。
## 结论
AWS Site-to-Site VPN 现在完全支持在内部和外部 IP 地址上使用 IPv6。因此,您在采用 IPv6 的道路上又迈进了一步。此外,采用 IPv6 有助于缓解 IP 地址枯竭的影响,降低成本并满足法规和合规性要求。立即开始体验一个完全支持 IPv6 的 VPN 解决方案吧。要在您的 AWS 账户中部署此解决方案,只需使用提供的 [模板](https://d2908q01vomqb2.cloudfront.net/artifacts/NetworkingAndContentDeliveryBlog/1542/ipv6-s2s-cf-template.yml) 即可。
## 延伸阅读
- [AWS Site-to-Site VPN 架构场景](https://docs.aws.amazon.com/vpn/latest/s2svpn/site-site-architectures.html)
- [AWS Site-to-Site VPN 中的 IPv4 和 IPv6 流量](https://docs.aws.amazon.com/vpn/latest/s2svpn/ipv4-ipv6.html)
## 关于作者

### Ruskin Dantra
**Ruskin Dantra** 是一位常驻加利福尼亚的解决方案架构师。他来自新西兰,这片“长白云之乡”,在应用程序开发领域拥有 18 年的经验,并热爱网络技术。他的人生热情是利用 AWS 将复杂的事情变得简单。

### Saijeevan Devireddy
**SaiJeevan Devireddy** 是 AWS 的高级解决方案架构师,负责战略客户。他热衷于帮助用户在 AWS 上设计和构建高可用性系统。

### Scott Morrison
**Scott Morrison** 是 AWS 的网络高级专家解决方案架构师,他帮助用户设计具有弹性和成本效益的网络。Scott 喜欢在业余时间编码解决独特的问题。不工作时,Scott 经常在拉斯维加斯外的沙漠中越野,或偶尔参加扑克锦标赛。
<!-- AI_TASK_END: AI全文翻译 -->