View a markdown version of this page

DNS64 et NAT64 - Amazon Virtual Private Cloud
Qu'est-ce que DNS64 ?Qu'est-ce que NAT64 ?Configuration de DNS64 et NAT64

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

DNS64 et NAT64

La passerelle NAT A prend en charge la traduction d'adresses réseau de IPv6 vers IPv4, communément appelée NAT64. NAT64 permet à vos AWS ressources IPv6 de communiquer avec les ressources IPv4 du même VPC ou d'un autre VPC, sur votre réseau local ou sur Internet. Vous pouvez utiliser NAT64 avec DNS64 sur Amazon Route 53 Resolver ou utiliser votre propre serveur DNS64.

Qu'est-ce que DNS64 ?

Vos IPv6-only charges de travail exécutées dans des VPC ne peuvent envoyer et recevoir que des paquets réseau IPv6. Sans DNS64, une requête DNS pour un IPv4-only service produira une adresse de destination IPv4 en réponse et votre IPv6-only service ne pourra pas communiquer avec lui. Pour combler ce manque de communication, vous pouvez activer le DNS64 pour un sous-réseau et il s'applique à toutes les AWS ressources de ce sous-réseau. Avec DNS64, Amazon Route 53 Resolver recherche l'enregistrement DNS du service que vous avez interrogé et effectue l'une des opérations suivantes :

  • Si l'enregistrement contient une adresse IPv6, il renvoie l'enregistrement d'origine et la connexion est établie sans aucune traduction via IPv6.

  • S'il n'y a pas d'adresse IPv6 associée à la destination dans l'enregistrement DNS, Route 53 Resolver en synthétise une en ajoutant le préfixe /96 bien connu, défini dans RFC6052 (64:ff9b::/96), à l'adresse IPv4 de l'enregistrement. Votre IPv6-only service envoie des paquets réseau à l'adresse IPv6 synthétisée. Vous devrez ensuite acheminer ce trafic via la passerelle NAT, qui effectue la traduction nécessaire sur le trafic pour permettre aux services IPv6 de votre sous-réseau d'accéder aux services IPv4 en dehors de ce sous-réseau.

Vous pouvez activer ou désactiver le DNS64 sur un sous-réseau à l'aide de l'attribut modify-subnet-à l'aide de la AWS CLI ou de la console VPC en sélectionnant un sous-réseau et en choisissant Actions > Modifier les paramètres du sous-réseau.

Qu'est-ce que NAT64 ?

NAT64 permet à vos IPv6-only services dans Amazon VPC de communiquer avec IPv4-only des services au sein du même VPC (dans différents sous-réseaux) ou des VPC connectés, dans vos réseaux sur site ou via Internet.

NAT64 est automatiquement disponible sur vos passerelles NAT existantes ou sur toutes les nouvelles passerelles NAT que vous créez. Il ne s'agit pas d'une fonction que vous pouvez activer ou désactiver. Le sous-réseau dans lequel se trouve la passerelle NAT n’a pas besoin d’être un sous-réseau à double pile pour que NAT64 fonctionne.

Après avoir activé DNS64, si votre IPv6-only service envoie des paquets réseau à une adresse IPv6 synthétisée via la passerelle NAT, les événements suivants se produisent :

  • Grâce au préfixe 64:ff9b::/96, la passerelle NAT reconnaît que la destination d'origine est IPv4 et traduit les paquets IPv6 en IPv4 en remplaçant :

    • l'IPv6 source par sa propre adresse IP privée qui est traduite en adresse IP Elastic par la passerelle Internet ;

    • l'IPv6 de destination par une IPv4 en tronquant le préfixe 64:ff9b::/96.

  • La passerelle NAT envoie les paquets IPv4 traduits vers la destination via la passerelle Internet, la passerelle réseau privé virtuel ou la passerelle de transit et initie une connexion.

  • L' IPv4-only hôte renvoie des paquets de réponse IPv4. Une fois la connexion établie, la passerelle NAT accepte les paquets IPv4 de réponse provenant des hôtes externes.

  • Les paquets IPv4 de réponse sont destinés à la passerelle NAT, qui reçoit les paquets et annule le protocole NAT en remplaçant son adresse IP (IP de destination) par l'adresse IPv6 de l'hôte et en ajoutant à nouveau le préfixe 64:ff9b::/96 à l'adresse IPv4 source. Le paquet est ensuite acheminé vers l'hôte en suivant l'acheminement local.

De cette façon, la passerelle NAT permet à vos IPv6-only charges de travail dans un sous-réseau de communiquer avec des IPv4-only services extérieurs au sous-réseau.

Configuration de DNS64 et NAT64

Suivez les étapes décrites dans cette section pour configurer DNS64 et NAT64 afin de permettre la communication avec les services. IPv4-only

Permettez la communication avec les IPv4-only services sur Internet grâce au AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

Si vous disposez d'un sous-réseau dont les IPv6-only charges de travail doivent communiquer avec IPv4-only des services extérieurs au sous-réseau, cet exemple montre comment permettre à ces IPv6-only services de communiquer avec des IPv4-only services sur Internet.

Vous devez d'abord configurer une passerelle NAT dans un sous-réseau public (distinct du sous-réseau contenant les charges de IPv6-only travail). Par exemple, le sous-réseau contenant la passerelle NAT doit comporter un acheminement 0.0.0.0/0 pointant vers la passerelle Internet.

Procédez comme suit pour permettre à ces IPv6-only services de se connecter à IPv4-only des services sur Internet :

  1. Ajoutez les trois itinéraires suivants à la table de routage du sous-réseau contenant les charges de IPv6-only travail :

    • Acheminement IPv4 (le cas échéant) pointant vers la passerelle NAT.

    • Acheminement 64:ff9b::/96 pointant vers la passerelle NAT. Cela permettra au trafic provenant de vos IPv6-only charges de travail destinées aux IPv4-only services d'être acheminé via la passerelle NAT.

    • Acheminement ::/0 IPv6 pointant vers la passerelle Internet de sortie uniquement (ou la passerelle Internet).

    Notez que le fait de pointer ::/0 vers la passerelle Internet permettra aux hôtes IPv6 externes (en dehors du VPC) d'initier une connexion via IPv6.

    aws ec2 create-route --route-table-id rtb-34056078 --destination-cidr-block
0.0.0.0/0 --nat-gateway-id nat-05dba92075d71c408

    aws ec2 create-route --route-table-id rtb-34056078 --destination-ipv6-cidr-block
64:ff9b::/96 --nat-gateway-id nat-05dba92075d71c408

    aws ec2 create-route --route-table-id rtb-34056078 --destination-ipv6-cidr-block
::/0 --egress-only-internet-gateway-id eigw-c0a643a9

  2. Activez la fonctionnalité DNS64 dans le sous-réseau contenant les charges de travail. IPv6-only 

    aws ec2 modify-subnet-attribute --subnet-id subnet-1a2b3c4d --enable-dns64

Désormais, les ressources de votre sous-réseau privé peuvent établir des connexions avec état avec les services IPv4 et IPv6 sur Internet. Configurez votre groupe de sécurité et vos listes ACL réseau de manière appropriée pour autoriser le trafic de sortie et d'entrée vers le trafic 64:ff9b::/96.

Activez la communication avec IPv4-only les services de votre environnement sur site

Amazon Route 53 Resolver vous permet de transférer des requêtes DNS depuis votre VPC vers un réseau sur site et vice versa. Pour ce faire, procédez comme suit :

  • Créez un point de terminaison Route 53 Resolver sortant dans un VPC et attribuez-lui les adresses IPv4 à partir desquelles vous souhaitez que Route 53 Resolver transfère les requêtes. Pour votre résolveur DNS sur site, ce sont les adresses IP d'où proviennent les requêtes DNS. Par conséquent, ce doit être des adresses IPv4.

  • Créez une ou plusieurs règles pour spécifier les noms de domaine des requêtes DNS que vous voulez que Route 53 Resolver transfère vers les résolveurs sur site. Spécifiez également les adresses IPv4 des résolveurs sur site.

  • Maintenant que vous avez configuré un point de terminaison sortant Route 53 Resolver, vous devez activer le DNS64 sur le sous-réseau contenant vos IPv6-only charges de travail et acheminer toutes les données destinées à votre réseau local via une passerelle NAT.

Comment fonctionne le DNS64 pour les IPv4-only destinations dans les réseaux locaux :

  1. Vous attribuez une adresse IPv4 au point de terminaison Route 53 Resolver sortant dans votre VPC.

  2. La requête DNS provenant de votre service IPv6 est transférée à Route 53 Resolver sur IPv6. Route 53 Resolver met la requête en correspondance avec la règle de transfert et obtient une adresse IPv4 pour votre résolveur sur site.

  3. Route 53 Resolver convertit le paquet de requête d'IPv6 en IPv4 et le transmet au point de terminaison sortant. Chaque adresse IP du point de terminaison représente une ENI qui transmet la demande à l'adresse IPv4 sur site de votre résolveur DNS.

  4. Le résolveur sur site renvoie le paquet de réponse sur IPv4 via le point de terminaison sortant vers Route 53 Resolver.

  5. En supposant que la requête a été effectuée à partir d'un DNS64-enabled sous-réseau, Route 53 Resolver effectue deux opérations :

    1. Il vérifie le contenu du paquet de réponses. Si une adresse IPv6 est présente dans l'enregistrement, il conserve le contenu tel quel, mais uniquement s'il ne contient qu'un enregistrement IPv4. Il synthétise également un enregistrement IPv6 en ajoutant le préfixe 64:ff9b::/96 à l'adresse IPv4.

    2. Il recrée un package avec le contenu et l'envoie au service de votre VPC via IPv6.