AWS上从IPv4子网启用IPv6 SSH流量的配置问题咨询

有几个可行的解决办法，按精准度和复杂度排序如下：

• 精准添加个人IPv6地址到安全组

  1. 获取当前公网IPv6地址：在终端执行 curl -6 ifconfig.me 即可得到。
  2. 登录AWS控制台，找到目标EC2对应的安全组，进入入站规则编辑界面。
  3. 新增规则：类型选SSH (22)，协议TCP，端口范围22，源选择「自定义」，输入你的IPv6地址加/128（例如2001:db8:3c4d:15::1a2f/128），/128表示仅允许该单个IPv6地址访问。
  4. 保存规则后，即可用IPv6正常SSH连接EC2，这个配置权限最严格，不会有过度开放的风险。

• 动态更新IPv6安全组规则（适用于IPv6频繁变化的场景）
  如果你的公网IPv6是动态分配的（比如家庭宽带），手动修改规则太繁琐，可以写脚本自动维护：

  1. 创建一个IAM用户，给它分配ec2:ModifySecurityGroups权限，生成Access Key和Secret Key并配置到执行脚本的机器上。
  2. 示例Shell脚本：

     # 获取当前IPv6地址
     CURRENT_IPV6=$(curl -6 -s ifconfig.me)
     # 替换为你的安全组ID
     SG_ID="sg-xxxxxx"
     # 先删除旧的IPv6 SSH规则（需要提前记录规则ID，或用其他方式过滤）
     # aws ec2 modify-security-group-rules --group-id $SG_ID --security-group-rules "SecurityGroupRuleId=sgr-xxxxxx,SecurityGroupRule={IpProtocol=tcp,FromPort=22,ToPort=22,CidrIpv6=$CURRENT_IPV6/128}"
     # 直接新增规则（若怕重复可先清理旧规则）
     aws ec2 authorize-security-group-ingress --group-id $SG_ID --protocol tcp --port 22 --cidr-ipv6 "$CURRENT_IPV6/128"
     

  3. 将脚本设置为定时任务（比如Linux的cron、Windows的任务计划），定期执行即可自动更新安全组规则。

• 通过IPv4跳板机中转（备选方案）
  若不想配置IPv6安全组，可先通过IPv4 SSH连接到一台已允许你IPv4访问的EC2跳板机，再从跳板机用IPv6连接目标EC2。这种方式无需修改目标EC2的安全组，但要求跳板机同时支持IPv4和IPv6访问。

内容的提问来源于stack exchange，提问作者Amy