服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- AWS 于 2026 年 10 月 15 日宣布 CloudFront VPC origins 支持端到端 IPv6 双栈，源站仍可留在私有子网。
- 功能仅适用于 AWS 列出的商业区域和 ALB、NLB、EC2 源站；不能据此推断所有区域或负载均衡器都受支持。
- CloudFront 创建托管 ENI 时，私有子网仍须至少有一个可用 IPv4 地址。
- 双栈功能本身不增加费用；现有分发可先在 staging distribution 上测试，再提升配置。
这项更新改变了什么？
AWS 在 2026 年 10 月 15 日宣布，CloudFront VPC origins 现在支持端到端 IPv6 流量。应用负载均衡器（ALB）、网络负载均衡器（NLB）和 EC2 实例可以继续放在 VPC 私有子网中，由 CloudFront 连接。
此前，CloudFront 对公网源站支持双栈，但 VPC origins 到私有源站只通过 IPv4。新选项让需要 IPv6 路径的团队不必仅为传送 IPv6 而把源站暴露到公网。
先确认区域、源站和子网条件
AWS 表示该能力在支持 VPC origins 的 AWS 商业区域开放。区域列表会变化，实施前应以 CloudFront 开发者文档的当前列表为准，不要把“商业区域”理解成全球每个 AWS 区域。
可用的源站类型是私有子网中的 ALB、NLB 或 EC2 实例。源站需要先部署完成并处于 Active 状态，且每个 VPC origin 支持区域的要求都要满足。
子网必须保留至少一个可用 IPv4 地址，供 CloudFront 创建服务托管弹性网络接口（ENI）。这不是要求源站改为公网 IPv4；AWS 文档说明该地址可以是私有地址。
双栈不等于可以删掉子网 IPv4
双栈意味着这条 CloudFront 到源站的路径可以承载 IPv6；它不会取消 VPC origin 创建 ENI 所需的 IPv4 前提。如果你正在做 IPv6 优先改造，先检查目标子网的可用 IPv4 数量，再评估其他网络组件是否也已适配。
VPC 还需要关联互联网网关来表明其可接收互联网流量，但 AWS 说明该网关不用于把流量路由到私有源站，也不要求为此修改路由策略。这个条件容易和“源站必须公开可访问”混淆。
安全组和负载均衡器有哪些边界？
源站资源需要安全组。可以在源站安全组中允许 CloudFront 托管前缀列表；VPC origin 建立后，也可以按文档使用 AWS 自动创建的服务托管安全组。不要编辑该托管组，也不要自行占用 AWS 保留的 CloudFront-VPCOrigins-Service-SG 命名前缀。
Gateway Load Balancer 不能作为 VPC origin；带 TLS listener 的 NLB 也不受支持。NLB 还必须关联安全组。若当前架构依赖这些配置，应先评估可行的源站类型，而不是只切换 IP 地址类型。
上线前把入站端口、安全组来源和出站返回路径一起核对。CloudFront 能否到达源站取决于这些访问控制和服务前提，单独启用双栈并不能修复 IAM、端口或源站健康问题。
现有分发怎样降低切换风险？
先在 CloudFront 创建或更新 VPC origin，等待状态变为 Deployed。AWS 文档提示这一步最长可能需要 15 分钟；不要在状态仍未完成时把失败归因于 IPv6 连通性。
对已有分发，AWS 文档提供 staging distribution 流程：先把 VPC origin 加到 staging 配置，在那里检查请求和源站响应，再提升到主分发。分阶段测试可以先验证真实配置，同时保留回退选择。
测试时分别确认客户端到 CloudFront 的 IPv6 请求、CloudFront 到私有源站的响应、应用日志和错误率。确认缓存行为、TLS、健康检查与安全组均符合预期后，再扩大配置范围。
费用和最终检查
AWS 公告称使用 dual-stack VPC origins 不另收功能费用；这不代表整套 CloudFront、流量、源站或其他 AWS 资源免费。现有计费仍按相关服务和用量规则计算。
这项改动解决的是 CloudFront 到 VPC 私有源站的 IPv6 传送能力，不会替代区域资格、路由、源站健康或安全组检查。按当前 AWS 区域清单、资源状态和网络策略逐项确认后再切换。
资料来源
常见问题
哪些源站可以使用 CloudFront dual-stack VPC origins？
AWS 文档列出私有子网中的 ALB、NLB 和 EC2 实例。Gateway Load Balancer 和带 TLS listener 的 NLB 不受支持。
私有子网可以完全不配置 IPv4 吗？
不可以。CloudFront 创建服务托管 ENI 时，子网至少需要一个可用 IPv4 地址；该地址可以是私有 IPv4。
现有 CloudFront 分发能直接切换吗？
AWS 文档说明可以为现有分发创建 staging distribution，在其中测试 VPC origin 后再提升配置。
启用 dual-stack VPC origins 会增加 AWS 功能费吗？
公告称该功能没有额外费用，但 CloudFront 流量、源站和其他资源仍按各自的 AWS 计费规则收费。
这项能力在哪些 AWS 区域可用？
AWS 表示支持 VPC origins 的商业区域均可用。具体区域和可用区例外应以 CloudFront 当前开发者文档为准。