CloudFront agora entrega IPv6 completo para origens dentro da VPC

Desde 15 de outubro de 2026, o CloudFront suporta dual-stack em VPC origins: dá para ter IPv6 de ponta a ponta sem tirar ALB, NLB ou EC2 da subnet privada.

O dilema que a AWS resolveu

Até o anúncio de 15 de outubro de 2026, quem usava VPC origins no CloudFront enfrentava uma escolha difícil. Para ter IPv6 de ponta a ponta, era preciso mover o Application Load Balancer, o Network Load Balancer ou a instância EC2 para uma subnet pública, abrindo mão do isolamento que o VPC origin oferece. Para manter a origem numa subnet privada, a conexão entre a CloudFront e aquela origem ficava limitada a IPv4, mesmo que o restante da cadeia já rodasse em dual-stack.

Com o suporte dual-stack para VPC origins, esse trade-off desaparece: dá para configurar a origem como dual-stack e ter IPv6 de ponta a ponta sem tirar a origem da subnet privada.

O que é VPC origins, para quem ainda não usa

VPC origins é o recurso do CloudFront que permite manter ALB, NLB e instâncias EC2 em subnets privadas, acessíveis somente pelas distribuições CloudFront configuradas para isso. Nenhum IP público, nenhuma exposição direta à internet: a origem só responde ao tráfego que chega pelo edge da CloudFront. Para quem arquiteta a VPC, é a peça que fecha o perímetro sem depender de NAT gateway ou de firewall na borda da origem.

Até esta atualização, essa blindagem vinha com uma condição: toda conexão entre a CloudFront e a origem rodava em IPv4, mesmo quando o CloudFront já suportava dual-stack para origens públicas.

O que muda com o suporte dual-stack

Com dual-stack habilitado na origem, o CloudFront passa a conectar via IPv6 quando a origem oferece esse endereço, com IPv4 como fallback, o mesmo modelo dual-stack que a AWS já usa em outros serviços. A criação do VPC origin não muda: o ajuste é de rede, na origem, e de configuração, na distribuição.

Quem sente isso primeiro

Times de VPC que hoje mantêm uma origem pública só para cumprir requisito de IPv6 ganham o caminho de volta para a subnet privada sem perder conformidade: para esses times, operar em IPv6 de ponta a ponta deixou de exigir abrir mão do isolamento do VPC origin.

Times de CloudFront que já usam VPC origins para ALB ou NLB podem ativar dual-stack como ajuste de configuração, sem reconstruir a distribuição do zero. Vale o alerta de arquitetura: antes de habilitar, confirme que a origem já tem endereço IPv6 configurado, como indicado no passo a passo abaixo.

Disponibilidade e custo

Segundo o anúncio, dual-stack em VPC origins está disponível em todas as regiões comerciais da AWS onde VPC origins já é suportado, com a lista completa linkada no próprio post do What's New. Não há custo adicional: o recurso segue o mesmo modelo de preço do CloudFront e do VPC origin já em uso.

A AWS não cita São Paulo (sa-east-1) nominalmente no anúncio, só fala em "todas as regiões comerciais onde VPC origins é suportado": vale conferir a lista oficial antes de habilitar em produção.

Como habilitar

1. Garanta que o ALB, o NLB ou a interface de rede da instância EC2 na VPC tenha um endereço IPv6 atribuído.
2. Na configuração do VPC origin, dentro da distribuição CloudFront, marque a origem como dual-stack.
3. Valide a conectividade de saída em IPv6, já que o CloudFront usa o protocolo disponível na origem, com fallback para IPv4.

Para mais detalhes, a AWS linka a documentação de CloudFront VPC origins no próprio anúncio.

Fonte 1: AWS What's New (https://aws.amazon.com/about-aws/whats-new/2026/10/cloudfront-vpc-origin-dualstack/)

Amazon CloudFront announces dual-stack support for VPC origins - AWS

Skip to main content

Amazon CloudFront announces dual-stack support for VPC origins

Posted on: Oct 15, 2026

Amazon CloudFront now supports end-to-end IPv6 delivery to origins inside your Amazon Virtual Private Cloud (Amazon VPC), with the new dual-stack VPC origins. With VPC origins, customers keep their Application Load Balancers (ALB), Network Load Balancers (NLB), and EC2 instances in private subnets that only their CloudFront distributions can reach. With dual-stack support, customers can now send IPv6 traffic all the way to these private origins to meet their IPv6 architecture and regulatory requirements, without exposing origins to the internet.

Previously, CloudFront supported dual-stack for public origins but connected to VPC origins over IPv4 only. Customers faced a tradeoff: move origins to public subnets for IPv6 and give up VPC origin security or keep them private and stay on IPv4. Now, with this launch, customers can configure their VPC origins as dual-stack and get end-to-end IPv6 without sacrificing security.

Dual-stack VPC origins are available in all AWS Commercial Regions where VPC origins are supported. The full list of supported Regions is available here . There is no additional cost for using dual-stack VPC origins. To learn more, visit CloudFront VPC origins.

Fonte: AWS What's New