本文へスキップ
BecomeCoder

AWS SAA（ソリューションアーキテクト）コース　·　第7章　ネットワークの設計　·　レッスン40

VPC間・オンプレ接続 ― ピアリング/TGW/VPN/DX

導入

システムが1つのVPCに収まらなくなったとき、あるいはオンプレミスとAWSをつなぐとき、SAAには4つの接続手段が用意されています。どれも似た目的に見えますが、規模とコストと遅延で明確に使い分けます。

説明

VPC同士の接続

方式特徴向いているケース
VPCピアリング1対1のVPC接続。推移的ではない（AとBが繋がっていても、BとCが繋がっていればAとCが自動で繋がるわけではない）少数のVPC間だけを直接つなぎたい
Transit Gateway（TGW）多数のVPC・オンプレをハブ＆スポーク型で一元接続VPCやアカウントの数が多く、集中管理したい
flowchart TD
    subgraph Peering["VPCピアリング（非推移的）"]
      A1["VPC-A"] <--> B1["VPC-B"]
      B1 <--> C1["VPC-C"]
      A1 -.->|"直接は繋がらない"| C1
    end
flowchart TD
    TGW["Transit Gateway<br/>(ハブ)"]
    VPCa["VPC-A"] --- TGW
    VPCb["VPC-B"] --- TGW
    VPCc["VPC-C"] --- TGW
    OnPrem["オンプレミス"] --- TGW

オンプレミスとの接続

方式特徴向いているケース
Site-to-Site VPNインターネット経由でIPsec暗号化トンネルを張るすぐに・低コストで接続したい。冗長経路も可
Direct Connect（DX）AWSとオンプレを専用線で物理的に接続安定した低遅延・大容量帯域が必要。VPNより高コスト・構築に時間がかかる

DXとVPNは併用も可能で、DXを平常時のメイン経路、VPNをDX障害時のバックアップ経路にするフェイルオーバー構成もSAAでは定番です。

具体例

成長する企業のネットワークが、段階的に接続方式を変えていく様子を追うと4択が腹落ちします。

  1. VPCが2つだけの頃 → ピアリング … 開発VPCと共有VPCを1対1でつなぐだけなら、シンプルなVPCピアリングで十分。ただし推移的でないので、3つ目のVPCと繋ぎたければ配線を1本ずつ足す必要がある。
  2. VPCが10個・アカウントも複数に増えた → Transit Gateway … ピアリングでは配線が組み合わせ爆発。中央ハブのTGWに各VPCとオンプレを1本ずつつなぎ、集中管理へ。
  3. 本社オフィスとAWSをつなぐ → まずSite-to-Site VPN … インターネット経由で当日中に暗号化トンネルを構築。低コスト・短期。
  4. 工場から毎日TB級の設計データを安定送信 → Direct Connect … VPNだと速度がブレる。専用線のDXで安定・低遅延・大容量。さらにDXをメイン、VPNを障害時のバックアップにするフェイルオーバー構成も定番。

判断軸は「VPC同士か・オンプレか」×「コストと速度のトレードオフ」。少数VPC=ピアリング、多数=TGW、オンプレ手軽=VPN、オンプレ安定=DX、と対応させます。

読んでみよう

「多数のVPCを集中管理」→ Transit Gateway。「1対1で十分」→ ピアリング（ただし推移的でない点に注意）。「今すぐ低コストで」→ VPN。「安定した専用線・大容量・低遅延」→ Direct Connect。この4択の判断基準は、規模（VPC同士か、オンプレか）とコスト・速度のトレードオフで決まります。

次のレッスンへ →