導入
VPCピアリングの「N対Nで爆発する」問題を解決するのが AWS Transit Gateway（TGW） です。すべてのVPCとオンプレ接続を1つの中央ハブに接続し、ハブが中継する ハブ&スポーク型 のアーキテクチャに切り替えます。
説明
Transit Gatewayは、リージョンレベルの仮想ルーターです。各VPCやオンプレのVPN/Direct Connectを、TGWに1本ずつアタッチするだけで、TGWを介して全体が通信できるようになります。VPCの数が増えても、増えるのは「TGWへのアタッチメント」1本だけです。
flowchart TD
TGW["Transit Gateway<br/>（中央ハブ）"]
V1["VPC 本番A"] --- TGW
V2["VPC 本番B"] --- TGW
V3["VPC 開発"] --- TGW
V4["VPC 共有サービス"] --- TGW
ONP["オンプレ<br/>（VPN/Direct Connect）"] --- TGW
TGWの重要な機能が Transit Gateway ルートテーブル です。1つのTGWに複数のルートテーブルを持たせ、アタッチメントごとにどのルートテーブルを使うかを指定することで、「本番同士は通信できるが、開発からは本番に届かない」 といったセグメント分離を実現できます。
| ルートテーブル | 関連付けるアタッチメント | できること |
|---|---|---|
| 本番用 | VPC本番A・VPC本番B・共有サービスVPC | 本番同士・共有サービスと通信可 |
| 開発用 | VPC開発・共有サービスVPC | 開発と共有サービスのみ通信可（本番へは不可） |
またTGWは リージョン間ピアリング（Transit Gateway Peering） にも対応し、複数リージョンのTGW同士をつないでグローバルなネットワークを構築できます。VPCピアリングと異なり、TGW自体は中継の役割に特化しているため、大規模なハブ&スポークに向いています。
具体例
前のスタートアップが、45本のピアリングをTransit Gatewayへ移行しました。全VPCとオンプレ接続を中央のTGWに1本ずつアタッチするだけで、放射状（ハブ&スポーク）につながります。VPCが増えても、増えるのはアタッチメント1本だけ。管理が一気に楽になりました。
さらにセキュリティ要件が加わります——「開発環境から本番環境へは絶対に通信させたくない」。TGWのルートテーブルでこれを実現します。
- 本番用ルートテーブル（本番VPC群＋共有サービスVPCを関連付け）… 本番同士と共有サービスは通信可
- 開発用ルートテーブル（開発VPC＋共有サービスVPCを関連付け）… 開発は共有サービスにだけ届き、本番へは経路がない
こうして1つのハブの中で、通信を許す範囲をセグメント分離できます。ピアリングでは「つなぐ／つながない」の全か無かでしたが、TGWはルートテーブルで細かく制御できるのが強み。「多数VPC＋オンプレ＋ルーティング分離」と来たらTGWです。
読んでみよう
問題文に「数十のVPCを接続」「オンプレとも接続」「本番と開発でルーティングを分離したい」とあれば、まずTransit Gatewayを疑ってください。「VPCピアリングでは管理できない規模を、1つのハブと複数のルートテーブルで解決する」がTGWの存在意義です。