導入
VPCピアリングの「N対Nで爆発する」問題を解決するのが AWS Transit Gateway（TGW） です。すべてのVPCとオンプレ接続を1つの中央ハブに接続し、ハブが中継する ハブ&スポーク型 のアーキテクチャに切り替えます。
説明
Transit Gatewayは、リージョンレベルの仮想ルーターです。各VPCやオンプレのVPN/Direct Connectを、TGWに1本ずつアタッチするだけで、TGWを介して全体が通信できるようになります。VPCの数が増えても、増えるのは「TGWへのアタッチメント」1本だけです。
flowchart TD
TGW["Transit Gateway<br/>（中央ハブ）"]
V1["VPC 本番A"] --- TGW
V2["VPC 本番B"] --- TGW
V3["VPC 開発"] --- TGW
V4["VPC 共有サービス"] --- TGW
ONP["オンプレ<br/>（VPN/Direct Connect）"] --- TGW
TGWの重要な機能が Transit Gateway ルートテーブル です。1つのTGWに複数のルートテーブルを持たせ、アタッチメントごとにどのルートテーブルを使うかを指定することで、「本番同士は通信できるが、開発からは本番に届かない」 といったセグメント分離を実現できます。
| ルートテーブル | 関連付けるアタッチメント | できること |
|---|---|---|
| 本番用 | VPC本番A・VPC本番B・共有サービスVPC | 本番同士・共有サービスと通信可 |
| 開発用 | VPC開発・共有サービスVPC | 開発と共有サービスのみ通信可（本番へは不可） |
またTGWは リージョン間ピアリング（Transit Gateway Peering） にも対応し、複数リージョンのTGW同士をつないでグローバルなネットワークを構築できます。VPCピアリングと異なり、TGW自体は中継の役割に特化しているため、大規模なハブ&スポークに向いています。
読んでみよう
問題文に「数十のVPCを接続」「オンプレとも接続」「本番と開発でルーティングを分離したい」とあれば、まずTransit Gatewayを疑ってください。「VPCピアリングでは管理できない規模を、1つのハブと複数のルートテーブルで解決する」がTGWの存在意義です。