本文へスキップ
BecomeCoder

AWS SAP（ソリューションアーキテクト プロフェッショナル）コース　·　第3章　複雑な組織のネットワーク設計　·　レッスン16

ハイブリッド接続 ― Site-to-Site VPNとDirect Connectの使い分け

導入

多くの企業は、AWSに全面移行する前に、オンプレミスのデータセンターとAWSを安全につないだ ハイブリッド構成 で運用します。オンプレとAWSをつなぐ方法は主に2つあり、SAPでは「どちらを、どう冗長化して選ぶか」が繰り返し問われます。

説明

接続方法特徴構築期間帯域・安定性
Site-to-Site VPNインターネット経由の暗号化トンネル（IPsec）数分〜数時間インターネット帯域に依存、揺らぎあり
AWS Direct Connect専用線でAWSと物理接続数週間〜数ヶ月（回線工事）帯域保証、低レイテンシー、安定

Direct Connectは専用線ゆえに構築に時間がかかるため、「まずVPNで即座に接続し、並行してDirect Connectを申し込み、開通後に切り替える」 という段階的なアプローチが定石です。また、Direct Connectの物理障害に備えて、Direct ConnectとVPNをフェイルオーバーとして併用する構成も頻出です。

冗長化の観点では、Direct Connectは単一の回線・単一のロケーションが単一障害点になるため、実務では次のように冗長化します。

flowchart TD
    ONP["オンプレミス"] --> DX1["Direct Connect<br/>ロケーションA"]
    ONP --> DX2["Direct Connect<br/>ロケーションB（別拠点）"]
    DX1 --> AWS["AWSリージョン"]
    DX2 --> AWS
    ONP -. "バックアップ経路" .-> VPN["Site-to-Site VPN"]
    VPN -. フェイルオーバー .-> AWS

さらに、複数のDirect Connect接続や複数のVPCを1箇所で束ねたい場合は Direct Connect Gateway を使います。これにより、1本のDirect Connect接続を複数リージョンの複数VPCと関連付けられます（TGWと組み合わせれば、さらに大規模なハイブリッド構成を1つのハブで統治できます）。

読んでみよう

「今すぐ接続したい」→ VPN、「大容量・低遅延・安定性が要件」→ Direct Connect、「両方の要件がある／可用性を最大化したい」→ 両方を併用しフェイルオーバー、という3パターンをまず思い出してください。Direct Connect Gatewayは「複数のDirect Connectと複数のVPC/リージョンを束ねる」役割だと覚えておくと、TGWとの組み合わせ問題にも対応できます。