本文へスキップ
BecomeCoder

AWS SAP（ソリューションアーキテクト プロフェッショナル）コース　·　第3章　複雑な組織のネットワーク設計　·　レッスン16

ハイブリッド接続 ― Site-to-Site VPNとDirect Connectの使い分け

導入

多くの企業は、AWSに全面移行する前に、オンプレミスのデータセンターとAWSを安全につないだ ハイブリッド構成 で運用します。オンプレとAWSをつなぐ方法は主に2つあり、SAPでは「どちらを、どう冗長化して選ぶか」が繰り返し問われます。

説明

接続方法特徴構築期間帯域・安定性
Site-to-Site VPNインターネット経由の暗号化トンネル（IPsec）数分〜数時間インターネット帯域に依存、揺らぎあり
AWS Direct Connect専用線でAWSと物理接続数週間〜数ヶ月（回線工事）帯域保証、低レイテンシー、安定

Direct Connectは専用線ゆえに構築に時間がかかるため、「まずVPNで即座に接続し、並行してDirect Connectを申し込み、開通後に切り替える」 という段階的なアプローチが定石です。また、Direct Connectの物理障害に備えて、Direct ConnectとVPNをフェイルオーバーとして併用する構成も頻出です。

冗長化の観点では、Direct Connectは単一の回線・単一のロケーションが単一障害点になるため、実務では次のように冗長化します。

flowchart TD
    ONP["オンプレミス"] --> DX1["Direct Connect<br/>ロケーションA"]
    ONP --> DX2["Direct Connect<br/>ロケーションB（別拠点）"]
    DX1 --> AWS["AWSリージョン"]
    DX2 --> AWS
    ONP -. "バックアップ経路" .-> VPN["Site-to-Site VPN"]
    VPN -. フェイルオーバー .-> AWS

さらに、複数のDirect Connect接続や複数のVPCを1箇所で束ねたい場合は Direct Connect Gateway を使います。これにより、1本のDirect Connect接続を複数リージョンの複数VPCと関連付けられます（TGWと組み合わせれば、さらに大規模なハイブリッド構成を1つのハブで統治できます）。

具体例

製造業が、本社データセンターとAWSをつなぐ計画を、時間軸で進めます。

  1. 今すぐつなぎたい（当日） … Direct Connectは回線工事に数週間〜数ヶ月かかる。待てないので、まずSite-to-Site VPNをその日のうちに張って接続を開始。並行してDirect Connectを申し込む。
  2. 開通後に本命へ切替 … 数週間後にDirect Connectが開通。安定・低遅延・帯域保証の専用線をメイン経路に切り替える。設計データ（毎日TB級）が安定して流れる。
  3. 単一障害点をなくす … Direct Connectは「単一回線・単一ロケーション」がSPOF。→ 別ロケーションにもう1本Direct Connectを引き、さらにVPNをバックアップとして併用。専用線が両方切れてもVPNで通信が途切れない。
  4. 複数リージョン・複数VPCを束ねる … Direct Connect Gatewayで1本の専用線を複数リージョンの複数VPCに関連付け、TGWと組み合わせて1つのハブで統治。

「今すぐ＝VPN、安定大容量＝Direct Connect、可用性最大＝両方併用＋DX冗長化」。段階的移行と冗長化の型がSAP頻出です。

読んでみよう

「今すぐ接続したい」→ VPN、「大容量・低遅延・安定性が要件」→ Direct Connect、「両方の要件がある／可用性を最大化したい」→ 両方を併用しフェイルオーバー、という3パターンをまず思い出してください。Direct Connect Gatewayは「複数のDirect Connectと複数のVPC/リージョンを束ねる」役割だと覚えておくと、TGWとの組み合わせ問題にも対応できます。

次のレッスンへ →