ハイブリッド接続の選択

1. ハイブリッド接続で最初に決めること

ハイブリッド接続は、オンプレミス、コロケーション、拠点などAWS外のネットワークとAWSを接続する設計です。

オンプレミス / コロケーション / 拠点
        │
        ▼
       AWS

代表的な選択肢として、パブリックインターネット、AWS Site-to-Site VPN、AWS Direct Connectがあります。

2. パブリックインターネット

基本構造

最も単純なのはインターネットをそのまま利用することです。Amazon S3のパブリックエンドポイント、パブリックAPI、パブリックウェブアプリケーションなどへHTTPSでアクセスするだけなら、必ずしもプライベートなハイブリッドネットワークは必要ありません。

オンプレミス
     │
  インターネット
     │
AWS パブリックエンドポイント

適する要件

プライベートIPでVPCと相互ルーティングする必要がなく、パブリックエンドポイントを利用でき、インターネット品質で問題なく、アプリケーションレイヤーでの暗号化を使うならインターネットが最も単純な場合があります。

AWSと通信するから必ずVPNとは考えません。

弱点

パブリックインターネットでは経路を完全には制御できず、レイテンシーやジッターが変動し、ISPやインターネット障害の影響も受けます。したがって一貫したネットワーク性能が重要なら別方式を検討します。

3. AWS Site-to-Site VPN

基本構造

AWS Site-to-Site VPNはインターネット上にIPsecで暗号化されたトンネルを構築する接続です。

オンプレミス
     │
     │ IPsec
     ▼
  インターネット
     │
     ▼
    AWS

VPN = 専用物理回線ではありません。暗号化されていても基盤の通信経路は通常インターネットです。

利点

• 既存インターネット回線を利用しやすい
• IPsec暗号化
• Direct Connect回線調達を待たず導入しやすい
• AWS管理VPN
• 静的ルーティング / BGPの双方に対応
• 開発・テストやバックアップ接続にも利用できる

ネットワークパフォーマンス

VPNトンネル自体がAWS管理でも、カスタマーネットワーク → ISP → インターネット → AWSの経路条件は変動します。IPsecで暗号化されているからネットワーク性能も安定するとは考えません。暗号化と性能は別要件です。

現在帯域幅

5 Gbpsの広帯域幅トンネルはAWS Transit GatewayまたはAWS Cloud WANへ接続するVPNで利用できます。仮想プライベートゲートウェイでは利用できません。

2 トンネル

1つのSite-to-Site VPN接続には2本のトンネルがあり、AWSは可用性のため両方を設定することを推奨しています。詳細なフェイルオーバー / BGP設計は、接続方式を選んだ後に検討します。

Site-to-Site VPN接続
├─ トンネル 1
└─ トンネル 2

4. AWS Direct Connect

基本構造

AWS Direct ConnectはオンプレミスネットワークとAWSを専用ネットワーク接続で接続するサービスです。インターネット経由のVPNとは異なり、専用接続を使用します。

オンプレミス
     │
専用のプライベート経路
     │
Direct Connectロケーション
     │
    AWS

選ぶ主な理由

代表的な理由は、より一貫したネットワークエクスペリエンス、帯域幅スループットの向上、ネットワークコスト削減の可能性です。

大量データ転送 + 安定したネットワーク性能 + 長期利用ではDirect Connectが有力です。

5. VPNとDirect Connectの基本比較

Direct Connectを採用する場合は、接続種別と利用可能な帯域幅も確認します。

6. 帯域幅から判断する

帯域幅だけで判断しない

必要帯域幅が500 MbpsだけならVPNでもDirect Connectでも満たせる可能性があります。500 Mbps + レイテンシー変動許容 + すぐ導入 + 開発環境ならVPNが有力。一方、500 Mbps + 24時間大量転送 + レイテンシー / ジッター安定 + 長期利用ならDirect Connectが有力です。

高帯域幅でもVPNが候補になる場合

現在は広帯域幅トンネルで最大5 Gbps / トンネルを利用できます。したがって2 Gbps必要 → 必ずDirect Connectとは言えません。ただしインターネット変動、安定したスループット、データ転送量、コスト、可用性まで比較します。

7. レイテンシー / ネットワークパフォーマンスから判断する

「ネットワーク遅延を可能な限り一定にしたい」という問題ではレイテンシーの絶対値だけでなく、変動、ジッター、予測可能性を読み取ります。インターネットVPNはインターネット条件に依存し、Direct Connectはより一貫したネットワークエクスペリエンスを提供しやすいです。

8. 暗号化を別要件として扱う

Direct Connectの暗号化

AWS Direct Connectはデフォルトで転送中トラフィックを暗号化しません。

プライベート接続 ≠ 暗号化接続

プライベート接続と暗号化は別の要件です。

暗号化が必要な場合

要件に応じてMACsec、AWS Site-to-Site VPNとの組み合わせ、アプリケーションレイヤーでの暗号化などを検討します。Direct Connect + Site-to-Site VPNでIPsec暗号化されたプライベート接続を構成することもできます。暗号化方式は接続方式と独立した要件として確認します。

暗号化要件からの判断

専用プライベート接続 + エンドツーエンド暗号化必須なら、Direct Connect単体では暗号化要件を満たさない可能性があります。Direct Connect + VPN、MACsec等を検討します。

プライベート接続 ≠ 暗号化

9. 可用性要件

可用性を考える

ハイブリッド接続では接続方式を1つ作っただけで高可用性とは限りません。単一のDirect Connect接続では光ファイバー、デバイス、Direct Connectロケーション、プロバイダーなどの障害を考慮する必要があります。

単一経路を確認する

Direct Connectを選択しただけで高可用性が完成するわけではありません。可用性要件が高い場合は、接続・デバイス・ロケーションなど単一障害点が残っていないか確認します。

可用性要件を満たすには、接続・デバイス・ロケーションのどこまで障害ドメインを分離するかを別途設計します。

バックアップ経路が必要か

プライマリ経路の障害時もAWS接続を継続する必要があるなら、バックアップ経路を持つ設計を検討します。

Direct ConnectとSite-to-Site VPNを組み合わせる場合は、フェイルオーバー、BGP、経路優先度まで含めて設計します。

障害ドメインで考える

複数経路を用意する場合でも、同じキャリアやロケーションなど共通の障害ドメインへ依存していれば、同時に影響を受ける可能性があります。

可用性設計では可用性要件が高ければ障害ドメインを確認することに加えて、要件に合う冗長パターンまで具体化します。

可用性要件の読み方

ミッションクリティカルでハイブリッド接続を失えないなら、単一経路で要件を満たせるかを確認します。満たせない場合は冗長化が必要です。

必要に応じて複数トンネル、複数Direct Connect接続、複数ロケーション、VPNバックアップなどを組み合わせ、フェイルオーバーまで設計します。

10. 導入速度と段階移行

Direct Connectは即時開通とは限らない

Direct ConnectではDirect Connectロケーション、クロスコネクト、通信プロバイダー、キャリア回線などの手配が必要になる場合があります。数日以内に接続が必要というシナリオでは、既存インターネットを利用できるSite-to-Site VPNが有力になりやすいです。

VPNからDirect Connectへ段階移行

移行開始まで1週間しかない一方、本番では高帯域・安定したスループットが必要なら段階導入が可能です。

フェーズ1
Site-to-Site VPN
→ 迅速に接続確立

フェーズ2
Direct Connect
→ 本番回線へ移行

最終形がDirect Connectだから接続完成まで何もしない、とは限りません。

導入速度の読み方

数日以内にハイブリッド接続が必要なら、既存インターネット + Site-to-Site VPNが有力です。Direct Connectは専用回線やクロスコネクトのプロビジョニングを伴う場合があり、短納期要件と相性が悪い場合があります。

11. コスト / 運用負荷

コストの考え方

Site-to-Site VPN

主にVPN接続時間 + データ転送を考えます。Accelerated VPNなどでは追加料金もあります。

Direct Connect

主に容量、ポート時間、データ転送（送信）、プロバイダー / クロスコネクト等を考えます。

VPNが必ず安いわけではない

小規模・短期間ならVPNが低コストになりやすい一方、大量データを長期間転送する場合はDirect Connectのデータ転送料金、ポート料金、キャリア料金まで含めて比較します。VPN = 常に安いではありません。

コスト要件の読み方

トラフィック少量・開発3か月・コスト最小化ならVPNが有力。年間を通じて大量データ転送・高スループット・ネットワークコスト最適化ならDirect Connectを評価します。初期コスト + 月額固定コスト + データ転送 + キャリアコストの総額で判断します。

12. マルチVPCとの統合

Transit Gatewayと組み合わせると、多数VPCのハイブリッド接続を中央化できます。

VPC-A ─┐
VPC-B ─┤
VPC-C ─┼─ Transit Gateway
        │
        ├─ VPN
        └─ Direct Connect

Direct ConnectをTransit Gatewayへ接続する場合は、Direct Connect ゲートウェイとTransit VIFを組み合わせます。

13. 接続方式比較

Direct Connectだけでも必ず正解ではない

拠点が多数あり、各拠点のトラフィックが少量、レイテンシー変動を許容し、IPsecが必要なら、各拠点へDirect Connectを引くよりVPNが現実的な場合があります。重要度、帯域幅、レイテンシー、拠点数、導入速度、コストで選びます。

比較表

14. SAP-C02判断フロー

オンプレミス ↔ AWS通信が必要
          │
          ▼
プライベート接続性が必要？
    │
    ├─ いいえ
    │   → インターネット
    │
    └─ はい
         │
         ▼
導入速度を優先？
    │
    ├─ はい
    │   → Site-to-Site VPN
    │
    └─ いいえ
         │
         ▼
安定したネットワークパフォーマンス /
高帯域幅が重要？
    │
    ├─ はい
    │   → AWS Direct Connectを評価
    │
    └─ いいえ
        → Site-to-Site VPNを評価

その後
↓
レイテンシー
可用性
暗号化
コスト
を確認

まず接続方式を選び、その後にDirect ConnectのVIF / BGPや冗長化・フェイルオーバーを具体化します。

15. 混同ポイント

失敗1：Site-to-Site VPN = 専用回線

誤り。 IPsecトンネルですが基盤は通常インターネットです。

失敗2：Direct Connect = 自動的に暗号化

誤り。 Direct Connectはデフォルトでは転送中トラフィックを暗号化しません。

失敗3：VPN = 最大1.25 Gbps固定

誤り。 TGW / クラウド WAN接続では最大5 Gbps / トンネルの広帯域幅選択肢があります。

失敗4：2 Gbps必要 → 必ずDirect Connect

帯域幅だけでは判断できません。VPNの現行仕様、レイテンシー、安定性、コストを総合評価します。

失敗5：Direct Connect接続が1本 → 高可用

誤り。 接続 / デバイス / ロケーション障害を考慮します。

失敗6：VPN接続にはトンネルが1本

誤り。 1 Site-to-Site VPN接続には2トンネルがあります。

失敗7：VPN → 必ず安い

誤り。 長期・大量データ転送ではDirect Connectを含む総コスト比較が必要です。

失敗8：最終的にDXを使う → 初日からDX完成を待つ

短期的にはVPNで接続を確立し、その後DXへ移行する段階構成も可能です。

16. まとめ

インターネット
→ パブリックエンドポイントへの通信
→ プライベート VPC ルーティングが不要なら最も単純

Site-to-Site VPN
→ インターネット上のIPsec
→ 導入を急ぎやすい
→ ネットワークパフォーマンスはインターネット条件の影響を受ける
→ 現行仕様では接続先 / 構成により帯域幅の選択肢が異なる

AWS Direct Connect
→ 専用接続
→ 一貫したネットワークパフォーマンスを得やすい
→ 高帯域幅 / 長期大量転送で有力
→ プロビジョニング時間を考慮
→ デフォルトでは通信内容を暗号化しない

最終判断
→ プライベート接続性が必要か
→ 導入速度
→ 帯域幅
→ レイテンシー / 安定性
→ 可用性
→ 暗号化
→ コスト

最重要ポイントは、帯域幅だけで方式を決めず、プライベート接続性・導入速度・性能・可用性・暗号化・コストを要件として分離して比較することです。

主要AWS公式資料

• SAP-C02 ドメイン 1 / タスク 1.1
• ネットワークからAmazon VPCへの接続オプション
• AWS Site-to-Site VPN
• Site-to-Site VPNのトンネルオプション
• AWS Direct Connect
• Direct Connectの暗号化
• Direct Connectレジリエンシーツールキット
• AWS VPNの料金
• AWS Direct Connectの料金