SAP-C02-007 · 理解確認
理解確認：AWS Direct Connect設計
単一選択 15 / 複数選択 7 / 穴埋め 0 · 22問
この理解確認の目的
接続タイプ、VIF、Direct Connect ゲートウェイ、BGP、障害ドメインを要件から判断できるか確認します。
企業はオンプレミスからAWSへ100 Gbpsの専用帯域を確保し、同じ物理接続上でプライベートVIFとパブリックVIFを用途別に運用したい。パートナーが帯域を提供する方式ではなく、AWSから物理ポートを直接提供される構成を求めている。最も適切な接続タイプはどれか。
B. ホスト型VIFを利用し、VIF自体を100 Gbpsの物理接続として扱う
C. 専用接続を利用し、AWSから提供される物理ポート上に必要なVIFを構成する
D. Site-to-Site VPNを利用し、複数トンネルを束ねて100 Gbpsの専用帯域として扱う
答えと解説
答え：C
100 Gbpsの物理ポートをAWSから直接提供され、同一接続上で複数VIFを構成する要件には専用接続が適します。ホスト型接続はAWS Direct Connect パートナーが提供する接続です。
企業は2 GbpsのDirect Connect接続を必要としている。Direct Connect パートナーから接続サービスの提供を受け、VIFは1つだけ利用する予定である。最も適切な候補はどれか。
B. Transit Gateway ピアリング
C. Site-to-Site VPN
D. ホスト型接続
答えと解説
答え：D
2 Gbpsはホスト型接続の対応帯域に含まれ、パートナー提供を受ける要件にも合います。
1つのDirect Connect接続上で、プライベート VIFとパブリック VIFを別用途として同時に利用したい。最も適切な設計はどれか。
B. Transit VIFだけで両方の用途を実現する
C. 1つのホスト型 VIFを2種類のVIFとして利用する
D. 1つの専用接続へ複数VIFを作成する
答えと解説
答え：D
ホスト型接続は1接続につきVIFが1つです。複数VIFを同一接続へ持たせる要件なら専用接続が候補です。
オンプレミスから1つのVPCへプライベートIPアドレスでアクセスする。最も基本的なVIFはどれか。
B. Transit VIF
C. ホスト型 VIF
D. プライベート VIF
答えと解説
答え：D
プライベート VIFはVPCのプライベートIPへの接続に使用します。
オンプレミスから東京とシドニーのVPCへプライベートIPで接続したい。各VPCでは仮想プライベートゲートウェイを使用する。適切な構成はどれか。
B. パブリック VIF + インターネットゲートウェイ
C. Transit VIF + VPC ピアリング
D. パブリック VIF + Transit Gateway
答えと解説
答え：A
Direct Connect ゲートウェイを利用するとプライベート VIFから異なるリージョンの仮想プライベートゲートウェイへ接続できます。
オンプレミスからAmazon S3などAWSのパブリックサービスへDirect Connect経由でアクセスしたい。最も適切なVIFはどれか。
B. パブリック VIF
C. Transit VIF
D. VPC ピアリング
答えと解説
答え：B
パブリック VIFはAWSのパブリックサービスへアクセスする用途です。
企業はパブリック VIFを一般インターネットへの専用接続として利用しようとしている。最も適切な評価はどれか。
B. パブリック VIFを作成すれば全インターネットプレフィックスが自動的に広告される
C. Transit Gatewayを接続すれば一般インターネットトランジットとして利用できる
D. パブリック VIFはAWS パブリックサービスへの通信には利用できない
答えと解説
答え：A
パブリック VIFはAWSのパブリックプレフィックスへのアクセスに使用し、一般インターネットトランジットを提供するものではありません。
Direct Connectの物理接続はavailableだが、VIFのBGPセッションはDOWNしている。最も適切な判断はどれか。
B. BGPはパブリック VIFでしか必要ない
C. BGPによるルート交換が成立しているか確認する
D. Direct Connectでは静的ルートだけを使用する
答えと解説
答え：C
Direct ConnectではBGPを利用してルートを交換します。物理接続だけではルーティングは完成しません。
Direct Connect VIFを成立させるネットワーク要素として重要なものを3つ選択してください。
B. Amazon Route 53 ホスト型ゾーン
C. S3 ライフサイクルルール
D. BGP ピアリングで使用するIPアドレス指定
E. BGP
答えと解説
答え：A / D / E
Direct Connect VIFでは802.1Q VLANとBGPを使用し、BGPピアを成立させるためのIPアドレス指定も構成します。
Transit VIFを利用してDirect Connect ゲートウェイとTransit Gatewayを関連付けようとしたところ、双方にASN 64512を設定していた。最も適切な対応はどれか。
B. 片方のASNを変更する
C. パブリック VIFへ変更する
D. Direct Connect ゲートウェイを追加する
答えと解説
答え：B
Direct Connect ゲートウェイと関連付けるTransit GatewayのASNは異なる必要があります。
ミッションクリティカルなDirect Connect接続で、Direct Connect 場所全体の障害にも耐える必要がある。最も適切な設計はどれか。
B. Direct Connect ゲートウェイを複数作成する
C. 複数場所の別機器へ接続を分散する
D. 同一接続上のVIFだけを複数作成する
答えと解説
答え：C
場所障害まで分離するには、複数場所と別機器へ接続を分散して物理的な障害ドメインを分けます。
Direct Connect接続を2本用意し、同一Direct Connect 場所内の別機器へ終端した。この構成について正しいものはどれか。
B. 接続障害に対する冗長性はない
C. Direct Connect ゲートウェイ障害だけが残る
D. 機器障害には強くなるが場所障害は残る
答えと解説
答え：D
別機器による冗長性は得られますが、同一場所全体は共通障害ドメインとして残ります。
オンプレミスネットワークからプライベート VIF経由で非常に多数の細かいネットワークプレフィックスをAWSへ広告している。プレフィックス数を増やしたところ、Direct Connectの物理接続は正常だがBGP セッションがDOWNした。
最初に確認すべきものとして最も適切なのはどれか。
B. プライベート VIFのプレフィックス数が多い場合はパブリック VIFへ変更し、同じプライベートプレフィックスをパブリック BGP ルートとして広告する
C. VIFのBGP ルートプレフィックスクォータ超過を確認し、必要ならルート集約やプレフィックス制御で広告数を削減する
D. BGP セッション DOWNを避けるためTransit GatewayとオンプレミスルーターのASNを同一値へ変更してルート数を削減する
答えと解説
答え：C
プライベート VIFやTransit VIFでは広告可能なBGP プレフィックス数にクォータがあります。大量プレフィックスを扱うアーキテクチャでは、クォータだけでなくルート集約によって広告プレフィックスを抑えられるかも評価します。
Direct Connectの「ホスト型接続」と「ホスト型 VIF」の違いとして最も正確なものはどれか。
B. ホスト型接続はパートナーが提供する接続で、ホスト型 VIFは接続上のVIFを別AWSアカウントへ提供する仕組みである
C. ホスト型接続はAWSが直接提供する専用ポートで、ホスト型 VIFはパブリック VIFだけをパートナーが提供する仕組みである
D. ホスト型接続はAWSアカウント間のVPC接続方式で、ホスト型 VIFはTransit Gateway ピアリング用アタッチメントを意味する
答えと解説
答え：B
ホスト型接続はパートナーが提供する物理/論理接続サービスです。ホスト型 VIFはVIF 所有者を別AWSアカウントとして提供する仕組みで、同じ概念ではありません。
AWS Direct Connect ゲートウェイについて正しいものを3つ選択してください。
B. 複数AWSリージョンのAWS側ゲートウェイへDirect Connect 接続性を拡張するために利用できる
C. データ経路上の単一中央ルーターではなく、グローバルに利用する論理リソースとして設計されている
D. Direct Connect ゲートウェイを2つ作るだけでは光ファイバー、顧客ルーター、提供側、DX 場所の物理冗長化にはならない
E. Direct Connect ゲートウェイを増やせば物理 ポート障害が自動解消される
答えと解説
答え：B / C / D
Direct Connect ゲートウェイはDXとAWS側ゲートウェイを結ぶグローバルな論理リソースです。一般的なVPC間中継ルーターではなく、複製しただけで物理 障害ドメインが分離されるわけでもありません。
企業はAWS Direct Connect パートナーのホスト型接続を使用している。Transit Gatewayへ接続するためTransit VIFが必要になった。最も適切な理解はどれか。
B. Transit VIFは対応する専用接続とホスト型接続の両方で利用できる
C. ホスト型接続ではパブリック VIFしか作成できない
D. Transit VIFは仮想プライベートゲートウェイ専用である
答えと解説
答え：B
Transit VIFは専用接続でもホスト型接続でも利用できます。Transit Gateway接続ではDirect Connect ゲートウェイと組み合わせます。
Direct Connect VIFのBGPについて現行仕様として正しいものを3つ選択してください。
B. Direct Connect VIFではBGP 認証を利用できず、ルーター間の認証はIPsecでのみ実装する
C. 同じVIFでは同一アドレスファミリーのBGP セッションを複数作成できず、アドレスファミリーごとに1 セッションとなる
D. IPv6 BGP セッションを利用する場合はIPv4とは別の物理接続が必要で、同じVLANは利用できない
E. AWSはBGP MD5 認証を有効化し、認証キーは利用者指定またはAWS生成を利用できる
答えと解説
答え：A / C / E
Direct Connect VIFはIPv4とIPv6のBGP セッションを1つずつ持てますが、同一アドレスファミリーを複数持てません。BGP MD5 認証も現行仕様の一部です。
Direct Connect パブリック VIFのプレフィックス広告について正しいものを3つ選択してください。
B. BGPで少なくとも1 プレフィックスを広告する必要がある
C. プレフィックスを一切広告せずにパブリック VIFを通常利用するのが基本である
D. 最大1,000 プレフィックスを広告できる
E. 広告するパブリックプレフィックスには所有責任 / 登録などの要件がある
答えと解説
答え：B / D / E
パブリック VIFではBGPで1〜1,000のパブリックプレフィックスを広告し、プレフィックスの所有・登録要件を満たす必要があります。任意のRFC1918 プレフィックスをパブリック VIFで広告する設計ではありません。
Direct Connect レジリエンス モデルを選択する。Direct Connect 場所自体の障害にも備えるため、異なる場所へ接続を分散する設計として最も適切なモデルはどれか。
B. 開発とテストモデルを選び、同一Direct Connect 機器へ複数接続を集約して場所障害へ備える
C. Direct Connect ゲートウェイを同一リージョンに2個作成し、物理接続は1 場所のままゲートウェイ冗長化だけを行う
D. 同じ場所でパブリック VIFを複数作成し、VIF数を増やすことでDirect Connect 場所障害を吸収する
答えと解説
答え：A
場所障害へ備えるには接続を複数場所へ分散するレジリエンス モデルを評価します。最大 レジリエンスは複数場所 / 機器、高 レジリエンスも複数場所を使用します。
Direct Connect 専用接続の現在利用可能なポート速度 / 変更について正しいものを3つ選択してください。
B. 作成済み専用接続のポート速度自体を変更する場合は、必要速度の新しい接続を作成する
C. 専用接続では50 Mbps〜500 Mbpsの細粒度ポート速度を選択し、作成後も同じポートで変更できる
D. 400 Gbpsは対応Direct Connect 場所で専用接続のポート速度として利用できる
E. ポート速度はBGPコミュニティ値で動的に変更でき、物理接続を再作成する必要はない
答えと解説
答え：A / B / D
専用接続では1 / 10 / 100 / 400 Gbpsのポート速度が提供され、400 Gbpsは対応場所で利用できます。専用ポート速度自体を変更する場合は、必要な速度の新しい接続を作成します。
Direct Connect ホスト型接続について正しいものを3つ選択してください。
B. AWS Direct Connect パートナーから提供される
C. 現在には50 Mbps〜25 Gbpsの複数帯域幅があるが、利用可能な速度はパートナーや場所によって異なる
D. ホスト型接続はAWSアカウント間のVPC ピアリングサービスである
E. パートナーが対応している場合、既存ホスト型接続の帯域幅をアップグレード / ダウングレードできる
答えと解説
答え：B / C / E
ホスト型接続はDirect Connect パートナーが提供し、現在には50 Mbps〜25 Gbpsの複数帯域幅があります。利用可能速度や既存接続のアップグレード / ダウングレード対応可否はパートナーや場所によって異なります。
Direct ConnectのMACsecについて現行仕様として正しいものを3つ選択してください。
B. ホスト型接続では、パートナーが25 Gbpsを提供していればMACsecも必ず利用できる
C. ホスト型接続ではMACsecを利用できない
D. MACsecはDirect Connect リンクのレイヤー 2暗号化であり、アプリケーション層のエンドツーエンド暗号化とは別要件である
E. MACsecはパブリック VIF専用であり、専用接続自体の暗号化には使用しない
答えと解説
答え：A / C / D
MACsecはDirect Connect リンクのレイヤー 2暗号化です。対応する専用接続と、それらで構成したLAGで利用できますが、ホスト型接続は非対応です。アプリケーション層までのエンドツーエンド暗号化が必要ならTLS等を別要件として設計します。