AWS ソリューションアーキテクト – アソシエイト学習サイト CP 学習サイトへ戻る

VPC の接続（Peering / Transit Gateway / VPN / Direct Connect / エンドポイント）

VPC（AWS の中の自分専用ネットワーク）を、ほかの VPC・自社のデータセンター・S3 などの AWS サービスとつなぐ方法はいくつもあります。SAA では「接続したい相手」と「求める品質・コスト」から、どの方式を選ぶかが繰り返し問われます。

ひとことで言うと: 自分のネットワークと外の世界をつなぐ「道路」の種類と選び方です。

たとえるなら、VPC ピアリングは隣の家と直接つなぐ渡り廊下、Transit Gateway は各家から 1 本ずつ道をつなぐ駅（ハブ）、VPN は公道に作った専用の地下トンネル、Direct Connect は自社専用の私道、VPC エンドポイントは敷地の中に作った AWS サービス直通の裏口です。

このページで押さえる論点

接続方式の全体像

接続方式は、まず「何とつなぐか」（別の VPC、オンプレミス（自社データセンター）、個人の端末、AWS サービス）で絞り込み、次に「帯域・遅延の安定性」「開通までの時間」「コスト」「運用のしやすさ」で選びます。

方式つなぐ相手特徴
VPC ピアリングVPC と VPC（1 対 1）別アカウント・別リージョンの VPC ともつなげる。IP アドレスの範囲（CIDR）が重なる VPC 同士はつなげない。推移的な通信はできない
Transit Gateway多数の VPC・オンプレミスリージョンごとの中継ルーター（ハブ）。つないだもの同士がハブ経由で通信できる
Site-to-Site VPNオンプレミスインターネット上の暗号化トンネル。すぐ安く始められる。1 トンネルあたり最大 1.25 Gbps
Client VPN個人の端末（リモートワーカーなど）マネージドなクライアント VPN。どこからでも VPC やオンプレミスのリソースに接続できる
Direct Connectオンプレミスインターネットを通らない専用線。帯域・遅延が安定。開通に時間がかかる
VPC エンドポイント（ゲートウェイ型）S3・DynamoDBルートテーブルで経路を追加。追加料金なし
VPC エンドポイント（インターフェイス型）多くの AWS サービス、他の VPC・アカウントが公開したサービスサブネットにプライベート IP を持つ窓口を作る（AWS PrivateLink）。時間・通信量に応じた料金がかかる
比較・選択フローチャート

質問に答えて接続方式を選ぶ

つなぎたい相手と要件を思い浮かべて「はい / いいえ」で答えてください。答えた経路が上から順に表示されます。

    ※簡略化しています: 代表的な選び方だけを分岐にしています。Direct Connect の通信を暗号化したい場合に VPN を重ねる構成、Direct Connect と VPN を組み合わせた冗長化、少数の VPC でも Transit Gateway を使う場合などは分岐に含めていません。

    フローチャートでは省いた組み合わせは、Direct Connect と 冗長構成 の節で説明します。VPC が少なくても、今後増える見込みやオンプレミスとまとめてつなぐ要件があれば Transit Gateway を選びます。

    VPC ピアリング

    VPC ピアリングは、2 つの VPC をプライベート IP アドレスで直接つなぐ接続です。同じアカウント内だけでなく、別のアカウントや別のリージョンの VPC ともつなげます。つないだ後、双方のルートテーブルに相手の CIDR への経路を追加して使います。

    制約が試験でよく問われます。

    再生型アニメ図解

    VPC ピアリングと Transit Gateway の比較

    VPC ピアリング VPC A VPC B VPC C ✓ 直接つないだ相手とは通信できる ✕ B を経由して C へは行けない Transit Gateway Transit GW VPC A VPC B VPC C ✓ ハブ経由で A から C へ届く

    ※簡略化しています: 各 VPC のルートテーブルやセキュリティグループの設定は、通信が通るように正しく設定済みとしています。Transit Gateway のルートテーブルは既定（つないだ VPC 同士がすべて通信できる設定）を想定しています。

    ピアリングは 2〜3 個の VPC を単純につなぐには手軽ですが、VPC が増えると本数と経路の管理が急に増えます。その場合は次の Transit Gateway を検討します。

    Transit Gateway

    Transit Gateway は、リージョンごとに置く仮想ルーター（中継役のハブ）です。各 VPC やオンプレミスからの接続をハブに 1 本ずつつなぐ（アタッチする）だけで、ハブ経由で互いに通信できます。

    「数十の VPC とオンプレミスを相互接続」「今後も VPC が増える」「接続の管理を簡単に」は Transit Gateway の典型的な出題パターンです。

    AWS RAM による共有

    AWS Resource Access Manager（RAM）は、自分のアカウントのリソースを他のアカウントと共有するサービスです。ネットワークでは次の 2 つがよく使われます。

    共有するもの共有できる相手使いどころ
    VPC のサブネット自分の組織（AWS Organizations）内のアカウントのみネットワーク担当のアカウントで VPC を一元管理し、各アカウントはそのサブネットにリソースを起動する（VPC の共有）。アカウントごとに VPC を作ってピアリングする必要がない
    Transit Gatewayすべての AWS アカウント1 つの Transit Gateway を一元管理し、他のアカウントの VPC からアタッチさせる

    Site-to-Site VPN・VPN CloudHub・Client VPN

    Site-to-Site VPN は、オンプレミスのネットワークと AWS を、インターネット上の IPsec（暗号化の規格）トンネルでつなぎます。AWS 側は仮想プライベートゲートウェイ（VPC に付ける VPN の窓口）か Transit Gateway で終端します。

    方式つなぐものポイント
    Site-to-Site VPN拠点のネットワーク ⇔ AWSネットワーク同士の接続。すぐに・安く始められる
    VPN CloudHub複数の拠点 ⇔ AWS、拠点同士1 つの仮想プライベートゲートウェイをハブにして、複数拠点からの Site-to-Site VPN をつなぐ。拠点同士も通信できる。拠点ごとに異なる BGP の ASN（ネットワークの識別番号）が必要
    Client VPN個人の端末 ⇔ AWS・オンプレミスOpenVPN ベースのクライアントで、どこからでも接続。認証は Active Directory、証明書（相互認証）、SAML によるフェデレーション

    Direct Connect と Direct Connect ゲートウェイ

    AWS Direct Connect は、オンプレミスと AWS を、インターネットを通らない専用のネットワーク接続でつなぐサービスです。帯域と遅延が安定し、大量データの継続的な転送に向きます。一方、物理的な回線の手配が必要なため、開通までに時間がかかります。「すぐに接続したい」要件には向きません。

    接続（専用接続）のポート速度は 1 Gbps・10 Gbps・100 Gbps・400 Gbps のイーサネットです。接続の上に仮想インターフェイス（VIF）を作って、行き先を決めます。

    仮想インターフェイス行き先
    プライベート VIFVPC（プライベート IP で）。Direct Connect ゲートウェイにつなぐと複数の VPC へ
    パブリック VIFS3 など AWS のパブリックなサービス（パブリック IP で）
    トランジット VIFDirect Connect ゲートウェイ経由で Transit Gateway へ

    Direct Connect ゲートウェイはグローバルなリソースで、1 つの Direct Connect 接続から、世界中のリージョン（中国リージョンを除く）の VPC にアクセスできます。仮想プライベートゲートウェイや Transit Gateway と関連付けて使います。ただし、Direct Connect ゲートウェイを通って VPC 同士が通信することはできません。VPC 同士をつなぐのはピアリングや Transit Gateway の役割です。

    暗号化に注意: Direct Connect は既定では通信を暗号化しません。暗号化が必要なら、Direct Connect の上に Site-to-Site VPN（IPsec）を張るか、MACsec（イーサネットの区間を暗号化する規格）に対応した接続を使います。

    Direct Connect の冗長構成

    Direct Connect の接続 1 本だけでは、回線やデバイス、接続拠点（Direct Connect ロケーション）の障害で通信が止まります。AWS は求める回復性に応じた構成を示しています。

    構成内容耐えられる障害
    最大の回復性（SLA 99.99%）複数のロケーションで、別々のデバイスを終端とする別々の接続を使うデバイス・接続・ロケーション全体の障害
    高い回復性（SLA 99.9%）複数のロケーションにつながる 2 つの接続を使うファイバーの切断やデバイスの障害。ロケーション全体の障害にも備えやすい
    開発・テスト向け1 つのロケーションで、別々のデバイスを終端とする別々の接続を使うデバイスの障害のみ（ロケーションの障害には耐えられない）
    VPN をバックアップにするDirect Connect を主回線、Transit Gateway で終端する Site-to-Site VPN を予備回線にするDirect Connect の障害（費用対効果が高い。ただし VPN はインターネット経由で帯域・安定性は劣る）

    「コストを抑えて Direct Connect の障害に備えたい」なら VPN バックアップ、「重要なワークロードで最大の回復性」なら複数ロケーションの Direct Connect を選びます。

    VPC エンドポイント

    VPC エンドポイントは、VPC から AWS のサービスへ、インターネットゲートウェイや NAT ゲートウェイを通らずにアクセスするための入口です。「AWS サービスエンドポイント」（各サービスの API の受付先）へのアクセスを、VPC の中で完結させます。

    項目ゲートウェイエンドポイントインターフェイスエンドポイント
    対応サービスS3 と DynamoDB のみ多くの AWS サービス、他者が公開したエンドポイントサービス
    仕組みルートテーブルに「サービスのプレフィックスリスト → エンドポイント」の経路を追加サブネットにプライベート IP を持つネットワークインターフェースを作る（AWS PrivateLink）
    料金追加料金なし時間単位の使用料金とデータ処理料金
    オンプレミス（VPN・Direct Connect 経由）、別リージョンのピアリング先 VPC、Transit Gateway からの利用できない（VPC の外へ延長できない）できる
    リージョン同じリージョンのサービスだけ—

    プライベートサブネット（インターネットに直接出られないサブネット）の EC2 が S3 を使う場合、NAT ゲートウェイ経由だと NAT ゲートウェイの時間料金と処理したデータ量に応じた料金がかかります。ゲートウェイ型のエンドポイントを使うと、NAT もインターネットゲートウェイも通らずに S3 へ届き、追加料金もかかりません。

    再生型アニメ図解

    NAT ゲートウェイ経由とゲートウェイエンドポイント経由

    S3 VPC パブリック プライベートサブネット IGW NAT GW ゲートウェイ エンドポイント ✓ 追加料金なし EC2

    ※簡略化しています: 行きの通信だけを動かしています。ゲートウェイエンドポイントは実際にはサブネットの中に置く機器ではなく、ルートテーブルの行き先として指定するものですが、図では箱で表しています。S3 は同じリージョンにある想定です。

    エンドポイントにはエンドポイントポリシー（IAM のリソースポリシーの一種）を付けて、そのエンドポイント経由でできる操作を絞れます。既定のポリシーはすべてを許可します。

    AWS PrivateLink を使うと、AWS のサービスだけでなく、自分が作ったサービスを他の VPC や他のアカウントへプライベートに公開できます。利用する側は、インターネットゲートウェイ・NAT・パブリック IP・VPN・Direct Connect なしで、自分の VPC の中にあるかのようにアクセスできます。

    1. 提供する側（サービスプロバイダー）は、サービスの前に Network Load Balancer を置き、それを指定してエンドポイントサービスを作成する
    2. 接続を許可する AWS アカウントなど（プリンシパル）を登録する。既定では誰も接続できない
    3. 利用する側（コンシューマー）は、自分の VPC にインターフェイスエンドポイントを作成して接続を申請する。提供側は申請を承認または拒否する

    接続を始めるのは利用する側で、提供する側は申請を承認するだけです。VPC ピアリングが「ネットワーク全体」をつなぐのに対し、PrivateLink は「特定のサービスだけ」を公開する点が違います。「SaaS として多数の顧客 VPC にサービスを提供したい」「VPC 全体は公開したくない」という要件で選びます。

    問題文のキーワード → 選ぶべき答え

    問題文の言い回し答えと理由
    「数十の VPC とデータセンターを相互接続」「VPC は今後も増える」「管理を簡単に」Transit Gateway。各 VPC を 1 本ずつアタッチするだけ
    「2 つの VPC の間だけ」「シンプルに」VPC ピアリング。1 対 1 の接続
    「すぐに」「低コストで」オンプレミスと暗号化接続Site-to-Site VPN。既存のインターネット回線で始められる
    「一貫した低遅延」「安定した帯域」「大量データを継続的に転送」Direct Connect。インターネットを通らない
    「Direct Connect 上の通信を暗号化」Direct Connect の上に Site-to-Site VPN、または MACsec。Direct Connect は既定で暗号化しない
    「Direct Connect の障害に費用対効果よく備える」Site-to-Site VPN をバックアップ回線にする
    「最大の回復性」「ロケーション全体の障害にも耐える」複数の Direct Connect ロケーションで、別々のデバイスに終端する複数の接続
    「1 つの Direct Connect から複数リージョンの VPC へ」Direct Connect ゲートウェイ（グローバルなリソース）
    「VPN の帯域が 1 トンネルの上限では足りない」Transit Gateway で終端し、ECMP で複数トンネルを束ねる（動的ルーティングが必要）
    「複数の支社同士も VPN で通信させたい」VPN CloudHub（仮想プライベートゲートウェイをハブにする）
    「リモートワーカーの PC から VPC へ安全に接続」Client VPN。個人の端末からの接続
    「自社サービスを他アカウントの VPC に公開。VPC 全体はつながない」PrivateLink（NLB ＋ エンドポイントサービス）
    「プライベートサブネットから S3 へ。NAT ゲートウェイの料金を削減」S3 のゲートウェイエンドポイント。追加料金なし
    「オンプレミスから Direct Connect 経由で S3 にプライベートにアクセス」S3 のインターフェイスエンドポイント。ゲートウェイ型は VPC の外から使えない
    「複数アカウントで 1 つの VPC を共有し、ネットワークを一元管理」AWS RAM でサブネットを共有（組織内のアカウント）
    「別リージョンの Transit Gateway 同士をつなぐ」Transit Gateway のリージョン間ピアリング

    引っかけポイント

    まとめ: SAA 試験で押さえるポイント

    確認問題

    参考リンク

    AWS 公式ドキュメント（外部サイトが開きます）。