「接続手段の違いを問う問題は SAA で最も差がつく分野」 — Transit Gateway・Direct Connect・VPN・VPC Peering は、スループット・コスト・暗号化・推移的ルーティングの4軸で使い分ける。本記事では4つの設計パターンを通じて、試験でとっさに判断できる選択フレームワークを習得する。
※ 本記事はアフィリエイト広告（Amazon アソシエイト等）を含みます
📑 目次
- 結論：接続手段の選択フレームワーク
- パターン1：Transit Gateway ハブ＆スポーク（多数 VPC の集約接続）
- パターン2：Direct Connect 専用回線（高帯域・低レイテンシのオンプレ接続）
- パターン3：Direct Connect Gateway + TGW（グローバル・マルチリージョン接続）
- パターン4：VPN vs Direct Connect + フェイルオーバー冗長設計
- VPC Peering vs Transit Gateway 選択早見表
- 試験頻出シナリオ → 解法パターン早見表
- 次のアクション チェックリスト
- 関連記事
- 関連サイト
1. 結論：接続手段の選択フレームワーク
AWS のネットワーク接続は「どこ（オンプレ・VPC 間）をどの品質（帯域・遅延・暗号化）でつなぐか」で決まる。
| 接続手段 | 接続対象 | 帯域 | 暗号化 | 推移的ルーティング | コスト感 |
|---|
| VPC Peering | VPC ↔ VPC | 制限なし | なし（AWS 内） | ❌ 非対応 | 低（データ転送料のみ） |
| Transit Gateway (TGW) | VPC ↔ VPC・VPN・DX | 最大 50 Gbps（ECMP） | なし（VPC 間）/ VPN は IPsec | ✅ 対応 | 中（アタッチメント料 + データ転送料） |
| Site-to-Site VPN | オンプレ ↔ AWS | 最大 1.25 Gbps/トンネル | ✅ IPsec | △ TGW 経由なら対応 | 低（時間課金） |
| Direct Connect (DX) | オンプレ ↔ AWS | 1/10/100 Gbps | ❌ デフォルト非暗号化 | △ DX Gateway 経由 | 高（ポート料 + 転送料） |
| DX + MACsec | オンプレ ↔ AWS | 最大 100 Gbps | ✅ MACsec (L2) | △ DX Gateway 経由 | 最高 |
2. パターン1：Transit Gateway ハブ＆スポーク（多数 VPC の集約接続）
適用シナリオ
- 10 以上の VPC を相互接続したい
- VPC Peering のメッシュ管理が限界（n*(n-1)/2 の接続数爆発）
- オンプレ・VPN・Direct Connect を一元的に集約管理したい
アーキテクチャ
オンプレ（VPN/DX）
↓
┌─────────────────────────────────┐
│ Transit Gateway（TGW） │
│ ルートテーブル: 集約管理 │
└─────┬──────┬──────┬─────────────┘
│ │ │
[VPC-A] [VPC-B] [VPC-C] … (Spoke VPCs)
(本番) (開発) (共有サービス)
TGW の主要コンポーネント
| コンポーネント | 役割 |
|---|
| アタッチメント | VPC・VPN・DX Gateway・TGW Peering を接続する単位 |
| ルートテーブル | どのアタッチメントにどのトラフィックを転送するかを定義 |
| アソシエーション | アタッチメントとルートテーブルを紐付ける |
| プロパゲーション | アタッチメントのルートをルートテーブルに自動的に伝播する |
VPC Peering との決定的な違い
| 項目 | VPC Peering | Transit Gateway |
|---|
| 推移的ルーティング | ❌ A→B, B→C でも A→C は不可 | ✅ A→TGW→C で可能 |
| VPC 数が増えたとき | 接続数 O(n²) で爆発 | アタッチメント追加のみ |
| オンプレ接続 | 各 VPC に個別設定が必要 | TGW に一本集約 |
| IP 帯域の重複 | 重複 CIDR は接続不可 | ルートテーブル制御で一部対応可 |
| 帯域制限 | なし | VPC アタッチメントあたり最大 50 Gbps |
ルートテーブルによるトラフィック分離
TGW の真価は「どの Spoke がどの Spoke と通信できるか」をルートテーブルで細かく制御できる点にある。
【本番 VPC 分離パターン】
本番 VPC → 共有サービス VPC へのみ通信可
開発 VPC → 開発 VPC 間 + 共有サービス VPC
共有サービス VPC → 本番・開発 VPC 双方向
TGW ルートテーブル例（本番用）:
アソシエーション: 本番 VPC アタッチメント
プロパゲーション: 共有サービス VPC アタッチメントのみ
3. パターン2：Direct Connect 専用回線（高帯域・低レイテンシのオンプレ接続）
適用シナリオ
- 大容量データの定常転送（1 Gbps 以上）
- 一貫した低レイテンシが必要（金融システム・SAP・HPC 等）
- インターネットを経由したくない（セキュリティ・コンプライアンス要件）
Direct Connect の接続方式
| VIF 種別 | 接続先 | 用途 |
|---|
| Private VIF | VPC（VGW 経由） | VPC 内リソースとのプライベート通信 |
| Public VIF | AWS パブリックサービス（S3・DynamoDB 等） | パブリック AWS サービスへの直接接続 |
| Transit VIF | Transit Gateway | TGW 経由で複数 VPC・VPN を集約（後述） |
Direct Connect の帯域オプション
専用接続（Dedicated Connection）:
1 Gbps / 10 Gbps / 100 Gbps
→ AWS Direct Connect ロケーションで直接クロスコネクト
→ MACsec（L2 暗号化）対応
ホスト接続（Hosted Connection）:
50 Mbps / 100 Mbps / 200 Mbps / 300 Mbps / 400 Mbps / 500 Mbps / 1 Gbps / 2 Gbps / 5 Gbps / 10 Gbps
→ AWS Direct Connect パートナー経由でプロビジョン
→ 柔軟な帯域選択が可能（小規模利用向け）
Direct Connect の重要な特性
4. パターン3：Direct Connect Gateway + TGW（グローバル・マルチリージョン接続）
適用シナリオ
- オンプレから複数リージョンの VPC に接続したい
- 単一の DX 接続で多数の VPC を管理したい
- マルチアカウント + マルチリージョン構成
アーキテクチャ
オンプレデータセンター
↓ (Direct Connect 物理回線)
[DX ロケーション]
↓ (Transit VIF)
[Direct Connect Gateway] ← グローバルリソース（リージョン横断）
↓
┌─────────────────────┐
│ Transit Gateway │ ← us-east-1
│ (東米リージョン) │
└─────┬──────┬────────┘
│ │
[VPC-1] [VPC-2]
┌─────────────────────┐
│ Transit Gateway │ ← ap-northeast-1
│ (東京リージョン) │
└─────┬──────┬────────┘
│ │
[VPC-3] [VPC-4]
DX Gateway の役割
| 項目 | 詳細 |
|---|
| スコープ | グローバルリソース（リージョンに属さない） |
| 接続可能 TGW 数 | 最大 3 つのリージョンの TGW と関連付け可能 |
| VIF 種別 | Transit VIF を使用（Private VIF は TGW と非互換） |
| BGP ASN | DX Gateway 側の ASN と TGW 側の ASN は異なる必要あり |
| 制約 | DX Gateway に関連付けた TGW 同士は直接通信不可（オンプレ経由になる） |
TGW Peering によるリージョン間接続
リージョン間 VPC 通信が必要な場合：
[TGW-Tokyo] ─── TGW Peering ─── [TGW-US-East]
↓ ↓
[VPC 東京群] [VPC US 群]
TGW Peering の特徴：
- 推移的ルーティング対応（TGW が中継）
- 帯域制限なし（リージョン間データ転送料は発生）
- 静的ルート設定が必要（BGP 未サポート）
5. パターン4：VPN vs Direct Connect + フェイルオーバー冗長設計
比較：Site-to-Site VPN vs Direct Connect
VPN vs Direct Connect 選択基準 | 評価項目 | Site-to-Site VPN | Direct Connect |
| 帯域 | 最大 1.25 Gbps/トンネル | 最大 100 Gbps（専用接続） |
| レイテンシ | 変動あり（インターネット経由） | 安定・低レイテンシ |
| 暗号化 | ✅ IPsec 標準搭載 | ❌ デフォルト非暗号化（MACsec/オーバーレイ VPN が必要） |
| 開通速度 | 数分〜数時間 | 数週間〜数ヶ月 |
| コスト | 低（時間課金 + データ転送料） | 高（ポート料 + データ転送料） |
| 可用性 | 2 トンネル（デュアルトンネル設計） | DX ロケーション単一障害あり（冗長化必要） |
| 用途 | 中小規模・暗号化必須・迅速導入 | 大容量・低レイテンシ・コンプライアンス |
開通速度と暗号化の特性が VPN と Direct Connect の最大の差異。要件に応じて使い分けるか組み合わせる。
フェイルオーバー冗長設計パターン
パターン A：DX + VPN フェイルオーバー（最も一般的）
【通常時】
オンプレ ──DX（プライマリ）──→ TGW → VPC
【DX 障害時】
オンプレ ──VPN（バックアップ）──→ TGW → VPC
実装：
- DX: BGP で高い優先度（AS-PATH 短い / Local Preference 高）
- VPN: BGP でフォールバック（AS-PATH 長い / Local Preference 低）
- TGW への Site-to-Site VPN 終端で ECMP（複数トンネルで帯域合算）
パターン B：DX 冗長接続（高可用性要件）
【最大冗長性（Maximum Resiliency）推奨構成】
オンプレ
├── DX Location-A ──→ [専用接続 1]
│ [専用接続 2]
└── DX Location-B ──→ [専用接続 3]
[専用接続 4]
→ AWS Transit Gateway
2 DX ロケーション × 2 接続 = 4 本の専用接続でロケーション障害にも対応
| AWS 推奨冗長レベル | 構成 | SLA |
|---|
| Maximum Resiliency | 2 DX ロケーション × 2 接続 | 99.99% 相当 |
| High Resiliency | 2 DX ロケーション × 1 接続 | 99.9% 相当 |
| Development and Test | 1 接続（冗長なし） | ベストエフォート |
ECMP による VPN 帯域拡張（TGW 活用）
Site-to-Site VPN の制限（1.25 Gbps/トンネル）を突破する方法：
オンプレ ──[VPN Tunnel 1]──┐
──[VPN Tunnel 2]──┤→ TGW（ECMP 有効）→ VPC
──[VPN Tunnel 3]──┤
──[VPN Tunnel 4]──┘
TGW + ECMP で最大 50 Gbps まで帯域合算可能
（VGW 終端では ECMP 未対応 → TGW 必須）
6. VPC Peering vs Transit Gateway 選択早見表
| 要件 | VPC Peering | Transit Gateway |
|---|
| VPC 数が 5 以下で相互接続 | ✅ 推奨（シンプル・低コスト） | △ オーバースペック |
| VPC 数が 10 以上 | ❌ 管理爆発（接続数 n*(n-1)/2） | ✅ 推奨 |
| 推移的ルーティング（A→B→C） | ❌ 不可 | ✅ 対応 |
| オンプレ（VPN/DX）も一元集約 | ❌ 個別接続が必要 | ✅ TGW に集約 |
| 異なるアカウントの VPC 接続 | ✅ 可（Resource Access Manager） | ✅ 可（共有 TGW） |
| 異なるリージョンの VPC 接続 | ✅ Inter-Region Peering | ✅ TGW Peering |
| トラフィック分離（本番/開発） | △ NACL/SG で制御 | ✅ ルートテーブル分離 |
| コスト優先 | ✅ 安い | △ アタッチメント料あり |
7. 試験頻出シナリオ → 解法パターン早見表
| シナリオ | 正解パターン | 誤答（よくある罠） |
|---|
| オンプレから複数 VPC に接続、管理を集約したい | DX + Transit VIF + DX Gateway + TGW | Private VIF を VPC ごとに設定（スケールしない） |
| 暗号化しながらオンプレと接続したい | Site-to-Site VPN、または DX + IPsec VPN オーバーレイ | DX のみ（デフォルト非暗号化） |
| DX 障害時に自動フェイルオーバーしたい | DX（プライマリ）+ VPN（バックアップ）BGP 動的ルーティング | 静的ルートで設定（自動フェイルオーバー不可） |
| VPC 数が増えて Peering 管理が困難 | Transit Gateway に移行 | VPC Peering を増やし続ける |
| リージョン間 VPC 通信 | TGW Peering（リージョン間） | DX Gateway のみ（リージョン間 VPC 間通信は不可） |
| 大容量データを定常転送（10 Gbps+）したい | Direct Connect 専用接続（10/100 Gbps） | Site-to-Site VPN（最大 1.25 Gbps） |
| すぐに（数時間で）オンプレ接続を確立したい | Site-to-Site VPN | Direct Connect（開通まで数週間） |
| DX に暗号化を追加したい（L2 レベル） | MACsec（専用接続のみ） | IPsec（L3 オーバーレイ） |
| 複数 VPN トンネルで帯域を合算したい（ECMP） | TGW + 複数 VPN（最大 50 Gbps） | VGW 終端 VPN（ECMP 非対応） |
| オンプレから S3/DynamoDB にプライベート接続 | DX + Public VIF（または S3 VPC Endpoint） | DX + Private VIF（Public VIF と別） |
8. 次のアクション チェックリスト
9. 関連記事
10. 関連サイト
