背景
普段の業務では、AWSのマネージドサービスやVPC周りに触れる機会は多い一方で、AWS Direct Connectのような物理ネットワークに近い領域に触れる機会は限定的です。
私自身も同様でしたが、先日社内勉強会にて、学習およびハンズオン形式で実際にDirect Connect環境の構築を行う機会がありました。
本記事では、その際に得た知見を整理しつつ、同じようにDirect Connectに触れる機会が少ない方にも分かりやすく共有できればと思います！
1. AWS Direct Connectとは
AWS Direct Connectは、オンプレミス環境とAWSを専用線を用いて接続するためのサービスです。
ただし重要なのは、AWSが専用線そのものを提供しているわけではないという点です。
Direct Connectは、
オンプレミス側で契約した専用線（キャリア回線）を、Direct ConnectロケーションでAWSネットワークに接続するサービス
です。
この構成により、インターネットを経由しない経路でAWSへアクセス可能になります。
なぜDirect Connectを利用するのか
VPN（インターネットVPN）と比較した場合、Direct Connectには以下の特徴があります。
- インターネット非経由による 安定したレイテンシ
- 帯域が保証された 予測可能な通信品質
- 大容量データ転送時の 低コストな転送料
特に、基幹系システムや大量データ連携など、
通信の安定性・再現性が求められるワークロードにおいて採用されることが多いサービスです。
2. 物理接続
Direct Connectを利用するには、まず物理的な「接続（Connection）」を理解する必要があります。
物理的な「接続」形態
Direct Connectの物理接続には、大きく分けて2つのモデルがあります。
専用接続 (Dedicated Connection)
1 Gbps、10 Gbps、100 Gbps、または400 Gbpsの帯域を持つ、特定のユーザー専用の物理イーサネットポートです。AWSコンソールから直接リクエストし、AWSから発行される LOA-CFA（授権書） を用いて物理的な配線（クロスコネクト）を注文します。
- 帯域を占有できる
- 大規模・基幹系向け
- 物理開通まで数週間かかる場合がある
ホスト接続 (Hosted Connection)
AWS Direct Connect パートナーが提供する接続形態で、50 Mbpsから25 Gbpsまでの柔軟な帯域を選択可能です。パートナーが自身のネットワーク容量を切り出してユーザーに割り当てるため、比較的小規模な拠点やスモールスタートに適しています。
- 導入が比較的早い
- 帯域を柔軟に選択可能
- パートナーごとに経路広告仕様が異なる点に注意
3. 論理接続：仮想インターフェイス (VIF) とルーティング（BGP）
物理的な接続の上に、用途に応じた**「仮想インターフェイス（VIF）」**を作成することで、AWSのリソースと通信が可能になります。
仮想インターフェイス (VIF)
VIFは 「どこへ通信するかを定義する論理インターフェイス」 です。
- プライベートVIF: プライベートIPアドレスを使用して、VPC内のリソースにアクセスするために使用します。
- パブリックVIF: S3やDynamoDB、AWSのパブリックAPIエンドポイントなど、VPC外のパブリックサービスにアクセスするために使用します。AWS全リージョン（中国除く）のパブリックIPがBGPで広告されるため、経路数・フィルタ設計に注意が必要です。
- トランジットVIF: Transit Gateway と接続し、複数のVPCやVPNを効率的に束ねるために使用します。大規模・マルチアカウント環境では事実上の標準構成です。
ルーティングの仕組み
AWS Direct Connect では、オンプレミス側ルーターと AWS 側デバイスの間で BGP（Border Gateway Protocol） を用いて経路情報を交換します。
BGP は、どの宛先ネットワークに対してどの経路を利用するかを動的に判断するためのプロトコルであり、Direct Connect においては 仮想インターフェイス（VIF）単位で BGP ピアを確立し、IPv4／IPv6 のプレフィックスを相互に広報します。
BGP セッション確立に必要な設定要素
Direct Connect の BGP ピアを確立するためには、以下の要素をオンプレミス側ルーターでサポート・設定する必要があります。
-
BGP ASN（Autonomous System Number）
オンプレミス側 ASN を指定して eBGP ピアを構成します。ASN は従来の 2 バイト形式に加え、4 バイト ASN（1～4294967294） も利用可能です。 -
BGP MD5 認証
セキュリティ確保のため、BGP セッションでは MD5 認証キー（BGP Auth Key） の設定が必須となります。 -
VLAN ID / ピア IP アドレス
各 VIF ごとに VLAN ID を割り当て、BGP ピア接続用の IP アドレス（/30 または /31）を用いてピアリングを行います。
AWS からオンプレミスへの経路選択の優先順位
AWS 側からオンプレミス方向への通信経路は、以下の順序で評価され、最終的な転送経路が決定されます。
-
より詳細なプレフィックス（Longest Prefix Match）
サブネットマスクがより小さい（プレフィックス長が長い）経路が最優先されます。 -
BGP Local Preference（BGP コミュニティによる制御）
AWS が提供する BGP コミュニティタグを利用することで、AWS 内部での優先度を制御できます。 -
AS_PATH 長
AS パスが短い経路が優先されます。
※ AWS 上で直接ルーティングポリシーを設定する機能はなく、経路制御はAWS利用ユーザのルーター側 BGP 設定によって実現します。
冗長構成における経路制御（Active / Active・Active / Standby）
Direct Connect を冗長化した構成では、BGP のパス属性を用いてトラフィックの流れを制御します。
-
Active / Active 構成
複数の Direct Connect 回線で以下の条件を揃えた場合、AWS からオンプレミスへの通信は ECMP（Equal Cost Multi Path） によりロードバランスされます。- AS_PATH 長
- Local Preference（BGP コミュニティ）
- MED
-
Active / Standby 構成
通常利用する経路と待機系経路を明確に分けたい場合は、以下の方法で制御します。- 待機系経路に AS_PATH Prepend を付与し、AS パスを長くする
- AWS が提供する Local Preference 制御用 BGP コミュニティ
-
7224:7100（低） -
7224:7200（中） -
7224:7300（高）
-
AWS 側には Active / Standby を指定する機能はなく、あくまで BGP 属性の組み合わせによって実現される点が重要です。
広報可能なルート数の制限
BGP セッションあたりに広報できる経路数には明確な上限があり、設計時・運用時ともに注意が必要です。
-
プライベート VIF / トランジット VIF
- IPv4：最大 100 経路
- IPv6：最大 100 経路
-
パブリック VIF
- 最大 1,000 経路
上限を超えて経路を広報すると、BGP セッションが Idle 状態となり DOWN するため、
経路集約やフィルタリングを前提とした設計が推奨されます。
4. Direct Connect ゲートウェイ
複数のVPCやリージョンを跨いだ接続を行う際、Direct Connect ゲートウェイ（DX-GW） が重要な役割を果たします。
Direct Connect ゲートウェイ (DX-GW)
特定のリージョンに依存しないグローバルなリソースです。一つのDirect Connect接続から、異なるリージョンにある最大20のVPCにアクセス可能です。
Transit Gatewayとの連携
トランジットVIFをDX-GWにアタッチし、さらにTransit Gatewayに関連付けることで、数百〜数千のVPCを効率的にオンプレミスと接続できます。
注意点（重要）
- DX-GWはVPC間通信を目的としたサービスではありません。
- BGPで広告するCIDR次第では、意図しないVPC間通信（折り返し通信）が成立する可能性があるため、CIDR設計とBGP設計は必ずセットで検討する必要があります。
5. 運用監視とセキュリティ
暗号化の要否
Direct Connectはインターネット非経由ですが、デフォルトでは通信内容は暗号化されていません。機密データを扱う場合は、以下の対策が必要です。
- AWS Site-to-Site VPN を重ねて IPsec 暗号化 を行う
- MACsec 対応回線（専用接続の10G/100G/400G等）によるレイヤー2暗号化
運用監視のポイント
物理接続の状態は Amazon CloudWatch で詳細に監視可能です。
- ConnectionState: 接続のアップ／ダウン（1=UP, 0=DOWN）
- ConnectionErrorCount: MACレベルの合計エラー数（CRCエラー等）
- ConnectionLightLevelRx/Tx: 光信号レベル。物理的な光ファイバーの品質劣化検知に役立ちます。
Direct Connectでは、論理障害だけでなく物理品質の監視が安定運用の鍵となります。
6. 結論
- Direct Connectは「物理接続＋VIF＋BGP」で成立する
- 冗長化・経路制御はすべてBGP属性で実現する
おわりに
今回の学習とハンズオンを通じて、これまで断片的にしか理解できていなかった Direct Connect を
「物理接続・VIF・BGP を含めた一連の設計・運用の仕組み」として整理して捉えられるようになりました。
本記事が、私と同じように Direct Connect に触れる機会が少ない方にとって、理解のきっかけや復習資料の一助になれば幸いです！
参考文献
出典: AWS公式ドキュメント 「Direct Connect」
https://docs.aws.amazon.com/directconnect/latest/UserGuide/Welcome.html