はじめに
AWSの接続方式は種類が多く、名前が似ているものも多いですが、「オンプレミスと繋げられるのか」「VPC同士を繋げられるのか」という観点で見ると、次の3系統に整理できます。
- オンプレミス専用系 — カスタマーゲートウェイやDXロケーションなど、AWSの外側に終端を置く方式(VPN・Direct Connect系)。オンプレミス接続が前提の設計で、VPC同士の接続には使わない
- VPC間専用系 — AWS内部のバックボーンだけで完結する方式(VPC Peering)。オンプレミスは接続対象に含まれない
- 両対応系(ハブ・仲介型) — Transit Gateway、Cloud WAN、PrivateLink。VPCアタッチメントとVPN/DXアタッチメントを同時に扱えるため、両方の境界を越えられる
本記事では、この2軸で各方式を整理しました。説明の元となった一次情報は、記事末尾に出典としてまとめています。
前提となる用語
表中で頻出する略語です。
| 略語 | 正式名称 | 説明 |
|---|---|---|
| CGW | Customer Gateway(カスタマーゲートウェイ) | オンプレミス側のルーター/ファイアウォールの情報をAWSに登録したリソース。VPN接続のオンプレミス側終端 |
| VGW | Virtual Private Gateway(仮想プライベートゲートウェイ) | VPN接続のAWS側終端。単一のVPCにアタッチして使う、VPC単位のゲートウェイ |
| TGW | Transit Gateway(トランジットゲートウェイ) | 複数のVPCとオンプレミス拠点を集約するリージョン単位の中央ハブ。VGWの上位互換的な位置づけ |
| VIF | Virtual Interface(仮想インターフェイス) | Direct Connect回線上に作成する論理的な接続単位。接続先によりパブリック/プライベート/トランジットに分かれる |
接続方式一覧
記号の意味
- ✅ 可 — その用途で標準的に使える
- △ 条件付き — 他の方式との併用など、前提条件を満たせば使える
- ― 対象外 — 技術的な禁止ではないが、その用途を想定して設計されておらず標準的な構成では使わない
- ❌ 不可 — 仕様上、その通信ができない
| 方式 | オンプレミス接続 | VPC間接続 | 説明 |
|---|---|---|---|
| Site-to-Site VPN | ✅ 可 | ― 対象外 | オンプレミス側CGWとAWS側VGW/TGWの間にIPsecトンネル(冗長化のため2本)を張る方式。CGWというAWSの外側の終端が前提の設計であり、VPC間で使う標準的な構成はない |
| Client VPN | △ 条件付き(端末単位) | ― 対象外 | 拠点ネットワーク全体ではなく、個々の端末からOpenVPNベースでAWSへ接続するマネージドVPN。リモートアクセス専用であり、拠点間・VPC間の恒常接続には使わない |
| AWS VPN CloudHub | ✅ 可 | ― 対象外 | 複数のオンプレミス拠点がそれぞれSite-to-Site VPNで単一のVGWに接続し、VGW上のBGPルーティングでハブ&スポーク型に拠点間通信を実現する構成。あくまで拠点同士を繋ぐためのもの |
| Direct Connect (DX) | ✅ 可 | ― 対象外 | オンプレミスとAWSをDXロケーション経由の専用線で接続。終端は物理的な相互接続拠点であり、VPC間接続の手段にはならない |
| DX + VPN(暗号化) | ✅ 可 | ― 対象外 | DXの専用線経路はデフォルトで暗号化されないため、機密性要件が高い場合にIPsecを上乗せする構成。DXが土台のためオンプレミス専用 |
| DX Gateway | ✅ 可 | ❌ 不可 | 複数のDX接続と複数リージョンのVPC/TGWを一元集約するゲートウェイ。同一のDX Gatewayに関連付けられたゲートウェイ同士(VGW→別のVGWなど)はトラフィックを送信できない仕様のため、VPCを集約してもVPC間通信の手段にはならない |
| DX Public VIF | ✅ 可 | ― 対象外 | DX回線上の仮想インターフェイス。VPCを経由せず、S3やDynamoDBなどAWSパブリックサービスのIP空間へ専用線経由でアクセスする |
| DX Private VIF | ✅ 可 | ― 対象外 | DX回線上の仮想インターフェイス。特定のVPC(VGW/TGW経由)へプライベートIPで接続する。あくまでオンプレミス→VPCの経路 |
| BGPピアリング | ✅ 可 | ― 対象外 | VPN/DXにおいて経路情報を動的に交換するルーティングプロトコルセッション。AWSサービス名ではなくネットワーク業界共通の用語で、VPN/DXの構成要素として機能する |
| VPC Peering | ❌ 不可 | ✅ 可 | 2つのVPCを1対1で直接接続する機能。AWS内部のバックボーンのみで完結し、オンプレミスは接続対象に含まれない。推移的接続(A-B、B-CでもA-Cは通らない)も非対応 |
| Transit Gateway (TGW) | ✅ 可(VPN/DXアタッチメント経由) | ✅ 可(VPCアタッチメント経由) | VPCアタッチメントとVPN/DXアタッチメントを同時に持てるリージョン単位のハブ。オンプレミス・VPCのどちらの接続にも対応し、ルートテーブルで経路を柔軟に制御できる |
| Transit Gateway Peering | △ 条件付き(TGW経由の間接) | ✅ 可 | 異なるリージョン/アカウントのTGW同士を接続する機能。TGW-TGW間の接続であるため、各TGWにぶら下がるVPC同士は到達可能になる。オンプレミスも、双方のTGWにVPN/DXが接続済みであれば間接的に到達できる |
| PrivateLink | △ 条件付き(VPN/DX併用) | ✅ 可 | VPC全体ではなく特定のサービスへ、インターフェイスエンドポイント経由でプライベートに接続する仕組み。VPC間接続の代替手段としてもよく使われる。オンプレミスからはVPN/DXでVPCへの経路を確立した上での間接利用が前提 |
| AWS Cloud WAN | ✅ 可 | ✅ 可 | 複数リージョン・複数VPC・複数オンプレミス拠点をポリシーベースで一元管理するグローバルネットワークサービス。TGW同様、両方をアタッチメントとして扱えるハブ型 |
系統別の整理
【オンプレミス専用系(VPC間には使わない)】
Site-to-Site VPN, Client VPN, AWS VPN CloudHub,
Direct Connect, DX + VPN, DX Gateway,
DX Public/Private VIF, BGPピアリング
→ CGW / DXロケーションという「AWSの外側の終端」が前提
【VPC間専用系(オンプレミスには使えない)】
VPC Peering
→ AWS内部のバックボーンのみで完結
【両対応系(ハブ・仲介型)】
Transit Gateway, Transit Gateway Peering,
AWS Cloud WAN, PrivateLink
→ VPCアタッチメントとVPN/DXアタッチメントを同時に扱える、
あるいはVPC間 / オンプレミス-VPC どちらの仲介にもなれる
「オンプレミス接続を実現する方式」と「VPC間接続を実現する方式」は、名前が似ていても対象範囲がはっきり分かれています。TGW・Cloud WAN・PrivateLinkだけがその境界を越えられるハブ型である、という点を押さえておくと方式選定で迷いにくくなります。
出典
- Site-to-Site VPN: AWS Site-to-Site VPN とは
- Client VPN: AWS Client VPN とは
- VPN CloudHub: VPN CloudHub を使用したセキュアな通信
- Direct Connect: Direct Connect とは
- DX + VPN / BGPピアリング: AWS Direct Connect(VPC 接続オプション)
- DX Gateway: Direct Connect ゲートウェイ / Direct Connect ゲートウェイの概要(関連付け間通信の制限)
- DX Public VIF: パブリック仮想インターフェイスを作成する
- DX Private VIF: プライベート仮想インターフェイスを作成する
- VPC Peering: VPC ピア機能とは
- Transit Gateway: AWS Transit Gateway とは
- Transit Gateway Peering: ピアリングアタッチメントリクエストを承諾または拒否する
- PrivateLink: AWS PrivateLink とは
- Cloud WAN: AWS クラウド WAN(VPC 接続オプション)
※ AWSのドキュメントは仕様変更・機能追加が頻繁にあるため、本記事の内容は執筆時点のスナップショットです。業務での設計・実装時は、必ず上記出典のリンク先(AWS公式ドキュメント)を直接ご参照ください。