0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@mkydk(Mukaiyama)

AWS Direct Connect Hosted ConnectionでPrivate VIFを作成してオンプレとVPCを接続する手順

0
Posted at

概要

APNパートナーから提供されるHosted Connectionを受け入れ、Private VIF（プライベート仮想インターフェイス）を作成してオンプレミス環境とAWS VPCを接続する手順を解説します。VGWとDirect Connect Gatewayの選択基準、BGP設定、ルーティング調整まで実践的な内容を網羅しています。

目次

  1. Hosted Connectionの基礎知識
  2. Private VIFの接続先の選び方
  3. 事前準備チェックリスト
  4. Private VIF作成の実践手順
  5. オンプレ側ルータとルーティング設定
  6. 料金情報
  7. 注意点とベストプラクティス
  8. 終わりに

Hosted Connectionの基礎知識

Hosted Connectionとは

Hosted ConnectionはAWS Direct Connect デリバリーパートナー（APNパートナー）が提供する物理接続方式です。パートナーが所有する物理ポートを複数の顧客で共有し、論理的に分割して各顧客に割り当てます。これにより、1Gbps未満の小容量から利用できる柔軟性が生まれます。

パートナーから提供されたHosted Connectionは、AWSマネジメントコンソールで「受け入れ」操作を行うことで初めて利用可能になります。受け入れ後、そのConnection上でPrivate VIFを作成し、オンプレミス環境とVPCを接続します。

Dedicated ConnectionとHosted Connectionの違い

Direct Connectの接続方式には、Dedicated Connection（専用接続）とHosted Connection（ホスト型接続）の2種類があります。それぞれの特徴を理解することで、要件に合った方式を選択できます。

項目 Dedicated Connection Hosted Connection
提供元 AWS（直接申請） APNパートナー
ポート専有性 物理ポートを単一顧客が専有 物理ポートを複数顧客で共有
利用可能帯域 1Gbps、10Gbps、100Gbps、400Gbps 50Mbps～25Gbps（パートナーにより異なる）
作成可能なVIF数 最大51個（Private/Public VIF 50個 + Transit VIF 4個） 1個のみ
LAG対応 対応（複数ポートを束ねて帯域拡張可能） 非対応
MACsec暗号化 対応（一部ロケーション） 非対応
料金モデル ポート専有のため高額 帯域に応じた従量課金で低コスト
用途 大規模トラフィック、複数VIF必要 小～中規模トラフィック、単一VIF

1つのHosted Connectionに1つのVIFという制約

Hosted Connectionの最も重要な制約は、1つのHosted Connectionに対して作成できるVIFが1つだけという点です。この制約により、以下のような影響があります。

制約の具体例：

  • Private VIFを1つ作成したら、同じHosted Connection上にPublic VIFやTransit VIFは追加できない
  • 複数のVPCに接続したい場合でも、1つのPrivate VIFで対応する必要がある（Direct Connect Gatewayを使用）
  • オンプレ側でPublic VIFとPrivate VIFの両方が必要な場合、2つの別々のHosted Connectionを契約する必要がある

なぜこの制約があるのか：
Hosted Connectionでは、パートナーが接続作成時にVLAN IDを1つ割り当てます。各VIFは固有のVLAN IDを必要とするため、VLAN ID変更ができないHosted Connectionでは1つのVIFしか作成できません。追加のVLAN IDが必要な場合は、パートナーに新しいHosted Connectionの発行を依頼する必要があります。

この制約は、Dedicated Connectionでは存在しません。Dedicated Connectionでは最大51個のVIFを作成でき、それぞれに異なるVLAN IDを設定できます。

image.png

Private VIFの接続先の選び方

Private VIFを作成する際、接続先として「Virtual Private Gateway（VGW）」または「Direct Connect Gateway（DXGW）」のいずれかを選択します。それぞれの特徴と選択基準を理解することが重要です。

VGWとDirect Connect Gatewayの比較

項目 Virtual Private Gateway（VGW） Direct Connect Gateway（DXGW）
接続可能なVPC数 1つのVPCのみ 最大10個のVPC（複数リージョン対応）
リージョン 単一リージョンのみ 複数リージョンに対応
Transit Gateway連携 不可 可能（最大6個のTransit Gateway）
設定の複雑さ シンプル やや複雑（VGW関連付けが必要）
用途 単一VPCへのシンプルな接続 複数VPCやマルチリージョン構成
料金 VGW自体は無料 DXGW自体は無料（ただしデータ転送料金は発生）

選択基準とユースケース

VGWを選ぶべきケース：

  • 東京リージョンの単一VPCにのみ接続したい
  • シンプルな構成で運用管理コストを抑えたい
  • 将来的にも接続先VPCが増えない見込み

Direct Connect Gatewayを選ぶべきケース：

  • 複数のVPCに接続する必要がある（例：本番環境VPCと開発環境VPC）
  • マルチリージョン構成を採用している（例：東京リージョンと大阪リージョン）
  • 将来的にVPCが増える可能性がある
  • Transit Gatewayと連携した大規模なネットワーク構成を予定している

1つのHosted Connectionには1つのVIFしか作成できないため、後から接続先を追加する場合は新しいHosted Connectionの契約が必要になります。将来的な拡張性を考慮してDirect Connect Gatewayを選択することを推奨します。

事前準備チェックリスト

Private VIFの作成をスムーズに進めるため、以下の情報を事前に準備しておきましょう。

AWS側の準備

  • AWSアカウントID：パートナーに提示するため、12桁のアカウントIDを確認
  • VGWの作成とアタッチ（VGW接続の場合）：対象VPCにVGWを作成してアタッチ完了
  • Direct Connect Gatewayの作成（DXGW接続の場合）：DXGWを作成し、接続先VPCのVGWを関連付け
  • 接続先リージョン：ap-northeast-1（東京リージョン）を推奨

オンプレ側の準備

  • BGP ASN：オンプレ側のプライベートASN（例：65000～65535の範囲）
  • BGPピア用IPアドレス：/30または/31のプライベートアドレス（例：169.254.1.0/30）
    • Amazon側IP（例：169.254.1.1）
    • Customer側IP（例：169.254.1.2）
  • 広告するプレフィックス：オンプレミスから広告するCIDR（例：10.0.0.0/16）
  • BGP認証キー（任意）：BGPセッションの認証に使用する共通鍵

パートナーとの調整事項

  • 帯域：50Mbps、100Mbps、500Mbps、1Gbps等から選択
  • VLAN ID：パートナーが割り当てるVLAN番号（例：100～4094の範囲）
  • 接続ロケーション：Equinix TY2（東京）、Equinix OS1（大阪）等
  • 納期と作業スケジュール：パートナーとの作業調整

Private VIF作成の実践手順

ステップ1：Hosted Connectionの受け入れ

パートナーがあなたのAWSアカウントID宛にHosted Connectionを発行すると、AWS Direct Connectコンソールに「保留中」のConnectionが表示されます。

コンソールでの受け入れ手順：

  1. AWSマネジメントコンソールにログイン
  2. 「Direct Connect」サービスを開く
  3. 左メニューから「接続」を選択
  4. 状態が「confirming」のHosted Connectionを確認
  5. Connectionを選択し、「接続を受け入れる」ボタンをクリック
  6. 確認ダイアログで「受け入れる」をクリック

CLIでの受け入れ例：

aws directconnect confirm-connection \
  --connection-id dxcon-aaaaaaaa \
  --region ap-northeast-1

受け入れが完了すると、Connectionのステータスが「available」に変わります。この状態になって初めて、Private VIFを作成できます。

ステップ2：Private VIFの作成（コンソール）

  1. Direct Connectコンソールで「仮想インターフェイス」を選択
  2. 「仮想インターフェイスを作成」ボタンをクリック
  3. 以下の項目を入力：

基本設定：

  • 仮想インターフェイスの種別：プライベート
  • 接続：受け入れたHosted Connectionを選択
  • 仮想インターフェイス名：識別しやすい名前（例：prod-private-vif）
  • VLAN：パートナーと合意したVLAN ID（例：123）

BGP設定：

  • BGP ASN：オンプレ側のプライベートASN（例：65010）
  • BGP認証キー：任意。設定する場合は両端で一致させる
  • アドレスファミリー：IPv4またはIPv6を選択
  • ピアIP：
    • Amazon側アドレス：169.254.1.1/30
    • Customer側アドレス：169.254.1.2/30

接続設定：

  • MTU：1500または9001（機器がJumboフレーム対応なら9001推奨）
  • 仮想プライベートゲートウェイ：VGWを選択
  • またはDirect Connectゲートウェイ：DXGWを選択
  1. 「仮想インターフェイスを作成」をクリック

ステップ3：Private VIFの作成（CLI）

VGWを宛先にする場合：

aws directconnect create-private-virtual-interface \
  --connection-id dxcon-aaaaaaaa \
  --new-private-virtual-interface '{
    "virtualInterfaceName": "prod-private-vif",
    "vlan": 123,
    "asn": 65010,
    "mtu": 9001,
    "addressFamily": "ipv4",
    "amazonAddress": "169.254.1.1/30",
    "customerAddress": "169.254.1.2/30",
    "virtualGatewayId": "vgw-xxxxxxxx"
  }' \
  --region ap-northeast-1

Direct Connect Gatewayを宛先にする場合：

aws directconnect create-private-virtual-interface \
  --connection-id dxcon-aaaaaaaa \
  --new-private-virtual-interface '{
    "virtualInterfaceName": "prod-private-vif",
    "vlan": 123,
    "asn": 65010,
    "mtu": 9001,
    "addressFamily": "ipv4",
    "amazonAddress": "169.254.1.1/30",
    "customerAddress": "169.254.1.2/30",
    "directConnectGatewayId": "dxgwy-xxxxxxxx"
  }' \
  --region ap-northeast-1

VIF作成後、ステータスが「available」になるまで数分待ちます。ステータスが「available」になっても、BGPセッションが確立するまでは「down」と表示されます。

ステップ4：Direct Connect Gateway利用時の追加手順

Direct Connect Gatewayを選択した場合、VPCのVGWをDXGWに関連付ける必要があります。

コンソールでの関連付け手順：

  1. Direct Connectコンソールで「Direct Connectゲートウェイ」を選択
  2. 対象のDXGWを選択
  3. 「関連付け」タブを選択
  4. 「ゲートウェイの関連付け」をクリック
  5. 「仮想プライベートゲートウェイ」を選択し、対象VPCのVGWを選択
  6. 許可するプレフィックス（VPC CIDR）を入力
  7. 「ゲートウェイの関連付け」をクリック

CLIでの関連付け例：

aws directconnect create-direct-connect-gateway-association \
  --direct-connect-gateway-id dxgwy-xxxxxxxx \
  --gateway-id vgw-yyyyyyyy \
  --add-allowed-prefixes cidr=10.0.0.0/16 \
  --region ap-northeast-1

関連付けが完了すると、ステータスが「associated」になります。複数VPCに接続する場合は、この手順を各VPCのVGWに対して繰り返します。

image.png

オンプレ側ルータとルーティング設定

オンプレ側ルータの設定

Private VIFが作成できたら、オンプレミス側のルータでBGPセッションを確立します。以下はCisco IOSルータの設定例です。

802.1Q VLANサブインターフェイスの設定：

interface GigabitEthernet0/0.123
 description Direct Connect to AWS - Private VIF
 encapsulation dot1Q 123
 ip address 169.254.1.2 255.255.255.252

BGPピアリングの設定：

router bgp 65010
 bgp log-neighbor-changes
 neighbor 169.254.1.1 remote-as 64512
 neighbor 169.254.1.1 password MySecretKey123
 !
 address-family ipv4
  network 10.0.0.0 mask 255.255.0.0
  neighbor 169.254.1.1 activate
  neighbor 169.254.1.1 soft-reconfiguration inbound
 exit-address-family

ポイント：

  • VLAN IDはPrivate VIF作成時に指定したものと一致させる
  • BGP ASNはAWS側が64512、オンプレ側は設定したプライベートASN
  • BGP認証キーを設定した場合は必ず両端で一致させる
  • networkコマンドでAWS側に広告するオンプレプレフィックスを指定

VPC側のルーティング設定

VPC側でもオンプレ向けのルートを設定する必要があります。

ルート伝播を有効化する方法（推奨）：

  1. VPCコンソールで「ルートテーブル」を選択
  2. 対象のルートテーブルを選択
  3. 「ルート伝播」タブを選択
  4. 「ルート伝播の編集」をクリック
  5. VGWを選択して「伝播を有効化」
  6. 変更を保存

この設定により、BGPで受信したオンプレのプレフィックスが自動的にルートテーブルに反映されます。

静的ルートを追加する方法：

ルート伝播を使わない場合は、静的ルートを手動で追加します。

  1. VPCコンソールで「ルートテーブル」を選択
  2. 対象のルートテーブルを選択
  3. 「ルート」タブを選択
  4. 「ルートを編集」をクリック
  5. 「ルートを追加」をクリック
  6. 送信先：10.0.0.0/16（オンプレのCIDR）
  7. ターゲット：Virtual Private Gateway（VGW）を選択
  8. 変更を保存

疎通確認

すべての設定が完了したら、疎通確認を行います。

BGPセッションの確認（オンプレ側）：

show ip bgp summary
show ip bgp neighbors 169.254.1.1
show ip route bgp

BGPステータスが「Established」になっていることを確認します。

AWS側でのBGP確認：

Direct Connectコンソールで対象のPrivate VIFを選択し、「BGPピア」セクションでステータスが「up」になっていることを確認します。

疎通テスト：

# オンプレからVPC内のEC2インスタンスへping
ping 10.100.1.10

# VPC内のEC2インスタンスからオンプレへping
ping 10.0.0.10

# トレースルート確認
traceroute 10.100.1.10

疎通が取れない場合は、セキュリティグループ、ネットワークACL、オンプレ側ファイアウォールの設定を確認してください。

料金情報

AWS Direct Connectの料金は、主に「ポート時間料金」と「データ転送料金」の2つから構成されます。

ポート時間料金（Hosted Connection）

Hosted Connectionのポート時間料金は帯域によって異なります。以下は2025年1月時点の料金です（日本のロケーション）。

帯域 時間あたり料金（日本） 月額料金目安（730時間/月）
50 Mbps $0.029/時間 $21.17/月
100 Mbps $0.057/時間 $41.61/月
200 Mbps $0.076/時間 $55.48/月
300 Mbps $0.114/時間 $83.22/月
400 Mbps $0.152/時間 $110.96/月
500 Mbps $0.190/時間 $138.70/月
1 Gbps $0.314/時間 $229.22/月
2 Gbps $0.627/時間 $457.71/月
5 Gbps $1.568/時間 $1,144.64/月
10 Gbps $2.361/時間 $1,723.53/月

ポート時間料金は、接続が確立されている時間に対して課金されます。データが流れていない時間も課金対象となります。

データ転送料金

AWS Direct Connectでは、AWS側へのデータ転送（インバウンド）は無料ですが、AWS側からオンプレへのデータ転送（アウトバウンド）には料金が発生します。

東京リージョン（ap-northeast-1）から日本のDirect Connectロケーション（Equinix TY2等）へのデータ転送料金（2025年1月時点）：

  • データ転送アウト料金：$0.0410/GB

例えば、月間1TBのデータをAWSからオンプレに転送する場合：

  • 1TB = 1,024GB
  • データ転送料金：1,024GB × $0.0410 = $41.98/月

料金例

500MbpsのHosted Connectionで月間500GBのデータをAWSから転送する場合の月額料金：

  • ポート時間料金：$138.70/月
  • データ転送料金：500GB × $0.0410 = $20.50/月
  • 合計：$159.20/月

この他にパートナーの回線費用やサービス料金が別途発生します。

注意事項：

  • 上記料金は2025年1月時点のものであり、変動する可能性があります
  • 最新の料金は AWS Direct Connect 料金ページ でご確認ください
  • 日本円換算額は為替レートにより変動します
  • パートナーの提供する回線費用やサービス料金は別途必要です

注意点とベストプラクティス

MTU設定

MTU（Maximum Transmission Unit）は、ネットワークで転送できる最大パケットサイズです。Direct Connectでは1500バイトまたは9001バイト（Jumboフレーム）を選択できます。

MTU 1500を選ぶべきケース：

  • オンプレ側機器がJumboフレームに非対応
  • 既存ネットワークとの互換性を重視
  • 確実に動作させたい

MTU 9001を選ぶべきケース：

  • 大容量データ転送が頻繁に発生
  • オンプレ側機器とAWS Direct Connect区間の全機器がJumboフレーム対応
  • スループット向上を優先

MTUを9001に設定する場合、オンプレ側のスイッチ、ルータ、ファイアウォール等すべての機器でJumboフレームを有効化する必要があります。一箇所でも対応していないとパケットフラグメンテーションが発生し、パフォーマンスが低下する可能性があります。

BGP認証キーの推奨

BGPセッションに認証キーを設定することで、不正なBGPピアからの接続を防止できます。セキュリティ要件が高い環境では、必ずBGP認証キーを設定してください。

認証キーは以下の要件を満たす必要があります：

  • 大文字小文字を含む英数字
  • 特殊文字も使用可能
  • AWS側とオンプレ側で完全に一致する文字列

暗号化が必要な場合の対応

Hosted ConnectionではMACsec暗号化が使用できません。データ暗号化が必要な場合は、以下のいずれかの方法を検討してください。

方法1：Site-to-Site VPNをDirect Connectと併用

最も一般的な方法は、Direct Connect上でSite-to-Site VPNを構築する方法です。

  • Direct Connectで安定した帯域と低遅延を確保
  • VPNで暗号化を実現
  • Direct Connectがメイン経路、インターネットVPNをバックアップとする冗長構成も可能

方法2：アプリケーションレイヤーでの暗号化

  • TLS/SSL等を使用してアプリケーション層で暗号化
  • Direct Connectは暗号化なしで透過的に転送

冗長構成の考慮点

本番環境では、単一障害点を避けるため冗長構成を検討してください。

推奨される冗長構成：

  • 2つの異なるDirect Connectロケーション（例：Equinix TY2とEquinix OS1）
  • 各ロケーションに1つ以上のHosted Connection
  • 各Hosted ConnectionにPrivate VIFを作成
  • BGPのLocal Preferenceやas-path prependで優先経路を制御

AWSの推奨構成では、異なるロケーションに最低2つの接続を設けることが推奨されています。これにより、ロケーション障害やパートナー障害に対応できます。

1つのHosted Connectionに1つのVIF制約への対処

前述の通り、Hosted Connectionでは1つのVIFしか作成できません。この制約を踏まえて設計する必要があります。

対処方法1：Direct Connect Gatewayを使う

複数VPCに接続する必要がある場合、Private VIFの接続先としてDirect Connect Gatewayを選択すれば、1つのVIFで最大10個のVPCに接続できます。

対処方法2：複数のHosted Connectionを契約

Private VIFとPublic VIFの両方が必要な場合や、異なるBGP設定が必要な場合は、パートナーから複数のHosted Connectionを発行してもらう必要があります。

対処方法3：Dedicated Connectionへの移行を検討

将来的に多数のVIFが必要になる見込みがある場合、最初からDedicated Connection（1Gbps、10Gbps）を検討することも選択肢です。Dedicated Connectionでは最大51個のVIFを作成でき、LAGによる帯域拡張も可能です。

終わりに

本記事では、APNパートナーからのHosted Connectionを受け入れ、Private VIFを作成してオンプレミス環境とAWS VPCを接続する手順を解説しました。

重要なポイントをまとめます：

  • Hosted ConnectionとDedicated Connectionは、VIF作成数やポート専有性で大きく異なる
  • 1つのHosted Connectionには1つのVIFしか作成できないという制約を理解する
  • 複数VPCへの接続にはDirect Connect Gatewayが有効
  • BGP設定とルーティング設定を正しく行うことで、安定した接続が実現できる
  • 本番環境では冗長構成と暗号化を検討する

次のステップ

基本的な接続が確立できたら、以下のステップに進むことを推奨します：

  1. 監視とアラート設定：CloudWatchでBGPステータス、データ転送量、接続状態を監視
  2. 冗長構成の実装：異なるロケーションへの2つ目のHosted Connectionを追加
  3. 暗号化の検討：Site-to-Site VPNとの併用で暗号化を実現
  4. 災害対策計画：Direct Connect障害時のフェイルオーバー手順を整備

AWS Direct Connectを活用して、安定した低遅延のハイブリッドクラウド環境を構築してください。

参考文献・参考サイト

AWS公式ドキュメント

0
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?