基本概念

Virtual Private Gateway

オンプレミスネットワークとAWSのVPCを接続するためのVPN接続の終端ポイント

主な用途

Customer Gateway（オンプレ側機器）とIPSec VPNトンネルを張ります

メリット

AWS標準の機能で簡単に導入可能
冗長構成はAWS側で自動提供
Direct Connectとの併用可能

デメリット

インターネット経由なので遅延・帯域制限あり
VPC単位の接続（Transit Gatewayなしでは複数VPC直結不可）

用語	概要	違い
Virtual Private Gateway	AWS側のVPN終端	VPCにアタッチされる
Customer Gateway	オンプレ側のVPNデバイス	顧客側が用意する
Transit Gateway	複数のVPCやオンプレ接続を集約するハブ	スケーラブルなネットワーク構成向け

IPSec VPN

インターネットのような公共ネットワーク上で、暗号化された安全な通信トンネルを確立する技術

IPSec（IP Security）は、IPパケットの暗号化と認証を行うプロトコル群の総称
VPN（Virtual Private Network）は、仮想的に専用線のような安全な通信経路を作る技術

主な利用用途

モード	説明	用途
トランスポートモード	IPパケットのペイロードだけを暗号化	クライアント-サーバ間の通信
トンネルモード	IPパケット全体を暗号化して新しいIPヘッダを付与	拠点間VPN（Site-to-Site）

メリット

高いセキュリティ（暗号化＋認証）
公衆インターネット上でも安全に通信可能
WANコスト削減（専用線不要）

デメリット

暗号化による通信遅延
NAT環境では追加設定（NAT-T）が必要
帯域は専用線より低い

Site-to-Site VPN

AWSとオンプレミスネットワーク間をIPsec VPNで常時接続するサービス

主な用途

オンプレとAWS間のセキュアな接続（常時接続）

メリット

専用線不要で低コスト
AWS標準で設定しやすい
冗長性（AWSは2本のトンネル提供）

デメリット

インターネット品質依存
大規模トラフィックには不向き

Public VIF

Direct ConnectでAWSのパブリックサービス（S3、DynamoDBなど）にアクセスする仮想インターフェース

主な用途

Direct Connect経由でパブリックサービスへ高速・安定接続

メリット

インターネットより低遅延・高信頼
帯域が安定
セキュリティ強化（経路制御）

デメリット

接続先はパブリックサービスに限定
Private VIFのようにVPC内部には直接アクセス不可

Private VIF

Direct ConnectでAWSのVPC（プライベートIP空間）にアクセスする仮想インターフェース

主な用途

Direct Connect経由でVPC内のプライベートサブネットへ高速・安定接続

メリット

インターネットを経由せず低遅延・高信頼
大容量データ転送に適し、帯域をフルに活用可能
閉域網通信でセキュリティリスクが低い（IPSec VPN不要）
シンプルな経路（BGPで直接経路交換）

デメリット

導入にDirect Connect回線契約と物理接続が必要
暗号化は標準で行われない（必要ならMACsecやアプリ層暗号化）
DX障害時のバックアップ経路は別途構築が必要（Site-to-Site VPNなど）

Direct Connect Location

AWS Direct Connectが利用可能な物理拠点（データセンター）

主な用途

AWSと専用線で接続するための中継地点

メリット

低遅延・高帯域・安定性
セキュリティ（専用回線利用）

デメリット

拠点までの物理回線費用が高い
設備利用可能なロケーションが限定される

Direct Connect Router

Direct Connect拠点でAWSネットワークと物理的に接続するルータ

主な用途

専用線経由でAWSのVPCやサービスと通信

メリット

AWS直結で安定性高い
高速通信可能

デメリット

導入・維持コスト高
柔軟性はVPNより劣る（即座な経路変更が難しい）

Customer Router

Direct Connect Locationに設置される、顧客側の物理ルータ

主な用途

Direct Connect Routerと物理接続し、顧客ネットワークへトラフィックを渡す

メリット

顧客側でルーティング制御可能
高速な専用線通信

デメリット

ハードウェア購入・運用が必要
障害時は現地対応が必要

Direct Connect

AWSとオンプレを専用回線で接続するサービス

主な用途

大容量・低遅延でAWSにアクセス

メリット

高速・安定・低遅延
インターネットを経由しない高セキュリティ

デメリット

導入・運用コスト高
開通までのリードタイムが長い

Customer Gateway

オンプレ側のVPN終端装置（物理または仮想）

主な用途

Virtual Private GatewayとIPSec VPNトンネルを張る

メリット

自社側でVPN制御可能
AWS標準に対応しやすい

デメリット

設定・運用は顧客側で行う必要あり
機器の性能に依存

Customer Network

顧客のオンプレミスネットワーク（社内LANやデータセンター）

主な用途

AWSとの通信対象となる業務システムやユーザー端末が存在

メリット

既存システムをAWSと連携可能
ネットワーク構成を自由に設計

デメリット

回線品質・構成変更の影響を受けやすい
AWS接続時はルート・セキュリティ調整が必要

Client

顧客ネットワークまたはAWS内リソースへアクセスする利用者（PCやモバイル）

主な用途

業務システム利用やデータアクセス

仕組み

Site-to-Site VPN＋Public VIF

VPNトンネルの物理経路が専用線になり、インターネット経由VPNより安定。暗号化も継続

IPSec VPNの範囲：Virtual Private Gateway～Site-to-Site VPN
Public VIFの範囲(オレンジの線)：Site-to-Site VPN～Direct Connect Router
Direct Connectの範囲(緑の線)：Direct Connect Router～Customer Gateway

Private VIF

VPNはインターネット経由のバックアップ回線として使用。本番経路は暗号化なしの閉域網通信で高速・低遅延

Private VIFの範囲(オレンジの線)：Virtual Private Gateway～Direct Connect Router
Direct Connectの範囲(緑の線)：Direct Connect Router～Customer Gateway

Site-to-Site VPN＋Public VIFとPrivate VIFの違い

接続方式	IPSec VPN	暗号化
Public VIF + Site-to-Site VPN	必須	公開IP間をIPSecで暗号化
Private VIF	不要（任意）	DXは閉域網、暗号化はMACsecやTLS等で必要に応じ実装

選択場面

条件	Public VIF型が有利	Private VIF型が有利
暗号化要件	DX経路でも暗号化必須	アプリ層やMACsecで対応可能
本番経路	VPNを本線で使いたい	DXを本線、VPNは冗長回線
性能	中〜高（VPN装置性能依存）	高（DX帯域フル活用）
導入難易度	VPN設定が必須	DXとBGP設定がメイン

Public VIF型：金融業界など、閉域網でも通信暗号化が義務づけられている環境
Private VIF型：大容量データ転送や低遅延が最優先の分析基盤、映像配信など

おまけ：障害時の冗長化例

Public VIF型・Private VIF型いずれの場合も、Direct Connectが障害になった場合に備えて、インターネット経由のSite-to-Site VPNをバックアップ経路として追加できます。
経路切替はBGPの優先制御などで自動化でき、通常時はDX経路、障害時はVPN経路を利用する構成が可能です。
なお、VPNバックアップを構築していない場合、DX障害時にはVPCへのプライベート通信は停止します。

※今回は図には含めていませんが、要件に応じてこのような冗長化構成を追加可能です。

まとめ

Public VIF＋Site-to-Site VPNは閉域網でもIPSec暗号化が必須な環境に向き、Private VIFはDXを本線として大容量・低遅延通信を実現します。どちらもDirect Connect障害時にはインターネット経由VPNを冗長経路として組み合わせる構成が有効です。