Direct Connectの設計 専用接続・ホスト型接続・VIF・LAG・MACsecを要件から選ぶ

ANS-C01を目指す方向けに、AWS Direct Connect(DX)の構成要素を要件から選ぶ考え方を整理します。試験では帯域・接続先・暗号化・回復性という要件を読み取り、接続種別と仮想インターフェイスの組み合わせを正確に選ぶ力が問われます。

覚え方：3つの層で考える

DXは「物理(専用かホスト型か、LAG、MACsec)」「論理(パブリック・プライベート・トランジットの3種のVIF)」「接続先(VGW、DX Gateway、Transit Gateway)」の3層に分けると整理できます。

物理層：専用接続とホスト型接続

専用接続(Dedicated)はAWSから直接1・10・100・400Gbpsのポートを借りる形で、ホスト型接続(Hosted)はDXパートナー経由で50Mbpsから25Gbpsまでの帯域を借ります。「1Gbps未満で十分」「パートナーの回線をすぐ使いたい」ならホスト型、「10Gbps超」「複数VIFを1接続に収容したい」なら専用接続です(ホスト型接続はVIFが1つ)。LAGは同じ速度の専用接続を最大4本束ねて帯域を増やし、MACsecは10・100Gbpsの専用接続でレイヤー2を暗号化します。

論理層：VIFの3種類

パブリックVIFはS3やDynamoDBなどのパブリックエンドポイントへ、AWSのパブリックIPアドレス空間を経由して接続します(全リージョンのパブリックサービス)。プライベートVIFはVPCへ、VGWまたはDX Gateway経由で接続します。トランジットVIFはDX Gatewayを介してTransit Gatewayへ接続し、多数のVPCへ1本で到達できます。1つのDX Gatewayに関連付けられるVGWは最大20、Transit Gatewayは最大6(いずれもクォータ)である点が引っかけとして出ます。

接続先と回復性

単一のDXは冗長性がないため、本番では最低でも2ロケーション×2接続(最大回復性は各ロケーション2本ずつ)か、コストを抑えるならDX＋Site-to-Site VPNのバックアップ構成にします。BGPのローカルプリファレンスやAS PATHプリペンドで優先経路を制御し、BFDでフェイルオーバーを高速化します。VPNバックアップではDXの経路が常に優先される点も覚えておきましょう。

チェックリスト

• 専用接続とホスト型接続の帯域とVIF数の違いを説明できる
• 3種類のVIFと接続先(VGW・DX Gateway・TGW)の対応を描ける
• LAGの条件(同速度・同ロケーション・最大4本)を言える
• MACsecが使える接続種別と帯域を知っている
• 回復性モデル(2ロケーション、VPNバックアップ、BFD)を設計できる

まとめ

DXは「物理・論理・接続先」の3層で選びます。帯域と暗号化から物理層を、宛先の種類からVIFを、VPC数とリージョン数から接続先を決める、という順序で問題を解きましょう。

クイズで理解度を確かめ、最新の出題範囲はAWS認定 公式ページで確認しておきましょう。