Site-to-Site VPNの設計 静的とBGP・ECMP・Accelerated VPN・Private IP VPNを要件から選ぶ

ANS-C01では、Site-to-Site VPNを「つなぐ」だけでなく、帯域・冗長性・経路品質・暗号化の要件に応じて構成を選ぶ力が問われます。VPNの基本構造と4つの拡張オプションを整理し、Direct Connectとの組み合わせまで見通せるようにします。

覚え方は「終端・経路・帯域・品質」の4つの観点

終端＝AWS側を仮想プライベートゲートウェイ(VGW)にするかTransit Gatewayにするか、経路＝静的ルートかBGPか、帯域＝1本のVPN接続(2トンネル)で足りるかECMPで束ねるか、品質＝インターネット区間の遅延やジッターを改善する必要があるか、で構成が決まります。

基本構造：1接続=2トンネル

Site-to-Site VPN接続は常に2本のIPsecトンネルで構成され、AWS側は異なるエンドポイントで終端するため、片方の障害時にもう片方へ切り替わります。トンネルあたりの帯域は約1.25Gbpsで、両方のトンネルを同時に使うにはBGPとECMPが必要です。カスタマーゲートウェイデバイスが1台だと拠点側が単一障害点になるため、拠点に2台置いて2つのVPN接続(4トンネル)にするのが冗長構成の定番です。

静的ルーティングとBGP

静的ルーティングは拠点側にBGP対応機器がない小規模拠点向けで、経路の追加は手作業になります。BGPを使うと経路の自動交換とフェイルオーバーが可能になり、「拠点のネットワーク追加時に設定変更をなくしたい」「Direct Connectをメインにし、VPNをバックアップにしたい」という要件はBGP一択です。DXとVPNで同じプレフィックスを広告した場合、AWS側は既定でDirect Connectを優先するため、拠点側でもDX経由を優先するようにローカルプリファレンスやAS PATHを調整します。

帯域を増やす：Transit GatewayとECMP

VGWではECMPが使えませんが、Transit GatewayのVPNアタッチメントではECMPを有効化でき、複数のVPN接続のトンネルへ同時に負荷分散して帯域を合算できます。「VPNで5Gbps以上必要」という要件は、Transit Gateway+BGP+ECMPで複数接続を束ねる構成が答えです。ただしECMPはフロー単位の分散なので、1つの大きなフローは1トンネルの上限に縛られます。

品質と暗号化：Accelerated VPNとPrivate IP VPN

Accelerated Site-to-Site VPNはGlobal Acceleratorのエッジでトンネルを終端し、インターネット区間を最短にして遅延を安定させます。Private IP VPNは、Direct Connectのトランジット仮想インターフェイス上にプライベートIPでIPsecトンネルを張り、「専用線の通信も暗号化が必要」というコンプライアンス要件をパブリックIPを使わずに満たします。MACsecがレイヤー2の暗号化であるのに対し、こちらはレイヤー3のIPsecという違いも押さえておきましょう。

チェックリスト

• ARRAY(0xa00042b90)

まとめ

VPNは「終端・経路・帯域・品質」の4観点で整理し、拡張オプションの多くがTransit Gateway前提であることを押さえておきましょう。 理解度の確認にはクイズが便利です。試験範囲や申し込みの最新情報はAWS認定 公式ページもあわせて確認してください。