VPC間接続の設計 ピアリング・Transit Gateway・PrivateLinkを使い分ける

ANS-C01では「複数のVPCをどうつなぐか」が中心テーマのひとつです。3つの選択肢はどれも通信を実現しますが、接続の数・CIDRの重複・公開したい範囲という条件によって正解が入れ替わります。ここでは判断の分岐を明確にします。

覚え方は「接続数・CIDR重複・公開の粒度」の3つの観点

VPCが数個で全対全の通信が必要ならピアリング、10個を超えて拡大していくならTransit Gateway、CIDRが重複していたり「特定のサービスだけ見せたい」ならPrivateLink、という分岐です。特にCIDR重複はピアリングとTransit Gatewayの両方が使えない決定的な条件なので、問題文に「IPアドレス範囲が重複している」とあれば即座にPrivateLinkを疑ってください。

VPCピアリング

2つのVPCを1対1で接続します。転送料金以外の時間課金がなく低コストで、帯域の制約もありません。ただし推移的ルーティングができないため、AとB、BとCをつないでもAとCは通信できません。n個のVPCを全対全でつなぐには n×(n-1)÷2 本必要で、10VPCなら45本、20VPCなら190本とルートテーブルの管理が破綻します。使いどころは、本番VPCと監視VPCのように接続先が2つか3つに固定される構成です。

AWS Transit Gateway

ハブアンドスポーク型の中継点で、VPC・VPN・Direct Connect Gatewayをアタッチして一元的にルーティングします。ルートテーブルを複数持てるため、「本番系と開発系は相互に通信させない」といったセグメント分離も表現できます。使いどころは、アカウントとVPCが継続的に増える組織のネットワーク基盤。RAMで共有すれば各アカウントから自分のVPCをアタッチできます。アタッチメント時間課金とデータ処理課金がかかる点は要件のコスト条件と照らして判断します。

AWS PrivateLink（インターフェイスエンドポイント）

提供側がネットワークロードバランサーの前にエンドポイントサービスを作り、利用側はVPC内にENIを作って接続します。ネットワーク同士をつなぐのではなく特定のサービス1つだけを一方向に公開するため、CIDRが重複していても成立し、攻撃面も最小になります。使いどころは、SaaS事業者が顧客VPCへサービスを提供する場合や、買収した企業とアドレス設計が衝突している場合です。

チェックリスト

• n個のVPCを全対全でつなぐピアリング数を計算して管理限界を説明できる
• Transit Gatewayのルートテーブルとアソシエーション、プロパゲーションの関係を説明できる
• PrivateLinkがCIDR重複を許容する理由をENIの仕組みから説明できる
• Transit Gatewayをアカウント間で共有する手段（RAM）を知っている
• ゲートウェイエンドポイント（S3・DynamoDB）とインターフェイスエンドポイントの違いを区別できる

まとめ

VPC間接続は「重複しているか、増え続けるか、全体か一部か」の3問に答えるだけで選択肢が1つに絞れます。図でハブアンドスポークとメッシュを描き分けられるようにしておくと、本番でも判断が速くなります。 理解度の確認にはクイズが便利です。試験範囲や申し込みの最新情報はAWS認定 公式ページもあわせて確認してください。