Direct Connect と VPN

このレッスンを終えると、オンプレミスの環境と AWS をつなぐ2つの方式を、要件の文から選べるようになります。

社内からサーバーへつないだときのこと

社内にサーバーを置いていた頃、外出先から社内ネットワークへ入るには VPN クライアントを立ち上げていたはずです。インターネットという公衆回線の上に暗号化されたトンネルを1本掘り、その中を通ることで社内 LAN にいるのと同じように扱えました。回線そのものは他の通信と共用なので、混雑すれば遅くなり、速度は保証されません。

もうひとつ、拠点間を専用線でつないだ会社もあります。通信事業者から物理的な回線を借り、自社だけで使うので速度が安定し、遅延も一定になります。そのぶん開通までに時間がかかり、費用も高くなります。

AWS とオンプレミスをつなぐ選択肢は、この2つとまったく同じ構図になっています。

AWS Site-to-Site VPN

AWS Site-to-Site VPN は、インターネット経由で暗号化されたトンネルを張り、オンプレミスの拠点と VPC をつなぐサービスです。既存のインターネット回線をそのまま使うので、短時間で使い始められて費用も抑えられます。ただし通ってくる道は公衆回線なので、帯域や遅延は他のトラフィック次第で変動します。

AWS Direct Connect

AWS Direct Connect は、データセンターやオフィスから AWS へ専用線で直接つなぐサービスです。インターネットを経由しないため、帯域と遅延が安定し、大量のデータを継続的に流す用途に向きます。インターネットに出さないこと自体が要件になる場合にも選ばれます。一方で物理的な回線の手配が要るので、開通までに時間がかかり、コストは高くなります。

比べる

実務では両方を併用し、通常は Direct Connect を使い、障害時のバックアップとして VPN を残す構成がよく取られます。CLF でもこの組み合わせが「冗長性を持たせたい」という文脈で出ます。

物理的にデータを送る選択肢

回線とは別に、一度きりで数十テラバイト級のデータを移すなら、AWS Snowball のようなデバイスにデータを入れて物理的に輸送する方法もあります。回線で流すより速く終わる場合があるという発想で、移行の文脈で顔を出します。継続的な接続の話とは別物なので、混同しないようにします。

試験ではこう出る

言い換えのパターンは次のとおりです。

• 「専用線」「インターネットを経由しない」「一貫したネットワーク性能」「安定した帯域」 — Direct Connect
• 「すぐに接続したい」「低コストでつなぎたい」「暗号化されたトンネル」 — Site-to-Site VPN
• 「Direct Connect のバックアップとして何を使うか」 — Site-to-Site VPN
• 「一度だけ大量のデータを移行したい」 — Snowball などのデバイス

引っ掛けとして、「安定した性能が必要」という要件に対して VPN を選ばせる選択肢がよく置かれます。VPN でも接続はできてしまうため実現可能に見えますが、公衆回線を通る以上は性能が保証されないので不適切です。逆に「今日中につなぎたい」に Direct Connect を選ぶのも、回線手配の時間を無視しているので誤りになります。

まとめ

• Site-to-Site VPN はインターネット上の暗号化トンネル。安く速く始められるが性能は変動する
• Direct Connect は専用線。安定した帯域と遅延が得られるが、時間とコストがかかる
• 性能の一貫性という語が出たら Direct Connect、迅速さと低コストなら VPN
• 両方を組み合わせて冗長化する構成も定番として問われる