Direct ConnectとVPN

このレッスンでできるようになること。オンプレミスと AWS をつなぐ要件を、帯域の安定性、専用性、そして「いつまでに必要か」の 3 点から Direct Connect と VPN に振り分けられるようになります。

要件の文から入る

ある企業がデータセンターの基幹システムを残したまま、AWS へ分析基盤を作ります。毎日大量のデータを AWS へ送るため「安定した帯域と一定のレイテンシーが必要」と書かれています。一方で「移行は来月から始めたい」とも書かれています。何を選びますか。

この問題は 2 段構えで読みます。安定した帯域という要件語は Direct Connect を指します。専用線なのでインターネットの混雑に左右されません。しかし Direct Connect は物理回線の敷設が要るので、開通までに時間がかかります。だから正解は「まず Site-to-Site VPN で始め、Direct Connect の開通後に切り替える」という組み合わせになります。すぐ必要なら VPN、恒久的な帯域なら Direct Connect、その両方が要件に混ざっているなら併用という型を覚えます。

線引き

暗号化の行が引っ掛けによく使われます。Direct Connect は専用線ですが、それ自体は暗号化の仕組みではありません。「転送中のデータを暗号化すること」と明記されていたら、Direct Connect だけでは足りず、上に VPN を通すか MACsec のような手段を検討する、という読み方をします。

冗長化の行も同じくらい出ます。Direct Connect を 1 本引いただけの構成は単一障害点です。最も低コストで冗長性を確保するという言い回しなら、2 本目の Direct Connect ではなく、バックアップとしての VPN が答えになります。逆に障害時も同じ帯域を維持するなら 2 本目の Direct Connect です。ここはコストと性能のどちらが要件語かで割れます。

集約する場合

つなぐ先の VPC が複数ある場合は、前のレッスンの Transit Gateway が効きます。Direct Connect ゲートウェイや Transit Gateway に寄せれば、VPC ごとに接続を作らずに済みます。「複数 VPC とオンプレミスをまとめて接続し、管理を簡素化したい」という文が出たら、この形です。

要件語から構成への対応表

よくある引っ掛け

1 つめは、「安定した帯域」と「今週中に開通」が同時に書かれた問題で、Direct Connect 単独を選んでしまうものです。要件の片方しか満たせません。時間の制約語を見落とさないことです。

2 つめは、大量データの一度きりの移行に Direct Connect を引く案です。継続的な接続が要らないなら、回線を引くより Snow 系のデバイスで送るほうが速くて安い場合があります。「継続的に」なのか「一度だけ」なのかを読み分けます。

まとめ

• 安定した帯域と低レイテンシーの要件語は Direct Connect です
• すぐ使える、短期間、初期費用を抑えるなら Site-to-Site VPN です
• 両方の要件が混ざったら、VPN で始めて Direct Connect へ切り替える併用が答えです
• Direct Connect は既定で暗号化されません。暗号化必須なら VPN を重ねます
• 冗長性はコスト要件なら VPN バックアップ、帯域維持要件なら 2 本目の Direct Connect です