概要
オンプレミス環境と AWS を接続する方法として VPN が一般的ですが、大容量のデータ転送や低レイテンシーが求められる場合、インターネット回線を経由する VPN では帯域幅やネットワーク品質が不安定になることがあります。
AWS Direct Connect は、オンプレミスのデータセンターと AWS の間に専用のネットワーク接続を確立するサービスです。インターネットを経由せずに AWS と通信できるため、安定した帯域幅、低レイテンシー、一貫したネットワーク品質を実現します。
本記事では、Direct Connect の基本概念とアーキテクチャを理解し、コンソール上で接続やインターフェイスの構成要素を確認します。なお、Direct Connect は物理的な回線敷設を伴うサービスのため、本記事では概念の理解とコンソール操作の確認に重点を置いています。
クラウドおさる今回は専用回線で AWS とつなぐ Direct Connect を、コンソールの画面から確かめていくでござる。回線そのものは引かずに、どの部品がどうつながるのかを見るのが目的でござるな。
この記事のメリット
- Direct Connect の物理接続の仕組みとアーキテクチャを理解できる
- 接続タイプ（専用接続とホスト接続）の違いを把握できる
- 仮想インターフェイス（VIF）の種類と用途を理解できる
- Direct Connect ゲートウェイを使った複数リージョン・VPC への接続パターンを把握できる
- VPN 接続との使い分けや冗長構成の考え方を理解できる
執筆者とキャラクター紹介
執筆者：土肥（とひ）
株式会社ジェニュインの代表であり元エンジニア。これまでオンプレミスと AWS 環境のインフラ業務を担当。AWS 認定資格の学習で得た知識を、ハンズオンとともに解説するのが得意。直近では新人の教育も行っており、これから技術を学ぶ方が納得できる解説を心がけています。基礎編・Cloud Practitioner の記事では、解説役としても登場します。
クラウドおさる
クラウドおさるはじめましてでござる。弊猿はクラウドおさる。IT インフラが異常に発達した猿山から、雲に乗って地上の AWS を学びに降りてきたのでござる。
クラウドおさる基礎編や Cloud Practitioner の記事では、とひさんに素朴な疑問をぶつける役でござるな。Security - Specialty などの記事では、要所でワンポイントや注意点をひとこと添えるでござる。
クラウドおさる猿山にもデータセンターや監視当番があって、地上で起きることはだいたい猿山にも同じ仕組みがあるのでござる。例え話がつい猿山に寄るのは、弊猿の癖でござる。
技術解説
クラウドおさるとひさん、オンプレミスと AWS をつなぐには VPN がよく使われると聞いたでござる。Direct Connect というのは、何が違うのでござるか？
土肥VPN はインターネット回線を使って暗号化トンネルを張る方式なんだけど、Direct Connect はインターネットを通らない専用回線で AWS とつなぐサービスなんだ。AWS Direct Connect ロケーションっていうパートナーのデータセンターを経由して、物理的な接続を確立するんだよ。
クラウドおさる物理的な接続……ということは、本当にケーブルをつなぐのでござるか？ 猿山でも、隣の山のデータセンターへ専用の蔓（つる）を一本張るだけで、長老会の許可から始まってひと月がかりでござった。
土肥そのとおり。だから導入には時間がかかるけど、安定した帯域と低レイテンシーが手に入るんだ。主なユースケースとしてはこんな感じだね。
- 大容量データの安定した転送（データベースレプリケーション、バックアップ）
- 低レイテンシーが求められるリアルタイムアプリケーション
- 規制要件によりインターネット経由の通信が許可されない場合
- ハイブリッドクラウド環境での安定した接続
クラウドおさるVPN と比べると、どれくらい違うのでござるか？
土肥比較表で見るとわかりやすいよ。
| 項目 | Site-to-Site VPN | Direct Connect |
|---|---|---|
| 接続方式 | インターネット経由の IPsec トンネル | 専用回線（物理接続） |
| 帯域幅 | インターネット回線に依存 | 専用接続は 1 Gbps / 10 Gbps / 100 Gbps / 400 Gbps |
| レイテンシー | インターネット経由のため変動あり | 安定した低レイテンシー |
| 導入期間 | 数分〜数時間 | 数週間〜数か月 |
| コスト | 比較的低コスト | ポート時間料金 + データ転送料金 |
| 暗号化 | IPsec による暗号化 | お客様のルーターと Direct Connect ロケーションの間は、既定では暗号化されない（一部ロケーションの 10 / 100 / 400 Gbps 専用接続なら MACsec で暗号化できる。ホスト接続は MACsec 非対応）。ロケーションと AWS リージョンの間は AWS が物理レイヤーで暗号化する |
クラウドおさる帯域幅が最大 400 Gbps とは、すごいでござるな！ ただ、導入に数週間〜数か月かかるのは、なかなか大変そうでござる……。
土肥そうだね。物理回線だからどうしても時間はかかる。次に、Direct Connect を構成する主要なコンポーネントを押さえておこう。
| コンポーネント | 説明 |
|---|---|
| 接続（Connection） | AWS Direct Connect ロケーションでの物理接続 |
| 仮想インターフェイス（VIF） | 接続上に作成する論理的な接続。VPC やパブリックサービスへのアクセスに使用 |
| Direct Connect ゲートウェイ | 複数のリージョンや VPC への接続をまとめるゲートウェイ |
| LAG（リンクアグリゲーショングループ） | 複数の接続を束ねて帯域幅を集約する |
クラウドおさる物理的な「接続」の上に、論理的な「VIF」を作るのでござるな。接続そのものにも種類があるのでござるか？
土肥いい質問だね。接続タイプは 2 種類あるよ。
| タイプ | 帯域幅 | 説明 |
|---|---|---|
| 専用接続（Dedicated Connection） | 1 Gbps、10 Gbps、100 Gbps、400 Gbps | お客様専用の物理ポート。AWS コンソールまたは API から直接注文 |
| ホスト接続（Hosted Connection） | 50 Mbps〜25 Gbps | AWS Direct Connect パートナーが提供する接続。パートナー経由で注文 |
土肥専用接続はお客様が Direct Connect ロケーションでの物理接続（クロスコネクト）を手配する必要があるんだ。ホスト接続はパートナーが接続をプロビジョニングしてくれるから、物理接続の手配が不要だよ。
クラウドおさるホスト接続のほうが手軽に始められそうでござる。では、さっき出てきた VIF についても、もう少し教えてほしいでござる！
土肥VIF は Direct Connect 接続上に作る論理的な接続で、用途に応じて 3 種類を使い分けるんだ。
| VIF の種類 | 用途 | 接続先 |
|---|---|---|
| プライベート VIF | VPC 内のリソースへのアクセス | 仮想プライベートゲートウェイ（VGW）または Direct Connect ゲートウェイ |
| パブリック VIF | AWS パブリックサービスへのアクセス | S3、DynamoDB など（パブリックエンドポイント） |
| トランジット VIF | Transit Gateway 経由でのアクセス | Direct Connect ゲートウェイ（に関連付けた AWS Transit Gateway） |
クラウドおさるVPC のリソースにはプライベート VIF、S3 のようなパブリックサービスにはパブリック VIF、という使い分けでござるな。猿山でいえば、同じ蔓の上を通る荷物に「自分の倉庫行き」「共同の市場行き」の札を掛け分けるようなものでござろう。では、Direct Connect ゲートウェイは何のためにあるのでござるか？
土肥Direct Connect ゲートウェイは、1 つの Direct Connect 接続から複数のリージョンの VPC に接続するためのグローバルリソースなんだ。これを使わないと、各リージョンの VPC に個別の VIF が必要になってしまう。Direct Connect ゲートウェイを使うことで、こういったことが可能になるよ。
- 1 つのプライベート VIF から複数リージョンの VGW に接続
- 異なる AWS アカウントの VPC への接続（クロスアカウント）
クラウドおさる1 つの VIF で複数リージョンにつなげるのは、便利でござるな！
クラウドおさるしかし、物理回線ということは、障害が起きたら全部止まってしまうのではござらぬか……？
土肥だから冗長構成が重要なんだ。AWS では以下のレジリエンシーモデルを推奨しているよ。
| モデル | 構成 | 耐えられる障害 |
|---|---|---|
| 最大レジリエンシー | 複数のロケーションそれぞれで、別々のデバイスに終端する接続を持つ（SLA 99.99% をめざす構成） | デバイス・回線・ロケーション全体の障害 |
| 高レジリエンシー | 2 つのロケーションに 1 本ずつ接続を持つ（SLA 99.9% をめざす構成） | 回線の切断・デバイス障害・ロケーション全体の障害 |
| 開発とテスト | 1 つのロケーションで、別々のデバイスに終端する 2 本の接続を持つ | デバイス障害のみ（ロケーション障害には耐えられない。本番の重要なワークロードには向かない） |
土肥それに加えて、VPN をバックアップ回線として併用するパターンも一般的だよ。Direct Connect が落ちても VPN で通信を続けられるようにするんだ。
クラウドおさるなるほど、VPN と組み合わせる手もあるのでござるか。全体像がだいぶつかめたでござる！
実践
前提条件
- IAM ユーザーまたはロールに Direct Connect の操作権限があること
- Direct Connect はグローバルサービスとしてコンソールに表示されます（ヘッダーのリージョン表示は「グローバル」になります）
Direct Connect は物理回線の敷設を伴うサービスであり、実際の接続を完了するには Direct Connect ロケーションでのクロスコネクト手配が必要です。本ハンズオンでは、課金や回線の手配が発生しない Direct Connect ゲートウェイだけを作成し、接続と仮想インターフェイスは作成画面の構成を確認するにとどめます。
作成するリソース一覧
| リソース種別 | リソース名 | 用途 |
|---|---|---|
| Direct Connect ゲートウェイ | basic-dx-gateway | VIF と VPC 側のゲートウェイをつなぐ中継点 |
ステップ1: Direct Connect コンソールの確認
AWS マネジメントコンソールにログインし、上部の検索バーに Direct Connect と入力して、表示された「Direct Connect」を選択します。
接続がまだ無いアカウントでは、Direct Connect の開始画面が表示されます。左側ナビゲーションには、主に以下のメニューがあります。
- 接続: 物理接続の管理
- 仮想インターフェイス: VIF の管理
- LAG: リンクアグリゲーショングループの管理
- Direct Connect ゲートウェイ: ゲートウェイの管理
ほかに、仮想プライベートゲートウェイ・トランジットゲートウェイ・Resiliency groups などのメニューもあります。
ステップ2: 接続の作成画面の確認
左側ナビゲーションの「接続」を選択し、「接続を作成する」をクリックします。接続の作成は 3 ステップのウィザードになっています。
- ステップ 1（セットアップ方法）: 課金モード（Billing mode）と、冗長構成のトポロジー（Topology）を選びます。トポロジーは、技術解説で紹介したレジリエンシーモデルに当たります（ステップ 6 で確認します）
- ステップ 2（接続を設定）: ポート速度と Direct Connect ロケーション（Location）を選びます
ステップ 2 の画面で、以下を確認します。
- ポート速度: 1 Gbps〜400 Gbps の選択肢があります。1 / 10 / 100 / 400 Gbps 以外の速度を選ぶと、複数の接続を束ねた LAG として注文されます
- ロケーション: 世界中の Direct Connect ロケーションが並びます。
Tokyoで絞り込むと、東京のロケーション（AT Tokyo Chuo Data Center、Equinix TY2）が表示されます
ここでは実際の接続は作成せず、画面の構成を確認するだけにします。作成ボタンは押さずに画面を閉じます。
ステップ3: Direct Connect ゲートウェイの作成
左側ナビゲーションの「Direct Connect ゲートウェイ」を選択し、「Direct Connect ゲートウェイを作成する」をクリックします。
以下の内容を入力します。
- 名前:
basic-dx-gateway - Amazon 側の ASN:
64512（欄は空欄なので、プライベート ASN の範囲から値を入力します）
「Direct Connect ゲートウェイを作成する」をクリックします。
作成が完了すると、Direct Connect ゲートウェイの一覧に戻り、成功のメッセージが表示されます。basic-dx-gateway の状態が Available であることを確認します。
クラウドおさるDirect Connect ゲートウェイは、物理接続がまだ無くても作れたでござる。回線が届いたら、ここに VIF と VGW をつなぎ込んでいく流れでござるな。
ステップ4: 仮想インターフェイスの作成画面の確認
左側ナビゲーションの「仮想インターフェイス」を選択し、「仮想インターフェイスを作成する」をクリックします。
仮想インターフェイスの作成画面では、以下を設定します。
- 仮想インターフェイスのタイプ: プライベート、パブリック、トランジットの 3 種類（既定はプライベート）
- 仮想インターフェイス名: VIF の識別名
- 接続: VIF を関連付ける物理接続の選択
- ゲートウェイタイプ: 「Direct Connect ゲートウェイ」（推奨・既定）または「仮想プライベートゲートウェイ」
- VLAN: 802.1Q VLAN タグ
- BGP ASN: オンプレミス側ルーターの BGP ASN
物理接続が無いため、VIF を実際に作成することはできません。ここでは画面の構成だけを確認します。
ステップ5: Direct Connect ゲートウェイの関連付け確認
左側ナビゲーションの「Direct Connect ゲートウェイ」から basic-dx-gateway を選択し、「ゲートウェイの関連付け」タブを開きます。現時点では関連付けはありません。
「ゲートウェイを関連付ける」をクリックすると、関連付けの作成画面が表示されます。以下を設定する画面です。
- ゲートウェイ: 関連付ける仮想プライベートゲートウェイまたはトランジットゲートウェイを、1 つのリストから選択
- 許可されたプレフィックス（オプション）: Direct Connect ゲートウェイからオンプレミスに広告する CIDR
ここでは関連付けは作成せず、画面を閉じます。
ステップ6: 冗長構成（トポロジー）の選択肢の確認
左側ナビゲーションの「接続」から、もう一度「接続を作成する」をクリックします。ウィザードのステップ 1 にある「Topology」が、AWS Direct Connect Resiliency Toolkit の接続ウィザードで冗長構成を選ぶ部分です。
選択肢は次の 4 つです。
- Maximum resiliency（最大レジリエンシー）
- High resiliency（高レジリエンシー）
- Single-site resiliency（1 つのロケーション内での冗長。技術解説の「開発とテスト」に当たる構成）
- Single connection（接続 1 本だけ）
クラウドおさる「Single connection」は接続 1 本だけ、「Single-site」も 1 つのロケーションに閉じた構成でござる。本番の重要な通信でこれを選ぶと、回線やロケーションの障害でまとめて止まるので、要注意でござるぞ。
まとめ
- AWS Direct Connect はオンプレミスと AWS の間に専用のネットワーク接続を確立するサービスである
- VPN と比較して、安定した帯域幅、低レイテンシー、一貫したネットワーク品質を提供する
- 接続タイプは専用接続（Dedicated）とホスト接続（Hosted）の 2 種類がある
- 仮想インターフェイス（VIF）はプライベート、パブリック、トランジットの 3 種類があり、用途に応じて使い分ける
- Direct Connect ゲートウェイを使用すると、1 つの接続から複数リージョンの VPC にアクセスできる
- 本番環境では冗長構成（複数ロケーション・複数接続）が推奨される
- VPN をバックアップ回線として併用するパターンも一般的である
参照先
- AWS Direct Connect とは – AWS Direct Connect
- AWS Direct Connect 接続 – AWS Direct Connect
- AWS Direct Connect 仮想インターフェイス – AWS Direct Connect
- Direct Connect ゲートウェイ – AWS Direct Connect
- AWS Direct Connect の冗長性に関する推奨事項 – AWS Direct Connect
- AWS Direct Connect Resiliency Toolkit – AWS Direct Connect
- 専用接続 – AWS Direct Connect
- ホスト接続 – AWS Direct Connect
- MACsec を使用した AWS Direct Connect 暗号化 – AWS Direct Connect
