017-AWS SAP AWS 「理論・実践・一問道場」 Direct Connect Gateway

type

status

date

slug

summary

理論

AIFとは

AWS VIF（Virtual Interface）は、会社側に設置するものです。具体的には、AWS Direct Connectを使用して、企業のオンプレミスネットワーク（例えば、データセンターやオフィス）とAWSを接続するための仮想インターフェースです。

設置場所についての説明

1. 会社側（オンプレミス）の設置

VIFの管理と設定は、主に企業側のネットワーク機器（ルーターやファイアウォール）で行います。

役割: 企業のオンプレミスネットワーク（例えば、データセンターやオフィス）とAWS Direct Connectの接続を確立します。企業側でVIFを作成し、AWSとの通信経路を設定します。

接続する先

VIF（Virtual Interface）を使用して接続する先としてゲートウェイを指定します。具体的には、AWS側で設定するゲートウェイは、以下のいずれかのものです：

1. プライベートVIFの場合（Private Virtual Interface）

指定するゲートウェイ: 仮想プライベートゲートウェイ（VGW）

役割: 仮想プライベートゲートウェイ（VGW）は、AWS VPC内のリソースとオンプレミスネットワークを接続するためのゲートウェイです。Private VIFを設定すると、VIFはこのVGWを介してVPC内のリソースと接続されます。
設定方法: AWS側で仮想プライベートゲートウェイを作成し、Direct ConnectのPrivate VIFに接続します。

フロー:

オンプレミスネットワーク → VIF（AWS Direct Connect） → 仮想プライベートゲートウェイ（VGW） → VPC内のリソース（EC2、RDSなど）

2. パブリックVIFの場合（Public Virtual Interface）

指定するゲートウェイ: AWSのパブリックエンドポイント

役割: パブリックVIFを設定すると、VIFはAWSのパブリックサービス（S3、DynamoDB、SNSなど）に接続されます。ここでは特定の「ゲートウェイ」という名前のゲートウェイを指定するのではなく、パブリックサービスのエンドポイントが利用されます。
設定方法: AWS側でPublic VIFを作成し、AWSのパブリックサービスにアクセスできるように設定します。

フロー:

オンプレミスネットワーク → VIF（AWS Direct Connect） → AWSパブリックサービス（S3、DynamoDBなど）

3. トランジットVIFの場合（Transit Virtual Interface）

指定するゲートウェイ: Transit Gateway（TGW）

役割: Transit VIFは、AWSのTransit Gateway（TGW）を使って複数のVPCやオンプレミスネットワークを接続するために使用されます。Transit Gatewayを利用することで、複数のVPCや外部ネットワークを集約して効率的に通信を行うことができます。
設定方法: AWS側でTransit Gatewayを作成し、VIFをTransit Gatewayに接続します。

フロー:

オンプレミスネットワーク → VIF（AWS Direct Connect） → Transit Gateway（TGW） → 複数のVPCや他のネットワーク

まとめ

Private VIFの場合は、仮想プライベートゲートウェイ（VGW）を指定します。

Public VIFの場合は、AWSのパブリックサービスのエンドポイントを指定します。

Transit VIFの場合は、Transit Gateway（TGW）を指定します。

VIFの種類に応じて、接続先のゲートウェイが異なるため、目的に応じて適切な設定を行うことが重要です。

AWS Direct Connect と Site-to-Site VPN

以下は AWS Direct Connect と Site-to-Site VPN の主要な違いと共通点を整理した表です。

特徴	AWS Direct Connect	Site-to-Site VPN
接続方法	専用線（物理的な接続）を使用	公共インターネットを使用
接続の安定性	高い安定性と低遅延	インターネット接続に依存するため、安定性は変動する
仮想インターフェイス（VIF）	プライベートVIF を使用（専用線接続）	VPN VIF を使用（インターネット経由）
帯域幅	高速（最大100Gbpsまで対応）	通常はインターネット回線の帯域幅に依存
データ転送のセキュリティ	高いセキュリティ（暗号化なし、専用線での通信）	高いセキュリティ（IPsecでの暗号化）
接続先範囲	単一リージョンまたは複数リージョンへの接続が可能	主に1つのVPCへの接続が可能
コスト	高め（専用線のコストがかかる）	比較的安価（インターネット経由のため）
冗長性	冗長性を持たせるためには、複数のDirect Connect接続を設定	VPN接続に冗長性を持たせるには、複数のVPNゲートウェイ設定が必要

共通点

両者とも、オンプレミスと AWS 間の安全な通信を提供します。

両方とも、仮想インターフェイス（VIF）を使用して通信を設定し、AWS に接続します。

違い

AWS Direct Connect は専用線接続を使用し、物理的な接続による安定性と高帯域幅が特徴です。一方、Site-to-Site VPN はインターネット経由で接続するため、VPNの暗号化を使用して安全性を確保しますが、インターネットの状態によって安定性が変動する可能性があります。

[新機能] AWS Direct Connect Gatewayで世界中のAWSリージョンとプライベート接続する | DevelopersIO

ども、大瀧です。 AWSクラウドとオンプレミスを閉域で接続するAWS Direct Connectに大型アップデートがあり、新しい機能としてDirect Connect Gatewayが追加されました。

https://dev.classmethod.jp/articles/direct-connect-gateway/

実践

Site-to-Site VPNとよく似ているから、Site-to-Site VPNで練習してみましょぅ！

クラウド技術の共有 | AWS Site-to-Site | みなみの風物詩

自分らしく未来へ

https://notion-next-theta-gray.vercel.app/%E3%83%86%E3%82%AF%E3%83%96%E3%83%AD%E3%82%B0/abc688d9-b7be-4658-abd1-77fb1144050f

一問道場

背景

企業は 1本のAWS Direct Connect（1 Gbps接続） を使い、1つのリージョンにあるVPCとオンプレミスを接続しています。

現在、1つのプライベート仮想インターフェイス（VIF）を使っています。

要件

冗長性を持たせるために、同じリージョン内で 新しいDirect Connect接続 を追加する。

今後、他のリージョンにも接続を拡張できるようにする。

複数リージョン対応 が可能な設計が必要。

選択肢の内容

A: Direct Connect Gatewayを使用する方法

Direct Connect Gatewayを作成する。

既存のプライベートVIFを削除 し、新しいDirect Connect接続を作成。

それぞれの接続に 新しいプライベートVIF を作成し、Direct Connect Gatewayに接続する。

最後にDirect Connect GatewayをVPCに接続。

B: 既存の構成を維持して追加接続を行う方法

既存のプライベートVIFはそのまま使用する。

新しいDirect Connect接続 を作成し、そこに新しいプライベートVIFを設定。

VPCに接続する。

C: パブリックVIFを利用する方法

既存のプライベートVIFを維持。

新しいDirect Connect接続 を作成し、そこに パブリックVIF を設定。

VPCに接続する。

D: Transit Gatewayを使用する方法

Transit Gatewayを作成 する。

既存のプライベートVIFを削除 し、新しいDirect Connect接続を作成。

両方の接続に 新しいプライベートVIF を設定し、Transit Gatewayに接続。

Transit GatewayをVPCに関連付ける。

解説

この問題の解説では、求められている要件と各選択肢を照らし合わせていきます。

問題の要件

冗長性の追加: 既存の 1 Gbps の Direct Connect 接続に加えて、冗長の接続を追加する必要があります。

複数のリージョンへの接続: 今後のリージョン拡張を見越して、複数のリージョンへの接続が可能なソリューションが求められています。

各選択肢の解説

A. Direct Connect ゲートウェイを使用

概要: Direct Connect ゲートウェイをプロビジョニングし、両方の接続（元の接続と新しい接続）をこのゲートウェイに接続する方法です。このゲートウェイは、複数の VPC やリージョンに接続するためのソリューションであり、拡張性を提供します。

解説:

冗長性: 2つの Direct Connect 接続を使って冗長性を確保できます。
複数リージョン対応: Direct Connect ゲートウェイを使用することで、異なるリージョンにある VPC への接続が可能です。
この方法は要件を満たしており、最適な解決策です。

B. 新しいプライベート仮想インターフェースを作成

概要: 既存の接続にプライベート仮想インターフェースを維持し、新しい接続に別のプライベート仮想インターフェースを作成して単一の VPC に接続する方法です。

解説:

冗長性: 2つの接続で冗長性を提供しますが、1つのリージョン内での接続に限られます。
複数リージョン対応: 複数リージョンに接続するための機能はなく、このソリューションは将来のリージョン拡張には適していません。
この選択肢は、冗長性のためには有効ですが、複数リージョンには対応できません。

C. 新しいパブリック仮想インターフェースを作成

概要: 既存の接続にプライベート仮想インターフェースを維持し、新しい接続にパブリック仮想インターフェースを作成して単一の VPC に接続する方法です。

解説:

冗長性: 2つの接続で冗長性を提供しますが、パブリック仮想インターフェースを使うことは、VPC への直接接続には適しません。
複数リージョン対応: 複数リージョンへの接続には対応していません。パブリックインターフェースは通常、インターネット接続や AWS サービスへのアクセスに使用されますが、VPC への接続には適していません。
この方法は要件に適していません。

D. トランジットゲートウェイを使用

概要: トランジットゲートウェイを使用して、2つの Direct Connect 接続を接続し、その後それを VPC に関連付ける方法です。

解説:

冗長性: 2つの接続で冗長性を確保できますが、トランジットゲートウェイは通常、VPC 間接続や複数 VPC を統合するために使用されます。
複数リージョン対応: トランジットゲートウェイは、VPC 間接続を簡素化するためのツールですが、Direct Connect 接続の冗長性や複数リージョン対応には特に強みはありません。リージョンを越えた接続を作成する場合には、Direct Connect ゲートウェイの方が適しています。
この方法も冗長性を提供しますが、複数リージョン対応の観点では最適ではありません。