AWS Direct Connect — 専用線接続の基礎と設計

AWS Direct Connect（DX）は、オンプレミス環境と AWS を 専用のプライベートネットワーク接続 で結ぶサービスです。 本記事では SAA（基礎概念） と SAP（高度な設計シナリオ） の両面から、 Direct Connect の仕組みと実践的なハイブリッド接続設計を整理します。

SAA レベル：基礎概念

Direct Connect とは何か

Direct Connect はインターネットを経由せず、AWS Direct Connect ロケーション（拠点）を介して オンプレミスのネットワークと AWS を直接接続する 1 Gbps / 10 Gbps / 100 Gbps の専用回線です。

• プライベート接続: インターネットを通らないため、帯域幅が安定し遅延が低い
• 予測可能なコスト: データ転送量に応じた従量課金ではなく、ポート時間課金が基本
• VPC へのプライベートアクセス: パブリック IP を経由せず VPC のプライベートサブネットへ到達可能

物理構成の理解

Direct Connect は物理的に複数の要素で構成されます。

[オンプレミスデータセンター]
        │
        │  お客様の回線 (Last Mile)
        ▼
[DX ロケーション (APNパートナーの施設)]
        │
        │  クロスコネクト (Cross Connect)
        ▼
[AWS Direct Connect エンドポイント]
        │
        ▼
[AWS リージョン (VPC)]

構成要素	説明
DX ロケーション	AWS との接続ポイントとなるパートナーデータセンター
クロスコネクト	DX ロケーション内でのお客様回線と AWS 側ポートの物理接続
DX エンドポイント	AWS 側の論理接続端点
仮想インターフェイス (VIF)	論理的な接続設定（private / public / transit）

仮想インターフェイス (VIF) の種類

Direct Connect は 1 本の物理回線上に複数の仮想インターフェイス を作成できます。 これが SAA で重要なポイントです。

VIF 種別	接続先	代表ユースケース
Private VIF	単一 VPC の仮想プライベートゲートウェイ (VGW) または Direct Connect ゲートウェイ	VPC プライベートサブネットへのアクセス
Public VIF	AWS パブリックサービス (S3, DynamoDB 等)	インターネット経由せず AWS パブリック API へ
Transit VIF	Direct Connect ゲートウェイ経由で Transit Gateway	複数 VPC へのアグリゲーション接続

データ転送コストの挙動

Direct Connect のコストモデルは VPN と異なります。

• ポート料金: 物理ポートの時間従量（1Gbps / 10Gbps / 100Gbps）
• データ転送料金: DX ロケーションから AWS への方向 (Out) が安価
• AWS → オンプレミス方向: リージョンから DX ロケーションへの転送に別途課金

SAP レベル：高度な設計シナリオ

SAP では「単一回線の構成」ではなく、冗長化・マルチリージョン・SLA 設計 が問われます。 実環境では 1 本の DX 回線では単一障害点 (SPOF) になるため、必ず冗長構成を取ります。

Direct Connect の冗長化パターン

[オンプレミス]
    │                    │
  DX-Primary            DX-Secondary
  (ロケーション A)       (ロケーション B)
    │                    │
    └────────┬───────────┘
             ▼
       [AWS リージョン]

冗長化のキーポイント：

1. 異なる DX ロケーション を使用（ロケーション障害を回避）
2. 異なるルーター / 機材 を使用（機材障害を回避）
3. BGP マルチパス (Multipath) を有効化（AS-PATH 等の条件を合わせる）
4. ASN (Autonomous System Number) を分離（プライベート ASN 65000〜65535 を利用）

BGP による経路制御

Direct Connect は BGP を用いてルーティングを交換します。 SAP では AS-PATH Prepending や Local Preference でトラフィックを意図的に偏らせる設計が問われます。

# プライマリ経路を優先させる設定イメージ
プライマリ DX: AS-PATH = [65010]
セカンダリ DX: AS-PATH = [65020 65020 65020]   ← Prepend で劣後化

制御手法	効果	使用場面
AS-PATH Prepending	経路を意図的に長く見せ劣後化	AWS → オンプレミス方向の優先制御
Local Preference	AS 内で優先度を設定	オンプレミス → AWS 方向の優先制御
BGP Community タグ	AWS 側へ経路制御を指示	リージョン間の経路調整

Direct Connect Gateway によるマルチリージョン/VPC 接続

Private VIF は通常 1 つの VGW (仮想プライベートゲートウェイ) にしか紐付できません。 これでは複数 VPC / 複数リージョンに接続する際に回線を複数本引く必要があります。

Direct Connect Gateway (DXGW) を使うと、1 本の Private/Transit VIF を複数 VPC に接続できます。

[オンプレミス]
    │
  DX 回線 (1本)
    │
    ▼
[DX Gateway] ── VGW-VPC-A (リージョン 1)
            └── VGW-VPC-B (リージョン 2)

• DXGW は グローバルリソース（任意のリージョンの VPC に接続可能）
• 1 つの DXGW に複数の Private VIF / Transit VIF を関連付け可能
• VGW と Transit Gateway の 混在接続 もサポート

MACsec (IEEE 802.1AE) によるレイヤ 2 暗号化

セキュリティ要件が厳格な場合は、MACsec によるリンク層暗号化を有効化します。

CloudWatch メトリクスによる監視

Direct Connect の稼働監視は CloudWatch で行います。SAP では以下のメトリクスを必ず監視対象に入れます。

メトリクス	意味	設計論点
ConnectionState	1=Up, 0=Down	回線断の即時検知
ConnectionBpsEgress/Ingress	ビットレート	帯域枯渇の予兆検知
ConnectionPpsEgress/Ingress	パケットレート	小パケット大量転送の監視
ConnectionCRCErrors	CRC エラー	物理層の品質劣化検知

VPN との比較と選択基準

項目	Direct Connect	Site-to-Site VPN
接続方式	専用線	IPsec over インターネット
帯域	1/10/100 Gbps 固定	最大 1.4 Gbps (トンネル)
レイテンシ	低・安定	インターネット依存
セットアップ	数週間 (物理工事)	数分〜
コスト	高いが定常大量転送に有利	低いが従量

まとめ

• SAA: DX はインターネットを経由しない専用線、3 種類の VIF (private/public/transit)、 VPN との違いを理解する。
• SAP: 冗長化設計（異ロケーション 2 本 + BGP）、DXGW によるマルチリージョン/VPC 集約、 MACsec、CloudWatch 監視を設計できることが求められる。

次は Direct Connect Gateway と Transit Gateway の連携 で、マルチ VPC 環境の接続設計を深掘りします。