AWS Site-to-Site VPN は、オンプレミスと AWS VPC を IPsec トンネル で接続するサービスです。 Direct Connect よりセットアップが簡単で、バックアップ接続としても重宝します。本記事では VPN の冗長化設計と DX との併用パターンを SAA / SAP 両面から整理します。

SAA レベル：基礎概念

Site-to-Site VPN の構成要素

Site-to-Site VPN は以下の要素で構成されます。

要素	説明
カスタマーゲートウェイ (CGW)	オンプレミス側ルーターの情報（IP, ASN, BGP 設定）
仮想プライベートゲートウェイ (VGW)	AWS 側の VPN エンドポイント（VPC に紐付）
Transit Gateway	VGW の代わりに VPN を集約できるハブ
VPN 接続 (VPN Connection)	CGW と VGW/TGW 間の論理接続（2 本のトンネル）
IPsec トンネル	実際の暗号化通信経路（1 接続につき 2 本）

SAA レベル：基礎概念

1 つの VPN 接続には 必ず 2 本の IPsec トンネル が含まれます。これは AWS 側の冗長化要件で、トンネルは異なる AWS 側エンドポイントに終端されます。「VPN 接続 = 2 トンネル」は SAA の頻出事実です。

静的ルーティング vs 動的ルーティング (BGP)

VPN 接続は 静的 (Static) または 動的 (BGP) のいずれかでルーティングを設定します。

方式	特徴	推奨場面
静的ルーティング	経路を手動設定、シンプル	単純構成・小規模
動的ルーティング (BGP)	経路を自動交換、フェイルオーバー高速	冗長化・大規模

SAA 試験のポイント

BGP を使うとトンネル障害を自動検知してフェイルオーバー できます。静的ルーティングでは障害検知が遅くなるため、可用性が求められる構成では BGP が推奨されます。

VPN のパフォーマンス上限

1 トンネルあたりの最大スループット: 最大 1.4 Gbps
1 VPN 接続 (2 トンネル): ECMP で最大 2.8 Gbps まで集約可能（TGW 使用時）
レイテンシ: インターネット経由のため、DX より変動が大きい

SAA 頻出

スループットを拡大するには複数 VPN 接続 + ECMP (等コストマルチパス) を使います。 Transit Gateway は ECMP をサポートするため、複数トンネルで帯域を集約できます。

SAP レベル：高度な設計シナリオ

2 トンネル冗長化の実践設計

VPN 接続の 2 本トンネルを アクティブ/アクティブ で運用するのが SAP の定石です。

SAP レベル：高度な設計シナリオ

2 本のトンネルを両方稼働させる アクティブ/アクティブ構成 がベストプラクティスです。 BGP で両トンネルに同じ経路を広告し、ECMP でトラフィックを分散させます。アクティブ/スタンバイにするとフェイルオーバーに数秒〜数十秒かかるため、 SAP ではアクティブ/アクティブを基本とします。

[オンプレミス]
    │            │
  トンネル 1   トンネル 2
    │            │
    └─────┬──────┘
          ▼
    [VGW または TGW]
          │
        [VPC]

DX のバックアップとしての VPN

VPN は Direct Connect のバックアップ として使われることが多いです。

障害シナリオ	フェイルオーバー	復旧時の切戻し
DX 回線断	BGP で VPN 経路が自動優先	DX 復旧で自動切戻し
DX ロケーション障害	VPN 経由に完全切替	DX 代替回線構築まで VPN 運用

切戻し設計の落とし穴

DX 復旧時に VPN から DX への切戻し を意図的に制御するには、 AS-PATH Prepending で VPN 経路を劣後化しておきます。これをしないと DX 復旧後も VPN 経由のまま（アンチフローラル状態）になることがあります。

# 経路優先度の設計イメージ
DX 経路:   AS-PATH = [65010]              ← 優先
VPN 経路:  AS-PATH = [65020 65020 65020]  ← Prepend で劣後

Transit Gateway による VPN 集約

複数 VPC に VPN 接続する場合、Transit Gateway に VPN を集約 すると管理が簡素化されます。

VGW を VPC 毎に置く必要がなくなる
1 つの VPN 接続で TGW 配下の全 VPC に到達可能
ECMP で複数トンネルの帯域を集約

TGW VPN の利点

TGW は ECMP (等コストマルチパス) をサポートするため、複数 VPN 接続のトンネル全体でスループットを集約できます。 VGW では ECMP が使えないため、大規模環境では TGW が必須です。

オンプレミス側の冗長化

AWS 側だけでなく オンプレミス側ルーターも冗長化 するのが SAP の完全冗長構成です。

[オンプレミス]
  CE-RTR-1 (アクティブ)   CE-RTR-2 (スタンバイ)
      │                        │
    トンネル 1               トンネル 2
      │                        │
      └──────────┬─────────────┘
                 ▼
          [AWS VGW / TGW]

冗長化要素	方法	効果
AWS 側トンネル	2 本トンネル (標準)	AWS 側エンドポイント障害対応
オンプレミス側ルーター	HSRP / VRRP	ルーター機材障害対応
回線	異なる ISP 回線	回線障害対応

CloudWatch による VPN 監視

VPN の健全性は CloudWatch メトリクスで監視します。

メトリクス	意味	アラーム設計
`TunnelState`	`1=Up, 0=Down`	トンネル断の即時検知
`TunnelDataIn/Out`	トンネル経由転送量	トラフィック異常検知
`TunnelBpsIn/Out`	ビットレート	帯域枯渇予兆
`IKEv1/IKEv2 エラー`	IKE ネゴシエーション失敗	設定不備の検知

監視のベストプラクティス

2 本トンネルの同時 Down を「クリティカル」、 片側 Down を「ワーニング」に分けてアラーム設計します。片側 Down でも通信は継続しますが、冗長性が失われている状態なので早期対応が必要です。

制約とクォータ

1 VPC あたりの VGW: 1 つ
1 VPN 接続あたりトンネル: 2 本（固定）
TGW あたり VPN 接続: クォータ拡張可能（デフォルト 100）
トンネルあたりスループット: 1.4 Gbps

VPN と Direct Connect の比較

項目	Site-to-Site VPN	Direct Connect
セットアップ時間	分単位	週単位 (物理工事)
帯域	最大 1.4 Gbps/トンネル	1/10/100 Gbps
レイテンシ	インターネット依存	低・安定
コスト	従量・低廉	高いが大量転送に有利
冗長化	2 トンネル + ECMP	異ロケーション 2 本