「オンプレの社内ネットワークと、AWSのVPCをつなぎたい」。この定番要件を実現する2つの方法を比較します。
ハイブリッド構成の需要
多くの企業は、いきなり全部クラウドではなく、オンプレとクラウドを併用します。すると、社内サーバとVPC内のサーバが安全に通信する経路が必要になります。方法は主に2つです。
Site-to-Site VPN
インターネット越しに、暗号化トンネル（IPsec）でオンプレとVPCをつなぎます。
- 手軽・低コスト: 既存のインターネット回線を使える
- 短時間で構築できる
- インターネット経由なので、遅延や帯域が安定しないことがある
- 通信は暗号化されるのでセキュア
まず繋ぎたい、コストを抑えたい、という場合の第一選択です。
Direct Connect（専用線）
AWSとオンプレを、専用線で物理的に接続します。
- 安定・高帯域・低遅延: インターネットを通らない専用経路
- 大容量・低遅延が必要な基幹システム向け
- 構築に時間とコストがかかる（回線契約が必要）
「品質が重要」「大量データを安定してやり取りする」場合に向きます。
組み合わせて冗長化
実務では、Direct Connectをメインにし、VPNをバックアップにする構成もよく取られます。専用線が切れても、VPNで通信を継続できます。可用性を重視するハイブリッド構成の定番です。
つなぐ側の設定
- VPC側: 仮想プライベートゲートウェイ（VGW）またはTransit Gatewayをアタッチ
- ルートテーブルに、オンプレのCIDR宛て経路を追加
- オンプレ側: ルータ/FWでIPsecやBGPを設定
ここでもCIDRの重複回避が前提です。オンプレとVPCのアドレス範囲が被っていると、つなげません。
まとめ
- VPN: 手軽・低コスト・インターネット経由（まず繋ぐなら）
- Direct Connect: 安定・高品質・専用線（基幹・大容量なら）
要件（コスト重視か品質重視か）で選び、可用性が要るなら両方を組み合わせます。ハイブリッド構成は今後も増えるので、押さえておくと強い分野です。