AWS Direct Connect

は、ネットワークから AWS Direct Connect ロケーションまで専用のネットワーク接続を確立し、インターネットサービスプロバイダーを経由せずに AWS へ接続するサービスです。

SAA では、安定した帯域、予測しやすい遅延、大量データ転送が必要なハイブリッド構成で選びます。

概要

ルーターとルーターを接続し、VLAN と BGP を使って（VIF）を構成します。単一接続だけでは機器やロケーション障害に備えられないため、可用性要件に応じた冗長化が必要です。

主要技術

①仮想インターフェイス ⚠️ 頻出

	接続先	判断ポイント
Private VIF	のプライベート	Virtual Private Gateway や Gateway と接続します。
Public VIF	などの AWS 公開	公開 IP を使用しますが、経路は Direct Connect です。
Transit VIF		多数の VPC やアカウントを集約します。

②Direct Connect Gateway

Gateway は、Direct Connect 接続から複数やへ接続範囲を広げます。VPC 間の推移的ルーティングを提供する装置ではなく、から AWS 側ゲートウェイへの接続を集約します。

Direct Connect Gateway はグローバルなリソースで、1 つの接続から中国を除く任意のの Virtual Private Gateway や Transit Gateway へ到達できます。Virtual Private Gateway へ直接つなぐ Private は、同じリージョンの VPC にしか届きません。Direct Connect Gateway はデータの通り道ではなく経路を交換する仕組みなので、関連付けたゲートウェイ同士の通信は中継しません。

③暗号化

は専用経路ですが、すべての通信を自動的に暗号化するサービスではありません。機密性要件がある場合は、対応接続での MACsec、Direct Connect 上の、またはアプリケーション層のを検討します。

MACsec は、対応するロケーションの 10Gbps、100Gbps、400Gbps の専用接続で使えるレイヤー2の暗号化で、自社ルーターと Direct Connect の機器の間を暗号化します。ホスト型接続では使えません。ホスト型接続や MACsec に対応しない機器では、Direct Connect の上にの Site-to-Site VPN を張ります。どちらもアプリケーションを改修せずに通信を暗号化できます。

④高可用性

異なるロケーションや異なる機器へ接続を冗長化します。をバックアップ経路にすると、専用線障害時にもインターネット経由で接続を継続できます。

⑤帯域の拡張

1 つの接続の帯域が足りなくなったら、同じ帯域の専用接続を同じに追加して LAG（Link Aggregation Group）で束ねるか、より大きいポート速度の専用接続を用意して移ります。LAG は 100Gbps 未満の接続なら最大 4 本、100Gbps と 400Gbps なら最大 2 本を Active/Active で束ねます。は同じ物理接続の上の論理的な区切りなので、VIF を増やしても総帯域は増えません。Private VIF ではジャンボフレーム（MTU 9001）を使えますが、回線の帯域の上限は変わりません。

⑥料金と速度の選び方

は、接続のポート時間料金と、AWS からへのデータ転送（アウト）の料金がかかります。ポート時間料金はデータを流していなくても発生し、オンプレミスから AWS へのデータ転送（イン）は無料です。Direct Connect 経由のデータ転送（アウト）は、インターネット経由の転送より低い単価に設定されているため、AWS から大量のデータを継続して取り出す構成ではインターネットやより安くなります。

接続の種類	選べる速度	判断ポイント
専用接続（Dedicated）	1、10、100、400 Gbps	物理ポートを占有します。帯域が大きいほどポート時間料金も高くなります。
ホスト型接続（Hosted）	50 Mbps〜25 Gbps（パートナーが提供）	必要な帯域に近い速度を選べるため、1 Gbps 未満で足りる拠点ではポート時間料金を抑えられます。

使う帯域より大きな専用接続を引くと、使わない帯域の分までポート時間料金を払うことになります。必要な帯域が 1 Gbps に満たない場合は、パートナーのホスト型接続から合う速度を選びます。

試験対策

要件	選ぶ構成
短期間で暗号化接続を開始
安定した専用接続
専用接続と暗号化の両方	Direct Connect + または対応する暗号化
多数をへ接続	Transit +
回線障害にも継続	冗長 Direct Connect または VPN バックアップ

「専用線だから自動的に暗号化される」という判断は避けます。専用経路、暗号化、可用性を別々に評価します。