AWS Site-to-Site VPN

は、ネットワークとまたはの間に、で暗号化された接続を作るサービスです。

SAA では、インターネット経由で迅速にハイブリッド接続を開始したい場合や、のバックアップ経路として選びます。

概要

側の Customer Gateway デバイスと、AWS 側の Virtual Private Gateway またはの間に接続を構成します。ルート伝播や静的ルートを設定し、とオンプレミスのが重複しないようにします。

主要技術

①Customer GatewayとAWS側ゲートウェイ

要素	役割
Customer Gateway	側装置の情報を表す AWS リソースです。
Customer Gateway device	実際のルーターまたは装置です。
Virtual Private Gateway	単一に接続する AWS 側終端です。
	複数 VPC とオンプレミス接続を集約する終端です。

②2本のVPNトンネル ⚠️ 頻出

1つの接続には2本のトンネルがあります。AWS 側のメンテナンスや障害に備え、Customer Gateway デバイスで両方を設定します。単一トンネルだけの利用は可用性を下げます。

③静的ルーティングとBGP

動的ルーティングでは BGP を使用し、経路変更を自動反映できます。静的ルーティングでは宛先を手動管理します。複雑な経路や冗長接続では BGP が適しています。

④Direct Connectとの組み合わせ

は暗号化を提供しますが、性能はインターネット状態の影響を受けます。安定した帯域が必要ならを使用し、VPN をバックアップまたは暗号化レイヤーとして組み合わせます。

⑤料金と帯域

は、接続を用意している時間ごとの接続料金と、AWS から送り出すデータ転送（アウト）の料金がかかります。トンネルにはパブリック IPv4 アドレスが使われ、その時間料金も加わります。専用線を引かずにインターネット経由で始められるため、データ量が少ない拠点や、短期間で接続したい場合に費用を抑えられます。

1 本のトンネルの帯域は、標準のトンネルで最大 1.25 Gbps です。または Cloud WAN に接続した VPN では、最大 5 Gbps の大容量トンネル（Large Bandwidth Tunnel）を選べます。Virtual Private Gateway では大容量トンネルを使えず、複数のトンネルへ通信を分散する ECMP にも対応しないため、帯域は 1 本のトンネル分に留まります。

帯域を増やす方法	条件	判断ポイント
Transit Gateway で複数の VPN 接続を束ねる	BGP の動的ルーティングと ECMP	静的ルーティングでは ECMP を使えません。1 つのフローは 1 本のトンネルに乗ります。
大容量トンネルにする	Transit Gateway または Cloud WAN の VPN	トンネルあたり最大 5 Gbps になります。
へ移る	専用線の開通を待てる	安定した帯域が必要な場合の本命です。

試験対策

要件	選ぶ構成
迅速で暗号化された接続
複数の接続を集約	を終端に使用
安定帯域と低い揺らぎ
VPN の	2トンネルを設定
Direct Connect 障害時の代替	VPN バックアップ

は個々の利用者向け、Site-to-Site VPN はネットワーク拠点同士の接続です。