AWS Site to Site VPN
オンプレミス接続用VPN
オンプレミスのルーター（customer gateway）とVirtual Private GatewayまたはTransit Gatewayの間に、インターネット経由で暗号化されたIPsec tunnelを作成します。各接続には冗長化のために2本のtunnelがあります。
- コスト$ 安い
- 難易度●●●●●
- 未使用でも課金？はい
- AWS マネージド
- 出題試験CLF · SAA · SOA
たとえるなら公道を使って2つの倉庫間で荷物を運ぶ装甲車のようなものです。
いつ使う？
✓ 使うべき場面
オフィス/データセンターを素早く低コストでVPCに接続したいとき。
✗ 避けるべき場面
大容量の帯域や安定したレイテンシーが必要 → Direct Connect。個人ユーザー → Client VPN。
よくある使い方
- 数時間でのオフィスとVPCの接続
- Direct Connectのバックアップ経路
- Direct Connect上のトラフィック暗号化
料金はいくら？
- 課金方式: VPN接続ごとの時間料金に、データ転送（アウト）料金が加わります。
「オンプレミスと VPC を素早く、安く、暗号化して接続」なら Site-to-Site VPN、「大容量で安定、低遅延」なら Direct Connect、「Direct Connect の安価なバックアップ」なら Site-to-Site VPN を追加します。
よくある質問
Site-to-Site VPN と Direct Connect の違いは?
VPN はパブリックなインターネット上を IPsec で暗号化して通信し、数分で構築でき低コストですが、帯域と遅延はインターネット経路に左右されます。Direct Connect は専用の物理回線で、帯域が大きく安定していますが、開通に時間がかかり、デフォルトでは暗号化されません。
なぜ VPN 接続にはトンネルが 2 本あるのですか?
2 本のトンネルは AWS 側の別々のエンドポイント (通常は 2 つの AZ) で終端し、片方がメンテナンスや障害でも通信が切り替わります。実際に耐障害性を得るには、オンプレミス側のデバイスでも両方のトンネルを設定し、静的ルートではなく BGP (動的ルーティング) を使います。
VPN の帯域や信頼性を高めるには?
トンネルごとに帯域の上限があります。VPN を Transit Gateway にアタッチすれば、ECMP を有効にして複数のトンネルや VPN 接続に負荷を分散できます。信頼性向上には、Direct Connect のバックアップ経路として VPN を使うか、AWS Global Accelerator のネットワークを経由する Accelerated VPN を使います。
関連サービス
SAA-C03 対策
Site-to-Site VPN は次の対策モジュールで扱っています：