AWS Direct Connect は何を接続するのか – Connection / VIF / DXGW / TGW の責務分界

AWS Direct Connect は、オンプレミスと AWS を専用線でつなぐサービスです。ただし、設計上の本質は「専用線を引くこと」だけではありません。Connection、VIF、DXGW、VGW、TGW、BGP がそれぞれ別の責務を持つため、ここを混同すると構成図は合っていても責任分界が曖昧になります。

先に結論を言うと、Connection は物理接続、VIF は論理接続、DXGW は VIF と AWS 側 gateway を関連付ける広域の中継点、TGW は VPC や拠点を集約する routing hub として見ると分かりやすいです。

この記事では、Direct Connect を単なる閉域回線ではなく、クラウドとオンプレミスの責任境界をどう接続するかという観点で確認します。

この記事の結論

Connection は物理接続の単位

Connection は、Direct Connect location に収容される物理接続の単位です。専用線や partner 経由の接続が、どの location に入り、どの帯域で提供され、どの冗長構成を取るのかを見る単位になります。

ただし、Connection だけでは VPC や AWS service へ到達できません。Connection の上に VIF を作り、BGP peer を張り、どの AWS 側 gateway と結び付けるかを決める必要があります。

VIF は論理接続の単位

VIF は Virtual Interface の略で、Direct Connect 上の論理接続です。VLAN、BGP ASN、peer IP、prefix advertisement といった要素を持ちます。Direct Connect の設計では、この VIF の種類を間違えないことが重要です。

Public VIF は AWS パブリックサービス向け

Public VIF は、AWS の public IP を持つ service へ Direct Connect 経由で到達するための VIF です。S3 や public endpoint への経路を扱う場合に使います。VPC の private subnet へ直接入るためのものではありません。

Public VIF を使う場合は、BGP で広告する prefix、受け取る AWS public prefix、routing policy、filtering、インターネット経路との使い分けを決める必要があります。

Private VIF は VPC 向け

Private VIF は、VPC に接続するための VIF です。Virtual Private Gateway、または Direct Connect Gateway と組み合わせて使います。単一 VPC へ閉域で接続する設計では、Private VIF が基本になります。

ただし、複数 VPC や複数リージョン、複数アカウントをまたぐ場合は、DXGW や TGW との関係を分けて見ます。Private VIF だけで全体設計が完結するとは限りません。

Transit VIF は TGW 集約向け

Transit VIF は、Direct Connect Gateway を経由して Transit Gateway に接続するための VIF です。複数 VPC、複数拠点、複数アカウントを TGW に集約するような構成で候補になります。

Transit VIF を使う場合は、TGW route table、DXGW association、allowed prefixes、オンプレミス側 BGP policy を合わせて設計します。TGW に接続したからといって、全経路が自動的に正しく流れるわけではありません。

DXGW はデータパス上の箱ではなく関連付けの中核

DXGW、Direct Connect Gateway は、Direct Connect と AWS 側 gateway を広域に関連付けるための要素です。物理 appliance のような箱として packet を処理するものではなく、VIF と VGW / TGW の関係を管理する中心として見る方が自然です。

DXGW を使うと、複数リージョンや複数 VPC への接続設計を扱いやすくなります。一方で、allowed prefixes、association、route propagation の境界を理解しないと、経路が見えているのに到達しない、意図しない経路が漏れる、といった問題につながります。

VGW・DXGW・TGW を混同しない

VGW、DXGW、TGW は似た名前で同じ構成図に出てきますが、役割は違います。どれが BGP peer を持つのか、どれが route table を持つのか、どれが association を持つのかを分けて確認します。

Hosted Connection と Hosted VIF は別物

Partner 経由の Direct Connect では、Hosted Connection と Hosted VIF という言葉が出てきます。Hosted Connection は connection の提供形態、Hosted VIF は VIF の提供形態です。名前は似ていますが、責任範囲が異なります。

契約、帯域、所有権、承認、BGP、VLAN の責任がどこにあるかは、導入前に確認しておく必要があります。Direct Connect は技術構成だけでなく、carrier / partner / AWS / 利用者の責任分界も設計要素です。

冗長化は Connection と VIF の両方で見る

Direct Connect の冗長化では、Connection を複数持つだけでは足りません。別 location、別 device、別回線、別 partner、VIF、BGP、route policy、failover の収束まで含めて見ます。

• 同一 location 内だけの冗長でよいのか
• 別 location を使う必要があるのか
• BGP local preference や AS path で優先経路を制御するのか
• VPN backup を併用するのか
• 障害時にどの prefix をどちらへ流すのか

Outposts やハイブリッドクラウドとの関係

Outposts やハイブリッドクラウドを考える場合、Direct Connect は単なる回線ではなく、AWS とオンプレミスの責任境界を接続する部品になります。どの traffic が AWS region へ向かい、どの traffic がオンプレミスに残り、どの経路を BGP で制御するのかを決めます。

Outposts を使う場合でも、Direct Connect が何を保証し、何を保証しないのかを明確にする必要があります。rack の場所がオンプレミスに近づいても、AWS の責任分界や control plane の考え方が消えるわけではありません。

実務で確認するポイント

Direct Connect の状態を確認するときは、Connection、VIF、gateway、BGP peer、route advertisement を分けて見ます。

aws directconnect describe-connections
aws directconnect describe-virtual-interfaces
aws directconnect describe-direct-connect-gateways
aws directconnect describe-direct-connect-gateway-associations
aws ec2 describe-transit-gateways

まとめ

AWS Direct Connect は、単に専用線を AWS に引くサービスではありません。Connection、VIF、DXGW、VGW、TGW、BGP という複数の責任分界を組み合わせて、オンプレミスと AWS のネットワークを接続する設計要素です。

構成図では 1 本の線に見えても、その中には物理接続、論理接続、経路広告、gateway association、冗長化、partner 責任が含まれます。Direct Connect を設計するときは、何を接続しているのか、どこからどこまでを自分たちが責任を持つのかを分けて確認することが重要です。

関連記事

AWS Outposts の本質は「オンプレ AWS」ではなく、責任分界を変えるインフラである AWS EC2 のネットワーク帯域をどう読むか – baseline / burst / single-flow と NFV 設計 AWS VPC に L2 はあるのか – VLAN / ARP / VIP をクラウドの到達性モデルへ翻訳する AWS Outposts racks と Outposts servers は別物として評価すべき