EC2 のネットワーク性能にある Up to 10 Gbps や 25 Gigabit のような表記は、固定帯域やサービス保証として読まない方が安全です。特に EC2 を Firewall、IPsec gateway、NAT、IDS / IPS、NFV 型のネットワーク機能に使う場合、カタログ上の最大値だけでは判断できません。
見るべきなのは、baseline、burst、single-flow、packet rate、ENA allowance、経路、そして VNF 側の処理能力です。EC2 はネットワーク機能の部品として使えますが、物理ポートの帯域保証と同じ感覚で説明すると、設計と運用でずれが出ます。
この記事では、EC2 のネットワーク帯域表記を NFV や閉域接続の設計でどう読むかを確認します。
この記事の結論
| 観点 | 見ること | 誤解しやすい点 |
|---|---|---|
| Up to | 到達し得る最大値や条件付き性能として読む | 常時使える保証帯域として読む |
| baseline | instance type ごとの通常時の期待値を見る | burst 前提でサービス設計する |
| single-flow | 1 flow で出る上限と multi-flow の違いを見る | 合計帯域だけで tunnel 性能を説明する |
| packet rate | small packet、pps、暗号処理、inspection を見る | Gbps だけで NFV 性能を判断する |
| ENA allowance | allowance exceeded 系の指標を監視する | OS の interface 統計だけで十分と考える |
Up to は保証値ではない
EC2 のネットワーク性能表記で最初に注意するのは Up to です。これは、常にその帯域を使えるという保証ではありません。instance type、通信先、flow 数、ENA、placement、AZ、経路、他の条件によって見え方が変わります。
通常の Web サーバーであれば大まかな目安として十分な場面もあります。しかし、NFV 型の VNF、IPsec gateway、NAT、IDS / IPS のようにネットワーク処理そのものが主役になる場合、Up to をそのままサービス帯域として説明するのは危険です。
baseline は AWS CLI で確認する
EC2 のネットワーク性能を見るときは、instance type ごとの情報を確認します。世代やサイズによって、network performance、ENA support、EBS 最適化、CPU とのバランスが変わります。
aws ec2 describe-instance-types --instance-types c7i.large c7i.xlarge c7i.2xlarge
aws ec2 describe-instances --instance-ids i-0123456789abcdef0
aws cloudwatch get-metric-statistics --namespace AWS/EC2 --metric-name NetworkIn --dimensions Name=InstanceId,Value=i-0123456789abcdef0 --statistics Average Maximum --period 300 --start-time 2026-07-01T00:00:00Z --end-time 2026-07-01T01:00:00Zこの確認では、カタログ上の最大値だけでなく、実際にどの instance type を選び、どの ENI を使い、どの workload を通すのかを合わせて見ます。
single-flow 制約は tunnel 系で効きやすい
NFV や閉域接続で特に注意したいのが single-flow です。IPsec、GRE、VXLAN、GENEVE、TCP tunnel のように、traffic が少数の flow に集まりやすい構成では、合計帯域より single-flow の制約が先に効くことがあります。
複数 flow を並列に流せる workload では合計帯域に近づきやすい一方、1 本の tunnel や少数 session に traffic が寄ると、期待した throughput が出ないことがあります。NFV 設計では、throughput、flow 数、packet size、暗号化、inspection の組み合わせで見る必要があります。
経路によって使える帯域は変わる
EC2 の通信は、同一 AZ、別 AZ、別 VPC、Transit Gateway、NAT Gateway、Gateway Load Balancer、Direct Connect、Internet Gateway など、経路によって条件が変わります。instance type の network performance だけを見ても、end-to-end の性能は分かりません。
| 経路 | 見ること |
|---|---|
| 同一 VPC 内 | 同一 AZ / 別 AZ、ENI、security group、NACL の影響 |
| Transit Gateway 経由 | TGW attachment、route table、AZ 間経路、集約点の設計 |
| GWLB 経由 | GENEVE encapsulation、appliance fleet、flow stickiness |
| Direct Connect 経由 | VIF、DXGW、TGW、BGP、回線帯域、冗長化 |
| Internet 経由 | public path、NAT、egress、外部要因 |
ENA allowance と microburst を見る
ENA を使う instance では、ネットワーク性能に関する allowance exceeded 系の指標が重要になります。OS 上で見える interface の byte / packet だけでは、EC2 側の制約に当たっているか分かりにくい場合があります。
microburst も見落としやすい要素です。5 分平均では余裕があるように見えても、短い時間に packet が集中して drop や latency 増加が出ることがあります。NFV 型 workload では、平均値だけでなく peak、drop、queue、pps、CPU を合わせて見る必要があります。
NFV では EC2 の前に VNF の処理能力を見る
EC2 の network performance が十分でも、VNF 側が同じ性能を出せるとは限りません。Firewall、IPsec、IDS / IPS、NAT、proxy のような処理は、CPU、暗号アクセラレーション、session table、logging、policy 数、packet size に強く影響されます。
つまり、EC2 の帯域表記は上限の一部であり、VNF の dataplane 処理能力、OS、driver、vendor 推奨構成、license 制約を合わせて見なければなりません。
サービス帯域として説明するなら何を見るか
- instance type と network performance の条件
- baseline と burst の違い
- single-flow と multi-flow の違い
- packet size と pps
- ENA allowance exceeded 系の指標
- VNF 側の暗号処理、inspection、logging の負荷
- Direct Connect、TGW、GWLB、NAT Gateway など経路上の制約
EC2 は帯域保証の箱ではなく、制約を読んで使う部品
EC2 は、クラウド上でネットワーク機能を構成する強力な部品です。しかし、物理アプライアンスや物理ポートのように、固定帯域を単純に保証する箱として読むと危険です。
NFV や閉域接続で EC2 を使う場合は、Up to、baseline、burst、single-flow、packet rate、ENA allowance、経路、VNF の処理能力を分けて確認します。この分解ができると、EC2 のネットワーク性能を過大評価せず、必要な余裕と監視を設計しやすくなります。
Amazon Web Services 基礎からのネットワーク＆サーバー構築 改訂 4 版
AWS VPC、サブネット、ルーティング、VPN、Direct Connect など、クラウドネットワークの基礎を確認したい場合の参考書籍です。価格や在庫はリンク先で確認してください。
Amazon で見るこのリンクは Amazon アソシエイトリンクです。
