「Direct Connect は専用線でしょう」と言われて、そのとおりと答えると、次の質問で詰まります。VIF とは何か、DX ゲートウェイは何のために置くのか、1本引けば止まらないのか。この記事は、Direct Connect を部品に分けて、設計の言葉で説明するための整理です。VPC の部品は VPC とは で押さえている前提で進めます。
この記事の結論
- Direct Connect は、拠点網を Direct Connect ロケーションの AWS 側ルーターにつなぎ、インターネットを経由せず AWS に届ける物理接続です。
- 物理の「接続」の上に、論理の「仮想インターフェイス（VIF）」を作ります。private は VPC、public は AWS のパブリックサービス、transit は Transit Gateway に届きます。
- Direct Connect ゲートウェイは、1つの VIF から複数リージョン・複数アカウントの VGW や Transit Gateway へ広げる箱です。
- 暗号化は既定では付きません。必要なら MACsec や、Direct Connect 上の IPsec VPN を足します。
- 可用性は、複数ロケーション × 別機器に終端する接続で作ります。VPN は低コストのバックアップになります。
- 課金の基本は、ポート時間と送信データ転送の2要素です。
Direct Connect とは何か（インターネットを通らない専用の入口）
Direct Connect は、オンプレミスのネットワークと AWS を、インターネットを経由せずにつなぐサービスです。拠点側の機器から Direct Connect ロケーション（AWS の機器が置かれた施設）まで回線を用意し、そこにある AWS 側のルーターと接続します。通信は BGP で経路を交換し、論理的な分離には 802.1Q の VLAN を使います。
ここで、誰が何を用意するかを分けておくと説明が楽になります。
- AWS が持つ範囲: ロケーション内の AWS 側ルーターと、その先の AWS 網
- 自分が持つ範囲: 拠点のルーター、拠点からロケーションまでの回線（パートナー経由で借りる形を含む）、BGP の設定
「専用線を AWS が引いてくれる」わけではありません。ロケーションまでの道は自分で用意し、そこから先が AWS の網につながる、という分担です。
WHAT YOU OWN自分の範囲と AWS の範囲
Direct Connect は物理の接続の上に、論理の層を積んで届く
拠点側で用意
- ロケーションの物理接続
- 仮想インターフェイス（VIF）
- ゲートウェイ（DX ゲートウェイ／Transit Gateway）
- VPC・AWS サービス
AWS が持つ
- ロケーションの物理接続
- 仮想インターフェイス（VIF）
- ゲートウェイ（DX ゲートウェイ／Transit Gateway）
- VPC・AWS サービス
自分で用意するAWS が持つ
接続と仮想インターフェイスは何が違うのか（物理と論理の分担）
Direct Connect の部品は、大きく2層です。
| 層 | 名前 | 何か | 決めること |
|---|---|---|---|
| 物理 | 接続（connection） | ロケーションの AWS ルーターと、拠点側ルーターをつなぐポートと回線 | どのロケーションか、ポートの速度 |
| 論理 | 仮想インターフェイス（VIF） | 接続の上に作る、VLAN と BGP セッションの単位 | どこに届くか、どの経路を交換するか |
接続は「線」で、VIF は「その線のどの口から、どこへ通じるか」です。1本の接続の上に複数の VIF を作れるので、同じ線で VPC 向けと別の用途向けを分けられます。
線を太くしたい場合は、同じ速度の接続を LAG（リンクアグリゲーショングループ）にまとめ、1つの論理接続として扱えます。LAG は帯域と設定の一括化の話で、後で出てくる可用性とは別の論点です。同じ機器に終端した LAG は、その機器が止まれば一緒に止まります。
CHECK 1ここまでの確認
物理の接続の上に作り、通信の届く先を決める論理の単位はどれか?
答えと解説
答え: 1. 仮想インターフェイス
接続は線にあたり、その上に作る仮想インターフェイス（VIF）が「VPC に届くのか、パブリックサービスに届くのか」を決めます。「接続と仮想インターフェイスは何が違うのか」を読み直してください。
仮想インターフェイス3種はどこに届くのか（private・public・transit）
VIF には3種類あり、届く先が違います。
| VIF | 届く先 | 使うゲートウェイ | 典型の用途 |
|---|---|---|---|
| private | VPC（VGW 経由） | VGW、または Direct Connect ゲートウェイ | 拠点から VPC 内のプライベートな資源へ |
| public | AWS のパブリックエンドポイント（S3 など） | 不要 | インターネットを通さず、パブリックサービスへ大量転送 |
| transit | Transit Gateway | Direct Connect ゲートウェイ | VPC が多く、Transit Gateway に集約している構成 |
public VIF は、S3 のようにパブリックなエンドポイントを持つサービスに、インターネットを経由せず届くための VIF です。VPC の中に作る S3 のゲートウェイエンドポイントは、オンプレミスから使えない点に注意してください。オンプレミスから S3 へ専用接続で送るなら、public VIF の出番です。
transit VIF は、Direct Connect ゲートウェイを経由して Transit Gateway に関連付けます。リージョンごとに Transit Gateway を置いて VPC を集約しているなら、VPC の数が増えても拠点側の接続の作りは変わりません。VPC ごとに VGW を関連付けていく形は、数が増えるほど管理が重くなります。
THREE VIFSVIF 3種の届く先
VIF の種類で届く先が決まる
ゲートウェイを使う ↔ 使わない
private VIF
VPC（VGW）へ。DX ゲートウェイで複数リージョンへ
transit VIF
Transit Gateway へ。DX ゲートウェイ経由
public VIF
S3 などのパブリックエンドポイントへ
DX ゲートウェイ
VIF から複数リージョン・アカウントへ広げる箱
届く先が VPC 寄り → サービス寄り
CHECK 2ここまでの確認
オンプレミスから Transit Gateway に届かせるとき、使う仮想インターフェイスはどれか?
答えと解説
答え: 3. transit VIF
transit VIF を Direct Connect ゲートウェイにつなぎ、そこに Transit Gateway を関連付けます。private VIF は VGW、public VIF はパブリックサービス向けです。「仮想インターフェイス3種」を読み直してください。
Direct Connect ゲートウェイは何をするのか（リージョンとアカウントをまたぐ）
VGW は VPC に付くので、素朴にやると「VPC ごとに VIF が要るのか」という疑問が出ます。ここで置くのが Direct Connect ゲートウェイです。1つの VIF を Direct Connect ゲートウェイにつなぎ、そこに複数リージョン・複数アカウントの VGW や Transit Gateway を関連付けることで、1本の接続から広い範囲に届けられます。
- private VIF + Direct Connect ゲートウェイ: 複数リージョンの VGW を1つの VIF で束ねる
- transit VIF + Direct Connect ゲートウェイ: 複数リージョンの Transit Gateway を束ねる
注意したいのは、Direct Connect ゲートウェイはルーティングの中継点ではないことです。VPC どうし、あるいはリージョンどうしを、Direct Connect ゲートウェイ越しにつなぐ装置ではありません。VPC ピアリングが推移的なルーティングを持たないのと同じで、「拠点から各 VPC へ」の入口を広げる箱と捉えると誤解しません。
Transit Gateway に関連付けた場合、オンプレミスへ広告される経路は、関連付けのときに指定する許可プレフィックスで決まります。配下の VPC が多いときは、集約した CIDR で広告して経路数を抑えます。
暗号化と冗長化はどう足すのか（MACsec・VPN・Resiliency Toolkit のモデル）
暗号化は既定では付かない
「専用線だから安全」は、インターネットを通らないという意味では正しくても、回線上で暗号化されているという意味では正しくありません。足す方法は主に2つです。
- MACsec: 専用接続のレイヤー2暗号化。対応する専用接続で有効にし、鍵の名前と値（CKN と CAK）を拠点のルーター側にも設定します。暗号化できないときに平文へ戻すか、送らないかは設定で選べます。平文を流してはならない規程なら、後者の
must_encryptを選びます。 - IPsec VPN を Direct Connect の上に重ねる: 暗号化の終端を VPN で持ちます。終端にパブリック IP を使えない規程がある場合は、transit VIF と Transit Gateway の組み合わせで、プライベート IP の Site-to-Site VPN を張る方法があります。
CHECK 3ここまでの確認
拠点側の接続を、ロケーション全体の障害にも耐える構成にするには何が要るか?
答えと解説
答え: 2. 複数のロケーションに、別々の機器で終端する接続を置く
同じロケーションにいくら本数を足しても、ロケーションごと止まれば全部止まります。可用性は本数ではなく、ロケーションと終端機器の分け方で決まります。「暗号化と冗長化」を読み直してください。
冗長化は本数ではなく置き方で決まる
接続が1本なら、その1本が単一障害点です。では2本にすれば足りるのか。ここで効くのが、どの障害まで耐えたいかです。Direct Connect の Resiliency Toolkit は、回復性のモデルとして次のような考え方を示しています。
| モデル | 置き方 | 耐える障害 |
|---|---|---|
| 最大の回復性 | 複数のロケーションに、別々の機器で終端する接続を置く | 機器の故障、回線断、ロケーション全体の障害 |
| 高い回復性 | 複数ロケーションに接続を1本ずつ置く | 接続・ロケーションの単一障害（機器の分離は要件次第） |
| 開発/テスト | 1つのロケーションで、別々の機器に終端する接続を置く | 機器・回線の障害。ロケーション全体の障害には耐えない |
高い回復性の細部は、公式の最新の説明を確認してください。確実に言えるのは、ロケーション全体の障害に耐えたいなら、複数のロケーションに置く必要があることです。
RESILIENCYどの障害に耐えるか
ロケーション全体の障害に耐えるのは複数ロケーションだけ
最大の回復性
複数ロケーション × 別機器
- 機器の故障に耐える
- 回線断に耐える
- ロケーション全体の障害に耐える
開発/テスト
1ロケーション × 別機器
- 機器の故障に耐える
- 回線断に耐える
- ロケーション全体の障害には耐えない
コストを抑えたいときは、VPN をバックアップに使う形があります。既存の VGW や Transit Gateway に Site-to-Site VPN を足し、同じ宛先の経路を両方から受けた場合は Direct Connect の経路が優先されます。通常は専用接続で通し、障害時だけ帯域が下がっても VPN で業務を続ける、という割り切りです。
CHECK 4ここまでの確認
Direct Connect の回線は、何もしなくても暗号化されるか?
答えと解説
答え: 2. 既定では暗号化されない。必要なら MACsec や IPsec VPN を足す
「専用」と「暗号化」は別の話です。インターネットを通らないことと、回線上で暗号化されていることは同じではありません。「暗号化と冗長化」を読み直してください。
Site-to-Site VPN とは何が違うのか（経路・品質・立ち上げの速さ・費用の軸）
どちらも拠点と AWS をつなぎますが、性質が違います。
| 軸 | Direct Connect | Site-to-Site VPN |
|---|---|---|
| 経路 | 専用の回線。インターネットを経由しない | インターネット経由（Direct Connect 上に重ねる形もある） |
| 暗号化 | 既定では無し。足す | IPsec で暗号化される |
| 品質 | 帯域・遅延が安定しやすい | インターネットの状態に左右される |
| 立ち上げ | 回線・機器の手配が要り、時間がかかる | 設定だけで始めやすい |
| 費用 | ポート時間と送信データ転送 | 料金ページで確認 |
選び方は、「帯域・品質の安定と経路の固定が要るか」「早く安く始めたいか」です。両方の要求があるなら、Direct Connect を主、VPN を従にした併用が現実的な答えになります。Transit Gateway や PrivateLink と並べた全体の選び方は、マルチアカウントのネットワーク設計 で扱います。
課金は何で決まるのか
課金の基本は2つです。
- ポート時間: 接続のポートを使える状態にしている時間
- 送信データ転送: AWS から拠点へ出ていくデータの量
速度ごとの金額や転送単価は更新されるので、この記事には書きません。見積もる前に、必ず公式の料金ページで確認してください。冗長化のために接続を増やせば、ポート時間の分も増える点は見積もりに入れます。
まとめ
Direct Connect を説明するときは、次の順に話すと整理できます。
- 拠点と AWS 側ルーターをつなぐ物理の接続がある（ロケーションまでの回線は自分の持ち分）
- その上にVIFを作り、private・public・transit で届く先を選ぶ
- 複数リージョン・アカウントへ広げるならDirect Connect ゲートウェイ
- 暗号化は足すもの。可用性はロケーションと終端機器の分け方で決まる
- VPN は代替ではなく、併用するバックアップにもなる
Cloudory 執筆者（AWS 認定 全冠）
この記事は、公式ドキュメントと練習問題の解説の範囲で整理したもので、実際に回線を引いた経験を書いたものではありません。回線の手配や機器の選定は、事業者と公式の最新情報で確かめてください。
参照ソース
- AWS Direct Connect ユーザーガイド（What is AWS Direct Connect） — 定義、接続と VIF の構成要素、VIF 3種、ネットワーク要件（BGP・802.1Q）、課金の2要素の根拠に使った
- Direct Connect Resiliency Toolkit — 回復性モデルと各モデルが耐える障害の根拠に使った
