▪️目的
AWSで複数のVPCを運用していると、VPC同士を接続したり、オンプレミス環境とAWSを接続したりする場面があります。
VPCが少ないうちは個別に接続する方法でも対応できますが、VPCの数が増えるにつれて、接続構成やルート管理が複雑になっていきます。
そこで役立つサービスが、AWS Transit Gateway（トランジットゲートウェイ） です。
この記事では、AWS Transit Gatewayの基本的な仕組みから、アタッチメント、ルートテーブル、VPC Peeringとの違い、利用する際の注意点まで、初心者向けに解説します。
▪️AWS Transit Gatewayとは？
AWS Transit Gatewayは、複数のVPCやオンプレミスネットワークなどを接続するための、ネットワークの中継拠点となるサービス です。
複数のネットワークをTransit Gatewayに接続することで、ネットワーク間の通信を一元的に管理できます。
例えば、次のようなネットワーク構成を考えてみましょう。
- 開発環境のVPC
- 本番環境のVPC
- 共通サービスを配置したVPC
- オンプレミス環境
Transit Gatewayを利用すると、これらのネットワークを1つの中継拠点に接続し、ルートテーブルによって通信経路を制御できます。
イメージとしては、複数の道路が集まる大きな交差点のようなものです。Transit Gatewayが通信を中継し、宛先に応じて適切なネットワークへ転送します。
▪️Transit Gatewayの仕組み
Transit Gatewayは、主に次のような構成で利用します。
┌─────────────────┐
│ Transit Gateway │
│ 中継拠点 │
└────────┬────────┘
│
┌───────────────┼───────────────┐
│ │ │
┌────▼────┐ ┌────▼────┐ ┌────▼────┐
│ 開発VPC │ │ 本番VPC │ │ 共通VPC │
└─────────┘ └─────────┘ └─────────┘
│
必要に応じて
│
┌──────▼──────┐
│ オンプレミス │
└─────────────┘
※上記は概念図です。オンプレミス環境との接続には、Site-to-Site VPNやDirect Connectなどを利用します。
例えば、開発VPCから共通VPCへ通信したい場合、開発VPC側のルートテーブルでTransit Gatewayを通信先として指定します。
Transit Gatewayは、自身のルートテーブルを参照して、宛先ネットワークに対応する接続先へ通信を転送します。
ただし、Transit Gatewayを作成してVPCを接続するだけでは、必要な通信がすべて自動的に許可されるわけではありません。 VPC側とTransit Gateway側のルート設定に加え、セキュリティグループやネットワークACLなどの設定も確認する必要があります。
▪️Transit Gatewayの主な構成要素
1. Transit Gateway
ネットワーク間の通信を中継する中心的なリソースです。
VPCやVPN接続などを接続し、宛先IPアドレスに基づいて通信を転送します。
Transit Gatewayは、AWSリージョン内の複数のネットワークを接続する際に利用できます。また、Transit Gateway同士をリージョン間で接続する構成も可能です。
2. アタッチメント（Attachment）
アタッチメントは、VPCやVPN接続などをTransit Gatewayに接続するための仕組みです。
主な接続対象には、次のものがあります。
| 接続対象 | 用途 |
|---|---|
| VPC | 複数のVPC間で通信する |
| Site-to-Site VPN | オンプレミス環境などとVPN接続する |
| Direct Connect Gateway | Direct Connect経由でネットワークを接続する |
| Transit Gateway Peering | 別のTransit Gatewayと接続する |
| Connect | 対応するネットワーク仮想アプライアンスなどを接続する |
例えば、開発VPCと本番VPCをTransit Gatewayに接続する場合、それぞれのVPCに対応するアタッチメントを作成します。
VPCを接続する際は、Transit Gatewayが利用するサブネットをアベイラビリティーゾーンごとに指定します。必要なAZで通信できるように、アタッチメントの配置とルート設定を適切に設計することが重要です。
3. Transit Gatewayのルートテーブル
Transit Gatewayのルートテーブルは、Transit Gatewayに入ってきた通信を、どのアタッチメントへ転送するか判断するための情報 を管理します。
例えば、次のようなルートがあるとします。
| 宛先ネットワーク | 転送先 |
|---|---|
| 10.1.0.0/16 | 開発VPCのアタッチメント |
| 10.2.0.0/16 | 本番VPCのアタッチメント |
| 10.3.0.0/16 | 共通VPCのアタッチメント |
開発VPCから 10.3.0.0/16 宛ての通信がTransit Gatewayに届いた場合、Transit Gatewayのルートテーブルを参照し、共通VPCのアタッチメントへ転送します。
このように、宛先IPアドレスとルートテーブルの情報を基に、通信経路が決定されます。
なお、Transit Gatewayのルートテーブルと、各VPC内のルートテーブルは別のものです。それぞれに必要なルートを設定する必要があります。
4. AssociationとPropagation
Transit Gatewayのルート管理では、Association（関連付け） と Propagation（伝播） という2つの用語が重要です。
Association（関連付け）
アタッチメントが、どのTransit Gatewayルートテーブルを使って転送先を判断するかを指定します。
1つのアタッチメントは、同時に1つのTransit Gatewayルートテーブルに関連付けられます。
Propagation（伝播）
アタッチメントが持つネットワークの経路情報を、Transit Gatewayルートテーブルに登録する仕組みです。
例えば、VPCをTransit Gatewayに接続し、そのVPCのCIDRをルートテーブルへ伝播させると、対象のルートテーブルにVPCのネットワーク経路を登録できます。
簡単にまとめると、次のようになります。
- Association：どのルートテーブルを使うか決める
- Propagation：アタッチメントの経路情報をルートテーブルに登録する
なお、Propagationを利用せず、静的ルートを手動で登録する構成も可能です。Transit Gateway Peeringでは、ピアリング先への経路に静的ルートが必要です。
▪️Transit Gatewayでネットワークを分離する
Transit Gatewayのルートテーブルを複数作成すると、接続されたネットワーク間の通信を制御できます。
例えば、開発環境と本番環境を分離したい場合、次のような構成が考えられます。
- 開発VPCのアタッチメントを開発用ルートテーブルに関連付ける
- 本番VPCのアタッチメントを本番用ルートテーブルに関連付ける
- 各ルートテーブルに、許可したい接続先の経路だけを登録する
これにより、開発環境と本番環境の間で不要な通信が発生しないように、ネットワーク経路を制御できます。
ただし、ルートテーブルを分けただけで、すべてのセキュリティ要件を満たせるわけではありません。VPC側のルート、セキュリティグループ、ネットワークACLなども含めて設計する必要があります。
▪️VPC Peeringとの違い
複数のVPCを接続する方法として、VPC Peeringもあります。
VPC Peeringは、2つのVPCを直接接続する仕組みです。一方、Transit Gatewayは複数のVPCやネットワークを中継拠点に集約して接続する仕組みです。
| 比較項目 | Transit Gateway | VPC Peering |
|---|---|---|
| 接続方式 | 中継拠点を経由する | VPC同士を直接接続する |
| 多数のVPCへの対応 | 集約しやすい | 接続ごとの管理が増えやすい |
| ルート管理 | Transit Gatewayのルートテーブルを利用 | 各VPCのルートテーブルで管理 |
| ネットワーク分離 | ルートテーブルを分けて制御可能 | 接続単位で構成 |
| 推移的なルーティング | 対応する | Peering先を経由した別VPCへの中継は不可 |
| 主な用途 | 複数ネットワークの集約・一元管理 | 少数のVPC間の直接接続 |
VPC Peeringでは、AとB、BとCを接続しても、その接続だけでAからCへの通信をB経由で中継することはできません。
一方、Transit Gatewayでは、適切なアタッチメントとルートを設定することで、複数のネットワーク間の通信を中継できます。
そのため、接続するVPCが少ない場合はVPC Peeringが適していることもありますが、接続先が増えたり、経路を一元管理したくなったりする場合はTransit Gatewayが有力な選択肢になります。
▪️Direct Connect・Site-to-Site VPNとの関係
Transit Gatewayは、Direct ConnectやSite-to-Site VPNの代わりになるサービスではありません。これらのサービスと組み合わせて利用できます。
Direct Connect
オンプレミス環境とAWSを専用線接続するサービスです。Direct Connect Gatewayなどを介してTransit Gatewayと接続することで、オンプレミス環境から複数のVPCへ接続する構成を実現できます。
Site-to-Site VPN
オンプレミス環境などとAWSをIPsec VPNで接続するサービスです。Transit GatewayにVPN接続をアタッチすることで、VPN経由の通信を複数のVPCへルーティングできます。
例えば、次のような構成が考えられます。
オンプレミス環境
│
├── Direct Connect
│
└── Site-to-Site VPN
│
▼
Transit Gateway
│
┌──────┴──────┐
▼ ▼
開発VPC 本番VPC
これは概念図です。実際にDirect ConnectとVPNを併用する場合は、接続方式やルーティング、優先経路、冗長化の要件を踏まえて設計します。
▪️Transit Gatewayを利用するメリット
♦︎ネットワーク接続を集約できる
複数のVPCやオンプレミス環境などをTransit Gatewayに接続することで、ネットワーク構成を整理しやすくなります。
♦︎ルーティングを一元管理しやすい
Transit Gatewayのルートテーブルを利用して、ネットワーク間の通信経路を管理できます。静的ルートや、対応する接続でのルート伝播を利用できます。
♦︎ネットワーク分離を実現しやすい
複数のルートテーブルを使い分けることで、開発環境、本番環境、共通サービス環境などの通信経路を分離できます。
♦︎複数AWSアカウントで利用できる
AWS Resource Access Manager（AWS RAM）を利用してTransit Gatewayを他のAWSアカウントと共有し、別アカウントのVPCを接続する構成も可能です。複数アカウントにまたがるネットワークを集約したい場合に役立ちます。
▪️Transit Gatewayを利用する際の注意点
♦︎ルートテーブルを適切に設定する
Transit Gateway側のルートテーブルだけでなく、各VPCのルートテーブルにも必要な経路を設定します。
通信元から宛先へのルートだけでなく、戻りの通信経路も確認する必要があります。ルートが不足していると、片方向の通信しか成立しない場合があります。
♦︎CIDRの重複に注意する
接続するVPC間でIPアドレス範囲が重複していると、意図したルーティングができないなどの問題が発生します。
複数のVPCを接続する予定がある場合は、あらかじめIPアドレス設計を行い、ネットワーク範囲が重複しないようにすることが重要です。
♦︎セキュリティ設定も確認する
Transit Gatewayは通信経路を中継するサービスであり、それだけで通信を許可するものではありません。
VPC内のセキュリティグループやネットワークACL、必要に応じたファイアウォールなども含めて、通信を許可する範囲を設計します。
♦︎利用料金を確認する
Transit Gatewayでは、アタッチメントの利用時間や処理したデータ量などに応じて料金が発生します。
構成や利用量によって費用が変わるため、導入前に料金体系を確認しましょう。
特に、接続するVPCやネットワークが増える場合は、必要な接続だけを用意し、利用状況に応じてコストを見直すことが大切です。
▪️まとめ
AWS Transit Gatewayは、複数のVPCやオンプレミスネットワークなどを接続し、ネットワーク間の通信経路を一元的に管理するためのサービスです。
この記事のポイントをまとめます。
- Transit Gatewayは、複数のネットワークを接続する中継拠点として機能する
- VPCやVPN接続などは、アタッチメントを通じて接続する
- Transit Gatewayのルートテーブルで、通信の転送先を制御する
- Associationはルートテーブルとの関連付け、Propagationは経路情報の伝播を意味する
- VPC PeeringはVPC同士の直接接続、Transit Gatewayは複数ネットワークの集約に向いている
- Direct ConnectやSite-to-Site VPNと組み合わせて利用できる
- VPC側のルート、セキュリティ設定、IPアドレス設計、利用料金にも注意する
AWSでVPCの数や接続先が増えてきた場合、Transit Gatewayはネットワーク構成を整理するうえで重要な選択肢になります。
次の記事では、「AWS VPC Peering」について解説します。
＊「AWS VPC Peering」の記事はこちら
→「https://lovelabengineer.com/2026/10/11/aws-vpc-peeringとは？仕組み・設定方法・transit-gatewayとの違いを初/」
No responses yet