▪️目的
オンプレミス環境とAWSを接続する場合、ネットワーク間で安全に通信できる仕組みが必要になります。
例えば、社内のデータセンターで稼働している業務システムと、AWS上に構築したシステムを連携させる場合です。
このような用途で利用されるサービスのひとつが、AWS Site-to-Site VPN です。
AWS Site-to-Site VPNを利用すると、オンプレミス環境などのネットワークとAWSの間に、IPsecを利用した暗号化されたVPN接続を構築できます。
本記事では、AWS Site-to-Site VPNの概要から、仕組み、主な構成要素、AWS Direct Connectとの違いまで、インフラ初心者向けに解説します。
▪️AWS Site-to-Site VPNとは
AWS Site-to-Site VPNは、オンプレミス環境などのネットワークとAWSを、IPsecによる暗号化されたVPN接続でつなぐサービスです。
VPN（Virtual Private Network）とは、ネットワーク間に仮想的な専用通信路を構築する技術です。
AWS Site-to-Site VPNでは、インターネットなどのネットワークを経由して、オンプレミス側のネットワークとAWS側のネットワークを接続できます。
例えば、次のような用途で利用されます。
- 社内ネットワークからAWS上のシステムへ接続する
- オンプレミス環境とAWSの間でデータをやり取りする
- 拠点間のネットワークを接続する
- AWS Direct Connectのバックアップ用接続を構築する
AWS Site-to-Site VPNは、ネットワーク間の通信を暗号化できるため、インターネットを経由する場合でも、通信内容を保護しながら接続を構築できます。
ただし、VPNを構築しただけですべての通信が自動的に許可されるわけではありません。ルーティングやセキュリティグループ、ネットワークACLなども適切に設定する必要があります。
公式ドキュメント：AWS Site-to-Site VPNとは
▪️AWS Site-to-Site VPNの仕組み
AWS Site-to-Site VPNでは、オンプレミス側のネットワーク機器とAWS側のVPN接続先の間に、IPsec VPNトンネルを構築します。
基本的な構成を見てみましょう。
オンプレミス環境
┌────────────────────┐
│ 社内ネットワーク │
│ │
│ VPN対応ルーター │
└─────────┬──────────┘
│
│ インターネットなど
│
▼
╔════════════════╗
║ IPsec VPN ║
║ トンネル ║
╚════════════════╝
│
▼
┌────────────────────┐
│ AWS │
│ │
│ Site-to-Site VPN │
│ │ │
│ ▼ │
│ VPC │
└────────────────────┘
※仕組みを理解するための概念図です。実際の構成では、Customer Gateway、Virtual Private GatewayまたはTransit Gatewayなどを利用します。
この構成では、オンプレミス側のVPN対応ルーターなどとAWS側のVPN接続先の間に、暗号化された通信経路を確立します。
IPsecは、IPネットワーク上の通信を保護するためのプロトコル群です。通信データの暗号化や、通信相手の認証などに利用されます。
そのため、AWS Site-to-Site VPNでは、インターネットなどを経由する通信を暗号化し、安全にネットワーク間を接続できます。
▪️AWS Site-to-Site VPNの主な構成要素
AWS Site-to-Site VPNを理解するうえで、重要な構成要素を紹介します。
1. Customer Gateway
Customer Gatewayは、オンプレミス側のネットワークを表すAWS上のリソースです。
通常、オンプレミス側ではVPNに対応したルーターやファイアウォールなどを利用します。
AWSでは、その機器の情報や接続に必要な情報を登録して、Customer Gatewayというリソースを作成します。
Customer Gatewayリソースそのものが、オンプレミスに設置する物理機器というわけではありません。
例えば、次のような情報をもとに設定します。
- VPN機器のパブリックIPアドレス
- ルーティングに関する情報
- 利用する接続方式に関する情報
Customer Gatewayは、オンプレミス側のネットワークをAWS側から識別し、VPN接続を構成するために必要な要素です。
2. Virtual Private Gateway
Virtual Private Gateway（VGW）は、VPC側にVPN接続を構成するためのゲートウェイです。
AWS Site-to-Site VPNでは、Virtual Private GatewayをVPCに関連付けることで、オンプレミス環境とVPCを接続できます。
例えば、次のような構成です。
オンプレミス環境
│
▼
Customer Gateway
│
│ VPN接続
▼
Virtual Private Gateway
│
▼
VPC
Virtual Private Gatewayは、主にVPC単位でオンプレミスとの接続を構成する場合に利用されます。
複数のVPCを集約して接続を管理したい場合などは、Transit Gatewayを利用する構成もあります。
3. Transit Gateway
Transit Gatewayは、複数のVPCやオンプレミスネットワークなどを接続するためのネットワーク中継サービスです。
例えば、複数のAWSアカウントやVPCを利用している企業では、VPCごとに個別のVPN接続を構成するのではなく、Transit Gatewayを利用してネットワークを集約できます。
構成のイメージは次のとおりです。
オンプレミス環境
│
▼
Customer Gateway
│
│ VPN接続
▼
Transit Gateway
│
├── VPC A
│
├── VPC B
│
└── VPC C
※概念図です。実際の接続には、VPN接続やTransit Gatewayのアタッチメント、ルートテーブルなどの設定が必要です。
Transit Gatewayを利用することで、複数のネットワークを集約し、ネットワーク構成を整理しやすくなります。
Virtual Private GatewayとTransit Gatewayは、どちらもネットワーク接続に関係しますが、利用する構成や目的が異なります。
4. VPNトンネル
AWS Site-to-Site VPNでは、AWS側のVPN接続先とオンプレミス側の機器の間に、IPsec VPNトンネルを構築します。
AWS Site-to-Site VPNの接続には、通常、2つのVPNトンネルが用意されています。
複数のトンネルを利用することで、一方のトンネルに障害が発生した場合などに、もう一方のトンネルを利用できる構成を設計できます。
ただし、障害時に期待どおり切り替わるようにするには、オンプレミス側の機器やルーティングなども適切に設定する必要があります。
VPN接続を構築する際は、トンネルが存在することだけでなく、冗長性や障害時の動作も考慮しましょう。
▪️AWS Site-to-Site VPNのルーティング
AWS Site-to-Site VPNで通信するためには、VPN接続を構築するだけでなく、ルーティングを適切に設定する必要があります。
ルーティングとは、宛先のネットワークに向けて通信を転送する経路を決定する仕組みです。
AWS Site-to-Site VPNでは、主に次の2種類のルーティング方式があります。
1. 静的ルーティング
静的ルーティングは、通信先のネットワーク経路を手動で設定する方式です。
例えば、オンプレミス側のネットワークが 192.168.10.0/24 である場合、そのネットワークへの経路をAWS側のVPN接続設定に登録します。
ネットワーク構成が比較的シンプルな場合に利用しやすい方式です。
ただし、ネットワーク構成が変わった場合には、必要に応じてルート設定を更新する必要があります。
2. 動的ルーティング（BGP）
動的ルーティングでは、BGP（Border Gateway Protocol）を利用して、ネットワーク間で経路情報を交換します。
BGPを利用すると、ネットワーク構成や経路の変化に応じて、経路情報を動的に更新できます。
例えば、複数の経路を利用する構成で、障害時の経路切り替えなどを設計する場合に役立ちます。
静的ルーティングと動的ルーティングのどちらを利用するかは、ネットワーク構成や運用要件に応じて判断します。
▪️AWS Site-to-Site VPNとAWS Direct Connectの違い
AWS Direct Connectも、オンプレミス環境とAWSを接続するためのサービスです。
ただし、AWS Site-to-Site VPNとは接続方式が異なります。
AWS Site-to-Site VPNは、IPsecによる暗号化されたVPN接続を構築します。一方、AWS Direct Connectは、専用のネットワーク接続を利用してAWSへ接続します。
| 比較項目 | AWS Site-to-Site VPN | AWS Direct Connect |
|---|---|---|
| 接続方式 | IPsec VPN | 専用ネットワーク接続 |
| 通信の暗号化 | IPsecで暗号化 | 接続自体は標準で暗号化されない |
| 導入 | 比較的導入しやすい | 回線や接続拠点などの準備が必要 |
| 通信品質 | インターネット経由の場合、経路や混雑の影響を受ける | 帯域幅や経路を考慮した設計がしやすい |
| 主な用途 | 暗号化されたネットワーク接続 | 大容量通信や継続的なネットワーク接続 |
どちらを利用するかは、通信量、セキュリティ要件、導入期間、費用などによって異なります。
例えば、比較的短期間で暗号化されたネットワーク接続を構築したい場合は、Site-to-Site VPNが候補になります。
一方、大容量の通信やネットワーク品質を考慮した接続を必要とする場合は、Direct Connectが候補になります。
また、Direct ConnectとSite-to-Site VPNを組み合わせて、Direct Connectを通常時の接続に利用し、VPNをバックアップとして用意する構成も考えられます。
ただし、実際に障害時の切り替えを実現するには、ルーティングや優先経路などの設計が必要です。
▪️AWS Site-to-Site VPNを利用するメリット
AWS Site-to-Site VPNを利用する主なメリットは、次の3つです。
1. 暗号化された通信を構築できる
AWS Site-to-Site VPNでは、IPsecを利用してネットワーク間の通信を暗号化できます。
そのため、インターネットなどを経由する場合でも、通信内容を保護するための仕組みを構築できます。
企業の業務システムとAWSを接続する場合など、通信の機密性が求められる用途で利用できます。
2. 比較的導入しやすい
AWS Direct Connectでは、回線や接続拠点などの準備が必要になる場合があります。
一方、Site-to-Site VPNは、対応するVPN機器やネットワーク環境があれば、インターネットなどを経由して接続を構築できます。
そのため、専用回線を準備する場合と比べて、導入しやすいケースがあります。
ただし、オンプレミス側の機器やネットワークの設定は必要です。
3. 冗長性を考慮した構成を設計できる
AWS Site-to-Site VPNでは、通常、2つのVPNトンネルが用意されています。
この仕組みを利用し、障害時にも通信を継続しやすい構成を設計できます。
さらに、Direct Connectなどの別の接続方式と組み合わせることで、接続障害への備えを強化することも可能です。
ただし、冗長性を確保するには、オンプレミス側の機器や回線、ルーティングなどを含めて設計する必要があります。
▪️AWS Site-to-Site VPNを利用する際の注意点
AWS Site-to-Site VPNを利用する際は、次の点に注意しましょう。
1. VPN接続を構築するだけでは通信できない場合がある
VPNトンネルが確立していても、ルーティングやセキュリティグループなどの設定が適切でなければ、目的のリソースへ通信できません。
例えば、オンプレミス側のネットワークからVPC内のサーバーへ接続する場合は、次のような点を確認する必要があります。
- オンプレミス側のルーティング
- VPCのルートテーブル
- セキュリティグループ
- ネットワークACL
- VPNトンネルの状態
ネットワーク間の通信では、接続経路だけでなく、通信を許可する設定も重要です。
2. IPアドレスの重複に注意する
オンプレミス環境とVPCで、同じIPアドレス範囲を利用していると、ネットワーク間の通信に問題が発生する場合があります。
例えば、両方の環境で 192.168.1.0/24 を利用していると、宛先ネットワークを正しく判断できないことがあります。
そのため、VPN接続を設計する際は、オンプレミス側とAWS側のIPアドレス範囲を確認し、重複を避けることが重要です。
3. VPNトンネルの状態を監視する
VPN接続を安定して運用するためには、トンネルの状態や通信状況を監視することが重要です。
例えば、AWSの監視サービスであるAmazon CloudWatchなどを利用して、VPN接続に関連するメトリクスを監視できます。
また、障害時に適切な対応ができるように、アラームの設定や復旧手順も整備しておくとよいでしょう。
4. 利用料金を確認する
AWS Site-to-Site VPNでは、VPN接続の利用料金やデータ転送に関する料金などが発生する場合があります。
また、オンプレミス側のVPN機器や回線についても費用を考慮する必要があります。
導入前に、必要な接続数や通信量、利用する構成を整理し、全体の費用を確認しましょう。
▪️まとめ
AWS Site-to-Site VPNは、オンプレミス環境などのネットワークとAWSを、IPsecによる暗号化されたVPN接続でつなぐサービスです。
主なポイントは次のとおりです。
- IPsec VPN： ネットワーク間の通信を暗号化する
- Customer Gateway： オンプレミス側のネットワーク機器などをAWS上で表すリソース
- Virtual Private Gateway： VPC側のVPN接続先として利用するゲートウェイ
- Transit Gateway： 複数のネットワークを集約して接続するためのサービス
- ルーティング： 静的ルーティングやBGPによって通信経路を設定する
- Direct Connectとの違い： VPNはIPsecによる暗号化された接続、Direct Connectは専用ネットワーク接続を利用する
AWS Site-to-Site VPNは、オンプレミス環境とAWSを接続するうえで重要なサービスです。
AWSのネットワークを学ぶ際は、AWS Direct ConnectやTransit Gatewayなどの関連サービスとあわせて理解すると、ハイブリッドクラウド環境の設計への理解が深まります。
次の記事では、「AWS Transit Gateway」について解説します。
＊「AWS Transit Gateway」の記事はこちら
→「https://lovelabengineer.com/2026/10/11/aws-transit-gatewayとは？仕組み・ルートテーブル・vpc-peeringとの違/」
No responses yet