IPsec-VPN は、VPN Gateway と Transit Router の 2 つのバインディングモードを提供します。それぞれ、規模や可用性の要件が異なるネットワークアーキテクチャに適しています。
クイックガイド
接続する必要がある VPC はいくつですか？
1 つの VPC → VPN Gateway を選択
複数の VPC (同一リージョン内またはリージョン間) → Transit Router を選択
ECMP 負荷分散は必要ですか？
いいえ (コールドスタンバイのディザスタリカバリで十分) → VPN Gateway がこのニーズに対応
はい (複数のリンクが同時にトラフィックを伝送) → Transit Router を選択
1 つの IPsec 接続に必要な帯域幅はどれくらいですか？
1 Gbps 以下 → どちらのモードも適しています
1～2 Gbps → Transit Router を選択 (接続あたり最大 2 Gbps をサポート)
2 Gbps 超 → Transit Router を選択し、ECMP を使用して複数の接続で帯域幅をスケーリング
ご利用になるのは SSL-VPN ですか？
SSL-VPN リモートアクセスが必要 → 標準 VPN Gateway を選択
いいえ → 上記の基準に基づいて決定
機能比較
機能 | VPN Gateway | Transit Router |
利用シーン | オンプレミスデータセンターを単一の VPC に接続 | オンプレミスデータセンターを複数の VPC に接続 |
サポートされる暗号化アルゴリズム |
|
|
トンネルモード | デュアルトンネル (アクティブ/スタンバイ) 一部のレガシ VPN Gateway インスタンスは、シングルトンネルの IPsec-VPN 接続のみをサポートしています。デュアルトンネルモードへのアップグレードを推奨します。 | デュアルトンネル (ECMP) レガシのシングルトンネル IPsec 接続は高可用性を提供しません。ネットワーク接続に影響を与えないタイミングで IPsec 接続を削除し、再作成することを推奨します。新しい IPsec 接続は、デフォルトでデュアルトンネルモードを使用します。 |
高可用性メカニズム | アクティブ-スタンバイ フェールオーバー: トラフィックは、デフォルトでアクティブなトンネルを経由してルーティングされ、アクティブなトンネルで障害が発生した場合はスタンバイトンネルに自動的にフェールオーバーします。 | ECMP 負荷分散：両方のトンネルが同時にトラフィックを伝送し、相互に冗長性を提供します。 |
IPsec 接続あたりの最大帯域幅 | 拡張：1 Gbps (接続ごとに専用) 標準：すべての接続が VPN Gateway の帯域幅を共有し、最大 1,000 Mbps (一部のリージョンでは 500 Mbps) です。 | 2 Gbps (トンネルあたり最大 1 Gbps) レガシのシングルトンネルモードは最大 1 Gbps をサポートします。 |
帯域幅のスケーリング | 標準：サポートされていません。 | 複数の接続にわたる ECMP をサポートし、最大 32 のトンネル (16 の IPsec 接続) で負荷分散を行います。 |
pps | VPN Gateway インスタンスあたり 120,000 pps (すべての接続で共有) | トンネルあたり 120,000 pps (デュアルトンネルモードの場合) レガシのシングルトンネルモードは接続あたり 120,000 pps をサポートします。 |
SSL-VPN | 標準 VPN Gateway でサポート | サポートされていません |
BGP 動的ルーティング | 拡張：デフォルトで 200 ルート 標準：デフォルトで 50 ルート | トンネルあたり 1,000 ルート、合計 2,000 ルート |
拡張 VPN Gateway と標準 VPN Gateway の違い：
拡張：制で、IPsec 接続ごとに 1 Gbps の専用帯域幅を提供し、SM アルゴリズムはサポートしていません。
標準：制で、すべての IPsec 接続が VPN Gateway の帯域幅を共有し、ポリシーベースルーティングと SM アルゴリズムをサポートしています。
詳細な比較については、「拡張 VPN Gateway と標準 VPN Gateway の比較」をご参照ください。
トンネルモード
デュアルトンネルモード
デュアルトンネルモードは、新しい IPsec 接続のデフォルトです。
各 IPsec 接続には、異なるアベイラビリティゾーンにデプロイされた 2 つのトンネルが含まれます。
ゾーンレベルのディザスタリカバリとリンクの冗長性を提供します。
VPN Gateway にバインドされている場合はコールドスタンバイモードで動作し、Transit Router にバインドされている場合は ECMP モードで動作します。
両方のトンネルが設定され、利用可能であることを確認してください。1 つのトンネルしか設定しない場合、冗長性が失われ、接続は SLA の対象外となります。
シングルトンネルモード
シングルトンネルはレガシモードであり、新しい IPsec 接続ではサポートされていません。
シングルトンネルの IPsec 接続は、一部のレガシ VPN Gateway インスタンスでのみ見られます。
ゾーンレベルのディザスタリカバリを提供しません。
デュアルトンネルモードへのアップグレードを強く推奨します。
ネットワークタイプ
Transit Router にバインドされた IPsec 接続を作成する際、次のいずれかのネットワークタイプを選択できます：
ネットワークタイプ | 説明 | 利用シーン |
インターネット | インターネット経由で IPsec トンネルを確立します。 | 物理接続がないシナリオ、または物理接続のスタンバイとして VPN を使用するシナリオ。 |
プライベートネットワーク | 既存の物理接続経由で IPsec トンネルを確立し、そのトラフィックを暗号化します。 | 既存の物理接続があるシナリオ、またはコンプライアンス要件で暗号化された伝送が必要なシナリオ。 |
ルーティングモード
IPsec-VPN は、クラウドからオンプレミスデータセンターへのトラフィックのルーティング方法を決定する 3 つのルーティングモードをサポートしています：
BGP 動的ルーティング
これは最も柔軟なモードです。クラウドとオンプレミスのゲートウェイは、Border Gateway Protocol (BGP) を使用してルートを自動的に学習し、公開します。ネットワークが変更されると、ルートは自動的に更新されます。
メリット：
ルートの自動学習と収束により、手動でのルートテーブルのメンテナンスが不要になります。
サブネットの追加や削除など、ネットワークトポロジーの変更に自動的に適応します。
自動ルートフェールオーバーにより、より迅速な回復が可能です。
中規模から大規模のネットワークやマルチサイトのシナリオに最適です。
要件：
ご利用のオンプレミスゲートウェイが BGP をサポートしている必要があります。
トンネル用に BGP 自律システム番号 (ASN) と BGP ピア IP アドレスを設定する必要があります。
静的宛先ルート
オンプレミスの CIDR ブロックを指す静的ルートを手動で設定します。このモードはシンプルで直接的であり、ネットワークトポロジーが安定しており、サブネットの数が少ないシナリオに適しています。
メリット：
BGP への依存関係がなく、設定が簡単です。
小規模ネットワークや PoC (概念実証) に適しています。
制限事項：
オンプレミスデータセンターが変更された場合、手動でのルート更新が必要です。
拡張 VPN Gateway では 50 ルート、標準 VPN Gateway では 30 ルートの制限があります。
ポリシーベースルーティング
送信元および宛先 CIDR ブロックに基づくポリシーを適用して、特定の IPsec 接続にトラフィックを誘導し、きめ細かな制御を提供します。
メリット：
送信元および宛先アドレスに基づいた、きめ細かなルーティング制御が可能です。
複数の接続にわたるトラフィックのディストリビューションに適しています。
制限事項：
標準 VPN Gateway でのみサポートされています。
デフォルトで 20 のポリシーベースルートの制限があります。
設定とメンテナンスがより複雑です。
ルーティングモードの比較
機能 | BGP 動的ルーティング | 静的宛先ルート | ポリシーベースルーティング |
ルート設定 | 自動学習 | 手動設定 | 手動設定 |
適用可能なバインディングモード | VPN Gateway、Transit Router | VPN Gateway、Transit Router | 標準 VPN Gateway のみ |
推奨事項 | 強く推奨 | シンプルなシナリオに適しています | 送信元および宛先アドレスに基づくきめ細かなルーティング制御など、特定のニーズに対応します。 |
決定のまとめ
VPN Gateway
単一の VPC に接続する。
SSL-VPN を使用してクライアント対サイトのリモートアクセスを提供する (標準 VPN Gateway が必要)。
アクティブ/スタンバイのディザスタリカバリで可用性要件を満たします。
Transit Router
同一リージョン内またはリージョン間で複数の VPC を接続する。
ECMP を使用して高可用性と負荷分散を実現する。
物理接続経由のトラフィックを暗号化する。
単一の接続で 1 Gbps を超える帯域幅が必要。
大規模なマルチサイト接続のためにフルメッシュネットワークを構築する。
多数の BGP ルート (最大 2,000) をサポートする。