AWS Direct Connectとは ― VPNとの違い

AWS Direct Connectは、社内のネットワークとAWSを、インターネットを通さずにつなぐ専用の回線です。社内のデータセンターやオフィスから、VPCやAmazon S3などのサービスへ直接接続できます。

AWSは、インターネットを経由する接続より、通信が安定すると説明しています。インターネット上でVPNを張る方法と比べると、接続までに時間がかかり、既定では暗号化されない点が違います。

Direct Connectでは、AWSの機器が置かれた建物まで回線を引きます。この建物を、Direct Connectロケーションと呼びます。Direct Connectの接続は、社内のルータとロケーションのAWSのルータを光ファイバーのケーブルでつなぎます。

自社の機器をロケーションに置いていない会社は、通信事業者などのパートナーに回線を用意してもらいます。ロケーションから先は、通信がAWSのネットワークを通ってVPCやサービスに届きます。次の図は、インターネットを通るSite-to-Site VPNと、Direct Connectの経路を比べたものです。

Direct Connectの接続では、社内のルータとAWSのルータがBGPで経路情報を交換します。社内のルータは、BGPのほかに802.1QのVLANタグに対応している必要があります。1本の接続の上に、VLANで分けた論理的な経路をいくつも作るためです。

Direct Connectの接続には、専用接続とホスト接続の2種類があります。専用接続は、1社だけが使う物理的な接続です。ホスト接続は、パートナーが用意して利用者に割り当てる接続です。ホスト接続はAWSのコンソールからは申し込めず、パートナーに依頼します。

専用接続の速度は、申し込んだあとに変えられません。速度を変えたいときは、新しい接続を作り直します。

ホスト接続は小さな帯域から選べます。速度を変更できるのはパートナーだけです。変更に応じるかどうかは、パートナーによります。

接続を作っただけでは、まだAWSのサービスに届きません。接続の上に、仮想インターフェイスを作る必要があります。仮想インターフェイスは、接続先ごとに分けた論理的な経路です。VLANの番号で区別します。

仮想インターフェイスには、プライベート・パブリック・トランジットの3種類があります。次の図で種類を選ぶと、接続先とAWS側の接続相手が切り替わります。

Direct Connectゲートウェイは、1本の接続から多数のVPCにつなぐために、間に置くリソースです。中国を除くどのリージョンにも接続できます。そのため、1つのロケーションの接続から別のリージョンのVPCにも届きます。

関連付けられる相手は、VPCの仮想プライベートゲートウェイや、複数のVPCをまとめるTransit Gatewayなどです。VPCどうしの通信を中継する仕組みは、VPCピアリングとTransit Gatewayの記事で説明しています。

ユーザーガイドは、同じゲートウェイに関連付けた相手どうしは、原則として通信できないと説明しています。Direct Connectゲートウェイそのものに料金はかかりません。

AWS Site-to-Site VPNは、社内とVPCをIPsecのトンネルでつなぐサービスです。トンネルはインターネット上に作ります。AWS側の終点には、仮想プライベートゲートウェイやTransit Gatewayなどを使います。1つのVPN接続には、同時に使えるトンネルが2本含まれます。

Direct Connectとの一番の違いは、インターネットを通るかどうかです。VPNはインターネットを通るので、通信速度は混雑状況によって変わります。Direct Connectはインターネットを通りません。このため、AWSはインターネット経由の接続より安定すると説明しています。

VPNは、今あるインターネットの回線を使うため、数分で設定できます。Direct Connectの専用接続は、AWSの審査とポートの用意だけで最大72営業時間かかります。さらに、ロケーションまでの回線工事の手配も必要です。

VPNのトンネル1本の帯域は、標準で最大1.25 Gbpsです。Transit Gatewayなどに接続する場合は、1本で最大5 Gbpsの大きな帯域のトンネルも選べます。AWSのFAQは、急ぎで、帯域の要件が大きくない場合にVPNが合うと説明しています。

Direct Connectは、既定では通信を暗号化しません。インターネットを通らないことと、通信が暗号化されることは別の話です。暗号化が必要なときは、MACsecを使うか、Direct Connectの上にVPNを重ねます。

MACsecは、イーサネットの区間を暗号化するIEEEの規格です。Direct Connectでは、社内のルータとロケーションのAWSの機器の間を暗号化します。使えるのは、対応する拠点の10 Gbps・100 Gbps・400 Gbpsの専用接続です。ホスト接続では使えません。

もう1つは、Direct Connectの上にSite-to-Site VPNを張る方法です。AWSのホワイトペーパーの構成では、まずパブリック仮想インターフェイスでVPNの終点に接続します。その上にIPsecの接続を作ります。専用の回線を使ったまま、社内のルータからVPCの仮想プライベートゲートウェイまでをIPsecで暗号化できます。

接続が1本だけだと、回線や機器の故障でAWSへの通信が止まります。AWSは、冗長化のために2本目の接続を用意し、別々のDirect Connectロケーションに置くことを勧めています。1つの拠点が丸ごと使えなくなっても、もう1つの拠点の接続で通信を続けられます。

AWSは、AWS Direct Connect Resiliency Toolkitで、接続構成の型を3つ示しています。最大の回復性は、2つ以上の拠点に、それぞれ別の機器につながる接続を置く型です。高い回復性は、2つの拠点に1本ずつ接続を置く型です。開発とテスト向けは、1つの拠点の別々の機器に接続を置く型です。

予備の経路に、Site-to-Site VPNを使う方法もあります。Direct Connectが切れると、VPCへの通信は自動でVPNに切り替わります。両方から同じ宛先の経路を受け取っている間は、Direct Connectの経路が優先されます。

次の図で要件を選ぶと、適した方式と理由が表示されます。

Direct Connectの料金は、ポートの時間とAWSから外へ送るデータの量の2つで決まります。ポートの時間の単価は、速度と、専用接続かホスト接続かで変わります。AWSへ入る方向のデータ転送は、どのロケーションでも1 GBあたり0ドルです。

専用接続のポートの料金は、ポートが使える状態になったときから始まります。使える状態にならなくても、LOA-CFAという接続の許可書が発行されてから90日たつと課金が始まります。Site-to-Site VPNの料金は、VPN接続を作っている時間と、AWSから送るデータの量で決まります。

以上の仕組みは、2026年10月29日にAWSのユーザーガイドと料金ページで確認したものです。データ転送料金の考え方は、料金の記事にまとめています。単価は、Direct Connectの料金ページとVPNの料金ページで確認してください。

• AWS「What is Direct Connect?」（定義、ネットワークの条件、仮想インターフェイスの種類、料金の要素）
• AWS「Direct Connect dedicated and hosted connections」と、専用接続・ホスト接続のページ（速度、申し込み、ポートの用意にかかる時間、課金の始まり）
• AWS「Direct Connect virtual interfaces and hosted virtual interfaces」（仮想インターフェイス、VLAN、BGP）
• AWS「Direct Connect gateways」（Direct Connectゲートウェイ）
• AWS「Encryption in AWS Direct Connect」・「MAC Security in Direct Connect」（既定では暗号化しないこと、MACsec、VPNとの組み合わせ）
• AWS「AWS Direct Connect Resiliency Toolkit」（冗長化の型）
• AWS「AWS Direct Connect FAQs」（VPNとの違い、2本目の接続、予備のVPN、ゲートウェイの料金）
• AWS「Amazon Virtual Private Cloud Connectivity Options」（Direct ConnectとSite-to-Site VPNの組み合わせ）
• AWS「What is AWS Site-to-Site VPN?」・「AWS Site-to-Site VPN quotas」・「Route tables and AWS Site-to-Site VPN route priority」（トンネル、AWS側の終点、帯域、料金、Direct Connectとの経路の優先順位）
• AWS「AWS Direct Connect Pricing」・「AWS VPN Pricing」（料金の決まり方。2026-10-29確認）