VPCピアリングとTransit Gatewayの違い

VPCが複数になると、VPCどうしをどうつなぐかが課題になります。選択肢は、VPCピアリングとTransit Gatewayの2つです。VPCが増えるほど、接続の数と料金の違いが大きくなります。

VPCピアリングは、2つのVPCを1対1で直接つなぐ接続です。Transit Gatewayは、たくさんのVPCや社内のネットワークを1か所のハブに集めるサービスです。その間の通信を中継します。

VPCピアリング接続を作ると、2つのVPCのインスタンスが、プライベートIPアドレスで通信できます。同じネットワークの中にいるように通信できるのが、VPCピアリングです。自分のVPCどうしのほか、別のAWSアカウントのVPCや、別のリージョンのVPCともつなげます。

AWSの説明によると、ピアリング接続は既存のVPCの基盤を利用して作られます。ゲートウェイでもVPN接続でもなく、専用の機器にも依存しません。そのため、単一障害点や帯域のボトルネックがありません。

接続の手順は、リクエストと承認です。一方のVPCの所有者がリクエストを送り、相手のVPCの所有者が承認すると、接続が使えるようになります。そのあと、両方のVPCのルートテーブルに、相手のVPCのIPアドレスの範囲を宛先とする経路を手動で追加します。

経路を追加しても、セキュリティグループが通信を拒否していれば届きません。必要なら、相手のVPCからの通信を許可するルールも追加します。同じ2つのVPCの間に作れるピアリング接続は、同時に1本だけです。

VPC AとB、BとCをピアリングでつないだとします。このとき、AからCへの通信は、Bを経由しても届きません。VPCピアリングは推移しないので、直接つないだVPCとしか通信できません。

AとCの間で通信するには、A–Cにもピアリング接続を作ります。次の図で接続の方法を選ぶと、AからCへ届くかどうかと、必要な設定が切り替わります。

同じことは、相手のVPCの出口にも当てはまります。VPC Aにインターネットゲートウェイがあっても、ピアリングでつないだVPC Bからは使えません。AのNATゲートウェイ・社内へのVPN接続・Direct Connectの接続も、Bからは使えません。

VPCを作るときは、10.0.0.0/16のように、使うIPアドレスの範囲を決めます。この範囲の表記をCIDRと呼びます。CIDRが同じか、一部でも重なる2つのVPCは、ピアリングでつなげません。

たとえば、10.0.0.0/16と10.0.0.0/16はまったく同じなので、つなげません。10.0.0.0/16と10.0.128.0/17は、後ろの範囲が前の範囲に含まれるので、これも重なります。10.0.0.0/16と10.1.0.0/16は重ならないので、つなげます。範囲の読み方はサブネットマスクの記事にまとめています。

1つのVPCに、IPv4のCIDRを複数付けることもできます。その場合、どれか1つでも相手と重なると、ピアリング接続は作れません。Transit Gatewayでも、CIDRが重なるVPCの間はルーティングできません。後でVPCどうしを接続する可能性があるなら、VPCごとに重ならない範囲を割り当てておきます。

AWS Transit Gatewayは、VPCと社内のネットワークの間の通信を中継するハブです。AWSは、リージョン内で動作する仮想のルータと説明しています。届いたパケットは、宛先のIPアドレスに応じて、次のアタッチメントへ転送されます。

Transit Gatewayへの接続を、アタッチメントと呼びます。アタッチできるのは、VPC・Site-to-Site VPNの接続・Direct Connectゲートウェイなどです。別のTransit Gatewayとのピアリングも、アタッチメントの1つです。各VPCはTransit Gatewayに1つつなぐだけです。Transit Gatewayのルートテーブルに経路がある相手へ届きます。

次の図は、同じ4つのVPCをピアリングですべてつないだ場合と、Transit Gatewayに集めた場合を比較したものです。ピアリングでは、組み合わせごとに接続が必要です。Transit Gatewayでは、VPCごとに1本で済みます。ネットワークトポロジの記事で説明したメッシュ型とスター型にあたります。

VPCをアタッチするときは、AZごとにサブネットを1つずつ指定します。Transit Gatewayは、そのサブネットに通信の出入口を置きます。出入口の無いAZのリソースは、Transit Gatewayに到達できません。

Transit Gatewayは、VPCのルートテーブルとは別に、自分のルートテーブルを持ちます。どのアタッチメントへ送るかは、Transit Gatewayのルートテーブルが宛先ごとに決めます。既定の設定で作成すると、既定のルートテーブルが1つできます。アタッチメントは、これに関連付けられます。

関連付けは、アタッチメントから届いた通信をどのルートテーブルで調べるかを決めます。1つのアタッチメントが関連付けられるルートテーブルは、1つだけです。ルートテーブルを分けると、一部のアタッチメントどうしだけが通信する構成も作れます。

ルートテーブルに経路を登録する方法は、伝播と静的経路の2つです。VPCをアタッチして伝播を有効にすると、そのVPCのCIDRがルートテーブルに自動で登録されます。VPN接続とDirect Connectゲートウェイは、社内のルータからBGPで受け取った経路を伝播できます。別のTransit Gatewayとのピアリングでは、静的経路だけを使います。

VPCの側にも設定が必要です。各サブネットのルートテーブルに、ほかのVPCの範囲を宛先とし、Transit Gatewayを転送先とする経路を追加します。ルートテーブルの読み方は、ルーティングの記事と同じです。

VPCピアリングは、別のリージョンのVPCとも直接つなげます。これをリージョン間VPCピアリングと呼びます。リージョン間の通信は、AWSの施設を出る前に暗号化されます。そして、インターネットを通らずにAWSのネットワークの中を流れます。

Transit Gatewayは、リージョンごとに作るリソースです。別のリージョンのVPCとつなぐときは、リージョンごとにTransit Gatewayを置きます。そのTransit Gatewayどうしを、ピアリングでつなぎます。このピアリングのアタッチメントには、静的経路を設定します。

VPCピアリングでn個のVPCを全部つなぐと、接続はn(n−1)÷2本になります。2つのVPCの組み合わせごとに、1本ずつ必要だからです。Transit Gatewayでは、VPCごとに1つのアタッチメントで済みます。n個のVPCならアタッチメントはn個です。次の図でVPCの数を選ぶと、接続の数と計算式が切り替わります。

VPCが増えるほど、差は大きくなります。AWSのホワイトペーパーによると、100個のVPCをすべてつなぐには4,950本のピアリング接続が必要です。1つのVPCが持てるピアリング接続は、既定で50本、引き上げても最大125本です。1つのTransit Gatewayのアタッチメントは、既定で5,000個までです。

社内のネットワークと接続するときも違いが出ます。ピアリングでは、相手のVPCのVPNやDirect Connectを使えません。そのため、VPCごとに社内との接続を用意します。Transit Gatewayなら、VPNやDirect Connectゲートウェイのアタッチは1か所で済みます。接続したVPCから共通で使えます。

VPCピアリング接続の作成には、料金がかかりません。同じAZの中で流れるデータは、別のアカウントの間でも無料です。AZやリージョンをまたいで流れるデータには、データ転送の料金がかかります。

Transit Gatewayの料金は、アタッチメントごとの時間と、処理したデータの量で決まります。時間の料金は1時間単位で、1時間に満たない分も1時間として数えます。データ処理の料金は、VPC・VPN・Direct ConnectなどからTransit Gatewayへ送ったデータにかかります。ピアリングのアタッチメントから届いたデータには、データ処理の料金はかかりません。リージョンをまたぐピアリングでは、送る側にリージョン間のデータ転送の料金がかかります。

データ処理の料金は、既定では送信元のアタッチメントを所有するアカウントに請求されます。VPN接続をアタッチすると、Site-to-Site VPNの接続料金も別にかかります。AWSのホワイトペーパーによると、VPCどうしをつなぐ方法の中で、全体の費用が最も低いのはVPCピアリングです。

以上の仕組みは、2026年10月29日にAWSのドキュメントと料金ページで確認したものです。データ転送料金の考え方は、AWSの料金の記事にまとめています。単価は、Transit Gatewayの料金ページとEC2の料金ページのデータ転送の欄で確認してください。

ここまでの違いを、表にまとめます。

AWSのホワイトペーパーは、つなぐVPCが10個より少ない場合にVPCピアリングが向くと説明しています。接続を1本ずつ管理できる数だからです。あわせて、両方のVPCの環境を管理し、保護できていることも条件に挙げています。費用を抑えたいときも、ピアリングが候補になります。

VPCが多いときや、これから増えるときは、Transit Gatewayが候補になります。社内とのVPNやDirect Connectを、多くのVPCで共通に使いたいときも同じです。経路をTransit Gatewayのルートテーブルの1か所で管理できるからです。

アカウントが異なるVPCを接続する場面もあります。Organizationsの組織では、1つのTransit Gatewayを複数のアカウントに共有できます。共有には、AWS Resource Access Managerを使います。共有すると、同じリージョンにある各アカウントのVPCを、そのTransit Gatewayに接続できます。

• AWS「What is VPC peering?」（定義、別のアカウント・リージョンとの接続、リージョン間の暗号化、料金）
• AWS「How VPC peering connections work」（依頼と承認、ルートテーブル、推移しないこと、CIDRの重なり、相手の出口を使えないこと）
• AWS「VPC peering connection quotas for an account」（1つのVPCのピアリング接続の上限）
• AWS「What is AWS Transit Gateway for Amazon VPC?」（定義、アタッチメントの種類、ルートテーブル・関連付け・伝播、料金）
• AWS「How AWS Transit Gateway works」（リージョンの仮想ルータ、ルーティング、サブネットのルートテーブル、ピアリングの経路）
• AWS「Amazon VPC attachments in AWS Transit Gateway」（AZごとのサブネット、CIDRの重なり）
• AWS「AWS Transit Gateway Quotas」（アタッチメントの上限）
• AWS「AWS Transit Gateway pricing」（料金の決まり方。2026-10-29確認）
• AWS「Building a Scalable and Secure Multi-VPC AWS Network Infrastructure」のVPC peeringとTransit Gateway（接続の数、向く場面、費用、リージョン、アカウントをまたぐ共有）