AWS Site-to-Site VPNでオンプレミスとVPCをセキュアに接続する方法｜Customer GatewayとVGW・BGPフェイルオーバー設計の実践手順

この記事のポイント

・Site-to-Site VPNは1つのVPN接続に2本のIPsecトンネルを持ち、AWSが冗長性を提供する
・BGPを使えばトンネル障害時に自動で経路切り替えが起きる（静的ルーティングは手動対応が必要）
・CGW・VGW・VPN接続の3ステップをCLIで構成しルート伝播で経路をVPCに伝える
・VpwTelemetryのStatusとAcceptedRouteCountでトンネルとBGPの状態を最初に確認する

# Customer Gatewayを作成する（オンプレ側のパブリックIPとASNを指定）
$ aws ec2 create-customer-gateway \
  --type ipsec.1 \
  --bgp-asn 65000 \
  --public-ip 203.0.113.10 \
  --tag-specifications 'ResourceType=customer-gateway,Tags=[{Key=Name,Value=onprem-cgw}]'

{
    "CustomerGateway": {
        "CustomerGatewayId": "cgw-0a1b2c3d4e5f60001",
        "IpAddress": "203.0.113.10",
        "BgpAsn": "65000",
        "State": "available",
        "Type": "ipsec.1",
        "Tags": [{"Key": "Name", "Value": "onprem-cgw"}]
    }
}

# 作成されたCGWを一覧で確認する
$ aws ec2 describe-customer-gateways \
  --customer-gateway-ids cgw-0a1b2c3d4e5f60001 \
  --query 'CustomerGateways[*].[CustomerGatewayId,IpAddress,BgpAsn,State]' \
  --output table

+------------------------+--------------+-------+-----------+
| cgw-0a1b2c3d4e5f60001  | 203.0.113.10 | 65000 | available |
+------------------------+--------------+-------+-----------+

# Virtual Private Gatewayを作成する
$ aws ec2 create-vpn-gateway \
  --type ipsec.1 \
  --tag-specifications 'ResourceType=vpn-gateway,Tags=[{Key=Name,Value=prod-vgw}]'

{
    "VpnGateway": {
        "VpnGatewayId": "vgw-0a1b2c3d4e5f60002",
        "State": "available",
        "Type": "ipsec.1",
        "AmazonSideAsn": 64512
    }
}

# VGWをVPCにアタッチする
$ aws ec2 attach-vpn-gateway \
  --vpc-id vpc-0a1b2c3d4e5f6 \
  --vpn-gateway-id vgw-0a1b2c3d4e5f60002

{
    "VpcAttachment": {
        "State": "attaching",
        "VpcId": "vpc-0a1b2c3d4e5f6"
    }
}

# アタッチ完了を確認する（State が attached になるまで数十秒待つ）
$ aws ec2 describe-vpn-gateways \
  --vpn-gateway-ids vgw-0a1b2c3d4e5f60002 \
  --query 'VpnGateways[0].VpcAttachments'

[
    {
        "State": "attached",
        "VpcId": "vpc-0a1b2c3d4e5f6"
    }
]

# VPN接続を作成する（BGP有効、2本トンネルが自動作成される）
$ aws ec2 create-vpn-connection \
  --type ipsec.1 \
  --customer-gateway-id cgw-0a1b2c3d4e5f60001 \
  --vpn-gateway-id vgw-0a1b2c3d4e5f60002 \
  --options '{"StaticRoutesOnly":false}' \
  --tag-specifications 'ResourceType=vpn-connection,Tags=[{Key=Name,Value=prod-vpn-conn}]'

{
    "VpnConnection": {
        "VpnConnectionId": "vpn-0a1b2c3d4e5f60001",
        "State": "pending",
        "CustomerGatewayId": "cgw-0a1b2c3d4e5f60001",
        "VpnGatewayId": "vgw-0a1b2c3d4e5f60002",
        "Type": "ipsec.1"
    }
}

# ルーター設定ファイル（XML）を取得する（オンプレ側デバイスの設定参考に使う）
$ aws ec2 describe-vpn-connections \
  --vpn-connection-ids vpn-0a1b2c3d4e5f60001 \
  --query 'VpnConnections[0].CustomerGatewayConfiguration' \
  --output text > vpn-router-config.xml

# 取得したXMLからOutside IP（トンネル外側IP）を確認する
$ grep -o '[^<]*' vpn-router-config.xml | head -4

52.199.xxx.xxx    # トンネル1のAWS側Outside IP
203.0.113.10      # トンネル1のオンプレ側Outside IP
52.198.yyy.yyy    # トンネル2のAWS側Outside IP
203.0.113.10      # トンネル2のオンプレ側Outside IP

# VPNトンネルの状態を確認する（VgwTelemetryで2本のトンネルを確認）
$ aws ec2 describe-vpn-connections \
  --vpn-connection-ids vpn-0a1b2c3d4e5f60001 \
  --query 'VpnConnections[0].VgwTelemetry[*].[OutsideIpAddress,Status,StatusMessage,AcceptedRouteCount]' \
  --output table

----------------------------------------------------------------------
|                      DescribeVpnConnections                        |
+------------------+------+----------------------------+-----------+
| 52.199.xxx.xxx   | UP   | 1 BGP ROUTES               | 1         |
| 52.198.yyy.yyy   | UP   | 1 BGP ROUTES               | 1         |
+------------------+------+----------------------------+-----------+
# Status が UP かつ AcceptedRouteCount が 1 以上であればBGP経路交換が成功している
# StatusMessage の "1 BGP ROUTES" はオンプレ側から受信したBGP経路数を示す

# ルートテーブルへのVGWルート伝播を有効化する
$ aws ec2 enable-vgw-route-propagation \
  --route-table-id rtb-0a1b2c3d4e5f6 \
  --gateway-id vgw-0a1b2c3d4e5f60002

# ルートテーブルの内容を確認する（VGW由来の経路が PropagatingVgws 経由で表示される）
$ aws ec2 describe-route-tables \
  --route-table-ids rtb-0a1b2c3d4e5f6 \
  --query 'RouteTables[0].Routes[*].[DestinationCidrBlock,GatewayId,Origin]' \
  --output table

+-----------------+-------------------------+----------------------------+
| 10.0.0.0/16     | local                   | CreateRouteTable           |
| 192.168.0.0/16  | vgw-0a1b2c3d4e5f60002   | EnableVgwRoutePropagation  |
+-----------------+-------------------------+----------------------------+
# 192.168.0.0/16 がオンプレ側からBGP広報されたネットワーク

# オンプレLinuxサーバーでVPC側ネットワークへの経路を確認する
$ ip route show | grep 10.0.0.0

10.0.0.0/16 via 192.168.1.254 dev eth0 proto bgp metric 20
# 10.0.0.0/16（VPCのCIDR）が BGP（proto bgp）経由で学習されていれば設定成功
# via のアドレスはオンプレルーターのLAN側IP

# VPC内のプライベートIPへpingを打つ
# （EC2のセキュリティグループでICMPがオンプレCIDRから許可されていること）
$ ping -c 3 10.0.11.50

PING 10.0.11.50 (10.0.11.50) 56(84) bytes of data.
64 bytes from 10.0.11.50: icmp_seq=1 ttl=253 time=8.3 ms
64 bytes from 10.0.11.50: icmp_seq=2 ttl=253 time=7.9 ms
64 bytes from 10.0.11.50: icmp_seq=3 ttl=253 time=8.2 ms

--- 10.0.11.50 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2004ms
rtt min/avg/max/mdev = 7.9/8.1/8.3/0.166 ms
# RTT 8ms前後はVPN（インターネット経由・東京リージョン）として標準的な値

# VPC内のEC2にSSH接続を試みる
$ ssh -v ec2-user@10.0.11.50 -i ~/.ssh/prod-ec2-key.pem 2>&1 | \
  grep -E 'Connecting|Connection established|Authenticating'

debug1: Connecting to 10.0.11.50 [10.0.11.50] port 22.
debug1: Connection established.
debug1: Authenticating to 10.0.11.50:22 as 'ec2-user'
# VPN経由でSSH接続が確立できれば設定完了

# トンネル状態とStatusMessageを確認する
$ aws ec2 describe-vpn-connections \
  --vpn-connection-ids vpn-0a1b2c3d4e5f60001 \
  --query 'VpnConnections[0].VgwTelemetry[*].[Status,StatusMessage,LastStatusChange]' \
  --output table

+-------+----------------------------+---------------------------+
| DOWN  | DPD failure                | 2026-07-30T09:00:00.000Z  |
| UP    | 1 BGP ROUTES               | 2026-07-29T08:00:00.000Z  |
+-------+----------------------------+---------------------------+

$ aws ec2 describe-vpn-connections \
  --vpn-connection-ids vpn-0a1b2c3d4e5f60001 \
  --query 'VpnConnections[0].VgwTelemetry[*].[Status,StatusMessage,AcceptedRouteCount]' \
  --output table

+-------+-----------------------+-----------------+
| UP    | IPSEC IS UP           | 0               |
| UP    | IPSEC IS UP           | 0               |
+-------+-----------------------+-----------------+
# IPSEC IS UP だが AcceptedRouteCount が 0 → BGPセッション未確立

# ルートテーブルの伝播設定を確認する
$ aws ec2 describe-route-tables \
  --route-table-ids rtb-0a1b2c3d4e5f6 \
  --query 'RouteTables[0].PropagatingVgws'

[]
# PropagatingVgws が空の場合は enable-vgw-route-propagation を実行する

$ aws ec2 enable-vgw-route-propagation \
  --route-table-id rtb-0a1b2c3d4e5f6 \
  --gateway-id vgw-0a1b2c3d4e5f60002