AWS Direct Connectでオンプレミスとの専用線接続を設計する方法｜VPNとの違い・仮想インターフェース・冗長構成パターン

この記事のポイント

・AWS Direct Connectは専用物理回線でAWSに直結し帯域が安定する
・VIFはPrivate・Public・Transitの3種類を用途で使い分ける
・本番環境はDX＋VPNのアクティブ・スタンバイ冗長構成が定石
・CLIのdescribe-*コマンドでBGP状態と接続状態を確認できる

# DX接続の一覧と状態を確認する
$ aws directconnect describe-connections --region ap-northeast-1 \
  --query 'connections[*].{Name:connectionName,State:connectionState,BW:bandwidth}' \
  --output table

-------------------------------------------------------------------
|                      DescribeConnections                        |
+----------+-------------------------------+---------------------+
|    BW    |            Name               |       State         |
+----------+-------------------------------+---------------------+
|  1Gbps   |  corp-to-aws-tokyo-primary    |  available          |
|  1Gbps   |  corp-to-aws-osaka-secondary  |  available          |
+----------+-------------------------------+---------------------+

# connectionState: available = 物理リンクが正常
# connectionState: down      = 物理リンクの障害（ケーブル断・工事中等）

# VIFのBGPピア状態を確認する
$ aws directconnect describe-virtual-interfaces --region ap-northeast-1 \
  --query 'virtualInterfaces[*].{Name:virtualInterfaceName,Type:virtualInterfaceType,BGP:bgpPeers[0].bgpStatus,State:virtualInterfaceState}' \
  --output table

------------------------------------------------------------------------------------
|                         DescribeVirtualInterfaces                                |
+------+-----------------------------------+----------+---------------------------+
| BGP  |              Name                 |  State   |          Type             |
+------+-----------------------------------+----------+---------------------------+
|  up  |  private-vif-vpc-prod-primary     | available| private                   |
|  up  |  private-vif-vpc-prod-secondary   | available| private                   |
+------+-----------------------------------+----------+---------------------------+

# bgpStatus: up   = BGPセッションが正常に確立済み
# bgpStatus: down = BGP接続の障害（ASN/認証キーの不一致等）

# EC2（Amazon Linux 2023: ip-10-0-1-45）からオンプレのホストへ疎通確認
[ec2-user@ip-10-0-1-45 ~]$ ping -c 4 192.168.10.100
PING 192.168.10.100 (192.168.10.100) 56(84) bytes of data.
64 bytes from 192.168.10.100: icmp_seq=1 ttl=62 time=2.31 ms
64 bytes from 192.168.10.100: icmp_seq=2 ttl=62 time=2.29 ms
64 bytes from 192.168.10.100: icmp_seq=3 ttl=62 time=2.30 ms
64 bytes from 192.168.10.100: icmp_seq=4 ttl=62 time=2.28 ms

--- 192.168.10.100 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3004ms
rtt min/avg/max/mdev = 2.284/2.296/2.314/0.011 ms

# 2ms台の安定したレイテンシ = 専用線接続の特徴
# インターネットVPN経由では20ms～50ms以上に変動するケースが多い

# VIFのBGP詳細設定を確認する
$ aws directconnect describe-virtual-interfaces \
  --virtual-interface-id dxvif-xxxx1234 \
  --query 'virtualInterfaces[0].bgpPeers'

[
  {
    "asn": 65001,
    "authKey": null,
    "amazonAddress": "175.45.xxx.1/30",
    "customerAddress": "175.45.xxx.2/30",
    "bgpPeerState": "available",
    "bgpStatus": "down"
  }
]

# bgpStatus: down の場合はASN/MD5キー/VLAN番号の不一致を疑う

# LOA（接続承認書）の発行確認
$ aws directconnect describe-loa --connection-id dxcon-abcd1234 \
  --provider-name "YOUR-ISP-NAME" --loa-content-type application/pdf \
  --output text 2>&1 | head -3

# LOA が発行済みなら Base64 エンコードの PDF データが返る
# "LoaContent not available" が返る場合はまだ未発行

# VPCルートテーブルにDX経由の経路が伝播されているか確認
$ aws ec2 describe-route-tables \
  --filters "Name=vpc-id,Values=vpc-0a1b2c3d4e5f6g7h" \
  --query "RouteTables[*].Routes[?Origin=='EnableVgwRoutePropagation']" \
  --output table

# 出力例（オンプレ CIDR が伝播済みの正常状態）
---------------------------------------------------------------------------
|  DestinationCidrBlock  |   GatewayId     |        State               |
+------------------------+-----------------+----------------------------+
|  192.168.0.0/16        |  vgw-xxxx5678   |        active              |
+------------------------+-----------------+----------------------------+

# このエントリが存在しない場合は VGW の Route Propagation が無効