Site-to-Site VPNで実現するセキュアな専用線通信
高速専用便 に 暗号化装甲 を追加して、速度とセキュリティを同時実現！
AWS Direct Connect は暗号化されていません！
専用線でも
プレーンテキスト
で通信されるため、機密データには追加の暗号化が必要です。
🚀 高速専用便
✅ 速い・安定
❌ 暗号化なし
⚠️ 盗聴リスク
機密データには不適切
🛡️ 暗号化一般便
✅ 完全暗号化
❌ 速度制限
❌ 変動する品質
高トラフィックには不十分
🏗️ 装甲高速専用便
✅ 高速・安定
✅ 完全暗号化
✅ 冗長性
🎯 理想的なソリューション
Direct Connect のみの構成
⚠️ 高速だが、荷物の中身が丸見え（機密データリスク）
Site-to-Site VPN のみの構成
🛡️ 完全に暗号化されているが、一般道路なので速度制限あり
Direct Connect + VPN over Direct Connect
🎯 高速専用道路 + 完全暗号化 = 理想的なセキュリティ
Direct Connect + インターネット経由VPN
✅ メリット:
❌ デメリット:
VPN over Direct Connect
✅ メリット:
⚠️ 注意点:
VPN over Direct Connect
+
インターネット経由VPN
→ 暗号化と冗長性の両方を実現
Customer Gateway
VPN対応ルーターVirtual Private Gateway
IPsec Termination各構成の暗号化レベルとパフォーマンスを体験してみましょう！
# IPsec VPN設定（Cisco例） crypto ikev2 proposal AWS-PROPOSAL encryption aes-cbc-256 integrity sha256 group 14 crypto ikev2 policy AWS-POLICY proposal AWS-PROPOSAL crypto ikev2 keyring AWS-KEYRING peer AWS-VGW address 203.0.113.1 pre-shared-key AWSSecretKey123 # IPsec Transform Set crypto ipsec transform-set AWS-TRANSFORM esp-aes 256 esp-sha256-hmac mode tunnel # Crypto Map crypto map AWS-CRYPTO-MAP 10 ipsec-isakmp set peer 203.0.113.1 set transform-set AWS-TRANSFORM match address VPN-TRAFFIC # Interface設定 interface Tunnel1 ip address 169.254.1.1 255.255.255.252 tunnel source GigabitEthernet0/0 tunnel destination 203.0.113.1 tunnel mode ipsec ipv4 crypto map AWS-CRYPTO-MAP
# BGP設定（暗号化トンネル経由） router bgp 65000 neighbor 169.254.1.2 remote-as 64512 neighbor 169.254.1.2 description VPN-over-DirectConnect neighbor 169.254.1.2 timers 10 30 neighbor 169.254.1.2 soft-reconfiguration inbound # 暗号化トラフィック用ルート address-family ipv4 network 10.0.0.0 mask 255.255.0.0 neighbor 169.254.1.2 activate neighbor 169.254.1.2 route-map ENCRYPT-POLICY out # 暗号化対象トラフィック定義 ip access-list extended VPN-TRAFFIC permit ip 10.0.0.0 0.0.255.255 10.100.0.0 0.0.255.255 permit ip 10.100.0.0 0.0.255.255 10.0.0.0 0.0.255.255 route-map ENCRYPT-POLICY permit 10 set metric 100 set community 65000:100
専用線の設計思想によるものです！
🎯 Direct Connectの設計方針:
🛡️ セキュリティの考え方:
💡 重要なポイント:
金融機関や医療機関など、規制要件で暗号化が必須の場合は、VPNとの組み合わせが必要です。
現代のハードウェアでは影響は最小限です！
📊 暗号化オーバーヘッド:
🚀 性能最適化のコツ:
💡 実例:
10Gbps Direct Connect + IPsec VPN の場合、実効スループットは約9Gbps程度となり、ほとんど影響はありません。
VPN追加で月額$72程度の増加です！
💸 コスト内訳（東京リージョン）:
🏗️ 機器・運用コスト:
📈 投資対効果:
初期設定は専門知識が必要ですが、テンプレート化できます！
🟢 比較的簡単な部分:
🟡 注意が必要な部分:
💡 成功のコツ:
🔐 Direct Connect = 高速だが暗号化なし（専用線の信頼性）
🛡️ Site-to-Site VPN = 完全暗号化（IPsec保護）
🚀 VPN over DC = 高速 + 暗号化の理想的な組み合わせ
🏗️ ハイブリッド構成 = 暗号化 + 冗長性 + 高性能
この組み合わせで、 セキュリティと性能を同時に実現 ！
🎯 導入を検討すべきケース：
Created by SSuzuki1063
AWS SAP Learning Resources