AWS Transit Gatewayを導入するメリットとは？構造や構築例を詳しく紹介

現代のクラウドコンピューティング環境において、複雑なネットワーク管理をシンプルにする新しいソリューションが求められています。AWS Transit Gatewayは複数のAmazon VPCやオンプレミスネットワークを効率的に接続し管理するためのサービスで、これによりネットワークの運用が大幅に簡単になり信頼性も向上します。本記事では、AWS Transit Gatewayの導入するメリットを中心に、その構造や構築例を詳しく紹介します。企業のネットワーク管理をさらに進化させる具体的な方法を解説します。

AWS Transit Gatewayとは

AWS Transit Gateway（以降、Transit Gateway）は、Amazon Web Servicesが提供するネットワークハブであり、VPCインターフェースなどのクラウドリソースを安全かつ効率的に接続するためのツールです。これにより、複数のVPC間での通信がシンプルになり、ネットワークの複雑性が低減されます。

組織で複数のAWSアカウントを利用し、複数のVPC接続が発生する場合、VPCピアリングでVPC間の接続をしている方も多いのではないでしょうか？ VPSピアリングでの接続は、接続ポリシーを一元管理できないと、運用面で大きく負担になりますよね。とりわけ、オンプレス環境からの接続では、VPNをそれぞれのVPCにアタッチする必要があります。 VPCの数が増えるほど、構築に時間がかかり、管理が複雑化し運用に手間がかかります。

このような場合に、簡単に数百・数千の接続を構築できるのが、Transit Gatewayです。
Transit Gatewayとは、仮想プライベートクラウド（Amazon VPC）とオンプレミスネットワークを相互接続するために使用できるネットワークの中継ハブ（クラウド上にあるルータ）です。これにより、複数のVPC間での通信がシンプルになり、ネットワークの複雑性が低減されます。

以下で、Transit Gatewayを利用するメリットを3つご紹介します。

3つのメリット

メリット1：ネットワークの統合管理が容易になる

Transit Gatewayの導入によりネットワークの統合管理が容易になります。一元管理されたネットワークインフラを提供し、異なるVPCやオンプレミスのネットワークを簡単に接続できるからです。統合管理が容易になることで、セキュリティの向上も期待できます。セキュリティポリシー管理とモニタリングが可能になり、セキュリティリスクを低減できるためです。

また、Transit Gatewayを用いると、アタッチメント数を減らすことができるため、VPCピアリングの手間を大幅に軽減できます。

AWS Transit Gatewayを用いてVPCピアリングを集約した図 — ※出典：AWS Black Belt Online Seminar AWS Transit Gateway
VPCピアリング集約のイメージ図

以下の表は、フルメッシュでVPCピアリングした数（①）とTransit Gatewayを用いた後のアタッチメント数（②）です。VPCピアリングの手間を減らせたのが、お分かりいただけると思います。

①フルメッシュでVPCピアリングすると...②VPCピアリングの手間が大幅に軽減します。VPC数が2の場合：VPCピアリング数は1、AWS Transit Gatewayアタッチメント数は2。VPC数が3の場合：VPCピアリング数は3、AWS Transit Gatewayアタッチメント数は3。VPC数が4の場合：VPCピアリング数は6、AWS Transit Gatewayアタッチメント数は4。VPC数が5の場合：VPCピアリング数は10、AWS Transit Gatewayアタッチメント数は5。VPC数が10の場合：VPCピアリング数は45、AWS Transit Gatewayアタッチメント数は10。VPC数が20の場合：VPCピアリング数は190、AWS Transit Gatewayアタッチメント数は20。VPC数が50の場合：VPCピアリング数は1225、AWS Transit Gatewayアタッチメント数は50になります。 — VPC数に応じたVPCピアリング数と、アタッチメント数の比較

メリット2：VPN接続を集約できる

Transit Gatewayを用いると、VPCごとにVPN接続が必要だったのが1つに集約できるため、VPN接続料金を大幅に減らすことができます。例えば、企業が複数の拠点を持っている場合、それぞれの拠点のネットワークを Transit Gatewayを使用して一元管理することで、管理の効率化とコスト削減が可能になります。ネットワークの統合管理を通じて運用の効率性を高め、コスト削減を実現しましょう。

※出典：AWS Black Belt Online Seminar AWS Transit Gateway
VPN接続集約のイメージ図

以下の表は、VPCごとのVPN接続料金（①）とTransit Gatewayを用いた後のVPN接続料金（②）です。VPN接続を集約できたため、接続コストを減らせたのがお分かりいただけると思います。

VPCごとにVPN接続が必要だったのが、AWS Transit Gatewayを用いるとVPN接続を集約できます。①VPN接続を利用した場合と②AWS Transit Gatewayを利用した場合の料金の違いは次の通りです。VPC数が2の場合：VPN接続料金は＄0.096/時間、VPC数が3の場合：VPN接続料金は＄0.144/時間、VPC数が5の場合：VPN接続料金は＄0.240/時間、VPC数が10の場合：VPN接続料金は＄0.480/時間、VPC数が20の場合：VPN接続料金は＄0.960/時間、VPC数が50の場合：VPN接続料金は＄2.400/時間になります。なお、AWS Transit Gatewayアタッチメント数はVPC数に関わらず＄0.048/時間になります。 — VPC・AWS Transit Gatewayを利用した接続料金の比較

メリット3：AWS Direct Connectとの接続を集約できる

Transit Gatewayを用いることで、AWS Direct Connectとの接続を集約できます。ルーティングで接続するVPCの制御が可能になり、VPC間通信も制御ができるようになります。

※出典：AWS Black Belt Online Seminar AWS Transit Gateway
AWS Direct Connectとの接続集約のイメージ図

AWS Transit Gatewayの構造

ここでは、Transit Gatewayの主な構成要素について詳しく解説します。具体的には、Transit Gatewayのルートテーブル、アタッチメント、アソシエーション、プロパゲーションという4つの要素が重要です。各要素がどのように機能し、どのように相互に関連しているかを詳しく確認していきましょう。

①ルートテーブル

ルートテーブルはネットワークトラフィックを管理するための重要な要素です。正しいルート設定がされていないと、データが目的の場所に届かない可能性があるためです。Transit Gatewayにおいて、ルートテーブルは各アタッチメントがどのように通信するかを定義します。例えば、複数のVPC間での通信や、オンプレミスネットワークとの接続をスムーズに行うためには、ルートテーブルで正確な経路設定が必要です。接続ポイントごとにルートテーブルを設定することで、適切な経路を確保し、無駄なトラフィックを防ぐことができます。

Transit Gatewayのルートテーブル設定には、セキュリティグループやNetwork ACLの設定も含めることが多く、これによりトラフィックの流入・流出を厳格に管理することが可能です。また、Transit Gatewayには最低1つのルートテーブルが必要です。（複数作成することも可能）Transit Gateway作成時にデフォルトのルートテーブルが作成されます。任意で新規作成もできますので、ご自身の目的に合わせて作成してください。

ルートテーブルの設定にはいくつかのベストプラクティスがあります。例えば、スタティックルートを設定することで、ネットワークの安定性を維持し、トラブルシューティングを容易にします。また、ルートの伝播（プロパゲーション）機能を活用することで、複数のルートテーブル間でのルート情報の自動更新を可能とし、管理の手間を軽減することも重要です。ルートテーブルの有効な管理と運用は、ネットワークのパフォーマンスと可用性を向上させるための鍵となります。ルートテーブルの設定は一度きりではなく、ネットワーク構成変更時には随時見直しを行い、常に最適な状態を維持することが求められます。

②アタッチメント

上記構造図では、Transit GatewayとVPC・Direct Connect Gateway・サイト間VPN接続を関連付けています。

Transit Gatewayの「アタッチメント」はネットワークの接続点として重要な役割を果たします。アタッチメントは、仮想プライベートクラウド（VPC）やオンプレミス環境とTransit Gatewayを接続するためのインターフェースです。これにより、一元的で効率的なネットワーク管理が可能となります。例えば、複数のVPCを持つ大規模な企業は、各VPCを個別に管理する代わりに、すべてのVPCをTransit Gatewayにアタッチすることにより、ネットワーク構成の簡略化ができます。また、オンプレミスデータセンターとAWS間でのシームレスな接続を実現する際にも利用されます。

アタッチメントを利用することで、ネットワーク管理の一元化が可能となり、運用の効率性と利便性が向上します。VPCやオンプレミス環境とAWSを接続するためのシンプルでスケーラブルなソリューションを提供し、複数のネットワークの接続と管理を一箇所で行えるようになります。この機能は特に、ネットワークの複雑化が進む大規模な企業や、異なるリージョンや環境間で高い可用性とパフォーマンスを維持したい場合に有用です。

③アソシエーション

アソシエーションは、Transit Gatewayに接続するサブネットを指定する仕組みです。アソシエーションを設定することで、特定のサブネットが Transit Gatewayを通じて他のVPCやオンプレミスネットワークと通信できるようになります。

例えば、VPC内のプライベートサブネットを Transit Gatewayにアソシエーションすることで、そのサブネット内のリソースが他のネットワークと安全に通信できます。この設定により、プライベートサブネット内のEC2インスタンスが、直接接続されている他のVPCやオンプレミスのリソースに対して、セキュリティを保ちながらアクセス可能です。

1つのアタッチメントに対し、アソシエーションできるルートテーブルは1つです。アソシエーションの設定を適切に行い、必要なリソース間の通信を確立しましょう。これにより、ネットワークトラフィックの整理がスムーズになり、管理も簡素化されます。AWS管理コンソールを利用してアソシエーションを設定する場合、関連するサブネットを正確に選択し、必要なルートを定義することで、円滑に運用を開始できます。

④プロパゲーション

プロパゲーションは、ルートテーブルの間でルートを伝播（拡散）させる機能です。これにより、異なるネットワークセグメント間の通信が効率的になり、手動でルートを設定する手間が省けます。例えば、あるVPCから別のVPCへトラフィックを転送する際、プロパゲーションを使うことで、自動的に適切なルートが設定され通信がスムーズになります。プロパゲーション機能を活用することで、ネットワーク管理が簡単になり、全体の運用効率が向上します。

上記構造図では、ルートテーブルごとにプロパゲーションするアタッチメントを登録します。また、各アタッチメントは複数のルートテーブルにプロパゲーションが可能です。これにより、自由に通信制御が可能になります。なお、アソシエーションとプロパゲーションは相互に関連するものではありません。そのためアソシエーションはしないが、プロパゲーションはするという設定も可能です。

AWS Transit Gatewayの利用料金

Transit Gatewayの料金は使用量と地域によって異なります。具体例として、アジアパシフィック（東京）リージョンにおける料金を確認しましょう。

アジアパシフィック（東京）リージョンのAWS Transit Gatewayの料金

AWS Transit Gatewayのアタッチメントごとの料金	0.07USD/時間
処理データ1GBあたりの料金	0.02USD/GB

接続ごとやデータ転送量に対する料金が発生します。具体的には、Transit Gateway接続時間とデータ転送料金の2つの主な要素に基づく料金体系が一般的です。

下記のような図の場合、アタッチメント5個分の利用量+データ転送量が課金対象になります。

※ AWS Direct Connect・VPNの利用料金は別途発生します。
※ AWS Transit Gatewayについて詳しく料金を知りたい方は、AWS Transit Gatewayの料金をご確認ください。

AWS Transit Gatewayの構成例

以下の図は Transit Gatewayの構成例です。 Transit Gatewayを導入したことで、VPN接続を集約でき、VPCピアリングの手間を削減できました。

結果、コストや運用管理の手間を削減でき、ネットワークも簡素化されました。

クラウドファイルサーバーでの活用方法

Transit Gatewayを使用することで、複数のVPCやオンプレミス環境間のファイル共有がスムーズに行えます。例えば、企業内の各部門が異なるVPCに存在する場合、Transit Gatewayを活用することで、部門間でのファイルサーバーの共有が容易に行えます。これにより、データの移動やアクセスがスムーズになり、業務効率が向上します。さらに、ネットワークトラフィックを中央管理できるため、通信の監視や管理も簡素化され、トラブルシューティングも効率的に行えるようになります。

以下記事では、クラウドファイルサーバーサービス Amazon FSx for NetApp ONTAPでTransit Gatewayを活用している記事をご紹介します。是非参考にしてみてください。

AWS活用法 | Amazon FSx for NetApp ONTAP導入時の注意や検討ポイントを徹底解説

まとめ

今回は、Transit Gatewayを利用したオンプレミスと複数VPC間のネットワーク接続についてご紹介しました。

当社では Transit Gatewayを含むAWSとオンプレミス間のネットワーク（AWS Direct Connnect接続回線、VPN接続回線）をご提案することが可能です。特に閉域網接続においては、当社のキャリア・企業向け通信サービス「BroadLine」を利用するため、安心でセキュアな接続が可能です。