あるエンタープライズ企業が AWS Direct Connect を使用してオンプレミスデータセンターと AWS を接続しています。冗長性確保のため、2 本の Direct Connect 回線（異なる Direct Connect ロケーション）を使用しており、両方の回線が切断された場合のフェイルオーバーとして Site-to-Site VPN を構成する必要があります。最も適切なアーキテクチャはどれですか？
- A. 1 本の Direct Connect を プライマリとして仮想プライベートゲートウェイに接続し、もう 1 本を別 VPC の VGW に接続する。VPN は最初の VGW にのみ設定する
- B. Direct Connect Gateway を使用して複数リージョンの VPC に接続し、VPN は使用せずに Direct Connect の冗長性のみで要件を満たす
- C. 2 本の Direct Connect 接続を Transit Gateway にアタッチし、Transit Gateway に Site-to-Site VPN 接続も設定する。BGP のメトリックを調整して Direct Connect を優先ルートとし、VPN をバックアップとして設定する
- D. 2 本の Direct Connect 接続を異なる仮想プライベートゲートウェイ（VGW）にアタッチし、各 VGW に Site-to-Site VPN を設定する
解答と解説を見る
正解: C
Transit Gateway を中心とした構成では、複数の Direct Connect 接続（異なる DX ロケーション）と Site-to-Site VPN を単一の Transit Gateway に集約できます。BGP の AS-PATH プリペンドやコミュニティを使って Direct Connect を優先ルートとし、両 DX 回線が切断された場合に自動で VPN にフェイルオーバーする設計が実現できます。 D: 複数の VGW に分割すると、VPC ごとに異なるルーティングが必要になり管理が複雑化します。Transit Gateway を使うことで複数 VPC への接続も一元管理できます。 A: VPN を1本の VGW にのみ設定すると、もう一方の DX ロケーションへの接続失敗時にフェイルオーバーパスが不完全になります。 B: DX の冗長性だけでは「両回線切断時の VPN フェイルオーバー」要件を満たしません。自然災害や広域障害時に両 DX ロケーションが同時に影響を受けるリスクがあります。
📚 関連サービスの解説: AWS Direct Connect ・ AWS Transit Gateway