金融機関が規制要件によりオンプレミスとAWS間のDirect Connect接続においてLayer 2レベルの暗号化を義務付けられている。ap-northeast-1リージョンへの接続を2本の物理回線でLAGにまとめて高

Question

金融機関が規制要件によりオンプレミスとAWS間のDirect Connect接続においてLayer 2レベルの暗号化を義務付けられている。ap-northeast-1リージョンへの接続を2本の物理回線でLAGにまとめて高可用性を確保しつつ、接続事業者との物理リンク上で暗号化を実施する必要がある。この要件を満たす実装はどれか。

Accepted Answer

正解: 2本の10Gbps専用接続でLAGを作成し、LAGに対してMACsecを有効化してCAK/CKNキーペアを設定しLayer 2暗号化をLAG全体に適用する。MACsecはEthernetリンク上のLayer 2暗号化規格でありDirect Connectの専用接続（10Gbps・100Gbps）とLAGでサポートされる。CAK/CKNで鍵を管理しLAGに一括適用できる。

Answer

2本の10Gbpsホスト接続でLAGを作成し、LAGに対してMACsecを有効化してCAK/CKNキーペアを設定しLayer 2暗号化をLAG全体に適用する — ホスト接続（Hosted Connection）はLAGへの追加およびMACsecをいずれもサポートしていないため、この構成は実現できない。両機能ともに専用接続のみで利用可能。

Answer

2本の10Gbps専用接続でLAGを作成し、Public VIF上でSite-to-Site VPNを構成してIPsec暗号化により通信を保護する — Public VIF上のSite-to-Site VPN（IPsec）はLayer 3（IP層）の暗号化であり、Ethernetリンク上のLayer 2暗号化を義務付ける規制要件を満たさない。

Answer

2本の10Gbps専用接続でLAGを作成し、Transit VIF経由でDirect Connect GatewayにVPN接続を追加構成してIPsec暗号化で通信を保護する — Transit VIF経由のIPsec VPNはLayer 3暗号化であり、Direct Connectの物理リンク上でのLayer 2暗号化（MACsec）の要件を満たさない。

解説