ある企業は、オンプレミスデータセンターとAWSのTransit Gateway間をSite-to-Site VPN（BGP動的ルーティング）で接続して運用しています。現在は1本のVPN接続（2トンネルペア）のみで最大1.

Question

ある企業は、オンプレミスデータセンターとAWSのTransit Gateway間をSite-to-Site VPN（BGP動的ルーティング）で接続して運用しています。現在は1本のVPN接続（2トンネルペア）のみで最大1.25Gbpsのスループットを確保していますが、業務拡大により合計5Gbps以上の帯域が必要になりました。Direct Connectの開通には数か月を要するため、既存のインターネット回線を活用して即時に帯域を拡張したいと考えています。Transit Gatewayの設定変更でスループットを拡大する最も適切な方法はどれですか？

Accepted Answer

正解: Transit Gatewayに追加のSite-to-Site VPN接続を複数作成し、ECMPを有効化したうえでオンプレミスのCPEからBGPマルチパスルートを広告することで複数トンネルに帯域を分散させる。AWS Transit GatewayはECMP（Equal Cost Multi-Path）ルーティングをサポートしており、複数のSite-to-Site VPN接続をTransit Gatewayにアタッチし、オンプレミスのCPEから同一宛先プレフィックスへのBGPルートをマルチパスで広告することで、複数のVPNトンネルにトラフィックを均等分散できます。

Site-to-Site VPN接続は1接続あたり最大1.25Gbpsのスループットを提供します。5Gbpsを達成するには4本以上のVPN接続をTransit Gatewayに追加し、Transit GatewayのVPNアタッチメント設定でECMPを有効化します。オンプレミスのCPEからは複数のBGPピアに対して同じルートをアドバタイズするだけで実装でき、Direct Connect導入前の即時対応策として最も実効性の高い方法です。

選択肢AのVirtual Private Gateway（VGW）はTransit GatewayのようにECMPで複数VPN接続を柔軟に集約する機能が限定的であり、VPCごとにVGWを配置してもオンプレミスからの合計帯域を効率よく増加させることができない。
選択肢Cのジャンボフレーム（MTU 9001）はパケットあたりのオーバーヘッドを削減して利用効率を改善するが、VPNトンネル1本あたりの物理帯域上限（1.25Gbps）を引き上げる効果はなく、5Gbpsの要件を達成できない。
選択肢DのAWS Global AcceleratorはTCP/UDPアプリケーションのレイテンシー最適化サービスであり、IPsec VPNトンネルの終端機能を持たないため、Site-to-Site VPN接続の帯域拡張には利用できない。

Answer

Transit GatewayのVPNアタッチメントを削除し、各VPCにVirtual Private Gateway（VGW）を個別にプロビジョニングしてVPN接続を分散させ、VPCの数に比例して合計スループットを拡大させる — Virtual Private GatewayはTransit GatewayほどのECMP対応ができず、VPCごとに配置してもオンプレミスからの帯域集約が難しい。VGWへの移行はTransit Gatewayによる集約管理のメリットを失い、構成の複雑化を招くため不適切。

Answer

既存のSite-to-Site VPN接続のMTUをジャンボフレーム（9001バイト）に設定してパケットオーバーヘッドを削減し、単一トンネルの実効スループットを最大限引き上げて帯域不足を解消する — ジャンボフレームはIPsecトンネル内のパケット効率を若干改善するが、VPNトンネル1本の物理帯域上限そのものを変えることはできない。単一接続のまま5Gbpsを達成することは技術的に不可能なため不正解。

Answer

AWS Global AcceleratorのエニーキャストエンドポイントをオンプレミスのVPN終端アドレスとして設定し、AWSのグローバルバックボーンネットワーク経由でVPNのレイテンシーと帯域を最適化する — AWS Global AcceleratorはTCPおよびUDPアプリケーションをAWSバックボーン経由でルーティングするサービスであり、IPsec/IKEを使用するSite-to-Site VPNの終端点として機能しない。VPN帯域拡張への適用は設計上不可能。

解説

解説