この記事は、 「ネットワーク上級編｜要件定義・設計・クラウド・自動化へ進む」 の第37回です。
第4章「クラウドネットワーク」では、クラウド内部のネットワークだけでなく、 オンプレミスとクラウドをどのようにつなぎ、 安定したハイブリッドネットワークを設計するかまで学びます。
専用線接続の基本｜VPNとの違い・BGP・冗長化を図解
クラウド上で基幹システムや大量のデータを扱うようになると、 インターネットVPNだけではなく、専用線接続を検討する場面が増えてきます。 この記事では、専用線の基本構成、VPNとの違い、BGPによる経路交換、 冗長化、VPNバックアップまでを設計者の視点で解説します。
前回は、オンプレミスとクラウドを VPNで接続する方法 を学びました。
VPNは導入しやすく、インターネット回線があれば比較的早くクラウドとの接続を構築できます。 一方で、本番システムのクラウド移行や大容量バックアップなどでは、 通信品質・帯域・可用性・経路管理をより重視する必要があります。
そのような場合に検討されるのが、 クラウドへの専用線接続です。
この記事を読み終えるとできること
- クラウド専用線接続の役割を説明できる
- インターネットVPNとの違いを説明できる
- BGPを使用する理由を説明できる
- 専用線の単一障害点を洗い出せる
- 専用線＋VPNバックアップ構成を説明できる
- 専用線を採用する要件を整理できる
専用線接続とは何か
クラウド専用線接続とは、オンプレミス側のネットワークと クラウド事業者のネットワークを、 通常のインターネット通信とは異なる プライベートな接続経路でつなぐ方式です。
代表的なクラウドでは、専用接続サービスとして次のようなものがあります。
| クラウド | 代表的なサービス | 基本的な役割 |
|---|---|---|
| AWS | AWS Direct Connect | オンプレミスとAWSをプライベートな接続経路で接続する |
| Microsoft Azure | Azure ExpressRoute | オンプレミスとMicrosoftクラウド間のプライベート接続を構築する |
| Google Cloud | Cloud Interconnect | オンプレミスとGoogle Cloudネットワークを接続する |
重要： 「専用線」「プライベート接続」という言葉は、 通信内容が自動的に暗号化されることを意味しません。
暗号化が必要かどうかは、セキュリティ要件として別に確認します。
まず全体構成を理解する
専用線接続を理解するときは、 「自社ルーターからクラウドまで1本の線がある」と考えるのではなく、 複数の区間と事業者によって構成されていると理解することが重要です。
オンプレミスからクラウドへの専用線接続
専用線設計では責任分界が重要です。
自社、通信事業者、接続サービス、クラウド事業者の 「どこからどこまでを誰が管理するのか」を明確にします。
専用線接続を構成する主な要素
顧客ルーター
オンプレミス側で回線を終端します。 BGPを使用する場合はクラウド側との経路交換も担当します。
アクセス回線
自社拠点やデータセンターから、 クラウド接続拠点までをつなぐ回線です。
接続拠点
通信事業者とクラウド事業者のネットワークが 接続されるポイントです。
クラウドゲートウェイ
VPCやVNetへ通信を届けるための、 クラウド側の接続機能です。
物理的に回線がUpしているだけでは通信できません。
オンプレミス側ルーティング、BGP、クラウド側ルートテーブル、 ファイアウォールやセキュリティ制御まで正しく設計する必要があります。
インターネットVPNとの違い
専用線接続を理解するうえで最も重要なのが、 インターネットVPNとの使い分けです。
| 比較項目 | インターネットVPN | 専用線接続 |
|---|---|---|
| 主な転送経路 | インターネット | プライベートな専用接続経路 |
| 導入のしやすさ | 比較的容易 | 回線・事業者との調整が必要 |
| 開通期間 | 比較的短い | 長くなる場合がある |
| 通信品質 | インターネット経路の影響を受ける | 経路を管理しやすい |
| 大容量通信 | 構成や回線に依存 | 大容量通信で検討しやすい |
| コスト | 比較的低い | 高くなりやすい |
| 暗号化 | IPsecなどで暗号化 | 専用接続自体が暗号化を意味するとは限らない |
| 用途 | 小規模・検証・バックアップ | 本番・恒常利用・大容量通信 |
「専用線にすれば必ず速くなる」とは限りません。
アプリケーション性能は、契約帯域、ルーター性能、 ファイアウォール、TCP、サーバー処理などにも影響されます。
専用線接続のメリット
通信経路を管理しやすい
通常のインターネット経路とは分離した接続を利用できるため、 ハイブリッドクラウドの業務通信を整理しやすくなります。
大容量通信に向く
バックアップ、ファイル転送、 データベース連携など大量のデータを扱う用途で検討されます。
プライベートIPで接続できる
オンプレミスとクラウド側のプライベートネットワークを ルーティングして接続できます。
プライベートネットワーク間を接続するイメージ
専用線接続でBGPが使われる理由
クラウドへの専用線接続では、 オンプレミス側とクラウド側で BGPを使って経路情報を交換する 構成が多く利用されます。
BGPの基本について不安がある場合は、 「BGPの基本」 もあわせて確認してください。
BGPによる経路交換
スタティックルートでは駄目なのか
小規模環境であれば、 スタティックルートによる接続も考えられます。
しかし、クラウド環境が大きくなると、 次のような要件が増えてきます。
- VPCやVNetが増える
- 経路数が増える
- 回線を冗長化する
- 障害時に経路を切り替える
- 複数拠点からクラウドへ接続する
BGPを利用すれば、経路情報を動的に交換できるため、 このような構成を設計しやすくなります。
ただし、BGPを設定しただけで理想的な経路になるわけではありません。
Prefix、AS_PATH、Local Preferenceなどを踏まえて、 BGPの経路選択 を設計する必要があります。
専用線1本だけでは冗長化にならない
専用線という名称から、 「通常のインターネットより止まりにくいので1本で十分」 と考えてしまうことがあります。
しかし、専用線が1回線だけであれば、 その回線自体が単一障害点です。
専用線Aに障害が発生すると、 クラウドへの通信経路がなくなります。
高い可用性が必要な場合は、 冗長化設計 と同じ考え方で単一障害点を洗い出します。
専用線を2回線にする
ただし、2回線契約しただけで完全な冗長化になるとは限りません。
冗長化で確認するポイント
- 顧客ルーターは別装置か
- アクセス回線の物理経路は分離されているか
- 回線収容装置は別か
- 通信事業者は同一か
- 接続拠点は分離されているか
- クラウド側接続装置は分離されているか
- 電源設備は分離されているか
- BGPが正常に切り替わるか
「2回線ある」と「冗長化されている」は同じ意味ではありません。
どの障害まで業務継続できる構成にするのかを 要件として決めることが重要です。
専用線＋VPNバックアップ構成
実務で検討しやすい構成の一つが、 専用線を主回線、インターネットVPNをバックアップ回線 とする構成です。
正常時
通常は専用線を優先して利用します。
専用線障害時
専用線側の経路が利用できなくなった場合に、 VPN側へ通信経路を切り替えます。
バックアップVPNの帯域が、 主回線である専用線と同じとは限りません。
障害時に「全通信を継続する」のか、 「重要システムだけ継続する」のかまで設計します。
往路だけでなく復路も確認する
冗長化構成で特に注意したいのが、 非対称ルーティングです。
非対称ルーティングの例
復路： Cloud → VPN → On-Prem
単純なルーター間通信では成立する場合がありますが、 途中にステートフルファイアウォールがあると問題になる可能性があります。
冗長化設計では、 オンプレミス→クラウドだけでなく、 クラウド→オンプレミスの経路も確認します。
専用線設計で確認する要件
専用線を採用するかどうかは、 「Direct Connectを使う」「ExpressRouteを使う」 といった製品名から決めるものではありません。
まず要件を整理します。
1．利用目的
- 業務システム接続
- クラウド移行
- バックアップ
- 大容量ファイル転送
- データベース連携
- 災害対策
2．性能・帯域
- 平均帯域
- ピーク帯域
- 転送データ量
- 将来増加量
- バックアップ時間帯
- 許容遅延
3．可用性
- 許容停止時間
- 回線障害時の業務影響
- 自動切り替えの必要性
- 接続拠点障害を考慮するか
- バックアップ帯域
4．セキュリティ
- 暗号化要件
- 機密情報の有無
- 社内セキュリティ規程
- 監査要件
- 経路制御要件
5．コスト
- アクセス回線
- クラウド接続料金
- ルーター
- 保守
- 接続拠点費用
- 冗長回線
6．運用
- BGPを誰が管理するか
- 回線障害時の連絡先
- 責任分界
- 監視方法
- 変更作業方法
- エスカレーション条件
技術から方式を決めるのではなく、要件から方式を選びます。
VPN、専用線1回線、専用線＋VPN、 専用線2回線などを比較し、 要件に最も合う方式を選定します。
責任分界を明確にする
専用線障害では、 調査対象が複数の組織にまたがることがあります。
- 自社ネットワーク CEルーター、社内L3スイッチ、ファイアウォールなどを確認します。
- アクセス回線 通信事業者が提供する回線状態を確認します。
- 接続拠点 コロケーションやクラウド接続サービスの状態を確認します。
- クラウド事業者 クラウド側接続、ゲートウェイ、ルートを確認します。
- クラウド内部 VPC・VNet、ファイアウォール、サーバー側を確認します。
事前に整理しておく情報
- 回線契約番号
- 通信事業者の問い合わせ窓口
- クラウドサポート窓口
- CEルーター保守会社
- 回線ID
- クラウド側接続ID
- BGPピア情報
- エスカレーション条件
専用線接続で監視する項目
専用線は構築して終わりではありません。 運用開始後に状態を把握できるよう、 監視設計 も必要です。
インターフェース
- Up / Down
- CRC Error
- Input Error
- Output Error
- Discard
トラフィック
- 入力帯域
- 出力帯域
- 平均利用率
- 最大利用率
- ピーク時間帯
BGP
- Neighbor状態
- 受信Prefix数
- 広報Prefix数
- セッション切断
- 経路変化
通信できない場合の確認順序
- 物理・回線 インターフェース状態、光レベル、エラーを確認します。
- 論理接続 VLANや論理インターフェースなどを確認します。
- BGP NeighborがEstablishedになっているか確認します。
- ルーティング オンプレミス側とクラウド側の両方で経路を確認します。
- セキュリティ制御 ファイアウォール、ACL、Security Groupなどを確認します。
- サーバー 最後にOSやアプリケーション側まで確認します。
専用線接続でよくある設計ミス
専用線にも回線・装置・接続拠点などの障害があります。 高可用性が必要なら単一障害点を洗い出します。
プライベート接続と暗号化は別の要件です。 必要に応じて暗号化方式を検討します。
冗長化構成では、回線障害時にどの経路へ切り替わるかまで設計します。
平均帯域だけでなく、ピーク通信、夜間バックアップ、 将来増加量まで確認します。
意図しないPrefixを広報すると、 大きな通信障害につながる可能性があります。 広報・受信経路は明示的に制御します。
性能、可用性、セキュリティ、コスト、納期、 運用性を比較して接続方式を決めます。
顧客・上司へ専用線を説明する方法
技術に詳しくない相手に、 「Direct Connectを使います」 「BGPで経路交換します」 と説明するだけでは、 採用する意味が伝わりません。
説明例
現在はインターネットを経由してクラウドへ接続していますが、 今後クラウド上の業務システム利用が増えるため、 業務通信向けの専用接続経路を用意します。 これによりクラウドとの通信経路を管理しやすくします。 また、専用回線自体に障害が発生した場合に備えて、 バックアップ経路もあわせて設計します。
| 技術 | 顧客へ伝える意味 |
|---|---|
| 専用線 | クラウドとの業務通信経路を安定して管理しやすくする |
| 冗長化 | 1回線の障害で業務全体が止まるリスクを減らす |
| BGP | 複数経路を使い分け、障害時の切り替えを行いやすくする |
| 帯域設計 | 利用者増加や大容量データ転送に備える |
| VPNバックアップ | 専用線障害時の代替通信経路を確保する |
専用線接続で使われる英語表現
| 英語 | 意味 |
|---|---|
| Dedicated connection | 専用接続 |
| Private connectivity | プライベート接続 |
| Connectivity provider | 接続事業者 |
| Cross-connect | 設備・ネットワーク間の接続 |
| BGP session | BGPセッション |
| Route advertisement | 経路広報 |
| Prefix | IPネットワーク範囲 |
| Redundancy | 冗長化 |
| Failover | 障害時切り替え |
| Primary connection | 主回線 |
| Backup connection | バックアップ回線 |
| Diverse path | 異経路 |
英語ドキュメントを探す検索例
dedicated cloud connectivity redundancy
BGP route advertisement cloud connection
dedicated connection VPN backup
cloud interconnect failover design
理解度チェック
記事の内容を確認するため、 次の5問に答えてください。
問題1．専用線接続とインターネットVPNの違いとして、 最も適切なものはどれですか。
- 専用線ではルーティングが不要になる
- 専用線では通常のインターネットを主要な転送経路としない
- 専用線は必ずすべての通信を暗号化する
- 専用線では障害が発生しない
解答を見る
専用線接続では、 通常のインターネットとは異なる プライベートな接続経路を利用します。
問題2．専用線を1回線導入すれば、 ネットワークは冗長化されるでしょうか。
解答を見る
1回線だけであれば、 その専用線自体が単一障害点になります。
問題3．専用線接続でBGPを利用する主な目的は何ですか。
- 通信を暗号化する
- DNS名前解決を行う
- オンプレミスとクラウド間で経路情報を交換する
- IPアドレスを自動配布する
解答を見る
BGPを利用することで、 オンプレミスとクラウドが 相互にネットワークPrefixを学習できます。
問題4．専用線がプライベートな接続経路であれば、 暗号化要件を確認する必要はないでしょうか。
解答を見る
プライベート接続と通信暗号化は別の要件です。 機密性要件に応じて暗号化方式を検討します。
問題5．専用線＋VPNバックアップ構成で、 確認するべき項目を3つ以上挙げてください。
解答例を見る
- 専用線障害時にVPNへ切り替わるか
- VPN側の帯域が十分か
- 往路・復路の経路が適切か
- BGPやルーティング優先度が適切か
- VPN側のファイアウォール設定が正しいか
- フェイルオーバー試験を実施しているか
実践演習：クラウド接続方式を設計しよう
A社は現在、オンプレミスとクラウドを インターネットVPNで接続しています。
今後、基幹システムをクラウドへ移行することになりました。
A社の要件
- 利用者：500人
- 業務時間：平日8:00〜20:00
- クラウド停止時は基幹業務に影響する
- 日中の通信量が増加している
- 夜間に大容量バックアップを行う
- 回線障害時にも重要業務を継続したい
- コストは無制限ではない
課題1．VPNだけを継続するリスクを考える
解答例を見る
- インターネット経路の混雑や変動の影響を受ける可能性がある
- 通信量増加に現在の回線が対応できない可能性がある
- 夜間バックアップと他の通信が競合する可能性がある
- VPN装置自体が性能上のボトルネックになる可能性がある
課題2．4つの方式を比較する
| 方式 | 可用性 | 性能 | コスト | 構築期間 |
|---|---|---|---|---|
| VPNのみ | △ | △ | ◎ | ◎ |
| 専用線1回線 | △ | ◎ | △ | △ |
| 専用線＋VPN | ○ | ◎ | ○ | △ |
| 専用線2回線 | ◎ | ◎ | △〜× | △ |
上の評価は絶対的なものではありません。 案件条件によって変わります。
上級編では「正解の方式を暗記する」のではなく、 なぜその方式を選ぶのか説明できること が重要です。
課題3．顧客へ提案する
A社へ「専用線＋VPNバックアップ」を提案すると仮定し、 顧客向け説明文を作成してください。
説明例を見る
基幹システムのクラウド移行後は、 日常的なクラウド通信量が増えるため、 通常通信には専用接続を利用します。
また、専用回線の障害によって業務全体が停止しないよう、 既存のインターネットVPNをバックアップ経路として利用します。 これにより、性能・可用性・コストのバランスを取った構成とします。
自分の言葉で説明する課題
顧客から次の質問を受けました。
「すでにVPNでクラウドにつながっているのに、 なぜ専用線が必要なのですか？」
説明例を見る
VPNはインターネットを利用してクラウドへ接続できるため、 比較的導入しやすい方式です。
一方、クラウド上で基幹システムを常時利用したり、 大量のデータをやり取りしたりする場合は、 専用の接続経路を利用することで、 クラウドとの通信をより安定して管理しやすくなります。
ただし専用線にも障害はあるため、 業務影響に応じて回線の冗長化やVPNバックアップもあわせて設計します。
まとめ
- クラウド専用線接続は、 オンプレミスとクラウドを通常のインターネット通信とは異なる プライベートな接続経路で接続する方式
- AWS Direct Connect、Azure ExpressRoute、 Google Cloud Interconnectなどが代表的
- 大容量・恒常的なクラウド通信で検討される
- 専用線を導入しただけでアプリケーションが必ず高速になるわけではない
- 専用線だから通信が自動的に暗号化されるとは限らない
- オンプレミスとクラウド間の経路交換にはBGPが利用されることが多い
- 専用線1回線だけでは単一障害点が残る
- 高可用性が必要なら回線・ルーター・接続拠点などを冗長化する
- 専用線＋インターネットVPNというバックアップ構成も有効
- 冗長化では往路だけでなく復路も確認する
- 接続方式は性能・可用性・セキュリティ・コスト・運用・納期から判断する
最も重要なのは、 「専用線の方が高性能だから採用する」 と考えないことです。
要件を整理し、 VPN・専用線・専用線＋VPN・専用線冗長構成を比較して、 選定理由を説明できる状態を目指しましょう。
コメント