営業部佐竹です。
本日は、Direct Connect （DX）と Site-to-Site VPN （VPN）を併用する構成での AWS Transit Gateway (TGW) のルートテーブル設計と実際の設定をご紹介しつつ、実環境でフェイルオーバーテストを行った結果をご紹介します。

はじめに

Direct Connect と Site-to-Site VPN を Transit Gateway に紐づけて利用を行う場合、以下の通りの構成図になります。

f:id:swx-satake:20211004141444p:plain

ネットワーク設計

設計を以下の通りとします。

Direct Connect 障害発生時には、Site-to-Site VPN へ自動的に切り替えが行われること
Direct Connect 障害復旧時には、Site-to-Site VPN から Direct Connect へと自動的に切り戻しが行われること
Direct Connect は Transit Gateway と接続するにあたり、Direct Connect Gateway の導入が必須となるため、これを利用すること
VPC は Transit Gateway と関連付けし、Transit Gateway を経由して VPC 間通信を実現すること
Transit Gateway の Attachment に関連付けられる Transit Gateway ルートテーブルによって経路制御されること
Transit Gateway ルートテーブルでは不用な通信が行われないよう、必要に応じて Static ルートを活用すること

このような設計での構成において、どのように Transit Gateway のルートテーブルを記載することになるでしょうか？

本ブログでは、上図のような構成において Transit Gateway のルートテーブルにおける具体的な設計をご紹介します。

TGW ルート設計

f:id:swx-satake:20211004153834p:plain

設計の全体像を、上の通り構成図にて示します。

DXGW 及び VPN のルート設計

f:id:swx-satake:20211004154018p:plain

Direct Connect Gateway 及び Site-to-Site VPN に関連付ける Transit Gateway ルートテーブルは同じ設定となるため、ルートテーブルを1つとしてそれぞれに関連付けを行います。

また、具体的なルート設定としては、目的とする VPC に対する経路を Static で記載しています。Propagations の設定は記載していません。

VPC01 のルート設計

f:id:swx-satake:20211004154030p:plain

VPC01 に関連付ける Transit Gateway ルートテーブルは Propagations の設定を用いて、Direct Connect Gateway と Site-to-Site VPN それぞれに対して「伝播」を許可します。

Direct Connect と Site-to-Site VPN は、同時に設定がされる場合は、常に Direct Connect 側が優先されるためこのような設計となります。

Q.AWS Direct Connect と VPN 接続を同時に同じ VPC で使用することはできますか？

はい、しかしフェイルオーバーの場合のみです。Direct Connect パスが確立されると、AS パスに前置される情報に関係なく、常に Direct Connect パスが優先されます。ご使用の VPN 接続が、Direct Connect からのフェイルオーバートラフィックを処理できるようにしてください。

https://aws.amazon.com/jp/directconnect/faqs/

VPC01 から VPC02 へは Static でのルートを記載して対応します。