はじめに
概要
本ドキュメントはAWSの仮想プライベートゲートウェイ（VGW）について、初心者から実務者まで役立つ情報を丁寧にまとめた解説書です。VGWの基本概念、特徴、作成・設定手順、用途や接続方式、高度な機能、他のゲートウェイとの違いまで順を追って説明します。
対象読者
クラウドやネットワークの基礎を持つシステム管理者、ネットワークエンジニア、クラウドアーキテクトを想定しています。入門者でも理解できるように専門用語は最小限にし、具体例を交えて解説します。
本書の読み方
各章は独立して読みやすくしています。まず第2章でVGWの役割を把握し、第4章で実際の作成・設定を試してください。実務で使う際の注意点や代表的な接続パターンも随所に示します。
前提知識
VPCやVPNの基本を知っていると理解が早まりますが、必要な用語は都度補足します。
VGWとは
概要
AWSの仮想プライベートゲートウェイ（VGW）は、クラウド側にある「集約された入口」のような装置です。オンプレミスのネットワーク（会社の社内ネットワークなど）と、Amazon VPC（仮想ネットワーク）をつなぐために使います。簡単に言うと、VPC側の仮想ルーターの役割を果たします。
主な役割
- オンプレミスとのVPN接続を受け付ける
- ルーティング情報を管理してトラフィックを振り分ける
実際の利用例としては、自社の本社ネットワークとクラウド上のアプリを安全に接続するときに使います。
仕組み（ざっくり）
VGWはAWS側に用意され、VPCと紐づけて使います。お使いのオンプレミス機器とIPsec VPNを張るか、専用線（Direct Connect）経由で接続します。接続先はVGWが一元的に受け取り、VPC内のサブネットへ経路を提供します。
利点
- 管理が簡単で冗長構成が標準で用意されている
- 暗号化されたVPNで安全に通信できる
- AWS側でルートを一元管理できるため運用負担が軽くなります
注意点
VGWはVPC側の集約点であり、細かいネットワークポリシーやファイアウォール設定は別途必要です。パフォーマンス要件や接続方式に応じて設定を検討してください。
VGWの主要な特徴
高可用性と冗長性
VGW（Virtual Private Gateway）は高可用性を前提に設計されています。AWS側で冗長化されたインフラを使うため、クラウドプロバイダー自体が稼働している限り継続して動作します。たとえば一部の経路や機器に障害が起きても、別経路で通信を維持できます。
VPNトンネルと自動フェイルオーバー
Site-to-Site VPN接続では、常に2本のIPsecトンネルが確立されます。片方のトンネルが障害を起こすと、自動的にもう一方へ切り替わり通信を続けます。運用側は両トンネルを設定しておくことで可用性を確保できます。
接続制限と拡張性
各VPCには1つのVGWしかアタッチできませんが、VGW自体は複数のVPN接続やプライベート回線（Direct Connectなど）との連携が可能です。複数のオンプレ拠点や別事業者と同時に接続したい場合に便利です。たとえば本社と支社、パートナー回線を同時に繋ぐといった構成が組めます。
BGPサポートとルーティング
VGWはBGPをサポートし、動的ルーティングで経路を自動交換できます。これにより、障害時の経路切替やルートの集中管理が容易になります。静的ルートも使えますが、拠点数が増える場合はBGPが運用を楽にします。
セキュリティ（暗号化・認証・整合性）
トラフィックはIPsecで暗号化され、認証と整合性チェックが行われます。具体的にはプレシェアードキーなどを用いた認証や、パケットの改ざんを検出するためのハッシュによる整合性確認が含まれます。
運用上のポイント
接続の疎通や性能は監視が重要です。CloudWatchやログでトンネル状態やトラフィック量を確認し、BGPのネイバー状態やルート伝播の設定も定期的に見直してください。
VGWの作成と設定
コンソールでの作成
AWS管理コンソールからDirect ConnectではなくEC2の「仮想プライベートゲートウェイ（Virtual Private Gateways）」を開きます。「作成」ボタンで名前（タグのName）とAmazon側ASN（自分で指定する番号）を入力して作成します。作成は数秒で完了します。
VPCへのアタッチ
作成後に必ずVPCへアタッチします。コンソールの「アクション」から「VPCにアタッチ」を選び、対象のVPCを指定します。これでVGWとVPCが論理的につながります。
ASN（Amazon側ASN）の注意点
ASNはVGW作成後に変更できません。VPN接続やDirect Connectゲートウェイと連携する際にこの値を使います。誤って設定した場合は、新しくVGWを作り直してVPCへ再アタッチする必要があります。
CLI/APIでの作成例（簡易）
- 作成: aws ec2 create-vpn-gateway –type ipsec.1 –amazon-side-asn 65000 –tag-specifications ‘ResourceType=vpn-gateway,Tags=[{Key=Name,Value=MyVGW}]’
- アタッチ: aws ec2 attach-vpn-gateway –vpn-gateway-id vgw-xxxx –vpc-id vpc-xxxx
削除や再作成も同様にCLI/APIで可能です。
作成後に行う設定
VPCのルートテーブルで経路伝播（route propagation）を有効にし、必要に応じて静的ルートを追加します。VPN接続を作成したら、顧客側のルーター設定に合わせて経路を調整してください。
以上がVGWの基本的な作成と設定手順です。疑問があれば具体的な操作画面やコマンド例で補足します。
VGWの用途と接続方式
概要
VGW（Virtual Private Gateway）は、VPC側のVPNエンドポイントとして機能します。オンプレミスのルーターやファイアウォール（カスタマーゲートウェイ）とIPsecでトンネルを張り、安全に通信します。
Site-to-Site VPNとしての利用例
一般的には本社や支店などのオンプレミス環境とVPCをつなぐときに使います。たとえば、本社ルーターとVGWでIPsecトンネルを2本張り、冗長化しつつ経路交換にBGPを使えば、回線障害時も自動で切り替えられます。静的ルートを使うことも可能で、シンプルな拠点接続に向きます。
Direct Connectとの組み合わせ
Direct Connectゲートウェイ（DXGW）と関連付けると、物理回線経由で複数のVPCや別アカウントのVPCへ接続できます。たとえば、専用線でデータセンターからAWSへ入り、そこから複数のVPCへトラフィックを分配する構成が取れます。これによりレイテンシやコストを抑えつつ大容量通信が可能です。
実務上の注意点
- VGWはVPCごとに作成・アタッチします。複数VPCをつなぐ場合はDXGWやTransit Gatewayの検討が必要です。
- 経路制御はBGP（自動）か静的（手動）を選べます。運用負荷と冗長性のバランスで決めてください。
接続の流れ（簡易）
- カスタマーゲートウェイ（オンプレ情報）を登録
- VPCにVGWを作成・アタッチ
- Site-to-Site VPNを作成してトンネル情報を取得
- オンプレ側でIPsec/BGPや静的ルートを設定
- 必要ならDXGWでDirect Connectと関連付け
代表的な用途まとめ
- 拠点間のセキュアな接続
- ハイブリッドクラウド構成（オンプレとクラウドの連携）
- 大容量通信や複数VPC間接続を伴う場合のDirect Connect併用
具体例を交えて説明しましたので、設計時の判断材料にしてください。
VGWの高度な機能
暗号化と認証
VGWはAES 256ビット暗号化やSHA-2ハッシュなど強力なセキュリティを選べます。AES 256は高い安全性が求められる場面（例：金融データ）でよく使われます。認証には事前共有鍵（PSK）や証明書ベースの方式を設定できます。
VPNトンネルの詳細設定
IPsecフェーズや再鍵（rekey）間隔、Diffie-Hellmanグループの指定などトンネルの細かな調整が可能です。たとえば再鍵間隔を短くすると鍵の更新頻度が上がり安全性が向上しますが、切替時の一時的な遅延に注意します。
BGP・ASNの管理
プライベートASNの指定やBGPネイバーの調整を行えます。経路優先度やプレフィックスフィルタを使ってトラフィック経路を細かく制御できます。オンプレミスとクラウド間で経路の衝突を避ける設定例も用意できます。
監視とメトリクス（CloudWatch統合）
CloudWatchと連携してトンネルの状態、送受信バイト、エラー数などを収集できます。アラームを設定するとダウン時に通知を受け取り、早期対応が可能です。
冗長性と運用上の注意
VGWは通常2本のIPsecトンネルを提供し、片方が落ちても通信を維持できます。運用では定期的な証明書更新、設定のバックアップ、監視ルールの見直しを習慣化してください。
VGWと他のAWSゲートウェイの比較
概要
この章では、Virtual Private Gateway（VGW）を中心に、Transit Gateway、Internet Gateway、NAT Gatewayとの違いをわかりやすく説明します。用途別に選び方の指針を示します。
主な比較ポイント
- 用途
- VGW：単一VPCとオンプレミスをつなぐ専用ゲートウェイ。VPNやDirect Connect向けです。
- Transit Gateway：複数VPCや拠点をハブで接続し、VPCピアリングの複雑さを解消します。
- Internet Gateway：VPCとインターネットの入出力用です。
-
NAT Gateway：プライベートサブネットからインターネットへ安全にアクセスするために使います。
-
スケールとルーティング
- VGWはシンプルで小規模向け、VPC間はピアリングが必要です。
-
Transit Gatewayは多対多の接続を効率的に扱い、中央でルートを管理します。
-
コストと運用
- 小規模ならVGWの方が低コストです。
- 大規模で接続数が多ければTransit Gatewayの管理性が優れます。
使い分けの例
- 例1：単一VPCとオンプレミスだけを接続する中小企業はVGWを選ぶと簡単で経済的です。
- 例2：複数アカウントや多数のVPC、複数拠点を持つ組織はTransit Gatewayで運用を簡素化します。
必要に応じて接続数、運用負荷、コストを比較して選んでください。
