AWS VPNは、インターネット回線を利用してAmazon VPCとオンプレミス拠点や個々のデバイスを暗号化通信で安全に接続するマネージドサービスです。低コストかつ短期間でセキュアなネットワーク環境を構築できるため、リモートワーク対応やハイブリッドクラウド化において重要な役割を果たします。しかし、接続方式の種類や複雑な料金体系、専用線サービスであるAWS Direct Connectとの使い分けに悩む担当者も少なくありません。本記事では、AWS VPNの基礎知識から最適な接続方式の選び方、具体的な構築手順までを初心者向けに徹底解説します。
この記事で分かること
- AWS VPNの仕組みとメリット・デメリット
- Site-to-Site VPNとClient VPNの違いと料金
- 初心者でも迷わないVPN構築の完全手順
- AWS Direct Connectとの比較と選定基準
AWS VPNとはどのようなサービスか
AWS VPN（Amazon Web Services Virtual Private Network）は、インターネットなどの公衆回線を利用して、オンプレミス環境（自社のデータセンターやオフィス）や個々のデバイスと、AWS上の仮想ネットワーク（Amazon VPC）を安全に接続するためのマネージドサービスです。
企業がクラウドを利用する際、既存の社内ネットワークとAWSを連携させる「ハイブリッドクラウド」の構築が一般的になっています。AWS VPNを利用することで、物理的な専用線を敷設することなく、低コストかつ迅速にセキュアな通信環境を構築できるのが大きな特徴です。
AWS VPNの基本的な仕組みと役割
AWS VPNは、データ通信を暗号化し、インターネット上に仮想的な専用トンネルを作る「トンネリング技術」を用いています。これにより、第三者による盗聴や改ざんを防ぎながら、インターネット経由でもプライベートな通信を実現します。
AWS VPNが担う役割は、接続元の形態によって主に以下の2つに分類されます。
- 拠点間接続：本社や支社などのオフィスネットワーク全体をルーター越しにAWS VPCと接続する役割。
- クライアント接続：外出先のPCやスマートフォンなどのデバイス単体から、アプリケーションを使ってAWS VPCへリモートアクセスする役割。
このように、物理的な距離や場所に関わらず、あたかも社内LANの中にAWSのリソースがあるかのようにアクセスできるようにするのがAWS VPNの役割です。AWS側で可用性が管理されているため、利用者はVPNゲートウェイのメンテナンスを意識することなく利用できます。
AWS VPNを利用する主なメリットとデメリット
AWS VPNには、専用線接続サービスである「AWS Direct Connect」と比較した場合や、一般的なインターネット接続と比較した場合に、明確なメリットとデメリットが存在します。導入を検討する際は、これらの特性を理解し、用途に合わせて選択することが重要です。
| 比較項目 | メリット | デメリット |
|---|---|---|
| コスト | 専用線に比べて初期費用や月額利用料が安価に抑えられる。 | データ転送量が増えると、従量課金により想定よりもコストが増加する場合がある。 |
| 導入 スピード |
物理的な回線工事が不要なため、即日から数日で利用を開始できる。 | ルーターの設定やクライアントソフトの導入など、ネットワーク設定の知識が必要となる。 |
| 通信品質 | インターネット回線を利用するため、場所を問わず接続しやすい。 | 公衆網を利用するため、通信速度や遅延がインターネットの混雑状況に影響される（ベストエフォート型）。 |
| セキュリティ | IPsecやTLSによる強力な暗号化通信が可能。 | インターネットを経由するため、完全な閉域網ではない。 |
特に、コストを抑えてスモールスタートしたい場合や、バックアップ回線としての利用、テレワーク環境の整備においては、AWS VPNが非常に有効な選択肢となります。一方で、安定した帯域幅や極めて低い遅延が求められる基幹システムの通信には、専用線の検討が必要になる場合もあります。
AWS VPNの接続種類は大きく分けて2つ
AWS（Amazon Web Services）が提供するVPNサービスは、利用目的や接続元の環境に応じて適切な方式を選択する必要があります。AWS VPNは単一のサービスではなく、大きく分けて「AWS Site-to-Site VPN」と「AWS Client VPN」という2つの主要な接続タイプで構成されています。
これらはそれぞれ「拠点（ネットワーク）全体を接続する」のか、それとも「個々のデバイス（PCやスマートフォン）を接続する」のかという点で根本的に異なります。導入前にそれぞれの特徴を正しく理解しておくことが、セキュアで効率的なネットワーク構築の第一歩です。
拠点間を接続するAWS Site-to-Site VPN
AWS Site-to-Site VPNは、企業のオンプレミス環境（オフィスやデータセンター）とAWS上のVPC（仮想ネットワーク）を、IPsecを利用して安全に接続するサービスです。この方式は、物理的な拠点とクラウドを専用線のように常時接続したい場合に適しています。
一般的に、社内ネットワークとAWSを拡張して利用する「ハイブリッドクラウド構成」や、社内システムの一部をAWSへ移行する際によく利用されます。接続には、AWS側に「仮想プライベートゲートウェイ（VGW）」または「Transit Gateway」、オンプレミス側に「カスタマーゲートウェイ（CGW）」と呼ばれるVPN対応ルーターやファイアウォール機器が必要です。
主な特徴は以下の通りです。
- ネットワーク対ネットワークの接続：一度設定すれば、その拠点内のPCやサーバーは特別なソフトなしでAWSへアクセス可能になります。
- IPsecによる暗号化：インターネット回線を利用しますが、通信はIPsecプロトコルによって暗号化され、盗聴や改ざんのリスクを防ぎます。
- 冗長性の確保：AWS側では自動的に2つのトンネルが用意され、片方の回線に障害が発生しても通信を維持できる設計になっています。
デバイスから接続するAWS Client VPN
AWS Client VPNは、PCやスマートフォンなどの個別のデバイスから、AWSリソースやオンプレミスネットワークへ安全にアクセスするためのマネージド型クライアントベースVPNサービスです。OpenVPNベースの技術を使用しており、場所を選ばずに接続できるのが最大の特徴です。
テレワーク（リモートワーク）中の社員が自宅から社内システムにアクセスしたり、出張中のエンジニアがカフェからAWS上の開発環境にメンテナンスを行ったりする場合に最適です。管理者側でActive Directory等と連携した認証を行うことができ、誰がいつアクセスしたかを細かく制御・監視できる点もセキュリティ上の大きなメリットです。
導入や運用におけるポイントは以下の通りです。
- 専用クライアントソフトが必要：接続する各デバイスにAWS Client VPN Desktop AppやOpenVPN互換のクライアントソフトをインストールする必要があります。
- スケーラビリティ：ユーザー数の増減に合わせて自動的にスケールするため、急なテレワーク需要の増加にも柔軟に対応可能です。
- 高機能な認証オプション：証明書認証に加え、Active Directory認証や多要素認証（MFA）を組み合わせることで、強固なセキュリティを実現できます。
それぞれの違いを整理すると、以下の表のようになります。
| 比較項目 | AWS Site-to-Site VPN | AWS Client VPN |
|---|---|---|
| 接続形態 | 拠点（ネットワーク）対 AWS | デバイス（端末）対 AWS |
| 主な利用シーン | 本社・支社とAWSの常時接続 ハイブリッドクラウド |
テレワーク・リモートアクセス 出張先からの保守作業 |
| クライアントソフト | 不要（ルーターで設定） | 必要（各端末にインストール） |
| 使用プロトコル | IPsec | TLS（OpenVPNベース） |
このように、固定された場所からの安定した通信が必要な場合はSite-to-Site VPNを、移動中や自宅など不定な場所からのアクセスが必要な場合はClient VPNを選択するのが基本となります。要件によっては、これら2つを組み合わせて運用するケースも少なくありません。
AWS VPNの利用にかかる料金体系
AWS VPNは初期費用が不要で、利用した時間やデータ量に応じて支払う従量課金制のサービスです。必要な時に必要な分だけリソースを利用できるため、コスト管理がしやすい反面、接続したまま放置すると予期せぬ料金が発生する可能性があります。
料金体系は「AWS Site-to-Site VPN」と「AWS Client VPN」で大きく異なるため、それぞれの課金要素を正しく理解しておくことが重要です。
AWS Site-to-Site VPNの接続料金とデータ転送量
拠点間を接続するAWS Site-to-Site VPNの料金は、主に「サイト間VPN接続料金」と「データ転送量」の2つで構成されています。
接続料金は、VPN接続が「利用可能（Available）」な状態である限り、実際に通信を行っていなくても1時間ごとに課金されます。一方、データ転送量はAWSから拠点へ送信されるデータ（アウトバウンド通信）に対して課金され、拠点からAWSへの受信（インバウンド通信）は無料です。
| 課金項目 | 料金の目安（東京リージョン） | 備考 |
|---|---|---|
| サイト間VPN接続料金 | 1接続あたり 0.048USD / 時間 | 接続が有効な間は常時発生 |
| データ転送量 （アウトバウンド） |
0.114USD / GB 〜 | 最初の100GBまでは無料（条件あり） |
- 接続料金は30日間（720時間）利用した場合、1接続あたり約35USD程度となります。
- データ転送料金はAmazon EC2のデータ転送レートに準拠し、使用量が増えるほど単価が下がる段階制が適用されます。
- 冗長化のために2つのトンネルを使用する場合も、VPN接続自体は「1接続」としてカウントされます。
詳細な最新価格については、AWS VPN の料金ページをご確認ください。
AWS Client VPNのエンドポイント料金と接続時間
PCやスマートフォンから接続するAWS Client VPNの料金は、「エンドポイントの関連付け」と「クライアント接続」という2つの時間単価で計算されます。
特徴的なのは、ユーザーが誰も接続していない状態でも、サービスを利用するための「エンドポイント」が存在する限り固定費がかかる点です。それに加えて、実際にユーザーがVPN接続を行っている時間分だけ、接続数に応じた料金が加算されます。
| 課金項目 | 料金の目安（東京リージョン） | 備考 |
|---|---|---|
| エンドポイント 関連付け |
1サブネットあたり 0.15USD / 時間 | VPNの受付口（エンドポイント）の維持費 |
| クライアント 接続 |
1接続あたり 0.05USD / 時間 | ユーザーが接続している時間のみ発生 |
- エンドポイントを複数のサブネット（AZ）に関連付けると、その数だけ時間料金が発生します（例：2つのサブネットに関連付け＝0.20USD/時間）。
- 10人のユーザーが1時間接続した場合、クライアント接続料金は「0.05USD × 10人 ＝ 0.50USD」となります。
- これらに加え、インターネットへのデータ送信には別途データ転送量が課金されます。
コストを最適化するためには、不要なサブネットへの関連付けを避けることや、業務時間外の接続を管理することが推奨されます。
初心者でもできるAWS VPNの構築手順
AWS VPNの構築は、専門用語が多く難しく感じられるかもしれませんが、手順を一つずつ整理して進めれば、初心者の方でも確実に設定を行うことができます。ここでは、代表的な「AWS Site-to-Site VPN」と「AWS Client VPN」の具体的な構築フローを解説します。
AWS Site-to-Site VPNの接続設定ステップ
拠点（オフィスやデータセンター）とAWSのVPC（仮想ネットワーク）を接続するSite-to-Site VPNは、物理的なルーターの設定とAWS側の設定の両方が必要です。構築を始める前に、まずはAWS側で登場する重要なコンポーネントを理解しておきましょう。
| コンポーネント名 | 役割と説明 |
|---|---|
| カスタマーゲートウェイ (CGW) | 拠点側のルーター情報をAWSに登録するための定義です。ルーターのグローバルIPアドレスなどが必要です。 |
| 仮想プライベートゲートウェイ (VGW) | AWS側のVPN受け口となるゲートウェイです。VPCに取り付けて使用します。 |
| VPN接続 (VPN Connection) | CGWとVGWを紐付ける設定です。これにより2つのトンネルが作成されます。 |
これらのコンポーネント設定を含めた、一般的な構築手順は以下の通りです。
- カスタマーゲートウェイの作成
AWSマネジメントコンソールから、拠点側ルーターのグローバルIPアドレスを入力し、カスタマーゲートウェイを作成します。 - 仮想プライベートゲートウェイの作成とアタッチ
VGWを作成し、接続したいVPCに「アタッチ（取り付け）」を行います。 - VPN接続の作成
作成したCGWとVGWを選択し、VPN接続を作成します。この時点でAWS側の準備が整います。 - 設定ファイルのダウンロード
AWSコンソールから、利用しているルーターのメーカーやモデルに合わせた設定ファイルをダウンロードします。 - ルートテーブルの伝播設定
VPC内のサーバーがVPN経由で通信できるよう、ルートテーブルの「ルート伝播」を有効化します。 - 拠点ルーターの設定
ダウンロードした設定ファイルを参考に、現地のルーターにVPN設定を投入します。
設定が完了し、拠点ルーターから通信が開始されると、AWSコンソール上のステータスが「UP」に変わり、接続が確立されます。
AWS Client VPNのセットアップ方法
PCやスマートフォンから安全にAWSへアクセスするためのClient VPNは、証明書の管理とエンドポイントの作成が主な作業となります。ここでは、一般的に利用される「相互認証（証明書ベース）」での構築手順を紹介します。
構築に必要な前提条件として、サーバー証明書とクライアント証明書の準備が必要です。これらは「AWS Certificate Manager (ACM)」にインポートして使用します。
- サーバー・クライアント証明書の作成と登録
OpenVPNの「easy-rsa」などのツールを使用して証明書を作成し、AWSのACMへインポートします。 - クライアントVPNエンドポイントの作成
VPN接続の受け口となるエンドポイントを作成します。この際、クライアントに割り当てるIPアドレス範囲（CIDR）を指定します。 - ターゲットネットワークの関連付け
VPN経由でアクセスさせたいVPCとサブネットをエンドポイントに関連付けます。 - 認証ルールの追加
どのネットワークへのアクセスを許可するか、認証ルールを設定します。最初は「0.0.0.0/0（すべて許可）」や、特定のVPC CIDRを設定します。 - クライアント設定ファイルのダウンロードと配布
エンドポイントの設定ファイルをダウンロードし、接続するユーザー（クライアント）へ配布します。 - 接続ソフトのインストールと接続
PCに「AWS Client VPN for Desktop」などのクライアントソフトをインストールし、設定ファイルとクライアント証明書を読み込んで接続します。
Client VPNの設定では、セキュリティグループの設定漏れにより通信ができないケースが多いため、関連付けたサブネットのセキュリティグループ設定も必ず確認するようにしてください。
詳細な設定パラメータや最新の仕様については、AWS Site-to-Site VPN ユーザーガイドなどの公式ドキュメントを参照しながら進めることをおすすめします。
AWS VPNとAWS Direct Connectの違い
AWSとオンプレミス環境（社内ネットワークなど）を接続する方法として、AWS VPNと並んでよく検討されるのが「AWS Direct Connect」です。どちらもAWSリソースへ安全にアクセスするための手段ですが、通信に使用する回線の種類や品質、コストの仕組みに決定的な違いがあります。
両者の最大の違いは、インターネット回線を利用するか、専用線を利用するかという点にあります。それぞれの特徴を理解し、要件に合わせて適切な接続方式を選択することが重要です。
コストと通信品質での比較
AWS VPNは既存のインターネット回線を利用して仮想的な専用線を構築するため、手軽で安価に導入できる反面、通信品質はインターネットの混雑状況に影響を受けます。一方、AWS Direct Connectは通信事業者などが提供する物理的な専用線を利用するため、極めて安定した通信が可能ですが、導入コストや維持費が高くなる傾向にあります。
主な違いを以下の表にまとめました。
| 比較項目 | AWS VPN (Site-to-Site VPN) | AWS Direct Connect |
|---|---|---|
| 接続回線 | インターネット回線（公衆網） | 専用線（閉域網） |
| 通信品質 | ベストエフォート（混雑時に遅延や揺らぎが発生する可能性あり） | 帯域保証・高品質（低遅延で安定している） |
| セキュリティ | IPsecによる暗号化通信 | 物理的に分離された専用通信（暗号化はオプション） |
| 導入期間 | 数分〜数時間（即日利用可能） | 数週間〜数ヶ月（物理的な回線工事が必要） |
| コスト | 安価（接続時間料金 ＋ データ転送量） | 高価（ポート使用料 ＋ データ転送量 ＋ 回線事業者費用） |
AWS VPNは暗号化が標準で組み込まれていますが、Direct Connectは物理的に独立した回線であるため、標準では暗号化されません。より高いセキュリティ要件（金融機関など）でDirect Connectを利用する場合は、MACsec暗号化を使用するか、Direct Connectの上にさらにVPNを張る構成（AWS Direct Connect + AWS Site-to-Site VPN）をとることもあります。
どちらを選ぶべきかの判断基準
企業の規模やプロジェクトの要件によって、どちらを選ぶべきかは明確に分かれます。コストパフォーマンスを重視するのか、業務の継続性やパフォーマンスを最優先するのかによって判断します。
以下のようなケースでは、AWS VPNの利用が推奨されます。
- できるだけコストを抑えてAWSと接続したい
- 今すぐ接続環境を構築する必要がある（スピード重視）
- 通信量はそれほど多くなく、多少の遅延は許容できる
- PoC（概念実証）や開発環境としての利用
- Direct Connect導入までのつなぎとして利用したい
一方で、以下のようなケースでは、AWS Direct Connectの導入を検討すべきです。
- 基幹システムなど、ミッションクリティカルな通信を行う
- 大容量のデータを定常的に転送する必要がある
- セキュリティポリシーにより、インターネット経由の接続が禁止されている
- 常に一定の通信速度と低遅延が求められる
まずは導入のハードルが低いAWS VPNから開始し、トラフィックの増加やシステムの重要度が高まった段階でAWS Direct Connectへ移行するというアプローチも一般的です。自社のフェーズに合わせて最適な接続方式を選定してください。
AWS VPNに関するよくある質問
AWS VPNの導入や運用において、ユーザーから頻繁に寄せられる疑問点をQ&A形式で解説します。サービスの仕様や料金、トラブルシューティングに関する重要なポイントをまとめました。
AWS VPNとAWS Direct Connectの決定的な違いは何ですか？
最大の違いは、AWSへの接続に「インターネット回線」を使うか「専用線」を使うかという点です。
AWS VPNはインターネット回線を利用して仮想的な専用線を構築するため、低コストかつ短期間で導入できるのが特徴です。一方、AWS Direct Connectは通信キャリアなどが提供する物理的な専用線を引き込むため、インターネットの影響を受けず、極めて安定した通信品質と高いセキュリティを確保できます。
それぞれの特徴を比較すると以下のようになります。
| 項目 | AWS VPN | AWS Direct Connect |
|---|---|---|
| 接続回線 | インターネット回線（公衆網） | 物理的な専用線（閉域網） |
| 通信品質 | インターネットの混雑状況に影響される （ベストエフォート） |
帯域が確保され、遅延が一定 （高品質・安定） |
| セキュリティ | 通信を暗号化して保護 | インターネットを通らないためより安全 |
| 導入期間 | 即日〜数日 | 数週間〜数ヶ月 |
| コスト | 比較的安価 | 高額になりやすい（回線費用が別途必要） |
コストを抑えて手軽に接続したい場合はAWS VPN、基幹システムの移行など帯域保証や厳格なセキュリティが必要な場合はAWS Direct Connectを選ぶのが一般的です。要件によっては、これらを併用して冗長構成をとることもあります。
詳細な仕様については、AWS VPN のよくある質問もあわせてご確認ください。
AWS Client VPNは無料で利用できますか？
いいえ、AWS Client VPNに無料利用枠はなく、基本的に有料となります。
料金体系は「エンドポイントの利用時間」と「クライアントの接続時間」の2つの要素で構成されています。接続していない状態でも、Client VPNエンドポイントを作成してサブネットに関連付けているだけで時間単位の課金が発生するため注意が必要です。
- Client VPN エンドポイント料金：エンドポイントがサブネットに関連付けられている時間に対して課金（接続の有無に関わらず発生）。
- Client VPN 接続料金：デバイスが実際にVPNに接続している時間に対して課金。
テスト環境などで一時的に利用する場合でも、使用後は必ずエンドポイントを削除しないと課金が継続されてしまうため、こまめなリソース管理が推奨されます。
AWS VPNの接続が切れる・繋がらない原因は何ですか？
VPN接続が確立できない、または頻繁に切断される場合、ネットワーク設定や認証情報の不一致が主な原因として考えられます。特にオンプレミス側のルーター設定とAWS側の設定が整合していないケースが多く見られます。
代表的な原因は以下の通りです。
- セキュリティグループやネットワークACLで、UDPポート500（IKE）および4500（IPsec NAT-T）が許可されていない。
- ルートテーブルの設定漏れにより、パケットの戻り先が正しく認識されていない。
- オンプレミス側のファイアウォールでAWSのエンドポイントIPがブロックされている。
- IKEのバージョン（v1/v2）や暗号化アルゴリズムなどのパラメータが両端で一致していない。
- Dead Peer Detection (DPD) の設定により、タイムアウト判定されて切断されている。
トラブルシューティングの際は、AWSマネジメントコンソールの「VPNトンネルのステータス」ログや、オンプレミス機器のログを確認し、エラーメッセージを特定することが解決への近道です。
AWS Site-to-Site VPNで固定IPアドレスは必要ですか？
はい、原則としてオンプレミス側のカスタマーゲートウェイには静的なグローバルIPアドレス（固定IP）が必要です。
動的IPアドレス（ダイナミックDNSなど）を使用する構成は、IPアドレスが変更されるたびにVPN接続が切断され、再設定が必要になる可能性があるため推奨されていません。安定したVPN接続を維持するためには、プロバイダから固定IPアドレスを取得して設定を行うのが一般的です。
ただし、証明書ベースの認証を使用する場合など、一部の構成では固定IPが必須ではないケースもありますが、設定の複雑さや制約を考慮すると、固定IPを用意するのが最も確実な方法と言えます。
AWS VPNの通信速度はどのくらい出ますか？
AWS Site-to-Site VPNの通信速度は、1つのVPNトンネルあたり最大1.25Gbpsという制限があります。
これ以上の帯域幅が必要な場合は、Transit Gatewayを利用して複数のVPNトンネルを束ねる「ECMP（等価コストマルチパス）」という技術を使うことで、通信帯域を拡張することが可能です。ただし、VPNはインターネット回線を経由するため、実際の通信速度は契約しているプロバイダの回線品質やインターネットの混雑状況に大きく依存します。
常に一定の高速通信が求められる環境では、VPNではなくAWS Direct Connectの導入を検討すべきです。
まとめ
本記事では、AWS VPNの基礎知識から接続の種類、料金体系、構築手順までを解説しました。AWS VPNは、インターネット回線を利用して低コストかつ迅速にセキュアな通信環境を構築できるサービスです。
記事の要点は以下の通りです。
- Site-to-Site VPNは拠点間接続、Client VPNはPCやスマホからのリモートアクセスに利用する
- 料金は接続時間やデータ転送量に応じた従量課金制である
- より高品質で安定した通信が必要な場合は、AWS Direct Connectとの比較検討が推奨される
AWS VPNは手軽に導入できるため、まずはテスト環境で接続設定を試してみることをおすすめします。自社の要件に最適なネットワーク構成に迷う場合は、AWSパートナーなどの専門家へ相談してみましょう。
