変更要約: ANS-C01 第2章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
2.1Direct Connect と VPN の使い分け
オンプレと AWS をつなぐ——Direct Connect（専用線）、Site-to-Site VPN、仮想プライベートゲートウェイ（VGW）——の特性と選び方を理解します。安定性とコスト、立ち上げ速度のトレードオフを学びます。
オンプレミスと AWS の接続には大きく Direct Connect（専用線） と Site-to-Site VPN（インターネット上の暗号化トンネル） の 2 つがあります。求める安定性・帯域・立ち上げ速度で選びます。
2.1.1特性の比較
- Direct Connect（DX）：専用線でプライベート接続。一貫した低遅延・高帯域だが構築に時間がかかる。
- Site-to-Site VPN：インターネット上の暗号化トンネル。すぐ構築でき暗号化されるが遅延は変動する。
- VGW（仮想プライベートゲートウェイ）：VPC 側で VPN/DX を終端するゲートウェイ（単一 VPC 向け）。
- 組み合わせ：DX を主、VPN をバックアップにすると、専用線障害時もつながり続けられる。
「一貫した低遅延・高帯域が必要＝Direct Connect」「素早く・暗号化して接続＝Site-to-Site VPN」「DX 障害に備える＝VPN をバックアップ」 は ANS-C01 で頻出です。DX 単体では暗号化されない点（必要なら DX 上に VPN/MACsec）にも注意します。
Direct Connect は物理回線の用意が必要で、プロビジョニングに数週間かかることがあります。急ぎなら先に VPN で接続し、後から DX に移行する設計が一般的です。
ANS-C01 のハイブリッド接続は「要件（帯域・遅延・暗号化・回復性・コスト・立ち上げ）から最適な組み合わせを選ぶ」ことを問います。Direct Connect（DX） は AWS の DX ロケーションでパートナー/専用線により物理接続し、専有（Dedicated 1/10/100Gbps）またはホスト（Hosted・パートナー経由で帯域可変）を選びます。一貫した低遅延・高帯域・プライベートですが、DX 単体は暗号化されないため、要件があれば DX 上に Site-to-Site VPN を張る（IPsec）か MACsec（レイヤー2 暗号化）を使います。Site-to-Site VPN はインターネット上の IPsec トンネル（2 トンネル冗長）で素早く暗号化接続でき、BGP による動的ルーティングを推奨、Accelerated VPN（Global Accelerator 経由）で経路を安定化できます。回復性は、DX 障害に VPN をバックアップ（DX 優先・VPN フェイルオーバー）にするのが定番で、BGP の属性（AS パスプリペンド、ローカルプリファレンス、MED）で経路を制御します。帯域が大きく安定が要るなら DX を主に、コスト/スピード重視やバックアップなら VPN。VPC 側終端は単一 VPC なら VGW、多数 VPC を束ねるなら Transit Gateway（後述）です。設計の要は、「安定・高帯域・プライベート＝DX」「速い・暗号化＝VPN」「DX 単体は非暗号化（VPN/MACsec を併用）」「DX 主＋VPN バックアップで回復性」を正確に押さえることです。
| 観点 | Direct Connect | Site-to-Site VPN |
|---|---|---|
| 経路 | 専用線（プライベート） | インターネット（IPsec） |
| 遅延/帯域 | 一貫・低遅延・高帯域 | 変動・回線依存 |
| 暗号化 | 単体では非暗号化（VPN/MACsec 併用） | IPsec で暗号化 |
| 立ち上げ | 物理回線・数週間 | 即時・数時間〜 |
シナリオ：基幹データ連携で高帯域・低遅延・プライベートが必須。ただし回線障害時も切れてはならず、データはネットワーク上で暗号化したい。→ 主経路を Direct Connect にして帯域/遅延要件を満たし、DX 上に Site-to-Site VPN（IPsec）を張って暗号化（または MACsec）。さらに VPN をバックアップ経路として用意し、BGP で DX を優先・障害時に VPN へフェイルオーバー。立ち上げ期間中は先に VPN で暫定接続し、DX 開通後に主経路を切り替えます。
FAQ：Direct Connect は暗号化されている？ いいえ。DX はプライベートな専用線ですが、それ自体はデータを暗号化しません。暗号化要件があるなら、DX 上に Site-to-Site VPN（IPsec）を張るか、対応回線で MACsec（レイヤー2 暗号化）を使います。「プライベート＝暗号化」ではない点が頻出のひっかけです。
ひっかけ：「Direct Connect ならプライベートだから暗号化も自動」と考えるのは誤り——DX 単体は非暗号化で、暗号化には VPN over DX か MACsec が要ります。また、単一の DX 接続は単一障害点なので「高可用性」要件には不十分——別ロケーションの 2 本目や VPN バックアップが必要です。物理回線の手配に時間がかかる点も考慮し、急ぎは VPN 先行が定石です。
2.1.2この節のまとめ
- 安定・高帯域＝DX／素早く暗号化＝VPN
- 回復性＝DX 主＋VPN バックアップ
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 基幹システムのため、オンプレと AWS 間で一貫した低遅延と高帯域のプライベート接続が必要です。最適なのはどれですか？
Q2. 数日以内に暗号化されたオンプレ–AWS 接続を立ち上げたい。物理回線の手配を待てません。何を使いますか？
Q3. Direct Connect 接続の障害時にもオンプレ–AWS 接続を維持したい。コスト効率の良いバックアップは？