TechLeague

    ネットワーク

    AWS TGW vs Azure vWAN vs GCP NCC: マルチクラウドバックボーン比較 2026

    TechLeague Editorial··14 分で読了

    2026年におけるマルチクラウドネットワークバックボーンの選択は、ブランドロイヤルティよりもアーキテクチャの適合性とTCOが重要です。AWS Transit Gateway (TGW)、Azure Virtual WAN (vWAN)、Google Cloud Network Connectivity Center (NCC) はすべてハブアンドスポークおよびメッシュライクな機能を提供しますが、その基盤となるアーキテクチャ、課金モデル、および統合ポイントは大きく異なります。本分析では、大企業向けに純粋な技術的能力と経済的影響に焦点を当てます。

    アーキテクチャの哲学とスケール制限

    AWS TGWは、特にグローバルメッシュ接続のためのCloud WANによって拡張された場合、根本的にオブジェクト指向のアプローチを提供します。各TGWはリージョンごとのコンストラクトであり、最大5000のアタッチメント（VPC/VPN/Direct Connect Gateway）をサポートします。Cloud WANは複数のTGWをグローバルネットワークにオーケストレーションし、リージョンとアカウント全体でルーティングポリシーとセグメンテーションを管理します。デフォルトのTGWスケール制限は非常に重要です。大規模なデプロイメントでは、ルートテーブルあたり5000ルート、TGWあたり100 TGWアタッチメント、TGWあたり20 TGWルートテーブルがボトルネックとなることがよくあります。TGW間のインターリージョンピアリングは、インターリージョンVPCピアリング機能に依存していますが、これは現在、従来のVPNよりも高い帯域幅と低いレイテンシを提供するTransit Gateway Inter-Region Peeringによって大部分が置き換えられています。

    Azure Virtual WANは、さまざまな接続タイプ（VPN、ExpressRoute、VNetピアリング）のハブとして機能するMicrosoftマネージドサービスです。これはグローバルで一元的に管理されるアーキテクチャを採用しています。標準ハブは最大2000のVNet接続をサポートします。vWANハブ内の各ExpressRoute Gatewayは最大10 Gbpsをサポートし、VPN Gatewaysは最大10 Gbps（スケールユニットに依存）をサポートします。主な差別化要因は、Azure Firewall Managerと統合された「Secure Hub」のコンセプトです。これにより、ハブを通過するすべてのトラフィック（VNet間およびオンプレミスからVNetへのトラフィックを含む）に対して、集中型セキュリティポリシー（IDP/IPS、URLフィルタリング）を適用できます。Azureの「ルーティングインテント」は、ハブ内のイングレスおよびエグレストラフィックフローをきめ細かく制御することを可能にし、これはAWSではBGPコミュニティ操作や複雑なルートテーブル関連付けを必要とすることが多い機能です。

    GCP Network Connectivity Center (NCC)は概念的にはグローバルファブリックに似ており、オンプレミスサイト、VPC、さらには他のクラウドプロバイダー（Cross-Cloud Interconnect経由）の接続に焦点を当てています。NCCハブは、スポーク（VPCネットワーク、VPNトンネル、Partner Interconnect、Cross-Cloud Interconnect）をグローバルに一元管理します。TGWやvWANとは異なり、NCCは単一のグローバルエンティティとして機能するため、マルチリージョンデプロイメントが簡素化されます。ハブあたり最大1000のスポークをサポートします。この設計は、多様なワークロードと場所を統一されたネットワークに接続するためのシンプルさを強調しています。比較的新しいサービスであるCross-Cloud Interconnectは、GCPとAWSを直接接続し、予測可能なレイテンシとスループットを提供します。これは、AWSとAzureのネイティブバックボーン間で、直接回線やベンダーオーバーレイなしでは同程度のネイティブ利用はできない機能です。

    ルーティング、セグメンテーション、BGP統合

    AWS TGWは、特定のVPCおよびDirect Connect Gatewayにアタッチされたルートテーブルに大きく依存しています。セグメンテーションは、アタッチメントを異なるTGWルートテーブルに割り当て、伝播および関連付けルールを構成することで実現されます。クロスアカウントルーティングはTGW Resource Share経由で管理されます。BGPはVPNおよびDX Gatewayアタッチメントの基本であり、TGWはそのルートをアドバタイズし、オンプレミスルーターからルートを学習します。各TGWは動的ルーティングピアとして機能できます。Cloud WANはこれを拡張し、グローバルネットワークポリシーで定義されたリージョン全体での自動ルート伝播とポリシーベースルーティングを提供します。任意のTGWルートテーブル間のルーティングには、明示的なスタティックルートまたはCloud WAN内のポリシーベースルーティングが必要です。

    Azure vWANハブは、さまざまな接続に関連付けできるルーティングテーブルを公開します。ルーティングインテントとルーティングポリシーにより、管理者はトラフィックのフロー方法を指示できます。たとえば、インターネットバウンドトラフィックをSecure Hubのファイアウォール経由で強制したり、VNet間トラフィックを直接ルーティングしたりできます。BGPはExpressRouteおよびVPN Gateway接続でvWANハブに広く使用されています。ExpressRoute回線は通常、Microsoftエンタープライズエッジ（MSEE）とピアリングし、MSEEはルートをvWANハブに注入します。ハイブリッド環境の場合、vWANはルート集約とアドバタイズを簡素化し、UDRを使用する従来のAzureハブアンドスポークモデルで見られるBGPの複雑さを大幅に軽減します。

    GCP NCCは、Google Cloud全体のネットワークと同様のグローバルルーティング機能を使用します。NCCハブにアタッチされたスポークはルートを自動的に交換します。各スポークにはルートテーブルが割り当てられ、ルートが伝播されます。BGPはVPNおよびInterconnectアタッチメントに採用されています。Cross-Cloud Interconnectの場合、BGPセッションはインターコネクトロケーションでピアクラウドプロバイダー（例：AWS Direct Connect Gateway）と直接確立され、クラウド環境間でルートを交換できます。NCCの強みは、統一されたグローバルルートアドバタイズと学習にあります。これにより、通常、他のマルチリージョン接続に必要とされる明示的なインターリージョンルーティング設定や複雑な推移的ルーティング設定が不要になります。

    スループット、レイテンシ、リージョン間パフォーマンス

    AWS TGWの最大スループットはアタッチメントあたり通常50 Gbpsで、VPC間のトラフィックでは複数のアタッチメントを介してTGWあたり最大100 Gbpsまで集約されます。インターリージョンTGWピアリングは、VPNよりも大幅に高い帯域幅を提供し、ピア接続あたり5 Gbpsを超えることがよくあります。需要とリージョン容量に応じて最大50 Gbpsまでスケールアップでき、レイテンシはリージョン間の生のVPCピアリングに匹敵します。オンプレミスの場合、最大100 GbpsのDirect Connect接続はDirect Connect Gatewayで終端し、TGWにアタッチできます。TGWが膨大な数のVPCとルートによって過負荷にならない限り、パフォーマンスは優れています。

    Azure vWANハブのスループット容量は動的です。VPNゲートウェイは最大10 Gbps、ExpressRouteゲートウェイは最大20 Gbps（複数のExpressRouteを終端可能）までスケールします。VNets間の集約vWANハブスループットは、大規模なハブで約100 Gbpsとされています。vWANを介したリージョン間VNet間トラフィックは、Microsoftのグローバルバックボーンを活用し、Azureネットワーク内で高速で低レイテンシの接続を提供します。Azure Firewallを備えたSecure Hubは、ファイアウォールのSKUと検査負荷に応じてレイテンシを発生させる可能性があります。最適化されたMicrosoftのグローバルネットワークにより、リージョン間のパフォーマンスは一般的に強力です。

    GCP NCCは、Googleの高性能なグローバルプライベートネットワークを活用しています。VPC間トラフィックとオンプレミス接続（VPN/Interconnect）は、Googleの低レイテンシ、高帯域幅のバックボーンから恩恵を受けます。Cross-Cloud Interconnectは、AWSへのリンクあたり最大10 Gbpsを達成でき、より高い容量のためには複数のリンクを使用できます。Google Cloudリージョン間のレイテンシは、業界で一貫して最低レベルであり、これはNCCのパフォーマンス特性に直接反映されます。これは、複数のクラウドリージョンにまたがるレイテンシに敏感なアプリケーションや、シームレスなマルチクラウド通信を必要とするアプリケーションにとって大きな利点です。

    SD-WANアプライアンス統合とセキュリティサービス

    AWS TGWへのSD-WAN統合は通常、SD-WANブランチデバイスまたは仮想アプライアンス（例：FortiGate-VM、Palo Alto Networks VM-Series、Cisco Catalyst 8000V）からスポーク内のTGWに直接IPsec VPNを確立することを含みます。AWS Network Managerは、TGW、Cloud WAN、およびVPNまたはDirect Connect経由で接続されたオンプレミスサイトを含むグローバルネットワークを監視するための一元化されたダッシュボードを提供します。TGWはネイティブにセキュリティ機能をホストしませんが、セントライズドセキュリティポリシー実施のために仮想ファイアウォールを含む「検査VPC」にトラフィックを誘導できます。これには明示的なルート操作と、対称ルーティングのためのTransit Gateway VPN ECMPなどのECMPまたはActive/Standbyファイアウォール構成が含まれることがよくあります。

    Azure vWANは統合されたSD-WAN機能を提供します。多くの主要なSD-WANベンダー（例：Fortinet、Versa、VMware、Cisco Viptela）は、自社のソリューションをvWANと統合しており、ブランチオフィス接続を簡素化します。マネージドVPNアプライアンスをvWANハブに直接デプロイできるため、個別のVNetと比較してデプロイが簡素化され、運用オーバーヘッドが軽減されます。Azure Firewall Managerと連携するSecure Hub機能（Azure FirewallではなくFortiGate-VMやPalo Alto VM-Seriesを使用することも可能ですが、別途VNetが必要です）は、強制的な集中型セキュリティの主要なセールスポイントです。この直接統合により、すべてのブランチ、VNet、インターネットトラフィックを共通のセキュリティ検査ポイントに誘導するプロセスが合理化されます。

    GCP NCCのSD-WANとの統合は進化しています。今のところ、SD-WANアプライアンスがVPCスポーク内のVPNゲートウェイにIPsec VPNを確立し、それがNCCにアタッチされるというVPN-to-スポークモデルに従っています。FortinetやPalo Altoなどの主要ベンダーはGCP向けに堅牢な仮想アプライアンスを提供していますが、NCCは（まだ）vWANのSecure Hubのような深い統合やネイティブなSD-WANサポートを持っていません。しかし、NCCは、オンプレミスのSD-WANデプロイメントをGoogle Cloudサービスや他のクラウド環境に、そのさまざまなスポークタイプを介して接続することを容易にし、SD-WANソリューション自体を規定することなく、これらの接続の管理を集中化します。NCCとの将来のPrivate Service Connect統合は、SaaSおよびパートナーサービスへのアクセスをさらに簡素化することを約束します。

    コストモデル：エグレスとアタッチメント

    機能 AWS Transit Gateway (TGW) Azure Virtual WAN (vWAN) GCP Network Connectivity Center (NCC)
    ハブあたりの時間料金 TGWあたり$0.05/時間 + リージョン間ピアリング接続あたり$0.05/時間 Standard Hub: $0.25/時間。Secure Hub: $0.35/時間 + Azure Firewall費用。 ハブユニットあたり$0.025/時間（リージョン、1000スポーク）
    アタッチメントあたりの料金 処理されるデータ量（インバウンド/アウトバウンド）に対して$0.05/GB（データ処理料） アタッチメントごとの直接料金はありません。VPN/ExpressRouteゲートウェイの料金が適用されます。 スポークユニットあたり$0.0025/時間。データ処理料：NCCを通過するすべてのデータに対して$0.02/GB。
    リージョン間データ転送 $0.02/GB - $0.09/GB（リージョンによって異なる） リージョンペアによって異なる、通常$0.02/GB - $0.08/GB $0.02/GB - $0.12/GB（リージョンによって異なる、Cross-Cloud固有）
    例：50 VPCs/VNets/Spokes（概算） VPC 50個 x $0.05/GB (データ処理) + TGW時間料金。合計約0.05 * 24 * 30 = $36/月 (TGWのみ)。月間100TBのデータ: 100 * 1024 * 0.05 = $5120。 Standard Hub 約0.25 * 24 * 30 = $180/月。スポークの直接料金なし。ExpressRoute/VPN経由のデータ。 NCC Hub Unit 約0.025 * 24 * 30 = $18/月。スポークユニット50個 約50 * 0.0025 * 24 * 30 = $90/月。月間100TBのデータ: 100 * 1024 * 0.02 = $2048。
    例：500 VPCs/VNets/Spokes（概算） VPC 500個 x $0.05/GB (データ処理) + TGW時間料金。大規模リージョンでは制限のため複数のTGWが必要となる可能性が高い。月間500TBのデータ: 500 * 1024 * 0.05 = $25600。 Standard Hub 約0.25 * 24 * 30 = $180/月。ルーティングインテントで追加料金発生の可能性あり。データ料金。 NCC Hub Unit 約0.025 * 24 * 30 = $18/月。スポークユニット500個 約500 * 0.0025 * 24 * 30 = $900/月。月間500TBのデータ: 500 * 1024 * 0.02 = $10240。

    コストモデルは大きく異なります。AWS TGWは、TGWによって「処理」されるデータ（任意のアタッチメントへのインバウンドまたはアウトバウンド）のGBごとに課金されます。これは、TGW内のeast-westトラフィックにも課金が発生することを意味します。Azure vWANは、主にハブ自体およびデプロイされたExpressRouteまたはVPN Gatewayについて時間単位で課金されます。Azureからインターネットへのエグレストラフィックにはデータエグレス料金が適用されますが、vWANハブ内のVNet間トラフィックには、vWANサービス自体による追加のGBあたり料金は発生しません（VNet間接続にvWANを使用しない場合でも標準のVNetピアリング料金は適用されます）。GCP NCCは、ハブユニットに対して低い時間単位料金と、「スポークユニット」ごとに時間単位料金を課金します。TGWと同様に、NCCを通過するデータ（転送されるデータ）に対して課金されます。ただし、NCC内部のデータについては、GCPはTGWの固定$0.05/GBと比較して低いGBあたり料金（$0.02/GB）を課金しており、これは大規模な場合に significant な違いとなります。

    500のVPC/VNet/Spokeと月間500TBの集約内部トラフィックのシナリオでは、AWSはデータ処理料$0.05/GBのため、すぐに最も高価になる可能性があります。GCPのNCCにおけるデータ処理料$0.02/GBはより競争力があります。Azureのモデルは、ハブ内部のVNet間データ料金を大部分で吸収するため、膨大な内部データフローを持つ組織にとって非常に魅力的です。ただしこれは、主にvWANハブのリージョンスコープ内に留まるトラフィックに当てはまります。マルチリージョンAzure vWANトラフィックには、AWSやGCPと同様にリージョン間データ転送料金が発生します。

    オブザーバビリティとトラブルシューティング

    AWSはTGWのCloudWatchメトリクス（例：BytesIn/Out、Packet Drop）を提供します。TGWアタッチメントのFlow Logsは、詳細なトラフィック可視化を可能にし、VPC Flow LogsをS3、CloudWatch Logs、またはサードパーティSIEMsと統合できます。AWS Network Managerは、TGWと関連する接続のトポロジビューと接続ステータスを提供します。ルーティングの問題のトラブルシューティングには、通常、TGWルートテーブル、伝播設定、アタッチメントの関連付け、およびVPN/DXのBGPセッションステータスの検査が含まれます。

    Azure vWANは、Azure Monitorを介した包括的な監視を提供し、ハブ使用率、ゲートウェイスループット、VPN/ExpressRoute接続ステータスのメトリクスを提供します。Network Watcherコンポーネント（Secure Hubs向けのNSG Flow Logsや接続モニターなど）は、トラフィックパターンを視覚化し、接続の問題を診断するのに役立ちます。vWAN管理コンソールのグローバルな性質により、クロスリージョンでのトラブルシューティングが簡素化され、すべてのハブ接続とルートに対して単一の管理画面が提供されます。Secure Hub内のAzure Firewallログは、詳細なトラフィック検査とセキュリティイベントロギングを提供します。

    GCP NCCもCloud Monitoringと統合されており、メトリクスとCloud Loggingは監査およびフローログを提供します。スポークのVPC Flow Logsは詳細なトラフィック記録を提供します。Google Cloud Network Intelligence Centerは、トポロジビュー、パフォーマンス監視、およびアタッチされたスポーク全体のネットワークヘルスに関するインサイトを提供します。GCPのオブザーバビリティへの強力な重点を考えると、NCCのトラブルシューティングは、通常、使い慣れたCloud ConsoleツールとStackdriverスイートを活用します。InterconnectsのBGPセッション監視は堅牢で、詳細なステータスとアドバタイズされたルートを提供します。

    構成スニペットと実例

    AWS TGWからVPCへのアタッチメントとルート伝播：

    
resource "aws_ec2_transit_gateway_vpc_attachment" "example" {
  vpc_id                        = aws_vpc.example.id
  transit_gateway_id            = aws_ec2_transit_gateway.example.id
  subnet_ids                    = [
    aws_subnet.example_az1.id,
    aws_subnet.example_az2.id,
  ]
  tags = {
    Name = "Example-VPC-Attachment"
  }
}

resource "aws_ec2_transit_gateway_route_table_association" "example" {
  transit_gateway_attachment_id  = aws_ec2_transit_gateway_vpc_attachment.example.id
  transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.example.id
}

resource "aws_ec2_transit_gateway_route_table_propagation" "example" {
  transit_gateway_attachment_id  = aws_ec2_transit_gateway_vpc_attachment.example.id
  transit_gateway_route_table_id = aws_ec2_transit_gateway_route_table.example.id
}

    このTerraformスニペットは、VPCをAWS TGWにアタッチし、そのルートを特定のTGWルートテーブルに関連付けて伝播する方法を示しており、これはセグメンテーションと接続性の基本です。大規模なデプロイメントの場合、Cloud WANポリシーは、複数のTGW間でこれらの関連付けと伝播を動的に管理します。

    評価

    AWS TGW (Cloud WANと連携) が優れているケース：

    • インフラストラクチャの90%以上がAWSにあるAWSネイティブな組織である。
    • 複雑なマルチアカウント、マルチリージョンAWS環境全体で、ルーティングの伝播と関連付けをきめ細かく制御する必要がある。
    • 既存のDirect Connectと多数のVPN、特に特定のBGPコミュニティ要件を統合する必要がある。
    • 内部のEast-Westデータフローが中程度である（$0.05/GBのデータ処理料金は、大量になるとすぐに高額になる可能性があるため）。

    Azure Virtual WAN が優れているケース：

    • ExpressRouteとAzureサービスを多用するMicrosoft中心のハイブリッド環境である。
    • Secure HubとAzure Firewall Managerを介した一元的なセキュリティ強制が、コンプライアンスと管理の簡素化のために不可欠な要件である。
    • グローバルSD-WANオーバーレイをデプロイしており、クラウドバックボーンとの深い統合と管理を好む。
    • リージョン内のVNet間トラフィックが非常に多い場合、ハブベースの料金体系が、このトラフィックタイプに対するGBあたりの処理料金よりも予測しやすい可能性がある。

    GCP Network Connectivity Center (NCC) が優れているケース：

    • クラウドフットプリントの大部分をGCPでリードしているが、Cross-Cloud Interconnectを介してAWSや他のクラウドへの効率的で高性能な接続も必要としている。
    • グローバルネットワーク管理におけるシンプルさが最優先であり、リージョンごとのTGWや明示的なリージョン間ピアリングではなく、単一のグローバルなコンストラクトを提供することを重視する。
    • 低レイテンシ、高帯域幅のリージョン間接続のために、Googleの高度に最適化されたグローバルバックボーンを重視する組織である。
    • 大量の内部データ転送においてコスト効率が重要であり、NCCの内部トラフィックに対するデータ処理料金がAWS TGWよりも低い（$0.02/GB）。

    関連資料

    よくある質問

    これら3つのサービスのスケーリング制限の主な違いは何ですか？+

    AWS TGWは、TGWあたり最大5000のアタッチメントとルートテーブルあたり5000のルートをサポートし、大規模なデプロイメントでは複数のTGWが必要となることがよくあります。Azure vWANは、標準ハブあたり最大2000のVNet接続を処理します。GCP NCCは、グローバルハブあたり最大1000のスポークをサポートします。これらの制限は、アーキテクチャの複雑さと潜在的なリージョンセグメンテーションを決定します。

    AWSとAzure間のマルチクラウド接続に最適なサービスはどれですか？+

    GCP Network Connectivity Centerは、Cross-Cloud Interconnectにより、AWSのような他のクラウドへの直接的で高性能な接続のために独自に設計されています。AWS TGWとAzure vWANは、インターネット経由のVPNまたはプライベート回線経由で相互に接続できますが、NCCは、直接的なクラウド間ネットワーキングのためにより統合された最適化された経路を提供します。

    各プラットフォームのバックボーン内のEast-Westトラフィックのコストはどのように比較されますか？+

    AWS TGWは、TGWによって処理されるすべてのデータ（インバウンド/アウトバウンド）に対して$0.05/GBを課金します。それが同じリージョン内であるかどうかは関係ありません。Azure vWANのデータ料金は、主にインターネットまたはリージョン間へのイングレス/エグレスに対して発生します。ハブ内のVNet間トラフィックは、vWAN自体からは課金されないことがよくあります。GCP NCCは、NCCバックボーンを通過するデータに対して$0.02/GBを課金します。非常に大量のリージョン内East-Westトラフィックの場合、Azure vWANとGCP NCCは、その料金モデルによりAWS TGWよりも費用対効果が高い可能性があります。

    これらのサービスで集中型セキュリティポリシーを適用できますか？+

    はい、異なるアプローチで可能です。Azure vWANは、Azure Firewall Managerと統合されたSecure Hubを提供し、ネイティブなディープパケットインスペクションを可能にします。AWS TGWは、仮想ファイアウォール（例：FortiGate、Palo Alto）をホストする「検査VPC」にトラフィックを誘導する必要があります。GCP NCCは、VPCレベルのファイアウォールルール、Network Firewall、またはスポーク内の仮想アプライアンスに依存し、Security Policy Managerなどのツールを通じて一元管理されます。

    グローバルネットワークに最も集中管理を提供するオプションはどれですか？+

    Azure vWANとGCP NCCは、AWS TGWと比較して、本質的に集中化されたグローバル管理プレーンを提供します。Azure vWANのグローバルハブと接続のための単一ポータルは、マルチリージョンネットワークのオーケストレーションを簡素化します。GCP NCCは、リージョン間の複雑さを抽象化するグローバルリソースとして設計されています。AWS Cloud WANは、複数のTGWを管理するためのグローバルポリシーエンジンを提供することで、AWSのこのギャップを大幅に埋めますが、それは追加のレイヤーです。