AWS Advanced Networking - Specialty (ANS-C01) — Übungsfragen und Probeprüfung

AWS PrivateLink erlaubt es einem Service-Provider, einen einzelnen Service als VPC-Endpunktdienst für Consumer bereitzustellen. Der Provider stellt einen Network Load Balancer vor die Anwendung und registriert ihn als Endpunktdienst; die Consumer erstellen Interface-VPC-Endpunkte, die auf private IP-Adressen in ihren eigenen Subnetzen abgebildet werden. Weil der Traffic über private ENIs läuft und nie das öffentliche Internet berührt, und weil nur der Service - nicht die ganze VPC - exponiert wird, funktioniert PrivateLink auch dann, wenn sich die CIDR-Bereiche von Provider und Consumer überlappen. Für Hochverfügbarkeit sollte der Provider den NLB in mindestens zwei Availability Zones aktivieren; Cross-Zone Load Balancing ist eine Option, verursacht aber Gebühren für den Datentransfer zwischen AZs. VPC-Peering und Transit Gateways routen jeweils zwischen kompletten VPCs und setzen nicht überlappende CIDRs voraus, weshalb sie für eine private Service-Bereitstellung von einem zu vielen schlechter passen. Prüfungstipp: 'eine Anwendung privat für viele Konten bereitstellen, überlappende CIDRs sind okay' deutet auf PrivateLink + NLB-Endpunktdienst hin.

Eine einzelne AWS Site-to-Site-VPN-Verbindung stellt zwei Tunnel bereit, vor allem für Hochverfügbarkeit, und jeder Tunnel ist auf etwa 1.25 Gbps begrenzt. Um den Gesamtdurchsatz zu skalieren, terminierst du mehrere VPN-Verbindungen an einem AWS Transit Gateway, auf dem Equal-Cost Multi-Path (ECMP) Routing aktiviert ist. Wenn deine On-Premises-Router dieselben Präfixe per BGP über mehrere Tunnel ankündigen, verteilt das Transit Gateway die Flows mit ECMP darauf, sodass der Durchsatz über das Limit eines einzelnen Tunnels hinaus skalieren kann. Das setzt dynamisches Routing (BGP) statt statischem Routing voraus, und es setzt ein Transit Gateway voraus, weil Virtual Private Gateways kein ECMP unterstützen. Accelerated VPN ist ein separates Feature, das das globale AWS-Netzwerk für gleichmäßigere Performance nutzt, aber nichts an den Bandbreitenlimits ändert. Prüfungstipp: 'VPN über die Bandbreite pro Tunnel hinaus skalieren' bedeutet Transit Gateway + ECMP + identische Präfixe, die per BGP über mehrere Tunnel angekündigt werden.

Um sicherzustellen, dass nur von CloudFront verarbeitete Requests den origin erreichen, konfigurierst du CloudFront so, dass es jedem Request, den es an den origin weiterleitet, einen custom HTTP header (mit einem geheimen Wert) hinzufügt. Dann hängst du an den origin Application Load Balancer eine AWS WAF web ACL an, die nur Requests mit diesem Header und Wert erlaubt und alles andere blockiert. Da AWS WAF die Request Headers am ALB prüft, wird jeder Client abgelehnt, der versucht, den ALB direkt ohne den geheimen Header aufzurufen. Dadurch wird verhindert, dass CloudFront und die zugehörigen WAF rules am Edge umgangen werden. Für stärkeren Schutz kannst du das Secret mit AWS Secrets Manager rotieren. Field-level encryption ist ein anderes Feature, das bestimmte sensible Formularfelder Ende-zu-Ende verschlüsselt und origin bypass nicht behandelt. Prüfungstipp: „direct-to-origin access verhindern / Traffic durch CloudFront erzwingen“ bedeutet geheimer custom header plus WAF allow rule am origin.

VPC Reachability Analyzer ist ein Configuration-Analysis-Tool, das automated reasoning verwendet, um die Konnektivität zwischen einer Source und einer Destination Resource zu testen, ohne Live Traffic zu senden. Wenn ein Pfad erreichbar ist, gibt es den hop-by-hop virtual network path zurück; wenn er nicht erreichbar ist, identifiziert es die blockierende Komponente und liefert einen Explanation Code, zum Beispiel eine security group, network ACL, route table oder load balancer misconfiguration. Es unterstützt Endpoints wie instances, ENIs, internet gateways, VPN gateways, VPC endpoints, peering connections und transit gateways, und du kannst protocol und port angeben (zum Beispiel TCP 22). Dadurch ist es ideal, um beabsichtigte Konnektivität zu verifizieren und nach Änderungen Fehler zu beheben. Flow Logs und Traffic Mirroring benötigen beide Live Traffic, und Internet Monitor konzentriert sich auf Internet Performance. Prüfungstipp: „blocking component identifizieren, ohne Pakete zu senden“ bedeutet Reachability Analyzer; „sehen, ob Traffic laut Records accepted oder rejected wurde“ bedeutet Flow Logs.