AWS Advanced Networking - Specialty (ANS-C01) — Preguntas de práctica y simulacro de examen

AWS PrivateLink le permite a un proveedor de servicios exponer un único servicio a los consumidores como un servicio de endpoint de VPC. El proveedor coloca un Network Load Balancer delante de la aplicación y lo registra como servicio de endpoint; los consumidores crean endpoints de VPC de tipo interfaz que se mapean a direcciones IP privadas en sus propias subnets. Como el tráfico circula por ENIs privadas y nunca toca la internet pública, y como solo se expone el servicio - no la VPC completa -, PrivateLink funciona incluso cuando los rangos CIDR del proveedor y del consumidor se superponen. Para alta disponibilidad, el proveedor debe habilitar el NLB en al menos dos zonas de disponibilidad; habilitar el cross-zone load balancing es una opción, pero genera cargos de transferencia de datos entre AZ. Tanto el VPC peering como los transit gateways enrutan entre VPC completas y requieren CIDR que no se superpongan, por lo que encajan peor para exponer un servicio privado de uno a muchos. Consejo de examen: 'exponer una aplicación de forma privada a muchas cuentas, con CIDR superpuestos sin problema' apunta a PrivateLink + servicio de endpoint con NLB.

Una sola conexión AWS Site-to-Site VPN ofrece dos túneles principalmente para alta disponibilidad, y cada túnel está limitado a alrededor de 1.25 Gbps. Para escalar el rendimiento agregado, terminas varias conexiones VPN en un AWS Transit Gateway que tenga habilitado el enrutamiento equal-cost multi-path (ECMP). Cuando tus routers on-premises anuncian los mismos prefijos por BGP a través de varios túneles, el transit gateway distribuye los flujos entre ellos usando ECMP, lo que permite escalar el rendimiento más allá del límite de un solo túnel. Esto requiere enrutamiento dinámico (BGP), no estático, y requiere un transit gateway, porque los virtual private gateways no admiten ECMP. Accelerated VPN es una función aparte que usa la red global de AWS para lograr un rendimiento más constante, pero no cambia los límites de ancho de banda. Consejo de examen: 'escalar la VPN más allá del ancho de banda por túnel' equivale a transit gateway + ECMP + anunciar prefijos idénticos por BGP en varios túneles.

Para asegurar que solo las solicitudes procesadas por CloudFront lleguen al origin, configuras CloudFront para agregar un HTTP header personalizado (con un valor secreto) a cada solicitud que reenvía al origin. Luego adjuntas una AWS WAF web ACL al Application Load Balancer de origin que permite solo solicitudes que contengan ese header y valor, bloqueando todo lo demás. Como AWS WAF inspecciona los headers de la solicitud en el ALB, cualquier cliente que intente llegar directamente al ALB sin el header secreto es denegado, lo que evita omitir CloudFront y sus reglas de WAF asociadas en el edge. Para una protección más fuerte puedes rotar el secreto usando AWS Secrets Manager. Field-level encryption es una característica diferente que cifra campos sensibles específicos de formularios de extremo a extremo y no aborda la omisión del origin. Tip de examen: 'evitar acceso directo al origin / forzar tráfico a través de CloudFront' equivale a custom header secreto más regla allow de WAF en el origin.

VPC Reachability Analyzer es una herramienta de análisis de configuración que usa razonamiento automatizado para probar la conectividad entre un recurso de origen y uno de destino sin enviar tráfico real. Cuando una ruta es alcanzable, devuelve la ruta de red virtual salto por salto; cuando no lo es, identifica el componente que la bloquea y proporciona un código explicativo, por ejemplo, una configuración incorrecta de un security group, una ACL de red, una tabla de rutas o un load balancer. Admite endpoints como instancias, ENIs, internet gateways, VPN gateways, VPC endpoints, conexiones de peering y transit gateways, y puedes especificar el protocolo y el puerto (por ejemplo, TCP 22). Por eso es ideal para verificar la conectividad prevista y solucionar problemas después de un cambio. Flow Logs y Traffic Mirroring requieren tráfico real, e Internet Monitor se centra en el rendimiento de internet. Consejo para el examen: “identificar el componente que bloquea sin enviar paquetes” equivale a Reachability Analyzer; “ver en los registros si el tráfico se aceptó o se rechazó” equivale a Flow Logs.