AWS Advanced Networking - Specialty (ANS-C01) — Questions d'entraînement et examen blanc

AWS PrivateLink permet à un fournisseur de services d'exposer un seul service aux consommateurs sous la forme d'un service d'endpoint VPC. Le fournisseur place un Network Load Balancer devant l'application et l'enregistre comme service d'endpoint ; les consommateurs créent des endpoints VPC de type interface qui correspondent à des adresses IP privées dans leurs propres subnets. Comme le trafic passe par des ENI privées et ne touche jamais l'internet public, et comme seul le service - et non la VPC entière - est exposé, PrivateLink fonctionne même lorsque les plages CIDR du fournisseur et du consommateur se chevauchent. Pour la haute disponibilité, le fournisseur doit activer le NLB dans au moins deux zones de disponibilité ; activer le cross-zone load balancing est une option, mais cela entraîne des frais de transfert de données entre AZ. Le VPC peering et les transit gateways routent tous deux entre des VPC entières et exigent des CIDR qui ne se chevauchent pas, ce qui les rend moins adaptés à l'exposition privée d'un service en un-vers-plusieurs. Astuce d'examen : « exposer une application en privé à de nombreux comptes, CIDR qui se chevauchent acceptés » oriente vers PrivateLink + service d'endpoint avec NLB.

Une seule connexion AWS Site-to-Site VPN fournit deux tunnels avant tout pour la haute disponibilité, et chaque tunnel plafonne à environ 1.25 Gbps. Pour faire monter le débit agrégé, tu termines plusieurs connexions VPN sur un AWS Transit Gateway dont le routage equal-cost multi-path (ECMP) est activé. Lorsque tes routeurs on-premises annoncent les mêmes préfixes en BGP sur plusieurs tunnels, le transit gateway répartit les flux entre eux grâce à ECMP, ce qui permet au débit de dépasser la limite d'un tunnel unique. Cela exige du routage dynamique (BGP) et non statique, et cela exige un transit gateway, car les virtual private gateways ne prennent pas en charge ECMP. Accelerated VPN est une fonctionnalité distincte qui utilise le réseau mondial d'AWS pour des performances plus régulières, mais elle ne change pas les limites de bande passante. Astuce d'examen : « faire monter la VPN au-delà de la bande passante par tunnel » équivaut à transit gateway + ECMP + annonce des mêmes préfixes en BGP sur plusieurs tunnels.

Pour garantir que seules les requêtes traitées par CloudFront atteignent l’origin, tu configures CloudFront pour ajouter un custom HTTP header (avec une valeur secrète) à chaque requête qu’il transmet à l’origin. Tu attaches ensuite une AWS WAF web ACL à l’Application Load Balancer origin qui autorise uniquement les requêtes contenant cet en-tête et cette valeur, en bloquant tout le reste. Comme AWS WAF inspecte les en-têtes de requête au niveau de l’ALB, tout client qui essaie d’atteindre directement l’ALB sans l’en-tête secret est refusé, ce qui empêche de contourner CloudFront et ses règles WAF associées en périphérie. Pour une protection plus forte, tu peux faire tourner le secret avec AWS Secrets Manager. Field-level encryption est une autre fonctionnalité qui chiffre de bout en bout des champs de formulaire sensibles spécifiques et ne traite pas le contournement de l’origin. Astuce d’examen : « empêcher l’accès direct à l’origin / forcer le trafic via CloudFront » égale secret custom header plus règle d’autorisation WAF à l’origin.

VPC Reachability Analyzer est un outil d’analyse de configuration qui s’appuie sur le raisonnement automatisé pour tester la connectivité entre une ressource source et une ressource de destination sans envoyer de trafic réel. Lorsqu’un chemin est accessible, il renvoie le chemin réseau virtuel saut par saut ; lorsqu’il ne l’est pas, il identifie le composant bloquant et fournit un code d’explication, par exemple une erreur de configuration d’un groupe de sécurité, d’une ACL réseau, d’une table de routage ou d’un load balancer. Il prend en charge des points de terminaison comme les instances, les ENI, les passerelles Internet, les passerelles VPN, les points de terminaison VPC, les connexions de peering et les transit gateways, et tu peux préciser le protocole et le port (par exemple TCP 22). C’est donc l’outil idéal pour vérifier la connectivité prévue et diagnostiquer un problème après une modification. Flow Logs et Traffic Mirroring nécessitent tous deux du trafic réel, et Internet Monitor se concentre sur les performances Internet. Conseil pour l’examen : « identifier le composant bloquant sans envoyer de paquets » correspond à Reachability Analyzer ; « voir dans des enregistrements si le trafic a été accepté ou rejeté » correspond à Flow Logs.