AWS Advanced Networking - Specialty (ANS-C01) — Questões de prática e simulado

O AWS PrivateLink permite que um provedor de serviços exponha um único serviço aos consumidores como um serviço de endpoint de VPC. O provedor coloca um Network Load Balancer na frente da aplicação e o registra como serviço de endpoint; os consumidores criam endpoints de VPC do tipo interface que são mapeados para endereços IP privados nas próprias subnets deles. Como o tráfego percorre ENIs privadas e nunca toca a internet pública, e como só o serviço - e não a VPC inteira - é exposto, o PrivateLink funciona mesmo quando as faixas CIDR do provedor e do consumidor se sobrepõem. Para alta disponibilidade, o provedor deve habilitar o NLB em pelo menos duas zonas de disponibilidade; habilitar o cross-zone load balancing é uma opção, mas gera cobranças de transferência de dados entre AZs. Tanto o VPC peering quanto os transit gateways roteiam entre VPCs inteiras e exigem CIDRs sem sobreposição, o que os torna menos adequados para expor um serviço privado de um para muitos. Dica de prova: 'expor uma aplicação de forma privada para muitas contas, com CIDRs sobrepostos sem problema' aponta para PrivateLink + serviço de endpoint com NLB.

Uma única conexão AWS Site-to-Site VPN fornece dois túneis principalmente para alta disponibilidade, e cada túnel é limitado a cerca de 1.25 Gbps. Para escalar a vazão agregada, você termina várias conexões VPN em um AWS Transit Gateway com o roteamento equal-cost multi-path (ECMP) habilitado. Quando seus roteadores on-premises anunciam os mesmos prefixos via BGP em vários túneis, o transit gateway distribui os fluxos entre eles usando ECMP, permitindo que a vazão escale além do limite de um único túnel. Isso exige roteamento dinâmico (BGP), e não estático, e exige um transit gateway, porque os virtual private gateways não suportam ECMP. O accelerated VPN é um recurso separado que usa a rede global da AWS para um desempenho mais consistente, mas não altera os limites de largura de banda. Dica de prova: 'escalar a VPN além da largura de banda por túnel' equivale a transit gateway + ECMP + anúncio dos mesmos prefixos via BGP em vários túneis.

Para garantir que somente requisições processadas pelo CloudFront cheguem à origem, você configura o CloudFront para adicionar um header HTTP customizado (com um valor secreto) a cada requisição que ele encaminha para a origem. Então você anexa uma web ACL do AWS WAF ao Application Load Balancer de origem que permite somente requisições contendo esse header e valor, bloqueando todo o resto. Como o AWS WAF inspeciona os headers da requisição no ALB, qualquer cliente que tente acessar o ALB diretamente sem o header secreto é negado, o que impede contornar o CloudFront e suas regras WAF associadas no edge. Para proteção mais forte, você pode rotacionar o segredo usando AWS Secrets Manager. Field-level encryption é um recurso diferente que criptografa campos específicos e sensíveis de formulário de ponta a ponta e não resolve bypass da origem. Dica de prova: 'impedir acesso direto à origem / forçar tráfego pelo CloudFront' equivale a header customizado secreto mais regra de allow do WAF na origem.

O VPC Reachability Analyzer é uma ferramenta de análise de configuração que usa raciocínio automatizado para testar a conectividade entre um recurso de origem e um de destino sem enviar tráfego real. Quando um caminho é alcançável, ele retorna o caminho de rede virtual salto a salto; quando não é, ele identifica o componente que está bloqueando e fornece um código de explicação, como uma configuração incorreta de security group, ACL de rede, tabela de rotas ou load balancer. Ele oferece suporte a endpoints como instâncias, ENIs, internet gateways, VPN gateways, VPC endpoints, conexões de peering e transit gateways, e você pode especificar o protocolo e a porta (por exemplo, TCP 22). Isso o torna ideal para verificar a conectividade pretendida e solucionar problemas após alterações. Flow Logs e Traffic Mirroring exigem tráfego real, e o Internet Monitor se concentra no desempenho da internet. Dica para o exame: “identificar o componente que bloqueia sem enviar pacotes” equivale ao Reachability Analyzer; “ver nos registros se o tráfego foi aceito ou rejeitado” equivale a Flow Logs.