ESEN

← Letra chica por examen

Amazon Web Services · Specialty

ANS-C01 · AWS Certified Advanced Networking - Specialty (ANS-C01)

AWS Certified Advanced Networking - Specialty

Vigente↗ Guía oficial🃏 Practicar estos gotchas

DNS privado híbrido (on-premises ↔ nube)

Costo● verificado hace 34 días◌ sin revisor externo

Cada IP de un endpoint es una ENI que se paga por hora, y el mínimo son dos por endpoint

Route 53 Resolver cobra por ENI por hora, además de las consultas, y cada endpoint necesita al menos dos IPs en AZs distintas. Entrada más salida son cuatro ENIs facturando las 24 horas aunque no haya una sola consulta. En GCP la inbound policy y las forwarding zones no tienen cargo por hora. Si tenés varias cuentas, centralizá los endpoints en el hub y compartí las reglas con RAM en lugar de repetirlos.

Suma para:ANS-C01SAA-C03
⚑ Reportar desactualizado

Ver en el patrón →

Red● verificado hace 34 días◌ sin revisor externo

Reenviar desde on-premises a la IP .2 de la VPC no está soportado

AWS indica que reenviar consultas DNS privadas a cualquier dirección base del CIDR de la VPC + 2 desde on-premises u otros servidores DNS de VPC no está soportado y puede dar resultados inestables. En su lugar, AWS recomienda usar un inbound endpoint de Resolver.

Suma para:ANS-C01
⚑ Reportar desactualizado

Ver en el patrón →

Ver en el patrón →

Red● verificado hace 34 días◌ sin revisor externo

Una regla de forward le gana a una private hosted zone con el mismo nombre

Si en una VPC hay una regla FORWARD para corp.example.com y también una private hosted zone corp.example.com, gana la regla. Entre reglas gana la más específica, y con una regla SYSTEM excluís un subdominio del reenvío.

Suma para:ANS-C01
⚑ Reportar desactualizado

Ver en el patrón →

Confiabilidad● verificado hace 34 días◌ sin revisor externo

Son 10.000 QPS por IP, pero con connection tracking pueden ser 1.500

Cada IP de un endpoint procesa hasta 10.000 consultas UDP por segundo. Si las reglas restrictivas del security group fuerzan connection tracking (o las consultas pasan por un NLB), el inbound endpoint puede bajar a 1.500 QPS por IP. Este módulo limita el origen a los rangos on-premises, así que contá con el número bajo: monitoreá la métrica por ENI y agregá IPs cuando pase el 50%.

Suma para:ANS-C01
⚑ Reportar desactualizado

Ver en el patrón →

Ingesta privada de objetos con expiración (TTL)

Red● verificado hace 34 días◌ sin revisor externo

El Gateway Endpoint es gratis, pero solo sirve dentro de la VPC y la región

Es una entrada en la route table, sin costo por hora ni por GB, y por eso es la opción por defecto para S3. Pero no es alcanzable desde on-premises (VPN/Direct Connect) ni desde otra región. Para esos casos necesitás un Interface Endpoint, que sí se cobra por hora por AZ y es el equivalente real de Private Endpoint en Azure.

Suma para:SAA-C03ANS-C01
⚑ Reportar desactualizado

Ver en el patrón →

Web API privada Zero Trust con PostgreSQL sin contraseñas

Costo● verificado hace 34 días◌ sin revisor externo

Fargate en subnet privada sin NAT necesita varios VPC endpoints pagos

Para bajar la imagen sin salida a internet, la tarea necesita interface endpoints de ECR (api y dkr), más el gateway endpoint de S3 (donde ECR guarda las capas). Si usa el driver de logs awslogs, también necesita el interface endpoint de CloudWatch Logs. Cada interface endpoint se cobra por hora por AZ. La alternativa (NAT Gateway) también tiene cargo por hora y por GB.

Suma para:SAA-C03ANS-C01
⚑ Reportar desactualizado

Ver en el patrón →