Test del módulo · Semana 5

Test: Redes en AWS (I): VPC, conectividad híbrida y costes de red

Preguntas al estilo del examen. Contesta, pulsa «Comprobar» y lee siempre la explicación, también cuando aciertes: ahí está lo que de verdad se aprende.

31 preguntasComprobadas: 0/31

1. Un equipo va a desplegar en una subred nueva un grupo de 25 instancias EC2 que nunca superará ese tamaño. Quiere reservar el bloque CIDR más pequeño posible para no desperdiciar direcciones del rango de la VPC. ¿Qué tamaño de subred debe elegir?

A. /28B. /27C. /26D. /25

2. Un administrador lanza una instancia EC2 con una IPv4 pública en una subred nueva. El security group permite TCP 443 desde 0.0.0.0/0 y la subred usa la network ACL por defecto. Aun así, nadie puede conectar a la instancia desde internet. La VPC tiene un internet gateway adjunto. ¿Cuál es la causa más probable?

A. La instancia necesita una Elastic IP; las IPv4 públicas automáticas no admiten tráfico entranteB. La network ACL por defecto bloquea todo el tráfico entrante hasta que se añaden reglasC. La tabla de rutas de la subred no tiene una ruta 0.0.0.0/0 hacia el internet gatewayD. Falta un NAT gateway en la subred para traducir la IP pública a la privada

3. Unas instancias EC2 en subredes privadas deben descargar actualizaciones de sistema operativo desde repositorios de internet. Por política de seguridad, ningún equipo de internet debe poder iniciar conexiones hacia ellas y no pueden tener direcciones IP públicas. La carga es IPv4. ¿Qué solución cumple los requisitos con la MENOR carga operativa?

A. Un NAT gateway en una subred pública y una ruta 0.0.0.0/0 hacia él en las tablas privadasB. Una ruta 0.0.0.0/0 en las tablas de rutas de las subredes privadas que apunte directamente al internet gateway de la VPCC. Un egress-only internet gateway adjunto a la VPC y la ruta 0.0.0.0/0 de las subredes privadas apuntando hacia élD. Lanzar una NAT instance en cada subred privada y desactivar en ella la comprobación de origen y destino

4. Una aplicación se ejecuta en subredes privadas de tres zonas de disponibilidad. Todas salen a internet a través de un único NAT gateway zonal situado en la AZ a. El equipo de fiabilidad exige que la caída de una AZ no afecte a la salida a internet de las demás y, de paso, quiere reducir los cargos de transferencia entre AZ. ¿Qué debe hacer el arquitecto?

A. Asociar una segunda Elastic IP al NAT gateway existente para duplicar su capacidad y su disponibilidadB. Sustituir el NAT gateway por una NAT instance en cada AZ, con un script que conmute las rutas si una instancia fallaC. Mover todas las instancias a la AZ a, donde está el NAT gateway, para eliminar el tráfico entre AZD. Un NAT gateway en una subred pública de cada AZ, con una tabla de rutas privada por AZ hacia su NAT local

5. Una empresa analiza su factura y descubre que el concepto «NAT Gateway - bytes procesados» es muy alto. Las instancias de sus subredes privadas leen y escriben continuamente en Amazon S3 y en Amazon DynamoDB de la misma región. ¿Qué dos acciones reducen el coste de forma MÁS rentable sin cambiar el código de la aplicación? (Elige dos.)

A. Crear un gateway endpoint para Amazon S3 y asociarlo a las tablas de rutas de las subredes privadasB. Sustituir el NAT gateway por uno regional, que no cobra por GB procesadoC. Activar S3 Transfer Acceleration en los bucketsD. Crear un gateway endpoint para Amazon DynamoDB y asociarlo a las tablas de rutas de las subredes privadasE. Crear interface endpoints para S3 y DynamoDB en cada AZF. Establecer un VPC peering entre la VPC y la VPC de Amazon S3

6. Un entorno de desarrollo en una sola AZ necesita salida a internet desde subredes privadas para unas pocas descargas al día. La prioridad absoluta es el coste mínimo; el equipo acepta mantener la solución y tolerar cortes ocasionales. ¿Qué opción es la MÁS económica?

A. Un NAT gateway zonal en cada AZ de la región, cada uno con su Elastic IPB. Una NAT instance pequeña en una subred públicaC. Un NAT gateway regional en modo automático, que se expande solo por las AZ con cargasD. Un Transit Gateway conectado a una VPC de salida centralizada con NAT gateway

7. Una empresa crea una VPC nueva cuyas cargas irán ocupando más zonas de disponibilidad con el tiempo. Necesita salida a internet IPv4 con alta disponibilidad, quiere evitar actualizar rutas cada vez que use una AZ nueva y su política de seguridad desaconseja crear subredes públicas. ¿Qué solución cumple los requisitos con la MENOR carga operativa?

A. Un NAT gateway zonal en una subred pública de cada AZ, con una tabla de rutas privada por AZB. Un grupo de Auto Scaling de NAT instances repartido entre las AZC. Un egress-only internet gateway con una ruta ::/0 en todas las subredes privadasD. Un NAT gateway regional, con una única ruta 0.0.0.0/0 hacia su ID en las tablas de las subredes privadas

8. Unas instancias con direcciones IPv6 deben poder iniciar conexiones hacia servicios de internet por IPv6, pero ningún host de internet debe poder iniciar conexiones IPv6 hacia ellas. ¿Qué componente debe usarse?

A. Un NAT gateway público con una Elastic IP y NAT64 activado en la subredB. Un egress-only internet gateway (ruta ::/0)C. Un internet gateway y un security group sin reglas de entradaD. Un gateway endpoint asociado a la tabla de rutas con la prefix list de internet

9. Un rango de direcciones IP concreto está lanzando peticiones maliciosas contra unos servidores web situados en subredes públicas. El equipo de seguridad quiere bloquear inmediatamente ese rango en la capa de red, sin afectar al resto de clientes. ¿Qué debe hacer?

A. Añadir una regla deny para ese rango en el security group de los servidores web afectadosB. Activar AWS Shield Advanced en las instancias EC2 para que bloquee ese rango automáticamenteC. Añadir una regla deny para ese rango, con número bajo, en la NACL de las subredes públicasD. Quitar las IP públicas de los servidores web y publicarlos solo a través de su IP privada

10. Un arquitecto asocia una network ACL personalizada a la subred de un servidor web. La NACL tiene una regla de entrada que permite TCP 443 desde 0.0.0.0/0 y ninguna otra regla. El security group del servidor permite TCP 443. Los clientes ven cómo sus conexiones se agotan por tiempo. ¿Cómo lo soluciona?

A. Añadir en la NACL una regla de salida que permita TCP 1024-65535 hacia 0.0.0.0/0B. Añadir en el security group una regla de salida que permita TCP 1024-65535C. Añadir en la NACL una regla de salida que permita TCP 443 hacia 0.0.0.0/0D. Cambiar el número de la regla de entrada a 1 para que se evalúe antes que la regla por defecto

11. Un nuevo miembro del equipo repasa los controles de red de la VPC. ¿Qué dos afirmaciones sobre security groups y network ACLs son correctas? (Elige dos.)

A. Los security groups admiten reglas allow y deny, y se evalúan de menor a mayor número de reglaB. Los security groups son stateful: si se permite una petición de entrada, su respuesta sale sin necesidad de reglas de salidaC. Una network ACL se asocia a interfaces de red individuales y puede haber varias por instanciaD. Una network ACL personalizada recién creada permite todo el tráfico hasta que se añaden reglas denyE. Las reglas de una network ACL se evalúan en orden numérico y se aplica la primera que coincide

12. En una arquitectura de tres niveles, la base de datos Amazon RDS for MySQL debe aceptar conexiones solo desde las instancias del nivel de aplicación, que pertenecen a un grupo de Auto Scaling y cambian de IP a menudo. ¿Cuál es la forma MÁS segura y mantenible de configurarlo?

A. Permitir TCP 3306 desde el CIDR completo de la VPC en el security group de la base de datosB. Actualizar con una función Lambda el security group de la base de datos cada vez que se lance una instanciaC. Crear una network ACL en la subred de datos que permita TCP 3306 solo desde las IP actuales de la aplicaciónD. Permitir TCP 3306 en el security group de la base de datos usando como origen el security group de las instancias de aplicación

13. Unos servidores del centro de datos de una empresa, conectados a una VPC mediante una private VIF de AWS Direct Connect, deben leer objetos de Amazon S3 usando direcciones IP privadas y sin atravesar internet. ¿Qué solución lo permite?

A. Crear un gateway endpoint de S3 en la VPC y anunciar su prefix list a la red local por BGPB. Activar S3 Transfer Acceleration en el bucket y usar su punto de enlace acelerado desde el centro de datosC. Un interface endpoint de S3 en la VPC, al que los servidores acceden por sus IP privadasD. Crear un NAT gateway en la VPC y enrutar hacia él el tráfico de la red local

14. Una empresa SaaS quiere ofrecer su API interna a cientos de clientes, cada uno con su propia cuenta y VPC. Muchos clientes usan rangos CIDR que se solapan con los del proveedor. El tráfico no debe pasar por internet y los clientes no deben tener acceso a ningún otro recurso de la red del proveedor. ¿Qué solución debe usar?

A. Un endpoint service de AWS PrivateLink detrás de un NLB, con un interface endpoint por clienteB. Un VPC peering con la VPC de cada cliente, limitando el acceso con security groups y rutas específicasC. Un Transit Gateway compartido con AWS RAM al que se conectan todas las VPC de los clientesD. Exponer la API en un Application Load Balancer público restringido con network ACL a las IP de los clientes

15. La VPC A está emparejada con la VPC B, y la VPC B con la VPC C. Las tablas de rutas y los security groups están bien configurados en cada peering. Las instancias de A no pueden comunicarse con las de C. ¿Qué debe hacer el arquitecto con el MENOR coste?

A. Añadir en la tabla de rutas de B rutas que reenvíen el tráfico entre A y CB. Crear un VPC peering directo entre A y C y añadir las rutas correspondientes en ambas VPCC. Activar el enrutamiento transitivo en el peering entre A y BD. Sustituir los dos peerings por una VPN Site-to-Site entre A y C

16. Un arquitecto evalúa VPC peering para conectar varias VPC de la empresa. ¿Qué dos limitaciones del VPC peering debe tener en cuenta? (Elige dos.)

A. No se puede establecer entre VPC de regiones distintasB. No se puede establecer entre VPC de cuentas de AWS distintasC. No se puede crear si los bloques CIDR de las VPC se solapanD. Limita el ancho de banda entre las dos VPC a 1 GbpsE. Una VPC no puede usar el internet gateway, el NAT o la conexión VPN de la VPC emparejada

17. Una organización con 80 VPC repartidas en varias cuentas de AWS Organizations y 3 oficinas conectadas por VPN necesita conectividad entre todas ellas, gestionada de forma centralizada, y que las VPC de producción no puedan comunicarse con las de desarrollo. ¿Qué solución cumple los requisitos con la MENOR carga operativa?

A. Una malla completa de VPC peerings entre todas las VPC, con security groups que bloqueen producción y desarrolloB. Una VPN Site-to-Site desde cada oficina hacia el virtual private gateway de cada VPCC. Una VPC de tránsito con instancias EC2 que actúen como routers entre todas las VPCD. Un AWS Transit Gateway compartido con AWS RAM, con tablas de rutas separadas por entorno

18. Dos VPC de la misma región y de la misma AZ intercambian unos 50 TB al mes a través de un AWS Transit Gateway. Solo estas dos VPC necesitan comunicarse y no hay planes de añadir más. La dirección financiera pide reducir el coste de red sin perder rendimiento. ¿Qué debe recomendar el arquitecto?

A. Mantener el Transit Gateway y activar ECMP en los adjuntosB. Sustituir el Transit Gateway por un VPC peering entre las dos VPCC. Conectar las VPC mediante una VPN Site-to-SiteD. Crear interface endpoints en cada VPC para los servicios de la otra

19. Una empresa necesita esta misma semana una conexión cifrada entre su oficina y una VPC para migrar unas aplicaciones con poco tráfico. El presupuesto es ajustado y el router de la oficina admite IPsec. ¿Qué solución debe elegir?

A. Una conexión dedicada de AWS Direct Connect de 1 Gbps con MACsecB. Una AWS Site-to-Site VPN hacia un virtual private gatewayC. Un endpoint de AWS Client VPN para el router de la oficinaD. Un VPC peering entre la VPC y la red de la oficina a través de internet

20. Una empresa conecta su centro de datos a decenas de VPC y necesita unos 4 Gbps de ancho de banda cifrado sobre internet mientras espera un Direct Connect. Sabe que un túnel VPN estándar llega hasta 1,25 Gbps. ¿Qué diseño proporciona el ancho de banda necesario?

A. Una única conexión VPN a un virtual private gateway con enrutamiento estáticoB. Varias conexiones VPN al virtual private gateway de cada VPC con enrutamiento estáticoC. Varias conexiones Site-to-Site VPN hacia un AWS Transit Gateway con enrutamiento dinámico BGP y ECMPD. Un endpoint de AWS Client VPN con split tunnel activado

21. Tras implantar el teletrabajo, 300 empleados necesitan acceder desde sus portátiles a aplicaciones internas alojadas en subredes privadas de una VPC. La autenticación debe hacerse contra el Active Directory corporativo y el servicio debe escalar sin gestionar servidores VPN. ¿Qué solución cumple los requisitos?

A. Una conexión AWS Site-to-Site VPN desde el portátil de cada empleadoB. Instancias EC2 con software VPN de código abierto detrás de un Network Load BalancerC. Un interface endpoint de AWS PrivateLink para cada aplicación internaD. AWS Client VPN autenticado contra Active Directory

22. Un banco transfiere grandes volúmenes de datos entre su centro de datos y AWS y necesita latencia consistente. La conectividad es crítica y debe resistir el fallo de un dispositivo, de una conexión e incluso la caída completa de una ubicación de Direct Connect. ¿Qué diseño recomienda AWS para la máxima resiliencia?

A. Una conexión dedicada de Direct Connect con una Site-to-Site VPN de respaldoB. Dos conexiones dedicadas en dispositivos distintos de una misma ubicación de Direct ConnectC. Conexiones dedicadas en dispositivos distintos en al menos dos ubicaciones de Direct ConnectD. Un LAG de cuatro conexiones de 10 Gbps en una ubicación de Direct Connect

23. Una empresa tiene una única conexión AWS Direct Connect de 1 Gbps entre su centro de datos y AWS. Quiere añadir redundancia de la forma MÁS rentable y acepta menos ancho de banda y latencia variable mientras dure una avería del Direct Connect. ¿Qué debe hacer?

A. Una Site-to-Site VPN de respaldoB. Contratar una segunda conexión dedicada de Direct Connect en otra ubicaciónC. Convertir la conexión en un LAG de dos conexiones de 1 GbpsD. Crear un Direct Connect gateway adicional asociado a la misma VPC

24. Una empresa sanitaria usa una conexión dedicada de AWS Direct Connect de 10 Gbps hacia sus VPC. El departamento de cumplimiento exige ahora que todo el tráfico entre el centro de datos y AWS vaya cifrado. ¿Qué dos opciones cumplen el requisito? (Elige dos.)

A. Establecer una VPN IPsec de IP privadas (private IP VPN) sobre una transit VIF terminada en un AWS Transit GatewayB. No hacer nada, porque AWS Direct Connect cifra el tráfico por defectoC. Activar TLS en el Direct Connect gatewayD. Configurar MACsec en la conexión dedicada de 10 Gbps con un router compatibleE. Agrupar la conexión en un LAG para que el tráfico se cifre entre los enlaces

25. Una empresa tiene una conexión AWS Direct Connect en una ubicación de Madrid. Necesita acceder de forma privada, con esa misma conexión, a VPC en eu-south-2 (España) y en eu-west-1 (Irlanda). ¿Qué componente lo permite con la MENOR complejidad?

A. Una public VIF por cada región, sobre la misma conexión físicaB. Un Direct Connect gateway asociado a las VPC de ambas regionesC. Un VPC peering entre regiones desde la VPC de eu-south-2 hacia la de eu-west-1D. Una segunda conexión Direct Connect en una ubicación de Irlanda

26. Un arquitecto revisa los cargos de transferencia de datos de una aplicación en eu-south-2. ¿Qué dos flujos de datos NO generan cargo de transferencia? (Elige dos.)

A. Tráfico entre dos instancias de distintas AZ de la misma región usando IP privadasB. Datos que llegan desde internet a una instancia EC2C. Réplica de objetos de S3 desde eu-south-2 hacia eu-west-1D. Tráfico entre dos instancias de la misma AZ usando sus direcciones IP privadasE. Tráfico entre dos instancias de la misma AZ usando sus Elastic IP

27. Un entorno de preproducción replica la arquitectura de producción en tres AZ. Sus microservicios intercambian mucho tráfico y la factura muestra un cargo alto de transferencia regional entre AZ. Preproducción no necesita alta disponibilidad. ¿Qué cambio reduce más el coste?

A. Sustituir los NAT gateways por NAT instancesB. Añadir un Transit Gateway entre las subredes de preproducciónC. Comunicar los microservicios a través de sus IP públicas para evitar el enrutamiento internoD. Desplegar preproducción en una sola AZ para que el tráfico entre microservicios sea intra-AZ

28. El equipo de seguridad debe auditar todas las conexiones rechazadas hacia las instancias de una VPC durante un año y consultarlas con SQL de forma económica. ¿Qué solución cumple los requisitos?

A. Activar AWS CloudTrail con eventos de datos y consultar los registros con CloudTrail LakeB. Traffic Mirroring de todas las interfaces hacia un appliance de análisisC. VPC Flow Logs (REJECT) en Amazon S3, consultados con Amazon AthenaD. AWS Config con reglas que evalúen los security groups de la VPC

29. Una empresa debe inspeccionar todo el tráfico que sale de sus VPC hacia internet con reglas de prevención de intrusiones compatibles con Suricata y permitir la salida solo hacia una lista de dominios aprobados, sin gestionar appliances propios. ¿Qué servicio debe usar?

A. AWS Network Firewall, con endpoints por AZ en el camino de las rutasB. AWS WAF asociado al NAT gateway de cada AZ con reglas de dominioC. Security groups con reglas de salida que referencian nombres de dominio aprobadosD. Un Gateway Load Balancer desplegado sin appliances de terceros detrás

30. Un grupo de Auto Scaling no puede lanzar más instancias porque sus subredes /24 se han quedado sin direcciones IP libres. El CIDR principal de la VPC ya está completamente repartido en subredes. ¿Qué debe hacer el arquitecto?

A. Ampliar la máscara de las subredes existentes de /24 a /22 sin recrearlasB. Asignar a cada instancia una segunda IPv4 privada para liberar direccionesC. Añadir un CIDR secundario a la VPC y crear en él subredes nuevas para el grupoD. Crear una VPC nueva y conectarla por peering para que el grupo lance instancias en ella

31. Una empresa quiere impedir que, desde las instancias de sus VPC, alguien pueda copiar datos a buckets de S3 que no pertenecen a la empresa. Las instancias acceden a S3 a través de un gateway endpoint. ¿Qué control es el más adecuado?

A. Una bucket policy en los buckets de la empresa con la condición aws:SourceVpceB. Una network ACL que deniegue el tráfico hacia los rangos IP de S3 de otras cuentasC. Un security group sin reglas de salida hacia la prefix list de S3D. Una endpoint policy que solo permita los buckets de la empresa