Amazon CLF-C02: Netzwerk und Content Delivery — Lernleitfaden

By Laurynas Brazys · 29 July 2026 · #amazon #clf-c02 #certification #exam-prep #study-guide

Teil des AWS Cloud Practitioner CLF-C02 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Amazon-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

VPC-Grundlagen und Designmuster

Eine Virtual Private Cloud (VPC) ist das grundlegende Netzwerkkonstrukt: Sie definiert den IP-Adressraum, Subnetze, Routing-Tabellen und Gateways, die bestimmen, wie Ressourcen intern und mit dem Internet kommunizieren. Ein gutes VPC-Design segmentiert Workloads in öffentliche Subnetze für Dienste mit Internetzugang und private Subnetze für Anwendungs- und Datenschichten, wobei Routing-Tabellen den Nord-Süd-Verkehr steuern. Ein Internet Gateway (IGW) ermöglicht den IPv4-Internetzugang für öffentliche Subnetze, während ein NAT Gateway oder eine NAT-Instanz ausgehenden Internetzugang für private Subnetze bereitstellt. Das NAT Gateway wird verwaltet und skaliert automatisch, verursacht jedoch stündliche und pro-GB-Verarbeitungsgebühren, wohingegen NAT-Instanzen Patching und Kapazitätsplanung erfordern. Routen-Propagation, explizite Routen und die Verwendung von Egress-Only Internet Gateways für IPv6 sind zentrale Konzepte. VPC-Endpunkte – Gateway-Endpunkte für S3 und DynamoDB und Interface-Endpunkte (PrivateLink) für viele AWS-APIs – ermöglichen es Ihnen, den Internet-Egress zu vermeiden und die Datenübertragungskosten zu senken. Häufige Fallen für Praktiker sind falsch konfigurierte Routing-Tabellen, die Subnetze isolieren, die übermäßige Nutzung von NAT-Instanzen und das Versäumnis, eine Architektur für Redundanz auf AZ-Ebene zu entwerfen. Stellen Sie sicher, dass Routing-Tabellen, IGW/NAT und zustandsbewusste Platzierungen Single Points of Failure beseitigen, während Sie die Kosten für die Datenübertragung und die Leistung im Auge behalten. Berücksichtigen Sie die EC2-Preismodelle (On-Demand, Reserved Instances, Savings Plans) beim Right-Sizing von Rechenleistung über AZs hinweg, um die Kosten zu kontrollieren und gleichzeitig die Verfügbarkeitsziele zu erreichen.

Hybride Konnektivität und globales Networking

Die Anbindung von On-Premises-Umgebungen an AWS erfordert Kompromisse zwischen Kosten, Latenz, Redundanz und betrieblicher Komplexität. Site-to-Site-VPNs sind schnell bereitzustellen und über das Internet verschlüsselt. Sie eignen sich für geringe bis mittlere Bandbreiten oder als Backup. AWS Direct Connect bietet eine private, vorhersagbare Verbindung mit geringer Latenz und wird pro Port-Stunde zuzüglich Datenübertragung abgerechnet. Es eignet sich für Workloads mit hohem, konstantem Durchsatz, erfordert aber die Beschaffung von Colocation und Leitungen. Ein Transit Gateway vereinfacht die Konnektivität zwischen mehreren VPCs und hybriden Umgebungen, indem es das Routing zentralisiert und besser skaliert als viele VPC-Peering-Verbindungen, obwohl es Gebühren pro Attachment und pro GB hinzufügt. VPC-Peering bleibt für Punkt-zu-Punkt-VPC-Konnektivität mit geringer Latenz ohne transitives Routing nützlich. Verwenden Sie redundante DX-Verbindungen, die über verschiedene Standorte geroutet werden, oder kombinieren Sie DX mit VPN, um die Ausfallsicherheit zu erhöhen. Route 53 unterstützt globale DNS-Richtlinien (Latenz, Geolokalisierung, Failover), um Benutzer zu leiten und Zustandsprüfungen (Health Checks) bereitzustellen. Die Entscheidungskriterien für Praktiker hängen von der Vorhersagbarkeit der Bandbreite, den erforderlichen SLAs und den Kosten ab: Bevorzugen Sie Direct Connect für hohen, konsistenten Egress-Traffic und Transit Gateway für viele VPCs, um die N^2-Komplexität des Peerings zu vermeiden, aber budgetieren Sie die DX-Port-Gebühren und Transit-Gateway-Attachments.

Content Delivery und globales Traffic-Management

Amazon CloudFront ist ein serverloses, globales Content Delivery Network (CDN), dessen Hauptzweck darin besteht, statische und dynamische Inhalte an Edge-Standorten zu cachen, um die Latenz zu reduzieren und die Last am Ursprung (Origin) zu verringern. CloudFront unterstützt HTTP(s), lässt sich in S3, ALB, API Gateway und benutzerdefinierte Origins integrieren und kann Code über Lambda@Edge oder schnelle Funktionen über CloudFront Functions am Edge ausführen. S3 Transfer Acceleration nutzt Edge-Standorte und das AWS-Backbone speziell, um Uploads von weit entfernten Clients zu S3 zu beschleunigen, und wird pro GB und nach Region abgerechnet. AWS Global Accelerator stellt statische Anycast-IPs bereit und optimiert den TCP/UDP-Verkehr über das globale AWS-Netzwerk für Nicht-HTTP- oder latenzempfindliche Anwendungen; es cacht keine Inhalte. Wählen Sie CloudFront, wenn Caching und die Entlastung des Origins Kosten- und Leistungsvorteile bringen; wählen Sie Global Accelerator, wenn Sie deterministisches, optimiertes Routing für TCP/UDP und eine feste Eingangs-IP benötigen. Preisunterschiede sind wichtig: CloudFront rechnet pro Anfrage und pro GB mit gestaffelten Rabatten ab, während Global Accelerator eine stündliche Gebühr für den Accelerator zuzüglich Datenübertragung berechnet. Eine häufige Falle ist die Erwartung, dass Global Accelerator Caching bereitstellt – verwenden Sie ihn für Routing und Failover, CloudFront für Caching.

Netzwerksicherheit, Beobachtbarkeit und betriebliche Kontrollen

Netzwerksicherheit in AWS ist mehrschichtig: Sicherheitsgruppen sind zustandsbehaftete Firewalls auf Instanzebene, die den erlaubten ein- und ausgehenden Datenverkehr steuern; Netzwerk-ACLs sind zustandslose Kontrollen auf Subnetzebene für eine grobe Filterung. AWS Network Firewall und verwaltete WAF-Regeln schützen vor Protokoll- und Anwendungsbedrohungen, während AWS Shield vor DDoS-Angriffen schützt – Shield Standard ist automatisch, Shield Advanced bietet zusätzlichen Schutz und Kostenerstattung. VPC Flow Logs erfassen Metadaten des Datenverkehrs zur Fehlerbehebung und für Audits, und die Zentralisierung von Protokollen in CloudWatch Logs oder S3 unterstützt die Reaktion auf Vorfälle (Incident Response) und die Einhaltung von Compliance-Vorgaben. Verwenden Sie PrivateLink und VPC-Endpunkte, um die öffentliche Erreichbarkeit sensibler APIs zu minimieren, und wenden Sie das Prinzip der geringsten Rechte (Least Privilege) mit Endpunkt-Richtlinien und IAM an. Zu den betrieblichen Kontrollen gehören Zustandsprüfungen (Health Checks) mit ELB und Auto Scaling, um fehlerfreie EC2-Flotten aufrechtzuerhalten, sowie Route 53 Health Checks für DNS-Failover. Typische Fallstricke sind zu freizügige Sicherheitsgruppen, das Verlassen auf NACLs als Hauptverteidigung, die Vernachlässigung von Flow Logs oder WAF für Web-Workloads und unerwartete Datenübertragungsgebühren bei AZ-übergreifendem Datenverkehr oder bei der Nutzung von Internet-Egress. Konzipieren Sie eine mehrschichtige Verteidigung (Defense in Depth), sorgen Sie frühzeitig für Beobachtbarkeit (Observability) und modellieren Sie die Kosten für NAT/Egress- und AZ-übergreifenden Datenverkehr.

Praktisches Problem: Anwendungsfallszenario

Szenario: AcmeRetail betreibt eine VPC, die sich über drei AZs erstreckt, mit einer Anwendungsschicht auf EC2 hinter einem Application Load Balancer, S3 für statische Inhalte und einem bestehenden Rechenzentrum, das mit AWS verbunden ist. Das Unternehmen benötigt eine geringere Latenz für globale Kunden, eine sichere On-Premises-Konnektivität für die Auftragsverarbeitung und vorhersehbare Übertragungskosten für umfangreiche nächtliche Backups.

Herausforderung: Die Latenz für globale Benutzer bei statischen und dynamischen Inhalten reduzieren, die On-Premises-Konnektivität für Backups mit hohem Durchsatz sichern und stabilisieren und unerwartete Egress-Gebühren minimieren.

Empfohlener Ansatz:

1. Bereitstellen von Amazon CloudFront mit S3 und dem ALB als Ursprünge (Origins), um statische Inhalte zwischenzuspeichern und dynamische Antworten zu beschleunigen, wobei Origin Shield und Lambda@Edge für Header-basiertes Routing aktiviert werden.
2. Bereitstellen von AWS Direct Connect mit redundanten Verbindungen und Nutzung eines Transit Gateway, um das Routing zwischen VPCs und dem Direct Connect Gateway zu zentralisieren; Site-to-Site VPN als Failover beibehalten.
3. Konfigurieren von VPC-Endpunkten (Gateway für S3, Interface-Endpunkte, wo erforderlich), um Backups über das AWS-Backbone zu S3 zu leiten und Gebühren für öffentlichen Internet-Egress zu vermeiden.
4. Implementieren von Route 53 Latenz-basiertem Routing und Health Checks, Aktivieren von VPC Flow Logs, WAF auf dem ALB und Nutzung von Auto Scaling-Gruppen mit ELB Health Checks, um eine fehlerfreie EC2-Kapazität aufrechtzuerhalten.

Begründung: Edge-Caching über CloudFront reduziert die Latenz und die Last am Ursprung; Direct Connect plus Transit Gateway bietet eine vorhersehbare Bandbreite und zentralisiertes Routing für den hybriden Backup-Datenverkehr; Endpunkte und korrektes Routing minimieren den Internet-Egress und die Kosten, während Beobachtbarkeit (Observability) und verwaltete Sicherheitsdienste für betriebliche Ausfallsicherheit und eine mehrschichtige Verteidigung (Defense in Depth) sorgen.

← Kern-Datenbankservices · Alle Domänen · Sicherheit →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →

Amazon durchsuchen →