Amazon CLF-C02: Networking e distribuzione di contenuti — Guida allo studio

By Laurynas Brazys · 29 July 2026 · #amazon #clf-c02 #certification #exam-prep #study-guide

Fa parte della AWS Cloud Practitioner CLF-C02 — Guida allo studio. Esercitati con risposte verificate nel centro esami Amazon, oppure fai test cronometrati su ExamRoll.io.

Fondamenti e design pattern dei VPC

Un Virtual Private Cloud (VPC) è il costrutto di rete fondamentale: definisce lo spazio di indirizzi IP, le subnet, le tabelle di routing e i gateway che determinano come le risorse comunicano internamente e con internet. Una buona progettazione del VPC segmenta i carichi di lavoro in subnet pubbliche per i servizi esposti su internet e in subnet private per i layer applicativi e di dati, con tabelle di routing che controllano il traffico nord-sud. L’Internet Gateway (IGW) abilita l’accesso a internet tramite IPv4 per le subnet pubbliche, mentre un NAT Gateway o una NAT instance forniscono l’accesso a internet in uscita per le subnet private; il NAT Gateway è gestito e scala automaticamente, ma comporta costi orari e di elaborazione per GB, mentre le NAT instance richiedono l’applicazione di patch e la pianificazione della capacità. La propagazione delle route, le route esplicite e l’uso di internet gateway di sola uscita per IPv6 sono concetti fondamentali. Gli endpoint VPC — endpoint di tipo gateway per S3 e DynamoDB ed endpoint di tipo interfaccia (PrivateLink) per molte API di AWS — consentono di evitare l’uscita verso internet e di ridurre i costi di trasferimento dati. Gli errori più comuni per i professionisti includono tabelle di routing configurate in modo errato che lasciano le subnet isolate, un uso eccessivo delle NAT instance e la mancata progettazione per una ridondanza a livello di AZ; assicurarsi che le tabelle di routing, IGW/NAT e una distribuzione delle risorse basata sul loro stato di salute eliminino i singoli punti di guasto, tenendo conto dei costi di trasferimento dati e delle prestazioni. Considerare i modelli di prezzo di EC2 (on-demand, Reserved Instances, Savings Plans) quando si dimensiona correttamente la capacità di calcolo tra le AZ per controllare i costi e raggiungere gli obiettivi di disponibilità.

Connettività ibrida e networking globale

La connessione di ambienti on-premise ad AWS richiede compromessi tra costo, latenza, ridondanza e complessità operativa. Le Site-to-Site VPN sono veloci da implementare e crittografate su internet, adatte per larghezze di banda da basse a moderate o come backup. AWS Direct Connect fornisce un collegamento privato, prevedibile e a bassa latenza, con un prezzo basato su ora-porta più il trasferimento dati; è adatto a carichi di lavoro stabili ad alto throughput ma richiede il procurement di colocation e circuiti. Transit Gateway semplifica la connettività ibrida e multi-VPC centralizzando il routing e scalando meglio di molti collegamenti di peering VPC, sebbene aggiunga costi per ogni collegamento (attachment) e per GB; il peering VPC rimane utile per la connettività VPC punto-punto a bassa latenza senza routing transitivo. Utilizzare connessioni DX ridondanti instradate attraverso diverse location o combinare DX con una VPN per la resilienza. Route 53 supporta policy DNS globali (latenza, geolocalizzazione, failover) per indirizzare gli utenti e fornire health check. I criteri decisionali per i professionisti si basano sulla prevedibilità della larghezza di banda, sugli SLA richiesti e sui costi: preferire Direct Connect per un traffico in uscita elevato e costante e Transit Gateway per molti VPC al fine di evitare la complessità di peering N^2, ma prevedere un budget per i costi delle porte DX e per gli attachment di Transit Gateway.

Content delivery e gestione del traffico globale

Amazon CloudFront è una Content Delivery Network (CDN) globale e serverless il cui scopo principale è memorizzare nella cache contenuti statici e dinamici presso le edge location per ridurre la latenza e il carico sull’origine. CloudFront supporta HTTP(s) e si integra con S3, ALB, API Gateway e origini personalizzate, e può eseguire codice all’edge tramite Lambda@Edge o funzioni veloci tramite CloudFront Functions. S3 Transfer Acceleration sfrutta le edge location e il backbone di AWS specificamente per accelerare gli upload su S3 da client distanti ed è fatturato per GB e per regione. AWS Global Accelerator fornisce IP anycast statici e ottimizza il traffico TCP/UDP attraverso la rete globale di AWS per applicazioni non HTTP o sensibili alla latenza; non memorizza contenuti nella cache. Scegliere CloudFront quando la memorizzazione nella cache e l’offload dell’origine producono vantaggi in termini di costi e prestazioni; scegliere Global Accelerator quando si necessita di un routing deterministico e ottimizzato per TCP/UDP e di un IP di ingresso fisso. Le differenze di prezzo sono importanti: CloudFront addebita per richiesta e per GB con sconti a scaglioni, mentre Global Accelerator addebita una tariffa oraria per l’accelerator più il trasferimento dati. Un errore comune è aspettarsi che Global Accelerator fornisca la memorizzazione nella cache: va usato per il routing e il failover, mentre CloudFront va usato per il caching.

Sicurezza di rete, osservabilità e controlli operativi

La sicurezza di rete in AWS è stratificata: i security group sono firewall stateful a livello di istanza che controllano il traffico in entrata/uscita consentito; le network ACL sono controlli stateless a livello di subnet per un filtraggio più grossolano. AWS Network Firewall e le regole WAF gestite proteggono da minacce a livello di protocollo e applicazione, mentre AWS Shield protegge dagli attacchi DDoS: Shield Standard è automatico, Shield Advanced aggiunge protezioni e recupero dei costi. I VPC Flow Logs acquisiscono i metadati del traffico per il troubleshooting e l’audit, e la centralizzazione dei log in CloudWatch Logs o S3 supporta la risposta agli incidenti e la conformità. Utilizzare PrivateLink e i VPC endpoint per ridurre al minimo l’esposizione pubblica di API sensibili e applicare il principio del privilegio minimo (least-privilege) con le policy degli endpoint e IAM. I controlli operativi includono gli health check con ELB e Auto Scaling per mantenere flotte di EC2 integre (healthy), e gli health check di Route 53 per il failover DNS. Le trappole più comuni includono security group eccessivamente permissivi, fare affidamento sulle NACL come difesa principale, trascurare i flow log o il WAF per i carichi di lavoro web e addebiti imprevisti per il trasferimento dati quando si attraversa diverse AZ o si utilizza l’egress verso internet. Progettare per una difesa in profondità (defense in depth), abilitare l’osservabilità fin dall’inizio e modellare i costi per il traffico NAT/egress e cross-AZ.

Problema Pratico: Scenario d’Uso

Scenario: AcmeRetail gestisce un VPC su tre AZ con un livello applicativo su EC2 dietro un Application Load Balancer, S3 per gli asset statici e un data center legacy connesso ad AWS. Hanno bisogno di una latenza inferiore per i clienti globali, connettività on-premise sicura per l’elaborazione degli ordini e costi di trasferimento prevedibili per pesanti backup notturni.

Sfida: Ridurre la latenza per gli utenti globali per i contenuti statici e dinamici, rendere sicura e stabile la connettività on-premise per backup ad alto throughput e minimizzare i costi di egress a sorpresa.

Approccio Consigliato:

Distribuire Amazon CloudFront con S3 e l’ALB come origini per mettere in cache gli asset statici e accelerare le risposte dinamiche, abilitando origin shield e Lambda@Edge per il routing basato su header.
Effettuare il provisioning di AWS Direct Connect con collegamenti ridondanti e utilizzare un Transit Gateway per centralizzare il routing tra i VPC e il gateway Direct Connect; mantenere la VPN Site-to-Site come failover.
Configurare i VPC endpoint (gateway per S3, interface endpoint dove necessario) per instradare i backup verso S3 tramite la backbone di AWS ed evitare i costi di egress verso la rete internet pubblica.
Implementare il routing basato sulla latenza e gli health check di Route 53, abilitare i VPC Flow Logs, il WAF sull’ALB e utilizzare gli Auto Scaling group con gli health check dell’ELB per mantenere una capacità EC2 adeguata (healthy).

Motivazione: Il caching perimetrale (edge caching) tramite CloudFront riduce la latenza e il carico sull’origine; Direct Connect più Transit Gateway offre una larghezza di banda prevedibile e un routing centralizzato per il traffico di backup ibrido; gli endpoint e un routing corretto minimizzano l’egress verso internet e i costi, mentre l’osservabilità e i servizi di sicurezza gestiti forniscono resilienza operativa e una difesa in profondità.

← Servizi di database principali · Tutti i domini · Sicurezza →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →