Amazon ANS-C01: VPC Ontwerp en Geavanceerde Netwerken — Studiegids
Onderdeel van de AWS Advanced Networking Specialty ANS-C01 — Studiegids. Oefen met geverifieerde antwoorden in het Amazon-examencentrum, of doe getimede oefentests op ExamRoll.io.
VPC-architectuur en de basisprincipes van subnetting
Een VPC is de fundamentele netwerkgrens in AWS en de opzet van je CIDR-allocaties bepaalt alles wat daarop volgt. Plan CIDR-blokken met toekomstige groei en connectiviteit tussen accounts in gedachten: wijs grote, niet-overlappende adresruimtes toe per account/regio (bijvoorbeeld een /16 per omgeving) en verdeel deze in /20–/24 subnets om workloads te isoleren op basis van functie en availability zone. Onthoud dat EKS en andere containerplatformen IP-adressen verbruiken voor pod-ENI’s of secundaire IP’s; de AWS VPC CNI wijst pod-IP’s toe vanuit het VPC-subnet en de ENI/IP-limieten per instance (DescribeInstanceTypes) beperken de maximale pod-dichtheid. Voor de adoptie van IPv6 geef je de voorkeur aan een dual-stack ontwerp om publiek toegankelijke services naar IPv6 te verplaatsen, terwijl je IPv4 behoudt voor legacy-integratie; koppel een door Amazon geleverd IPv6 CIDR-blok met de API-call
undefined
en schakel IPv6-toewijzing op subnetniveau in met
undefined
en de
undefined
optie. Plan NAT-resources voor IPv4-egress en gebruik voor IPv6 een Egress-Only Internet Gateway, die je aanmaakt met
undefined
en koppelt aan de VPC.
Route tables en de plaatsing van subnets zijn de manier waarop je topologie en veerkracht afdwingt. Maak afzonderlijke route tables aan voor elk doel van een subnet (publiek, privé met NAT, privé met Direct Connect en geïsoleerd) met behulp van
undefined
en
undefined
. Gebruik meerdere NAT Gateways (of NAT instances met autoscaling) verspreid over AZ’s om een single-AZ egress-storing te voorkomen; wees expliciet over gepropageerde routes bij het gebruik van een Transit Gateway (
undefined
,
undefined
) zodat on-premises prefixes alleen worden geïnjecteerd waar dat de bedoeling is. Gebruik voor service discovery binnen een account Route 53 private hosted zones en koppel deze aan de VPC’s die de records nodig hebben om DNS-lekkage over grenzen heen te voorkomen.
Belangrijke services en configuratiedetails
Voor private connectiviteit zijn er drie dominante constructies om te begrijpen: VPC Peering, AWS Transit Gateway en AWS PrivateLink (interface VPC endpoints). VPC Peering (
undefined
,
undefined
) is eenvoudige, goedkope, point-to-point connectiviteit die entries in de route table vereist en geen transitieve routing ondersteunt. Transit Gateway (
undefined
,
undefined
) is de schaalbare hub die duizenden VPC’s, centraal routebeheer en integratie met Direct Connect Gateway voor hybride connectiviteit ondersteunt; gebruik route table propagation en route table associations in de Transit Gateway om de oost-west flow te beheren. PrivateLink (
undefined
om een door een NLB ondersteunde service te registreren en
undefined
om interface endpoints aan te maken) stelt services beschikbaar voor andere accounts zonder een VPC bloot te stellen aan routing. Dit biedt granulaire beveiliging per service en vereenvoudigd beheer van security groups; het schaalt goed omdat consumenten interface endpoints aanmaken en het verkeer op NIC-niveau blijft.
Load balancing en het behoud van het client-IP-adres zijn veelvoorkomende ontwerpkeuzes die correct moeten worden geïmplementeerd. Application Load Balancer (ALB) termineert TLS, routeert op L7 (
undefined
Type
undefined
), en injecteert
undefined
/
undefined
headers die backends moeten vertrouwen voor het loggen van het client-IP-adres. Network Load Balancer (NLB) behoudt de bron-IP’s voor target groups en ondersteunt miljoenen verbindingen; voor echte TLS pass-through naar backends gebruik je een NLB met een TCP listener (
undefined
Protocol
undefined
) en registreer je targets op IP-adres, zodat versleutelde sessies de pods of instances intact bereiken. Voor gRPC en zeer hoge aantallen verbindingen geef je de voorkeur aan een NLB voor EKS met target type
undefined
en de AWS Load Balancer Controller-annotatie
undefined
om pod-IP’s direct te registreren; die combinatie behoudt het bron-IP, ondersteunt mTLS-terminatie op de pod en schaalt mee met de autoscalers.
VPC endpoints elimineren de noodzaak van internet-egress voor AWS API’s en populaire services. Gateway endpoints voor S3 en DynamoDB (
undefined
met
undefined
) voegen routes toe aan een endpoint prefix list en zijn gratis. Interface endpoints (
undefined
met
undefined
) maken elastic network interfaces aan met privé-IP’s en security groups; deze worden per uur en per GB gefactureerd, maar maken PrivateLink-achtig gebruik en toegang tussen accounts mogelijk wanneer ze worden gekoppeld aan een door een NLB ondersteunde service.
Ontwerppatronen en afwegingen
Voor een centrale, gedeelde service die door veel bedrijfsonderdelen in verschillende accounts wordt gebruikt, zijn PrivateLink en endpoint services het meest veilige en schaalbare patroon wanneer u controle en isolatie per verbinding nodig heeft. Host de service achter een Network Load Balancer in de VPC voor gedeelde services, maak een VPC endpoint service aan (
undefined
) en laat consumentenaccounts interface-eindpunten aanmaken die u goedkeurt. Dit vermijdt een volledige mesh en voorkomt transitieve routing, en met security groups op de interface-eindpunten kunt u beperken welke consumenten verbinding mogen maken. De afweging is de kost per eindpunt en enige beheeroverhead om eindpuntverbindingen te accepteren en te auditen.
Transit Gateway blinkt uit wanneer u veel VPC’s heeft die brede connectiviteit, centrale inspectie en een enkele plek nodig hebben om on-prem-prefixen te adverteren via Direct Connect (
undefined
,
undefined
). Gebruik segmentatie van route-tabellen en propagatiecontroles om onbedoelde laterale bewegingen te voorkomen; Transit Gateway ondersteunt routeprioritering en associaties van route-tabellen, zodat u productieverkeer kunt isoleren van netwerken met een lager vertrouwensniveau. De afweging is dat Transit Gateway het verkeer centraliseert en kosten kan meebrengen voor verkeer tussen VPC’s dat anders lokaal zou zijn; het verandert ook de ‘failure domains’ en vereist zorgvuldige CIDR-planning om adresoverlapping te voorkomen.
Voor hybride architecturen met beperkt hergebruik van CIDR, overweeg om Direct Connect te combineren met Transit Gateway en Direct Connect Gateway (
undefined
) om het aantal virtuele interfaces te verminderen. Als u bandbreedte-isolatie per bedrijfsonderdeel nodig heeft op de gedeelde fysieke link, plaats dan meerdere private virtuele interfaces en monitor per-VIF CloudWatch-metrics (metric-namen zoals
undefined
) en gebruik CloudWatch-alarmen op VIF-niveau. Om zware gebruikers te identificeren, schakel VPC Flow Logs (
undefined
) in naar S3 of CloudWatch Logs en analyseer dit met Athena of CloudWatch Logs Insights; voor packet capture per VM, gebruik Traffic Mirroring (
undefined
) voor korte periodes.
De adoptie van IPv6 en dual-stack-ontwerpen verminderen de afhankelijkheid van NAT, verlagen de kosten van NAT Gateway-doorvoer en vereenvoudigen de adressering aan de clientzijde. Gebruik de API-call
undefined
om een door Amazon verstrekte IPv6-prefix toe te wijzen en subnets met IPv6 CIDR-blokken aan te maken. Let op dat sommige services en appliances van derden mogelijk niet klaar zijn voor IPv6; gebruik dual-stack op load balancers (
undefined
met
undefined
) om zowel IPv4- als IPv6-clients te ondersteunen terwijl de backend-systemen IPv4 blijven.
Veelvoorkomende valkuilen en beslissingscriteria
Het negeren van het IP-adresverbruik door Kubernetes-pods is een frequente oorzaak van serviceonderbrekingen. Houd rekening met de limieten voor ENI’s en secundaire IP’s per instance type en gebruik VPC CNI-instellingen zoals
undefined
of ‘prefix delegation’ om de beschikbaarheid van IP’s te verbeteren. Het niet behouden van client-IP’s op L7 is een andere veelvoorkomende tekortkoming: als TLS op de load balancer moet worden beëindigd, moet u ervoor zorgen dat de applicatie
undefined
leest en dat de beveiligingscontroles van de ALB directe toegang beperken zodat de headers vertrouwd kunnen worden. Aannemen dat VPC-peering onbeperkt zal schalen, leidt vaak tot onbeheerbare meshes; geef de voorkeur aan Transit Gateway voor many-to-many en PrivateLink voor one-to-many service-exposure waar u granulaire beveiliging en verkeersisolatie nodig heeft.
Beveiligingsbeleid moet security groups en network ACL’s gebruiken in combinatie met controles op namespace-niveau. Voor strikte handhaving van toegang via Global Accelerator in plaats van directe ALB URL’s, vertrouw op een combinatie van AWS WAF IP-sets die gevuld zijn met de IP-reeksen van Global Accelerator (geautomatiseerd via de gepubliceerde
undefined
) of ontwerp de ALB als intern en plaats er een NLB voor waarop Global Accelerator zich richt, en stel vervolgens alleen de ‘front door’ van Global Accelerator bloot. Automatiseer altijd updates van alle op IP gebaseerde controles en valideer deze met
undefined
en regelmatige inname van
undefined
.
Praktijkprobleem: Gebruikersscenario
Bedrijf: Equinox Payments. Uitdaging: Equinox heeft een door EKS ondersteunde gRPC-service die end-to-end mTLS nodig heeft voor duizenden gelijktijdige verbindingen, autoscaling via Cluster Autoscaler en HPA, en behoud van client-IP’s voor logging. Aanpak: 1) Implementeer de service achter een Network Load Balancer die is geconfigureerd met een TCP-listener op poort 443 via de AWS Load Balancer Controller met de annotatie
undefined
zodat pod-IP’s als targets worden geregistreerd; 2) beëindig TLS op de pods (niet op de NLB) en implementeer mutual TLS in de applicatie (server- en clientcertificaatvalidatie), met Kubernetes Secrets voor certificaten en ‘readiness probes’ om de target-registratie aan te sturen; 3) gebruik target type
undefined
om de bron-IP’s van clients te behouden, schakel proxy protocol alleen in als dit nodig is voor tussenliggende appliances, en vertrouw op logging aan de pod-zijde om het client-IP uit de TCP-verbinding vast te leggen; 4) configureer health checks als TCP- of gRPC-bewuste ‘readiness probes’, en zorg ervoor dat het beleid van de Cluster Autoscaler en de node instance types voldoende ENI- en IP-capaciteit hebben; 5) implementeer CloudWatch Container Insights en VPC Flow Logs (
undefined
) om het aantal verbindingen en telemetrie op VPC-niveau te monitoren. AWS-redenering: NLB met TCP-listeners behoudt versleutelde sessies en bron-IP’s terwijl het schaalt naar miljoenen verbindingen; target-type
undefined
stelt pods in staat om het bron-IP direct te ontvangen zonder NAT; het beëindigen van mTLS op de pods voldoet aan end-to-end-encryptie en tweewegauthenticatie; autoscaling werkt omdat de ‘readiness’ van de pod direct de target-registratie beïnvloedt en de NLB transparant meeschaalt met de verbindingslast.
Alle domeinen · Hybride Connectiviteit: VPN en Direct Connect →
Oefen deze vragen → · Getimede oefening op ExamRoll.io →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
Slaag voor je examen →