1.1 - Stratégies de connectivité réseau (Transit Gateway, Direct Connect, Route 53 Resolver)

1. Des dizaines de VPC répartis sur de nombreux comptes doivent se router entre eux et vers deux centres de données sur site, avec la possibilité de segmenter quels VPC peuvent communiquer. Quelle est la conception la plus évolutive ?

• Un maillage complet de peering VPC plus un VPN par VPC
• Un unique grand VPC partagé à tous les comptes via Resource Access Manager
• AWS Transit Gateway avec plusieurs tables de routage, rattaché aux VPC et à Direct Connect/VPN (bonne réponse)
• Un Gateway Load Balancer chaînant le trafic entre chaque VPC et site

Transit Gateway est un hub qui passe à l'échelle sur des milliers de rattachements ; ses multiples tables de routage isolent des groupes de VPC, et il relie le sur site via Direct Connect ou VPN. Le peering VPC n'est pas transitif et explose en maillage ; un VPC partagé unique perd l'isolation par compte.

2. Une charge hybride a besoin d'une connectivité privée, constante et à haut débit entre le sur site et AWS, sans passer par l'internet public. Quelle option convient le mieux ?

• AWS Direct Connect (bonne réponse)
• Un VPN site-à-site sur internet
• Une NAT gateway avec une Elastic IP
• Un peering VPC vers le VPC de l'entreprise

Direct Connect est une liaison privée dédiée offrant bande passante et latence constantes sans passer par l'internet public. Un VPN passe par internet (performance variable), la NAT gateway sert à la sortie internet, et le peering relie deux VPC, pas le sur site.

3. Un architecte doit isoler un groupe de VPC de production pour qu'ils ne puissent pas atteindre les VPC de developpement, alors que les deux groupes atteignent encore un VPC de services partages, tous rattaches a un meme Transit Gateway. Qu'est-ce qui realise cette segmentation ?

• Des security groups references mutuellement sur chaque rattachement de VPC pour filtrer de maniere centrale le trafic est-ouest entre les environnements
• Une seule table de routage Transit Gateway par defaut partagee par tous les rattachements de l'environnement
• Plusieurs tables de routage Transit Gateway avec associations et propagations selectives (bonne réponse)
• Une grande network ACL appliquee directement a la ressource Transit Gateway elle-meme

La segmentation Transit Gateway se fait avec plusieurs tables de routage : on associe les rattachements prod et dev a des tables distinctes et on controle quelles routes se propagent, de sorte que prod et dev n'apprennent jamais leurs routes mutuelles mais apprennent les routes des services partages. Une table par defaut unique laisse tout se router vers tout, et le TGW n'a ni security group ni NACL propre.

4. Deux Regions executent chacune un Transit Gateway avec des dizaines de VPC. L'entreprise veut un routage prive et chiffre entre les Regions sans gerer d'appliances VPN ni de peering par VPC. Quelle conception est recommandee ?

• Un maillage complet de connexions de peering VPC inter-Region etablies manuellement entre chaque paire de VPC individuelle
• Un peering Transit Gateway inter-Region avec des routes statiques entre les deux TGW (bonne réponse)
• Une Direct Connect gateway placee physiquement entre les deux Regions pour les relier
• Des VIF publiques de chaque Region routees par le backbone internet partage

Le peering TGW inter-Region relie les deux hubs sur le backbone chiffre d'AWS ; on ajoute des routes statiques pointant les CIDR de chaque Region vers le rattachement de peering, et tous les VPC heritent de la connectivite sans peering par VPC ni appliance VPN. Le maillage de peering VPC ne passe pas a l'echelle, une Direct Connect gateway relie le sur site aux VPC (pas deux TGW), et les VIF publiques passent par des points de terminaison publics.

5. Un fournisseur SaaS doit exposer une application interne a des centaines de VPC consommateurs sur de nombreux comptes, sans aucun peering VPC, sans exposer tout son VPC, et en tolerant des CIDR consommateurs qui se chevauchent. Quels DEUX composants realisent cela ? (Choisissez DEUX reponses.)

• Un gateway VPC endpoint pour l'application deploye dans la table de routage de chaque VPC consommateur sans exception
• Un Network Load Balancer devant l'application dans le VPC fournisseur (bonne réponse)
• Un transit gateway partage a chaque compte consommateur via RAM avec propagation complete des routes
• Un VPC endpoint service (PrivateLink) joint via des interface endpoints (bonne réponse)

PrivateLink n'expose qu'un seul service derriere un NLB : le fournisseur enregistre des cibles derriere un Network Load Balancer et publie un endpoint service, tandis que chaque consommateur cree un interface endpoint qui apparait comme une IP privee dans son propre VPC, de sorte que les CIDR qui se chevauchent et les frontieres de compte n'importent pas et rien d'autre du VPC fournisseur n'est joignable. Les gateway endpoints ne servent que S3 et DynamoDB, et un transit gateway partage exigerait des CIDR non chevauchants et exposerait plus d'une application.

6. Une seule connexion Direct Connect doit donner un acces prive a des VPC repartis sur trois Regions differentes dans le meme compte. Qu'est-ce qui permet a une connexion d'atteindre tous ces VPC ?

• Une Direct Connect gateway associee a des virtual private gateways ou transit gateways par Region (bonne réponse)
• Une interface virtuelle publique distincte par Region, se terminant chacune sur l'internet gateway de cette Region
• Un peering VPC chaine depuis la Region d'origine de la connexion vers chacune des autres Regions successivement
• Une NAT gateway dans chaque Region configuree pour reannoncer les routes sur site vers le routeur

Une Direct Connect gateway est une ressource globale : on y attache une VIF privee et on associe des virtual private gateways ou des transit gateways dans n'importe quelle Region, de sorte qu'une seule connexion physique atteint en prive des VPC dans plusieurs Regions. Les VIF publiques atteignent les points de terminaison publics d'AWS, le peering VPC n'etend pas une liaison DX, et les NAT gateways offrent une sortie internet, pas du routage DX.