Red, entrega de contenido y conectividad híbrida

El Dominio 3 (Tecnología y servicios en la nube) supone el 34% del contenido puntuado del CLF-C02, y su tarea 3.5: "Identificar servicios de red de AWS": es el bloque de conocimiento más mecánico de todo el examen. Todo en él es una definición más una regla: una subred vive en exactamente una Zona de disponibilidad, una subred pública es una decisión de enrutamiento y no una casilla, un gateway NAT es solo de salida, un grupo de seguridad es con estado mientras una NACL es sin estado, el emparejamiento de VPC no es transitivo, y Direct Connect es dedicado con ancho de banda consistente. Añade los "propósitos de los balanceadores de carga" de la tarea 3.3, las ubicaciones de borde de la tarea 3.2, y tienes una lección donde casi cada pregunta tiene exactamente una respuesta defendible: siempre que hayas memorizado las reglas y no el marketing.

En esta lección vas a:

• nombrar cada componente de VPC: subnets, tablas de rutas, gateways de internet, gateways NAT, IP elásticas, interfaces de red elásticas;
• decidir pública frente a privada solo con la tabla de rutas, y explicar por qué NAT es solo de salida;
• separar la VPC predeterminada de una VPC personalizada y saber cuándo AWS te dice que construyas la tuya;
• ganar el grupo de seguridad frente a NACL en cada eje: alcance, acción de la regla, estado, evaluación, valores por defecto y referencias;
• aplicar la regla de peering no transitivo y la regla de no edge-to-edge;
• elegir gateway endpoint frente a endpoint de interfaz frente a PrivateLink: incluido el gratuito;
• separar Site-to-Site VPN de Direct Connect por tiempo de aprovisionamiento, consistencia del ancho de banda y cifrado;
• usar hosted zones de Route 53, las ocho políticas de enrutamiento y los health checks;
• colocar CloudFront delante de un origen S3 privado con Origin Access Control;
• elegir ALB sobre NLB, y saber por qué el Classic Load Balancer es "la generación anterior";
• enunciar la frase de Global Accelerator y la elección de borde de cuatro vías;
• auditar las trampas de coste en reposo: gateways NAT, IP elásticas, aceleradores desactivados, puertos de Direct Connect;
• estudiar cuatro casos de estudio publicados por AWS y luego practicar con 12 preguntas tipo examen más cuatro comprobaciones interactivas.

---

1. La VPC: una red aislada que tú diseñas

1.1 El conjunto de componentes

Amazon VPC es una "red virtual lógicamente aislada" que defines dentro de una Región, y AWS afirma que no hay cargo adicional por usar una VPC (en octubre de 2026). La tarea 3.5 solo te pide identificar los componentes, pero la redacción del examen asume que sabes exactamente qué hace cada componente.

1.2 Pública frente a privada es una decisión de enrutamiento

Una subred no tiene un atributo "pública". Es pública si y solo si su tabla de rutas lleva una ruta hacia un gateway de internet; de lo contrario es privada. Esa sola frase resuelve más ítems del CLF-C02 que cualquier otro dato de red, porque disuelve de una vez tres trampas relacionadas:

• adjuntar un IGW a la VPC no hace pública a ninguna subred: todavía necesitas la ruta;
• una subred privada con una ruta hacia un gateway NAT sigue siendo privada: NAT le da internet de salida, no de entrada;
• una subred pública sin instancias con direcciones IPv4 públicas sigue siendo pública: simplemente no tiene nada por dónde salir.

1.3 El gateway NAT es solo de salida

AWS es explícito sobre la dirección: con un gateway NAT en su lugar, "los servicios externos no pueden iniciar una conexión" con tus instancias privadas. Una instancia privada puede por lo tanto descargar actualizaciones del sistema operativo, obtener paquetes e invocar APIs de AWS, mientras nada en internet puede llegar hasta ella. Si una pregunta necesita tráfico de internet de entrada hacia un cargador de trabajo privado, la respuesta es un balanceador de carga orientado a internet (o una instancia genuinamente pública): nunca "abrir el gateway NAT".

La forma del coste también importa (US East (Ohio), en octubre de 2026; verifica el estado vigente antes de usarlo): $0.045 por hora más $0.045 por GB procesado, facturado en incrementos de una hora para las horas parciales, y un gateway NAT regional se despliega por Zona de disponibilidad: así que un diseño con dos ZD paga el cargo horario dos veces.

1.4 La VPC predeterminada frente a una VPC personalizada

AWS crea una VPC predeterminada en cada Región, y está lista para lanzar instancias en ella:

Esa conveniencia es exactamente por lo que AWS recomienda una VPC personalizada para producción: solo en una VPC personalizada eliges el CIDR, decides qué subnets son privadas, controlas las rutas y decides qué queda expuesto. En el examen, "lanzar en la VPC predeterminada" es una respuesta de prototipado, nunca una de arquitectura.

• 📚 ¿Sabías que…? Las direcciones IPv4 públicas cuestan dinero incluso en reposo, $0.005 por hora en uso o sin uso, lo que son $3.65 al mes por dirección en un mes de 730 horas (en octubre de 2026; verifica el estado vigente antes de usarlo). Las direcciones IPv4 privadas nunca se cobran, y el Free Tier incluye 750 horas al mes de IPv4 pública con Amazon EC2. Cuatro IP elásticas olvidadas y sin adjuntar cuestan por tanto unos $14.60 al mes por absolutamente nada, una línea de factura que al examen le encanta disfrazar dentro de una pregunta de optimización de costes.

1.5 Ejemplo E1: la VPC de tres capas, de principio a fin

Escenario. Una aplicación web debe ser alcanzable desde internet, debe salir a internet para actualizaciones y debe alojar una base de datos que nunca sea alcanzable directamente. Diseña tal como el examen espera.

1.6 Ejemplo E2: la factura de NAT

Un diseño con dos ZD ejecuta dos gateways NAT durante 730 horas, sale 500 GB por el procesamiento de NAT y envía otros 500 GB a internet a $0.09 por GB (en octubre de 2026; verifica el estado vigente antes de usarlo):

$$2 \times 730 \times 0.045 = 65.70, \quad 500 \times 0.045 = 22.50, \quad 500 \times 0.09 = 45.00$$ $$\text{Total} = 65.70 + 22.50 + 45.00 = \$133.20 \text{ per month}$$

La enseñanza no es la aritmética, son los tres cargos separados: el horario, el procesamiento de NAT por GB y la transferencia de datos saliente a internet. Cualquier opción que cite un total de un solo cargo está comprobando si te diste cuenta de los tres.

---

2. Grupos de seguridad frente a NACL: el clásico ítem

La tarea 3.5 dice "Comprender la seguridad en una VPC (NACL, grupos de seguridad, Amazon Inspector)". La comparación grupo de seguridad frente a NACL es la pregunta de red más fiable del CLF-C02, y se decide en siete ejes.

De la fila de estado se siguen dos consecuencias. Con un grupo de seguridad con estado abres 443 de entrada y las respuestas vuelven solas. Con una NACL sin estado debes permitir también los puertos efímeros de retorno, o la conexión nunca se completa: el clásico fallo "mi NACL rompió mi aplicación".

2.1 El recorrido del paquete

2.2 Los valores por defecto son permisivos, no seguros

• El grupo de seguridad predeterminado permite toda la salida y la entrada solo desde sí mismo: usable, pero no es una postura de seguridad.
• La NACL predeterminada permite todo el tráfico de entrada y de salida.

Y la regla que los estudiantes olvidan con más frecuencia: los grupos de seguridad no pueden denegar. Si una pregunta exige que bloquees un CIDR de un socio sin importar lo que permitan las reglas de instancia, la respuesta es una regla de denegación de NACL (o un deny de IAM / de política de bucket): nunca "añadir una regla de denegación al grupo de seguridad".

2.3 Ejemplo E3: denegar un CIDR, en toda la subred

Escenario. La red del socio 203.0.113.0/24 debe bloquearse para que alcance una subred entera de inmediato, sin tocar una sola instancia.

• 📚 ¿Sabías que…? Una regla de grupo de seguridad puede referenciar otro grupo de seguridad en lugar de un rango de IP, así funciona el patrón por capas del Ejemplo E1 con cero CIDRs codificados, y por eso mover una capa de aplicación a una subred nueva no requiere editar ninguna regla. Las NACL, en cambio, están ligadas a la subred y basadas en IP por naturaleza. Ambas siguen siendo gratuitas (en octubre de 2026; aplican cuotas por cuenta y por VPC, verifica el estado vigente antes de usarlas).

---

3. Peering de VPC: pairwise, nunca transitivo

El peering de VPC es una conexión de red privada entre dos VPC que permite que las instancias de una se comporten "como si estuvieran en la misma red". AWS es inusualmente directo sobre sus límites, y esos límites son el examen.

3.1 Ejemplo E4: la trampa del peering

Escenario. La VPC A está emparejada con la VPC B, y la VPC A también está emparejada con la VPC C. Un servicio nuevo en B debe alcanzar un servicio en C.

Transit Gateway se cobra por adjunto ($0.05 por hora-adjunto ≈ $36.50/mes) más $0.02 por GB procesado, con una MTU de 8500 bytes (en octubre de 2026; verifica el estado vigente antes de usarlo). Seis adjuntos más 1 TB de procesamiento salen a:

$$6 \times 0.05 \times 730 + 1024 \times 0.02 = 219.00 + 20.48 = \$239.48 \text{ per month}$$

El peering es gratis pero es pairwise; el hub cuesta dinero pero escala. "¿Cómo hablan estas VPC?" se responde contándolas: dos → peering, muchas más on-premises → Transit Gateway.

• 📚 ¿Sabías que…? El peering no tiene cargo horario pero no está exento de cargos de transferencia de datos: el tráfico en la misma ZD a través de una conexión de peering es gratis, mientras que el tráfico entre ZD cuesta $0.01 por GB (en octubre de 2026; verifica el estado vigente antes de usarlo). Una opción de "peering gratis" en una pregunta de costes es por tanto solo media verdad, y una solicitud de peering sin aceptar expira en silencio a los 7 días, que es exactamente el tipo de detalle operativo al que AWS le gusta meter en un distractor.

---

4. Endpoints de VPC y PrivateLink: alcanzar AWS sin internet

Un servicio de AWS al que llegas por internet público necesita un gateway NAT o un gateway de internet. Un endpoint de VPC le da a tu VPC un camino privado hacia el servicio en su lugar, y los dos tipos de endpoint difieren exactamente en los ejes que el examen pregunta.

AWS PrivateLink es la tecnología detrás de los endpoints de interfaz: los consumidores alcanzan el servicio de un proveedor "como si estuvieran en tu VPC", el tráfico nunca sale de la red de AWS, y los consumidores no pueden verse entre sí. Nota el límite: PrivateLink expone un servicio, no una VPC entera: para conectividad de VPC completa la respuesta sigue siendo peering o Transit Gateway.

4.1 Ejemplo E5: aritmética de gateway endpoint frente a endpoint de interfaz

Un cargador de trabajo en tres Zonas de disponibilidad procesa 200 GB al mes hacia Amazon S3.

$$\text{Interface endpoint} = 3 \times 730 \times 0.01 + 200 \times 0.01 = 21.90 + 2.00 = \$23.90 \text{ per month}$$ $$\text{Gateway endpoint for S3} = \$0.00 \text{ per month}$$

Mismo destino, mismo tráfico: $23.90 frente a nada (en octubre de 2026; verifica el estado vigente antes de usarlo). Esa brecha es todo el punto del examen: si el servicio es S3 o DynamoDB, el gateway endpoint es la respuesta por defecto, y "crear un endpoint de interfaz para alcanzar S3" es el distractor.

4.2 Ejemplo E6: el patrón de S3 en subnet privada

Escenario. Las instancias de una subnet privada deben leer objetos de un bucket: sin IP pública, sin gateway NAT, sin camino a internet.

1. Crea un gateway VPC endpoint para S3 en la VPC.
2. Acepta la ruta que añade a la tabla de rutas de la subnet (la ruta de lista de prefijos).
3. Limita una política de endpoint exactamente a lo necesario, por ejemplo s3:GetObject.
4. Deja el bucket privado: el tráfico nunca sale de la red de Amazon.

Resultado: cero cargo horario, cero cargo por GB, ningún gateway NAT que pagar y ninguna exposición de entrada. Esta es la respuesta canónica de "reducir los costes de NAT".

4.3 Escenario: el servicio privado del proveedor SaaS

Un proveedor quiere vender un microservicio interno a varias cuentas de clientes sin publicarlo en internet.

Contraste en el examen: una API pública → API Gateway; VPC completas hablando entre sí → peering o Transit Gateway; un servicio, de forma privada, en muchas cuentas → PrivateLink.

---

5. Conectividad híbrida: Site-to-Site VPN frente a Direct Connect

La tarea 3.5 nombra la pareja directamente: "Identificar opciones de conectividad de red hacia AWS (AWS VPN, AWS Direct Connect)". Uno es rápido y cifrado sobre internet; el otro es dedicado, consistente y no cifrado por defecto.

Opciones en alcance relacionadas: AWS Client VPN para usuarios remotos individuales (OpenVPN gestionado) y AWS VPN CloudHub para enrutamiento hub-and-spoke entre varias conexiones Site-to-Site VPN. AWS Transit Gateway es la respuesta cuando el requisito son muchas VPC y redes on-premises dentro de un solo hub.

5.1 Ejemplo E7: DX frente a VPN, el precio de la consistencia

Para un mes completo de 730 horas (en octubre de 2026; verifica el estado vigente antes de usarlo):

Ninguno de los dos números es "la respuesta correcta" por sí solo. El examen quiere que leas el requisito: "conexión privada dedicada con ancho de banda consistente" → Direct Connect; "túnel cifrado, establecido rápidamente" → Site-to-Site VPN; "portátil" → Client VPN; "muchas VPC más on-premises" → Transit Gateway.

• 📚 ¿Sabías que…? Cada conexión Site-to-Site VPN ofrece dos túneles VPN, y por eso "configura ambos túneles" es la respuesta estándar de alta disponibilidad: AWS documenta el techo por túnel como hasta 1.25 Gbps, así que un solo túnel nunca se vende como 1.25 Gbps garantizados de rendimiento de la aplicación (en octubre de 2026; verifica el estado vigente antes de usarlo). Los puertos de Direct Connect, en cambio, se facturan haya o no tráfico: un puerto de 10 Gbps en reposo sigue costando unos $1.642.50 al mes.

---

6. Amazon Route 53: DNS, hosted zones, políticas de enrutamiento y health checks

La tarea 3.5 solo dice "Comprender el propósito de Amazon Route 53", pero AWS define ese propósito como tres funciones en un solo servicio: un servicio web de Sistema de Nombres de Dominio (DNS) altamente disponible y escalable, registro de nombres de dominio y health checking.

6.1 Hosted zones

Una hosted zone es un contenedor de registros.

Dos reglas de registros son material fijo de examen: un CNAME no puede estar en el ápice de la zona (la raíz del dominio) mientras que un registro alias sí puede, y los registros alias que apuntan a destinos de AWS, balanceadores de carga, distribuciones de CloudFront, endpoints web de S3, no incurran en cargo por las consultas.

Precios de consulta estándar, si los necesitas (en octubre de 2026; verifica el estado vigente antes de usarlo): $0.40 por millón de consultas estándar, $0.60 por millón para latencia, $0.70 por millón para geolocalización y geoproximidad, $0.80 por millón para enrutamiento basado en IP.

6.2 Las ocho políticas de enrutamiento

6.3 Los health checks dirigen el failover

Un health check de Route 53 monitorea "la salud y el rendimiento de tus recursos" y puede apuntar a un endpoint, otro health check o una alarma de CloudWatch. Sus dos trabajos de examen: dirigir el failover de DNS y filtrar los registros de respuesta multivalor para devolver solo los sanos.

Cargos (en octubre de 2026; verifica el estado vigente antes de usarlo): los primeros 50 health checks de endpoint de AWS son gratis, después $0.50 al mes para endpoints de AWS o $0.75 al mes para endpoints que no son de AWS: mientras que las comprobaciones contra endpoints de Elastic Load Balancing y endpoints web de S3 son gratis y automáticas.

6.4 Ejemplo E8: la tienda global

Escenario. Una tienda necesita baja latencia en todo el mundo, un origen S3 privado, residencia de datos en la UE y una ruta de recuperación ante desastres.

• 📚 ¿Sabías que…? El enrutamiento de respuesta multivalor devuelve hasta ocho registros sanos al azar: un detalle que AWS afirma explícitamente, y la razón por la que la política a veces se describe como un balanceador de carga para pobres. Aun así no puede hacer lo que hace un balanceador de carga real: sin lógica de balanceo entre zonas, sin connection draining, sin reglas de Capa 7. Cuando el enunciado menciona enrutamiento basado en ruta o grupos de destino con health check, la respuesta es Elastic Load Balancing, no Route 53.

---

7. Amazon CloudFront y las ubicaciones de borde

La tarea 3.2 nombra las ubicaciones de borde y los beneficios de las ubicaciones de borde. CloudFront se construyó sobre una "red mundial de centros de datos llamadas ubicaciones de borde": la ubicación de borde más cercana sirve una copia en caché, lo que produce menor latencia, mayores tasas de transferencia de datos y mejor fiabilidad para los espectadores.

7.1 El patrón de S3 privado, y las dos versiones incorrectas

7.2 Ejemplo E9: la factura de CloudFront

Un sitio entrega 2 TB (2.048 GB) y 30 millones de peticiones HTTPS en un mes desde Estados Unidos (en octubre de 2026; verifica el estado vigente antes de usarlo). El cupo gratuito absorbe 1 TB y 10.000.000 peticiones:

$$\text{Data transfer} = (2048 - 1024) \times 0.085 = 1024 \times 0.085 = \$87.04$$ $$\text{Requests} = \frac{30{,}000{,}000 - 10{,}000{,}000}{10{,}000} \times 0.0100 = 2{,}000 \times 0.0100 = \$20.00$$ $$\text{Total} = 87.04 + 20.00 = \$107.04 \text{ per month}$$

Observa qué no está en esa factura: las obtenciones del origen desde S3 son $0, y las primeras 1.000 rutas de invalidación son gratis. La línea recurrente del examen es que CloudFront delante de S3 ahorra dinero en el lado del origen mientras cobra en el borde.

• 📚 ¿Sabías que…? CloudFront cobra HTTPS por separado de HTTP: $0.0100 frente a $0.0075 por cada 10.000 peticiones después del cupo gratuito (en octubre de 2026; verifica el estado vigente antes de usarlo). Para 20 millones de peticiones posteriores al free tier, esa diferencia sola son $5.00 al mes, lo que hace que "forzar HTTPS" sea simultáneamente una respuesta de seguridad y una observación de precios. Y como las obtenciones del origen son gratis con orígenes de AWS, un origen que ya es un bucket S3 nunca te cobra dos veces por los mismos bytes.

---

8. Elastic Load Balancing: ALB frente a NLB

La tarea 3.3 exige "Identificar los propósitos de los balanceadores de carga". La propia definición de AWS de ese propósito es una frase con dos mitades: un balanceador de carga distribuye el tráfico entre destinos en al menos una Zona de disponibilidad y enruta el tráfico solo hacia los destinos sanos.

Tres reglas deciden la mayoría de las preguntas de ELB:

1. "ruta URL" / "cabecera host" / "método HTTP" / "AWS WAF" → ALB.
2. "IP de origen estática o fija" / "UDP" / "millones de solicitudes por segundo" → NLB.
3. "generación anterior" / "migrar" → Classic Load Balancer.

Y un hecho contraintuitivo: tanto los balanceadores orientados a internet como los internos alcanzan sus destinos por direcciones IP privadas (en octubre de 2026). "Orientado a internet" describe el endpoint del propio balanceador, no el camino hacia tus instancias: así que un diseño multicapa es ALB orientado a internet → capa web → ALB interno → capa de aplicación.

8.1 Ejemplo E10: aritmética de ALB frente a NLB

Para un mes completo de 730 horas (en octubre de 2026; verifica el estado vigente antes de usarlo):

El NLB es más barato aquí, pero una factura más barata nunca es la respuesta a "¿qué balanceador de carga necesito?". Elige por capacidad primero (reglas de Capa 7 y WAF → ALB; IPs estáticas y UDP → NLB), y después lee la factura.

• 📚 ¿Sabías que…? La entrada de DNS de Elastic Load Balancing tiene un TTL de 60 segundos, y por eso reemplazar toda una flota detrás de un balanceador de carga se propaga en unos un minuto en lugar de al instante: un caso raro donde el examen espera que sepas que el lento es el DNS, no el balanceador de carga. Por otro lado, el ALB exige al menos dos Zonas de disponibilidad habilitadas (en octubre de 2026), así que un ALB dentro de una VPC de una sola ZD es una configuración inválida por diseño, no un ahorro.

---

9. AWS Global Accelerator y la elección de borde de cuatro vías

La frase para memorizar: Global Accelerator te da dos direcciones IPv4 anycast estáticas anunciadas desde las ubicaciones de borde de AWS, y luego transporta el tráfico TCP y UDP por la red global de AWS hasta el endpoint regional sano más cercano: un ALB, un NLB, una instancia EC2 o una IP elástica. Es un punto de entrada fijo con conmutación rápida por fallo y sin caché, construido para cargas de trabajo TCP/UDP no cacheables como juegos, IoT y VoIP.

9.1 Ejemplo E11: el acelerador desactivado sigue facturando

Se crea un acelerador, se prueba y luego se desactiva durante un mes completo de 730 horas con cero tráfico (en octubre de 2026; verifica el estado vigente antes de usarlo):

$$\text{Accelerator} = 0.025 \times 730 = \$18.25, \qquad \text{Two static IPs} = 2 \times 0.005 \times 730 = \$7.30$$ $$\text{Total with zero traffic} = 18.25 + 7.30 = \$25.55 \text{ per month}$$

De aquí salen dos hábitos de examen: "desactivado" no significa "gratis", y cualquier dirección estática, IP elástica o IP de Global Accelerator, es un cargo continuo. Combinado con el gateway NAT del Ejemplo E2 y el puerto de Direct Connect en reposo del Ejemplo E7, forman la familia de trampas de recursos en reposo del examen.

• 📚 ¿Sabías que…? La elección de cuatro vías se colapsa en una pregunta: ¿el cliente necesita caché o una IP fija? Contenido web cacheable → CloudFront; una IP fija para TCP/UDP no cacheable → Global Accelerator; un nombre legible para humanos → Route 53; repartir una carga regional entre destinos por salud → Elastic Load Balancing. El recargo por GB de la transferencia de datos de Global Accelerator varía según la Región y el borde, y AWS publica la tarifa horaria del acelerador pero no una sola cifra plana por GB: trata cualquier cifra concreta por GB de Global Accelerator como no verificada.

---

10. Coste de red: qué es gratis y qué te factura en silencio

La mitad de las preguntas de precios del Dominio 3 tratan de servicios que son gratuitos por diseño, y la otra mitad de recursos que facturan en reposo.

La familia de trampas es consistente: una pregunta describe un recurso callado, sin usar, o borrado pero todavía adjunto y pide el impacto mensual. El patrón a memorizar es:

---

11. Actualizaciones de 2026 que tocan red, borde y transferencia de datos

Actualizaciones de 2026 (en octubre de 2026)

• 📚 ¿Sabías que…? El cupo gratuito de 100 GB al mes de transferencia saliente se describe rutinariamente en material de preparación más reciente como un cambio de Free Tier de 2025: no lo es. AWS lo publicó en 2021 (efectivo el 2021-12-01) y sigue vigente en octubre de 2026; el mecanismo genuinamente nuevo es el crédito de salida con aprobación con una ventana de 90 días para clientes que se mudan de AWS por completo. Tres números distintos: 100 GB de salida de una Región, 1 TB a través de CloudFront, 90 días para irse: describen tres reglas distintas, y solo los dos primeros son cupos mensuales.

---

Casos Reales

AWS publica cómo se ven estos patrones en producción. Cada cifra de abajo es afirmada por el cliente o por AWS y no auditada, citada con su fuente para que puedas comprobarla: el punto evaluable es el patrón (qué servicio de borde se eligió, qué cargo de transferencia de datos se eliminó por ingeniería, qué failover se automatizó), no la cifra de marketing.

Caso A, Amazon Prime Video, Thursday Night Football: seis Regiones y una CDN de borde

Lección de examen: la pregunta nunca es "cuántos aficionados", es qué servicio hizo el trabajo de entrega. Cuando el enunciado va de cachear objetos cerca de espectadores globales, la respuesta es las ubicaciones de borde de CloudFront; cuando va de que el origen sobreviva a una falla de Región, la respuesta es multi-ZD más multi-Región con health checks. El vídeo en vivo que no puede cachearse pertenece a la misma familia, ahí es donde Global Accelerator (IP estáticas, sin caché) gana su frase.

Caso B, Box: $2.23 millones encontrados en la factura de transferencia de datos

Lección de examen: las dos líneas de red de Box, $438.000 de transferencia entre ZD y $1.1 millones de egress, son la misma aritmética que la factura de NAT del Ejemplo E2 y la factura de CloudFront del Ejemplo E9, solo que a escala empresarial. El patrón: mantener el tráfico dentro de una Zona de disponibilidad siempre que se pueda, usar un gateway endpoint en lugar de NAT para S3, y dejar que CloudFront absorba la salida pública: sus obtenciones del origen son gratis con orígenes de AWS.

Caso C, Capital One: failover de Route 53 y recuperación regional automatizada

Lección de examen: cuando el enunciado dice el primario falla su health check y el secundario debe responder, la respuesta es enrutamiento de failover de Route 53 más un health check (sección 6.2), y el caso es cómo se ve eso a escala empresarial. Dos calificadores viajan con él: multi-Región protege una Región, multi-ZD protege una ZD: son requisitos distintos; y como una respuesta de DNS se cachéa durante su TTL, "recuperación en minutos" es un resultado diseñado, no un instante de failover de DNS. Cuando un exigió un failover sub-segundo, la respuesta sigue siendo Global Accelerator o un health check de Elastic Load Balancing (sección 6.3).

Caso D, athenahealth: cientos de VPC detrás de un hub de Transit Gateway

Lección de examen: la lista de servicios de un caso de estudio no es la lista en alcance del examen. Los nombres de esta página incluyen AWS Network Firewall, que ahora está en la lista fuera de alcance del CLF-C02 (en octubre de 2026), así que solo puede aparecer como distractor: mientras el mismo párrafo nombra Transit Gateway y Direct Connect, ambos claramente en alcance. Lee el párrafo por el patrón (centralizar el hub, propagar una sola política) y luego responde solo con servicios en alcance.

• 📚 ¿Sabías que…? La guía de examen actual añadió cuatro servicios de red que la guía V1.0 de la era de lanzamiento no listaba, AWS PrivateLink, AWS Transit Gateway, AWS Site-to-Site VPN y AWS Client VPN, y sacó AWS Network Firewall hacia la lista fuera de alcance (listas de servicios en alcance y fuera de alcance, consulta en octubre de 2026). Las notas de revisión escritas antes de que se reconstruyeran esas listas te dirán lo contrario, y por eso la guía que descargas hoy es la única autoridad sobre lo que es evaluable.

Lo que comparten los dos casos

Lo que añaden los casos C y D

---

Preguntas de Práctica (Practice Questions)

---