Rede, Entrega de Conteúdo e Conectividade Híbrida

O Domínio 3 (Tecnologia e Serviços de Nuvem) carrega 34% do conteúdo pontuado no CLF-C02, e sua tarefa 3.5: "Identificar serviços de rede da AWS": é o bloco de conhecimento mais mecânico do exame. Tudo nele é uma definição mais uma regra: uma subnet vive em exatamente uma Zona de Disponibilidade, uma subnet pública é uma decisão de roteamento em vez de uma caixa de seleção, um NAT gateway é apenas saída, um security group é com estado enquanto uma network ACL é sem estado, VPC peering não é transitivo, e Direct Connect é dedicado com largura de banda consistente. Acrescente os "propósitos de load balancers" da tarefa 3.3, as edge locations da tarefa 3.2, e você tem uma lição onde quase toda questão tem exatamente uma resposta defensável: desde que você memorize as regras em vez do marketing.

Nesta lição você vai:

• nomear todo componente de VPC: subnets, tabelas de rotas, internet gateways, NAT gateways, Elastic IPs, interfaces de rede elásticas;
• decidir pública versus privada apenas pela tabela de rotas, e explicar por que NAT é apenas saída;
• separar a VPC padrão de uma VPC customizada e saber quando a AWS manda você construir a sua;
• vencer security group versus network ACL em todo eixo: escopo, ação da regra, estado, avaliação, padrões e referenciamento;
• aplicar a regra de peering não transitiva e a regra de não edge-to-edge;
• escolher endpoint de gateway vs interface endpoint vs PrivateLink: incluindo o de graça;
• separar Site-to-Site VPN de Direct Connect em tempo de provisionamento, consistência de largura de banda e criptografia;
• usar hosted zones do Route 53, todas as oito políticas de roteamento e health checks;
• colocar CloudFront na frente de uma origem S3 privada com Origin Access Control;
• escolher ALB sobre NLB, e saber por que o Classic Load Balancer é a "geração anterior";
• enunciar a frase de uma linha do Global Accelerator e a escolha de borda em quatro vias;
• auditar as armadilhas de custo ocioso: NAT gateways, Elastic IPs, aceleradores desativados, portas de Direct Connect;
• estudar quatro estudos de caso publicados pela AWS, depois praticar com 12 questões no estilo do exame mais quatro verificações interativas.

---

1. A VPC: uma rede isolada que você projeta

1.1 O conjunto de componentes

Amazon VPC é uma "rede virtual logicamente isolada" que você define dentro de uma Região, e a AWS afirma que não há cobrança adicional por usar uma VPC (em outubro de 2026). A tarefa 3.5 pede apenas para identificar os componentes, mas a redação do exame assume que você sabe exatamente o que cada componente faz.

1.2 Pública versus privada é uma decisão de roteamento

Uma subnet não tem atributo "pública". Ela é pública se e somente se sua tabela de rotas carrega uma rota para um internet gateway; caso contrário, é privada. Essa única frase responde mais itens do CLF-C02 do que qualquer outro fato de rede, porque dissolve três armadilhas relacionadas de uma vez:

• anexar um IGW à VPC não torna nenhuma subnet pública: você ainda precisa da rota;
• uma subnet privada com uma rota para um NAT gateway continua privada: NAT dá a ela internet de saída, não de entrada;
• uma subnet pública sem instâncias com endereços IPv4 públicos continua pública: ela simplesmente não tem nada para onde rotear.

1.3 O NAT gateway é apenas saída

A AWS é explícita sobre a direção: com um NAT gateway em vigor, "serviços externos não podem iniciar uma conexão" com suas instâncias privadas. Uma instância privada pode então puxar atualizações do sistema operacional, baixar pacotes e chamar APIs da AWS, enquanto nada na internet consegue alcançá-la por dentro. Se uma questão precisa de tráfego de internet de entrada para um workload privado, a resposta é um load balancer voltado para a internet (ou uma instância genuinamente pública): nunca "abrir o NAT gateway".

O formato do custo também importa (US East Ohio, em outubro de 2026; verifique os valores atuais antes de usar): $0,045 por hora mais $0,045 por GB processado, cobrado em incrementos de uma hora para horas parciais, e um NAT gateway regional é implantado por Zona de Disponibilidade, então um design de duas AZs paga a cobrança horária duas vezes.

1.4 A VPC padrão versus uma VPC customizada

A AWS cria uma VPC padrão em toda Região, e ela está pronta para receber lançamentos:

Essa conveniência é exatamente por que a AWS recomenda uma VPC customizada para produção: apenas em uma VPC customizada você escolhe o CIDR, decide quais subnets são privadas, controla as rotas e decide o que fica exposto. No exame, "lançar na VPC padrão" é uma resposta de prototipagem, nunca uma resposta de arquitetura.

• 📚 Você sabia? Endereços IPv4 públicos custam dinheiro mesmo ociosos, $0,005 por hora em uso ou sem uso, o que é $3,65 por mês por endereço em um mês de 730 horas (em outubro de 2026; verifique os valores atuais antes de usar). Endereços IPv4 privados nunca são cobrados, e o Free Tier inclui 750 horas por mês de IPv4 público com Amazon EC2. Quatro Elastic IPs esquecidos e desanexados custam portanto cerca de $14,60 por mês para absolutamente nada, um item de fatura que o exame adora disfarçar dentro de uma questão de otimização de custos.

1.5 Exemplo E1: a VPC em três camadas, de ponta a ponta

Cenário. Uma aplicação web deve ser alcançável a partir da internet, deve sair para a internet em busca de atualizações, e deve manter um banco de dados que nunca é diretamente alcançável. Projete-a do jeito que o exame espera.

1.6 Exemplo E2: a fatura do NAT

Um design de duas AZs roda dois NAT gateways por 730 horas, egraga 500 GB pelo processamento de NAT, e envia outros 500 GB para a internet a $0,09 por GB (em outubro de 2026; verifique os valores atuais antes de usar):

$$2 \times 730 \times 0,045 = 65,70, \quad 500 \times 0,045 = 22,50, \quad 500 \times 0,09 = 45,00$$ $$\text{Total} = 65,70 + 22,50 + 45,00 = \$133,20 \text{ por mês}$$

A lição não é a aritmética, são as três cobranças separadas: horária, processamento de NAT por GB e transferência de dados de saída para a internet. Qualquer opção que cite um total de cobrança única está testando se você percebeu as três.

---

2. Security groups versus network ACLs, o item clássico

A tarefa 3.5 diz "Compreender a segurança em uma VPC (network ACLs, security groups, Amazon Inspector)". A comparação security-group-versus-NACL é a questão de rede mais confiável do CLF-C02, e ela é decidida em sete eixos.

Duas consequências seguem da linha de estado sozinha. Com um security group com estado você abre 443 na entrada e as respostas fluem de volta intactas. Com uma NACL sem estado você deve também permitir as portas efêmeras de retorno, ou a conexão nunca completa: a falha clássica de "minha NACL quebrou minha aplicação".

2.1 O caminho do pacote

2.2 Os padrões são permissivos, não seguros

• O security group padrão permite toda saída e entrada apenas da própria si: utilizável, mas não é uma postura de segurança.
• A network ACL padrão permite todo tráfego para dentro e para fora.

E a regra que os alunos mais esquecem: security groups não podem negar. Se uma questão exige que você bloqueie um CIDR de parceiro independente do que as regras de instância permitem, a resposta é uma regra de negação de network ACL (ou uma negação de IAM / bucket policy): nunca "adicionar uma regra de negação ao security group".

2.3 Exemplo E3: negar um CIDR, na subnet inteira

Cenário. A rede do parceiro 203.0.113.0/24 deve ser bloqueada de alcançar uma subnet inteira imediatamente, sem tocar em uma única instância.

• 📚 Você sabia? Uma regra de security group pode referenciar outro security group em vez de um intervalo de IP, é assim que o padrão em camadas do Exemplo E1 funciona com zero CIDRs codificados, e por que mover uma camada de aplicação para uma nova subnet não exige nenhuma edição de regra. Network ACLs, por outro lado, são presas à subnet e baseadas em IP por natureza. Ambas permanecem gratuitas (em outubro de 2026; aplicam-se cotas por conta e por VPC, verifique os valores atuais antes de usar).

---

3. VPC peering: par a par, nunca transitivo

VPC peering é uma conexão de rede privada entre duas VPCs que permite que instâncias em uma se comportem "como se estivessem na mesma rede". A AWS é incomumente direta sobre seus limites, e esses limites são o exame.

3.1 Exemplo E4: a armadilha do peering

Cenário. A VPC A faz peering com a VPC B, e a VPC A também faz peering com a VPC C. Um novo serviço em B precisa alcançar um serviço em C.

Transit Gateway é cobrado por anexo ($0,05 por hora-de-anexo ≈ $36,50/mês) mais $0,02 por GB processado, com MTU de 8500 bytes (em outubro de 2026; verifique os valores atuais antes de usar). Seis anexos mais 1 TB de processamento dá:

$$6 \times 0,05 \times 730 + 1024 \times 0,02 = 219,00 + 20,48 = \$239,48 \text{ por mês}$$

Peering é grátis mas par a par; o hub custa dinheiro mas escala. "Como essas VPCs conversam?" é respondido contando-as: duas → peering, muitas mais on-premises → Transit Gateway.

• 📚 Você sabia? Peering não tem cobrança horária mas não é isento de cobranças de transferência de dados: tráfego na mesma AZ através de uma conexão de peering é grátis, enquanto tráfego entre AZs é $0,01 por GB (em outubro de 2026; verifique os valores atuais antes de usar). Uma opção de "peering grátis" em uma questão de custo é portanto apenas meia verdade, e um pedido de peering não aceito expira silenciosamente após 7 dias, que é exatamente o tipo de detalhe operacional que a AWS gosta de enterrar em um distrator.

---

4. Endpoints de VPC e PrivateLink: alcançar a AWS sem a internet

Um serviço da AWS que você alcança pela internet pública precisa de um NAT gateway ou de um internet gateway. Um endpoint de VPC dá à sua VPC um caminho privado para o serviço, e os dois tipos de endpoint diferem precisamente nos eixos que o exame pergunta.

AWS PrivateLink é a tecnologia por trás dos endpoints de interface: consumidores alcançam o serviço de um provedor "como se estivessem na sua VPC", o tráfego nunca sai da rede da AWS, e os consumidores não podem ver uns aos outros. Observe o limite: PrivateLink expõe um serviço, não uma VPC inteira: para conectividade de VPC inteira a resposta ainda é peering ou Transit Gateway.

4.1 Exemplo E5: aritmética de endpoint de gateway versus interface

Um workload em três Zonas de Disponibilidade processa 200 GB por mês para o Amazon S3.

$$\text{Endpoint de interface} = 3 \times 730 \times 0,01 + 200 \times 0,01 = 21,90 + 2,00 = \$23,90 \text{ por mês}$$ $$\text{Endpoint de gateway para S3} = \$0,00 \text{ por mês}$$

Mesmo destino, mesmo tráfego: $23,90 versus nada (em outubro de 2026; verifique os valores atuais antes de usar). Essa lacuna é todo o ponto do exame: se o serviço é S3 ou DynamoDB, o endpoint de gateway é a resposta padrão, e "criar um endpoint de interface para alcançar S3" é o distrator.

4.2 Exemplo E6, o padrão S3 de subnet privada

Cenário. Instâncias em uma subnet privada devem ler objetos de um bucket: sem IP público, sem NAT gateway, sem caminho para a internet.

1. Crie um endpoint de gateway de VPC para o S3 na VPC.
2. Aceite a rota que ele adiciona à tabela de rotas da subnet (a rota da prefix list).
3. Restrinja uma endpoint policy ao que é exatamente necessário, por exemplo s3:GetObject.
4. Deixe o bucket privado, o tráfego nunca sai da rede da Amazon.

Resultado: zero cobrança horária, zero cobrança por GB, nenhum NAT gateway para pagar, e nenhuma exposição de entrada. Esta é a resposta canônica de "reduzir custos de NAT".

4.3 Cenário, o serviço privado do provedor SaaS

Um provedor quer vender um microsserviço interno para várias contas de clientes sem publicá-lo na internet.

Contraste no exame: uma API pública → API Gateway; VPCs inteiras conversando entre si → peering ou Transit Gateway; um serviço, privatamente, muitas contas → PrivateLink.

---

5. Conectividade híbrida: Site-to-Site VPN versus Direct Connect

A tarefa 3.5 nomeia o par diretamente: "Identificar opções de conectividade de rede com a AWS (AWS VPN, AWS Direct Connect)". Um é rápido e criptografado sobre a internet; o outro é dedicado, consistente e não criptografado por padrão.

Opções no escopo relacionadas: AWS Client VPN para usuários remotos individuais (OpenVPN gerenciado), e AWS VPN CloudHub para roteamento hub-and-spoke entre várias conexões Site-to-Site VPN. AWS Transit Gateway é a resposta quando o requisito é muitas VPCs e redes on-premises dentro de um único hub.

5.1 Exemplo E7: DX versus VPN, o preço da consistência

Para um mês completo de 730 horas (em outubro de 2026; verifique os valores atuais antes de usar):

Nenhum dos números é "a resposta certa" por si só. O exame quer que você leia o requisito: "conexão privada dedicada com largura de banda consistente" → Direct Connect; "túnel criptografado, estabelecido rapidamente" → Site-to-Site VPN; "laptop" → Client VPN; "muitas VPCs mais on-premises" → Transit Gateway.

• 📚 Você sabia? Toda conexão Site-to-Site VPN oferece dois túneis VPN, que é por que "configurar ambos os túneis" é a resposta padrão de alta disponibilidade: a AWS documenta o teto por túnel como até 1,25 Gbps, então um único túnel nunca é vendido como 1,25 Gbps garantidos de throughput de aplicação (em outubro de 2026; verifique os valores atuais antes de usar). Portas de Direct Connect, enquanto isso, são cobradas com ou sem tráfego fluindo: uma porta ociosa de 10 Gbps ainda custa cerca de $1.642,50 por mês.

---

6. Amazon Route 53: DNS, hosted zones, políticas de roteamento e health checks

A tarefa 3.5 diz apenas "Compreender o propósito do Amazon Route 53", mas a AWS define esse propósito como três funções em um único serviço: um serviço web de Sistema de Nomes de Domínio (DNS) altamente disponível e escalável, registro de nomes de domínio, e health checking.

6.1 Hosted zones

Uma hosted zone é um contêiner para registros.

Duas regras de registro são básicas do exame: um CNAME não fica no ápice da zona (a raiz do domínio) enquanto um registro alias fica, e registros alias que apontam para alvos da AWS, load balancers, distribuições CloudFront, endpoints de site do S3, incorrem em nenhuma cobrança pelas consultas.

Preço padrão de consultas, se precisar (em outubro de 2026; verifique os valores atuais antes de usar): $0,40 por milhão de consultas padrão, $0,60 por milhão para latência, $0,70 por milhão para geolocalização e geoproximidade, $0,80 por milhão para roteamento baseado em IP.

6.2 As oito políticas de roteamento

6.3 Health checks dirigem o failover

Um health check do Route 53 monitora "a saúde e o desempenho dos seus recursos" e pode ser apontado para um endpoint, outro health check, ou um alarme do CloudWatch. Seus dois trabalhos de exame: dirigir o failover de DNS e filtrar registros de resposta multivalor para que apenas os saudáveis sejam retornados.

Cobrança (em outubro de 2026; verifique os valores atuais antes de usar): os primeiros 50 health checks de endpoint da AWS são grátis, depois $0,50 por mês para endpoints da AWS ou $0,75 por mês para endpoints não-AWS: enquanto verificações contra endpoints do Elastic Load Balancing e endpoints de site do S3 são grátis e automáticas.

6.4 Exemplo E8: a vitrine global

Cenário. Uma vitrine precisa de baixa latência mundialmente, uma origem S3 privada, residência de dados na UE, e um caminho de recuperação de desastres.

• 📚 Você sabia? O roteamento multivalor retorna até oito registros saudáveis aleatoriamente: um detalhe que a AWS afirma explicitamente, e a razão pela qual a política é às vezes descrita como o load balancer do pobre. Ainda assim não pode fazer o que um load balancer de verdade faz: sem lógica de balanceamento entre zonas, sem connection draining, sem regras de Camada 7. Quando o enunciado menciona roteamento baseado em path ou target groups com health check, a resposta é Elastic Load Balancing, não Route 53.

---

7. Amazon CloudFront e edge locations

A tarefa 3.2 nomeia edge locations e os benefícios das edge locations. CloudFront é construído sobre uma "rede mundial de data centers chamada edge locations": a edge location mais próxima serve uma cópia em cache, o que produz menor latência, taxas de transferência de dados mais altas e melhor confiabilidade para os viewers.

7.1 O padrão S3 privado, e as duas versões erradas

7.2 Exemplo E9: a fatura do CloudFront

Um site entrega 2 TB (2.048 GB) e 30 milhões de requisições HTTPS em um mês a partir dos Estados Unidos (em outubro de 2026; verifique os valores atuais antes de usar). A cota grátis absorve 1 TB e 10.000.000 de requisições:

$$\text{Transferência de dados} = (2048 - 1024) \times 0,085 = 1024 \times 0,085 = \$87,04$$ $$\text{Requisições} = \frac{30{,}000{,}000 - 10{,}000{,}000}{10{,}000} \times 0,0100 = 2{,}000 \times 0,0100 = \$20,00$$ $$\text{Total} = 87,04 + 20,00 = \$107,04 \text{ por mês}$$

Observe o que não está nessa fatura: buscas na origem a partir do S3 são $0, e os primeiros 1.000 caminhos de invalidation são grátis. A linha recorrente do exame é que CloudFront na frente do S3 economiza dinheiro no lado da origem enquanto cobra na borda.

• 📚 Você sabia? CloudFront precifica requisições HTTPS separadamente de HTTP: $0,0100 versus $0,0075 por 10.000 requisições após a cota grátis (em outubro de 2026; verifique os valores atuais antes de usar). Para 20 milhões de requisições pós-Free Tier, essa diferença sozinha é $5,00 por mês, o que torna "forçar HTTPS" simultaneamente uma resposta de segurança e uma observação de preço. E porque as buscas na origem são grátis com origens da AWS, uma origem que já é um bucket S3 nunca cobra você duas vezes pelos mesmos bytes.

---

8. Elastic Load Balancing: ALB versus NLB

A tarefa 3.3 exige "Identificar os propósitos de load balancers". A própria definição da AWS desse propósito é uma frase com duas metades: um load balancer distribui tráfego entre alvos em pelo menos uma Zona de Disponibilidade e roteia o tráfego apenas para os alvos saudáveis.

Três regras decidem a maioria das questões de ELB:

1. "path de URL" / "host header" / "método HTTP" / "AWS WAF" → ALB.
2. "IP de origem estático ou fixo" / "UDP" / "milhões de requisições por segundo" → NLB.
3. "geração anterior" / "migrar" → Classic Load Balancer.

E um fato contraintuitivo: tanto load balancers voltados para a internet quanto internos alcançam seus alvos por endereços IP privados (em outubro de 2026). "Voltado para a internet" descreve o próprio endpoint do load balancer, não o caminho até suas instâncias, então um design em camadas é ALB voltado para a internet → camada web → ALB interno → camada de aplicação.

8.1 Exemplo E10: aritmética ALB versus NLB

Para um mês completo de 730 horas (em outubro de 2026; verifique os valores atuais antes de usar):

O NLB é mais barato aqui, mas uma fatura mais barata nunca é a resposta para "qual load balancer eu preciso?". Escolha por capacidade primeiro (regras de Camada 7 e WAF → ALB; IPs estáticos e UDP → NLB), depois leia a fatura.

• 📚 Você sabia? Uma entrada de DNS do Elastic Load Balancing tem TTL de 60 segundos, que é por que substituir toda uma frota atrás de um load balancer se propaga em cerca de um minuto em vez de instantaneamente: um caso raro em que o exame espera que você saiba que o DNS, não o load balancer, é a parte lenta. Separadamente, o ALB exige pelo menos duas Zonas de Disponibilidade habilitadas (em outubro de 2026), então um ALB dentro de uma VPC de AZ única é uma configuração inválida por design, não uma economia de custo.

---

9. AWS Global Accelerator e a escolha de borda em quatro vias

A frase de uma linha para memorizar: Global Accelerator te dá dois endereços IPv4 anycast estáticos anunciados das edge locations da AWS, e então carrega o tráfego TCP e UDP pela rede global da AWS até o regional endpoint saudável mais próximo: um ALB, NLB, instância EC2 ou Elastic IP. É um ponto de entrada fixo com failover rápido e sem cache, construído para workloads TCP/UDP não-cacheáveis como games, IoT e VoIP.

9.1 Exemplo E11, o acelerador desativado ainda cobra

Um acelerador é criado, testado, então desativado por um mês completo de 730 horas com zero tráfego (em outubro de 2026; verifique os valores atuais antes de usar):

$$\text{Acelerador} = 0,025 \times 730 = \$18,25, \qquad \text{Dois IPs estáticos} = 2 \times 0,005 \times 730 = \$7,30$$ $$\text{Total com zero tráfego} = 18,25 + 7,30 = \$25,55 \text{ por mês}$$

Dois hábitos de exame saem daqui: "desativado" não significa "grátis", e qualquer endereço estático, Elastic IP ou IP do Global Accelerator, é uma cobrança contínua. Pareados com o NAT gateway do Exemplo E2 e a porta ociosa de Direct Connect do Exemplo E7, eles formam a família de armadilhas de recursos ociosos do exame.

• 📚 Você sabia? A escolha em quatro vias colapsa em uma pergunta: o cliente precisa de um cache ou de um IP fixo? Conteúdo web cacheável → CloudFront; um IP fixo para TCP/UDP não-cacheável → Global Accelerator; um nome legível por humanos → Route 53; distribuir um workload regional entre alvos por saúde → Elastic Load Balancing. O prêmio por GB de transferência de dados do Global Accelerator varia por Região e borda, e a AWS publica a taxa horária do acelerador mas não um único valor flat por GB: trate qualquer número específico por GB do Global Accelerator como não verificado.

---

10. Custo de rede: o que é grátis e o que cobra discretamente

Metade das questões de preço do Domínio 3 concernem serviços que são grátis por design, e a outra metade concernem recursos que cobram enquanto ociosos.

A família de armadilhas é consistente: uma questão descreve um recurso silencioso, não utilizado, ou deletado mas ainda anexado e pergunta o impacto mensal. O padrão para memorizar é:

---

11. Atualizações de 2026 que tocam rede, borda e transferência de dados

Atualizações de 2026 (em outubro de 2026)

• 📚 Você sabia? A cota grátis de 100 GB por mês de transferência de dados de saída é rotineiramente descrita em material de preparação mais novo como uma mudança de Free Tier de 2025: não é. A AWS a publicou em 2021 (efetiva em 2021-12-01) e ela ainda está vigente em outubro de 2026; o mecanismo genuinamente novo é o crédito de saída baseado em aprovação com uma janela de 90 dias para clientes migrando da AWS completamente. Três números diferentes: 100 GB saindo de uma Região, 1 TB através do CloudFront, 90 dias para sair: descrevem três regras diferentes, e apenas os dois primeiros são cotas mensais.

---

Casos Reais

A AWS publica como esses padrões parecem em produção. Todo valor abaixo é alegação do cliente ou da AWS, não auditado, citado com sua fonte para que você possa verificar, o ponto examinável é o padrão (qual serviço de borda foi escolhido, qual cobrança de transferência de dados foi eliminada por arquitetura, qual failover foi automatizado), não o número de marketing.

Caso A, Amazon Prime Video, Thursday Night Football: seis Regiões e um CDN de borda

Lição de exame: a questão nunca é "quantos fãs", é qual serviço fez o trabalho de entrega. Quando o enunciado é sobre cachear objetos perto de viewers globais, a resposta é edge locations do CloudFront; quando é sobre a origem sobrevivendo a uma falha de Região, a resposta é multi-AZ mais multi-Região com health checks. Vídeo ao vivo que não pode ser cacheado pertence à mesma família, é onde Global Accelerator (IPs estáticos, sem cache) ganha sua frase de uma linha.

Caso B, Box: $2,23 milhões encontrados na fatura de transferência de dados

Lição de exame: as duas linhas de rede da Box, $438.000 de transferência entre AZs e $1,1 milhão de egress, são a mesma aritmética da fatura de NAT do Exemplo E2 e da fatura do CloudFront do Exemplo E9, apenas em escala empresarial. O padrão: mantenha o tráfego dentro de uma Zona de Disponibilidade sempre que possível, use um endpoint de gateway em vez de NAT para o S3, e deixe o CloudFront absorver o egress público: suas buscas na origem são grátis com origens da AWS.

Caso C, Capital One: failover do Route 53 e recuperação regional automatizada

Lição de exame: quando o enunciado diz o primário falha seu health check e o secundário deve responder, a resposta é roteamento de failover do Route 53 mais um health check (Seção 6.2), e o caso é como isso parece em escala empresarial. Dois qualificadores viajam com ele: multi-Região protege uma Região, multi-AZ protege uma AZ: são requisitos diferentes; e porque uma resposta de DNS é cacheada por seu TTL, "recuperação em minutos" é um resultado projetado, não um instante de failover de DNS. Quando um enunciado exige failover sub-segundo, a resposta ainda é Global Accelerator ou um health check do Elastic Load Balancing (Seção 6.3).

Caso D, athenahealth: centenas de VPCs atrás de um hub Transit Gateway

Lição de exame: a lista de serviços de um estudo de caso não é a lista no escopo do exame. Os nomes nesta página incluem AWS Network Firewall, que agora está na lista fora do escopo do CLF-C02 (em outubro de 2026), então ele só pode aparecer como um distrator: enquanto o mesmo parágrafo nomeia Transit Gateway e Direct Connect, ambos prontamente no escopo. Leia o parágrafo pelo padrão (centralizar o hub, distribuir uma política), depois responda apenas com serviços no escopo.

• 📚 Você sabia? O guia de exame atual adicionou quatro serviços de rede que o guia V1.0 da época do lançamento não listava, AWS PrivateLink, AWS Transit Gateway, AWS Site-to-Site VPN e AWS Client VPN, e moveu o AWS Network Firewall para fora, para a lista fora do escopo (listas de serviços no escopo e fora do escopo, acesso em outubro de 2026). Notas de revisão escritas antes que essas listas fossem reconstruídas vão te dizer o contrário, que é por que o guia que você baixa hoje é a única autoridade sobre o que é examinável.

O que os dois primeiros casos compartilham

O que os casos C e D acrescentam

---

Perguntas de Prática (Practice Questions)