CLF-C02
Deep Dive
Los servicios de red de AWS forman la base de toda arquitectura en la nube. El CLF-C02 evalúa especialmente la diferencia entre Security Groups y NACLs, y los casos de uso de Route 53 vs CloudFront.
Contenido
Tu red privada aislada dentro de AWS
Amazon VPC te permite lanzar recursos AWS en una red virtual que defines. Tienes control completo sobre el entorno de red virtual: selección del rango de IP, creación de subnets, configuración de tablas de rutas y gateways de red.
Componentes clave de una VPC
Subnets
Divisiones de la VPC. Pública: tiene ruta al Internet Gateway. Privada: sin acceso directo a internet.
Internet Gateway (IGW)
Permite que recursos en subnets públicas se comuniquen con internet. Adjunto a la VPC (1 por VPC).
NAT Gateway
Permite que instancias en subnets PRIVADAS inicien conexiones salientes a internet, sin permitir conexiones entrantes desde internet.
Route Tables
Definen a dónde se enruta el tráfico de red. Cada subnet tiene una tabla de rutas asociada.
VPC Peering
Conecta dos VPCs entre sí (pueden estar en diferentes cuentas o regiones). El tráfico no sale a internet.
VPC Endpoints
Conecta la VPC a servicios AWS (S3, DynamoDB) sin pasar por internet público.
Arquitectura VPC típica de 3 capas
Subnet Pública
Web servers, Load Balancers, NAT Gateway
Subnet Privada (App)
Application servers, APIs. Acceden a internet via NAT GW.
Subnet Privada (Data)
RDS, ElastiCache, bases de datos. Sin acceso a internet.
Best practice
Nunca colocar bases de datos en subnets públicas. Las RDS deben estar en subnets privadas, accesibles solo desde la capa de aplicación.
Esta pregunta aparece en casi todos los exámenes CLF-C02
Debes poder distinguir cuándo se aplica cada uno y cuál es stateful vs stateless.
| Dimensión | Security Groups | Network ACLs |
|---|---|---|
| Nivel | Instancia (EC2, RDS, etc.) | Subnet |
| Stateful / Stateless | ✅ Stateful — respuesta de salida automática | ❌ Stateless — debes definir reglas de entrada Y salida |
| Tipo de reglas | Solo Allow (no hay reglas Deny) | Allow y Deny. Evaluadas en orden numérico. |
| Default | Sin acceso de entrada. Todo el acceso de salida permitido. | VPC default NACL: permite todo el tráfico entrada y salida. |
| Evaluación | Evalúa TODAS las reglas antes de decidir | Evalúa en orden numérico (la primera que coincide se aplica) |
| Dónde se adjunta | A instancias/ENIs individuales | A subnets. Aplica a TODO el tráfico de esa subnet. |
| Caso de uso | Controlar acceso por instancia específica | Bloquear rangos de IP a nivel de subnet, reglas Deny explícitas |
Stateful (Security Groups)
Si permites tráfico de entrada en el puerto 80, la respuesta de salida se permite automáticamente. No necesitas crear regla de salida explícita para esa conexión.
Analogía: como una conversación telefónica — si contestas la llamada, puedes hablar en ambas direcciones.
Stateless (Network ACLs)
Debes crear reglas de entrada Y salida por separado. Si permites entrada en 80, también debes permitir la salida de la respuesta (puertos efímeros 1024-65535) explícitamente.
Analogía: como un guardia de seguridad que revisa cada persona al entrar Y al salir, sin recordar si ya pasó.
Servicio DNS escalable y altamente disponible
Amazon Route 53 es un servicio web DNS (Domain Name System) en la nube altamente disponible y escalable. Traduce nombres de dominio legibles (ej: www.ejemplo.com) a direcciones IP numéricas (ej: 192.0.2.1).
Políticas de enrutamiento de Route 53
Simple
Responde con uno o más registros de recursos. Sin verificación de salud.
Uso: Básico: un dominio → una IP
Weighted
Distribuye el tráfico entre recursos según pesos que defines.
Uso: A/B testing, distribución de tráfico gradual en deployments
Latency
Dirige al usuario a la región AWS con menor latencia desde su ubicación.
Uso: Apps multi-región para mejor experiencia del usuario
Failover
Dirige tráfico a un recurso primario; si falla, al secundario.
Uso: Disaster recovery activo-pasivo
Geolocation
Dirige tráfico basado en la ubicación geográfica del usuario.
Uso: Cumplimiento de residencia de datos, contenido localizado
Geoproximity
Dirige tráfico según la ubicación del usuario y los recursos, con bias.
Uso: Control fino de distribución geográfica
Multivalue Answer
Responde con múltiples registros y realiza verificaciones de salud.
Uso: DNS básico con health checks (no reemplaza un load balancer)
Content Delivery Network (CDN) con 400+ Edge Locations globales
Amazon CloudFront distribuye contenido (HTML, CSS, JS, imágenes, videos) a usuarios finales con baja latencia y alta velocidad de transferencia, usando una red global de Edge Locations.
Tipos de origen (Origins)
Características avanzadas
AWS Direct Connect
Conexión de red dedicada y privada entre tu datacenter on-premises y AWS. No pasa por el internet público. Alta velocidad (1 Gbps a 100 Gbps) y baja latencia consistente.
Site-to-Site VPN
Conexión cifrada entre tu red on-premises y tu VPC de AWS a través del internet público. Se establece rápidamente y es más económica que Direct Connect.
Cuándo usar cada uno — Pregunta de examen
Direct Connect: grandes volúmenes de datos (TBs), baja latencia crítica, cargas de trabajo de misión crítica, compliance.
Site-to-Site VPN: conectividad rápida y económica, backup de Direct Connect, latencia tolerable, cargas menores.
Elastic Load Balancing distribuye automáticamente el tráfico entrante de aplicaciones a múltiples destinos (EC2, contenedores, IPs, funciones Lambda) en una o múltiples Availability Zones.
| Tipo | Capa OSI | Protocolos | Casos de uso |
|---|---|---|---|
| ALB (Application) | L7 (Aplicación) | HTTP, HTTPS, WebSocket | Microservicios, apps web, routing por URL/headers |
| NLB (Network) | L4 (Transporte) | TCP, UDP, TLS | Ultra-baja latencia, millones de req/seg, gaming, VoIP |
| CLB (Classic) | L4/L7 | HTTP, HTTPS, TCP | Legacy. Usar ALB o NLB para apps nuevas. |
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Un administrador de red necesita bloquear acceso desde un rango de IPs específico (203.0.113.0/24) a una subnet completa de la VPC. ¿Qué servicio o característica de AWS debería usar?