Respuestas · Sesión 6 · Redes y VPC

1. Respuesta: C

• C (correcta): una subred es pública cuando su tabla de rutas tiene una ruta al Internet gateway. Sin esa ruta, una IP pública no basta para llegar a Internet.
• A: la zona de disponibilidad no decide si una subred es pública; en una misma AZ puede haber subredes públicas y privadas.
• B: el tamaño del bloque CIDR solo dice cuántas direcciones caben, no si hay salida a Internet.
• D: un NAT gateway da salida a subredes privadas, pero no permite que nadie desde Internet inicie conexiones hacia ellas.

Repasa: sección “Subredes públicas y privadas” de la sesión 06.

2. Respuesta: B

• B (correcta): el NAT gateway, en una subred pública, deja que la subred privada inicie conexiones hacia Internet y bloquea las que llegan desde fuera.
• A: una ruta directa al Internet gateway convierte la subred en pública y la expone a conexiones entrantes.
• C: abrir el security group a 0.0.0.0/0 permite entrar, que es justo lo que se quiere evitar, y no da salida sin una ruta.
• D: Direct Connect une tu centro de datos con AWS; no da salida a Internet a una subred privada.

Repasa: secciones “Internet gateway y NAT gateway” e “Internet gateway vs NAT gateway” de la sesión 06.

3. Respuesta: A

• A (correcta): la network ACL actúa a nivel de subred y admite reglas de negar, así que bloquea el rango para todos los recursos de la subred.
• B: los security groups solo tienen reglas de permitir; no se puede escribir una regla de negar.
• C: la ruta local comunica los recursos dentro de la VPC; quitarla no bloquea un rango externo y no se puede borrar.
• D: las subredes de la VPC por defecto son públicas; moverse allí no bloquea nada.

Repasa: secciones “Network ACL” y “Security group vs network ACL” de la sesión 06.

4. Respuesta: C

• C (correcta): el security group tiene estado: si deja entrar la petición, deja salir su respuesta sin regla de salida.
• A: esa sería la conducta de un firewall sin estado, como la network ACL, no la del security group.
• B: los security groups tienen reglas de entrada y de salida. La respuesta sale porque el security group tiene estado, no porque ignore la salida.
• D: el comportamiento con estado es igual en cualquier VPC, por defecto o creada por ti.

Repasa: secciones “Firewall: reglas, con estado y sin estado” y “Security groups” de la sesión 06.

5. Respuesta: D

• D (correcta): Direct Connect es una conexión física dedicada que no pasa por Internet y da un rendimiento constante, adecuado para grandes volúmenes.
• A: Site-to-Site VPN cifra el tráfico, pero viaja por Internet y su rendimiento varía.
• B: Client VPN conecta equipos de personas, no un centro de datos completo, y también usa Internet.
• C: un NAT gateway da salida a Internet a subredes privadas; no conecta un centro de datos con AWS.

Repasa: secciones “AWS Direct Connect” y “AWS VPN vs AWS Direct Connect” de la sesión 06.