AWS Certified Advanced Networking – Specialty

AWS Certified Advanced Networking – Specialty (ANS-C01) – TÀI LIỆU ÔN TẬP

1. TỔNG QUAN KỲ THI

• Mã kỳ thi: ANS-C01
• Thời gian: 170 phút
• Số câu: 65 câu (50 câu tính điểm, 15 câu không tính điểm)
• Điểm đậu: 750/1000
• Lệ phí tham khảo: 300 USD
• Kinh nghiệm khuyến nghị: 5 năm làm mạng, trong đó 2 năm với mạng AWS và mạng hybrid

Đây là kỳ thi khó nhất trong nhóm mạng của AWS. Đề thiên về tình huống dài, nhiều ràng buộc, thường có hai đáp án chạy được và chỉ một đáp án đúng yêu cầu (chi phí thấp nhất, ít thao tác vận hành nhất, hoặc băng thông đảm bảo).

2. NỘI DUNG ÔN TẬP THEO 4 DOMAIN

Domain 1: Network Design (30%)

• Thiết kế VPC nhiều tầng: CIDR, subnet, route table, IPv6, secondary CIDR.
• Kết nối hybrid: Direct Connect (dedicated và hosted), Site-to-Site VPN, Direct Connect Gateway.
• Transit Gateway: route table, attachment, phân vùng mạng, inter-Region peering.
• VPC Peering so với Transit Gateway so với PrivateLink — khi nào chọn cái nào.
• DNS: Route 53 public/private hosted zone, Resolver endpoint (inbound/outbound), Resolver rule, DNS forwarding hai chiều với on-premises.
• Thiết kế nhiều tài khoản, nhiều Region; mạng tập trung (centralized egress, centralized inspection).
• Băng thông, MTU, jumbo frame (9001 byte trong VPC), giới hạn throughput theo loại instance.
• Load balancing: ALB, NLB, GWLB; CloudFront, Global Accelerator.

Domain 2: Network Implementation (26%)

• Cấu hình BGP cho Direct Connect và VPN: ASN, MD5 authentication, prefix advertisement.
• Ảnh hưởng của AS_PATH, local preference, BGP communities (7224:7100/7200/7300) tới việc chọn đường.
• Link Aggregation Group (LAG), Direct Connect resiliency: maximum resiliency, high resiliency.
• VPN: static route so với BGP; ECMP; accelerated Site-to-Site VPN.
• Triển khai bằng CloudFormation; tự động hoá cấu hình mạng.
• VPC endpoint: Gateway endpoint (S3, DynamoDB) so với Interface endpoint (PrivateLink).
• Route propagation, route priority: longest prefix match thắng trước, rồi static, rồi DX, rồi VPN.

Domain 3: Network Management and Operation (20%)

• VPC Flow Logs: đọc được từng trường, phân biệt ACCEPT/REJECT, chẩn đoán bằng flow log.
• Route 53 Resolver query logging; CloudWatch metric cho DX, VPN, TGW, NAT.
• Reachability Analyzer và Network Access Analyzer — hai công cụ rất hay xuất hiện trong câu chẩn đoán.
• Traffic Mirroring để bắt gói.
• Transit Gateway Network Manager; Direct Connect monitoring (BGP state, optical signal).
• Khắc phục sự cố: MTU mismatch, asymmetric routing, overlapping CIDR, DNS resolution hỏng, SG/NACL chặn.

Domain 4: Network Security, Compliance, and Governance (24%)

• Security Group (stateful) và Network ACL (stateless) — ứng dụng ở tầng nào.
• AWS Network Firewall: stateful/stateless rule group, Suricata rule, deployment model tập trung.
• AWS WAF: web ACL, rule group, rate-based rule; gắn vào ALB, CloudFront, API Gateway.
• Shield Standard và Shield Advanced; bảo vệ DDoS.
• Gateway Load Balancer để chèn thiết bị kiểm tra của hãng thứ ba.
• Mã hoá đường truyền: MACsec trên Direct Connect, IPsec cho VPN, TLS; ACM và ACM Private CA.
• Giám sát tuân thủ: Config rule cho mạng, Firewall Manager quản lý tập trung nhiều tài khoản.

3. KIẾN THỨC TRỌNG TÂM

A. Ba cách nối VPC — bảng quyết định

Câu hỏi có cụm "overlapping CIDR" → gần như luôn là PrivateLink.

B. Thứ tự ưu tiên route trong VPC

1. Longest prefix match (tiền tố dài nhất) thắng trước tất cả.
2. Nếu cùng độ dài tiền tố: static route thắng propagated route.
3. Nếu cùng là propagated: Direct Connect BGP → VPN static → VPN BGP.

Đề hay cho một route table có cả DX và VPN cùng quảng bá một prefix rồi hỏi lưu lượng đi đường nào.

C. Direct Connect — mức độ dự phòng

Đề hỏi "cần SLA 99,99%" → phải là maximum resiliency, không phải chỉ hai đường.

D. DNS hybrid — hai chiều khác nhau

Phải nhớ đúng chiều — đây là chỗ sai nhiều nhất trong domain DNS.

E. Chọn công cụ chẩn đoán

4. LỘ TRÌNH ÔN TẬP 21 NGÀY

5. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

6. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Guide ANS-C01: https://docs.aws.amazon.com/aws-certification/latest/advanced-networking-specialty-01/advanced-networking-specialty-01.html
• Trang chứng chỉ: https://aws.amazon.com/certification/certified-advanced-networking-specialty/
• AWS Skill Builder: https://skillbuilder.aws/
• Hybrid Connectivity whitepaper: https://docs.aws.amazon.com/whitepapers/latest/hybrid-connectivity/welcome.html
• Building a Scalable and Secure Multi-VPC AWS Network Infrastructure: https://docs.aws.amazon.com/whitepapers/latest/building-scalable-secure-multi-vpc-network-infrastructure/welcome.html

Lưu ý: Tỉ lệ 4 domain lấy từ Exam Guide ANS-C01 chính thức của AWS, tra ngày 03/10/2026. AWS sửa exam guide định kỳ và công bố trước ít nhất một tháng — đối chiếu lại trước khi đặt lịch thi.