Roteiro AWS Advanced Networking Specialty (ANS-C01) 2026

Se você vai realizar o AWS Advanced Networking Specialty (ANS-C01) em 2026, pare de tratá-lo como um exame de memorização. É um exame de design e troubleshooting disfarçado de certificação. O blueprint recompensa engenheiros que entendem como o networking da AWS se comporta sob falha, escala, sobreposição, assimetria de roteamento, conectividade híbrida e pressão de governança. Na prática, seu sucesso depende de três coisas: dominar os domínios do exame, construir “memória muscular” prática em torno de Transit Gateway, AWS Cloud WAN e Direct Connect, e encarar o exame com um framework de decisão em vez de esperar que a resposta correta “pareça familiar.”

Minha opinião: se você consegue explicar com confiança por que uma rota não se propaga, por que um anexo de Direct Connect Gateway se comporta de forma diferente de um anexo TGW, quando o Cloud WAN é a abstração correta e como depurar problemas de MTU e BGP sem adivinhação, você está pronto. Se não, você ainda está em modo de estudo.

1) O que o ANS-C01 realmente testa em 2026

O blueprint do ANS-C01 ainda se concentra em redes híbridas avançadas, design de arquitetura de rede, implementação e migração de rede, segurança e automação/otimização. Em 2026, a ênfase prática permanece no control plane da AWS, além dos comportamentos de redes corporativas reais. Isso significa que você deve esperar perguntas sobre propagação de rotas, segmentação, CIDRs sobrepostos, failover BGP, exceções de multicast, resolução de DNS através de fronteiras híbridas, conectividade privada para serviços AWS e traffic engineering através de múltiplas Regions e contas.

Não estude isso como um catálogo de serviços. Estude como um exame de sistemas. Os autores dos testes adoram cenários onde três respostas parecem plausíveis até você notar uma restrição oculta: roteamento transitivo, inserção de inspeção, limites de anexos, caminhos de retorno assimétricos ou a diferença entre políticas de rede centralizadas e distribuídas. O ANS-C01 também é um exame de pressão de tempo, então você precisa de reconhecimento de padrões para topologias comuns:

• Hub-and-spoke com AWS Transit Gateway (TGW)
• Segmentação global com AWS Cloud WAN
• Conectividade híbrida privada com AWS Direct Connect, DX Gateway e Site-to-Site VPN
• Arquiteturas de inspeção usando AWS Network Firewall, Gateway Load Balancer e egress centralizado
• Governança multi-account via AWS Organizations, AWS RAM e controles de domínio de rota

Até 2026, a AWS amadureceu o stack de networking o suficiente para que o exame espere que você saiba o que pertence a cada lugar. O TGW ainda é a peça principal para roteamento corporativo em uma Region. O Cloud WAN é a abstração de política de nível superior e conectividade global quando você deseja segmentação global gerenciada e políticas multi-Region mais simples. O Direct Connect ainda é o padrão ouro para conectividade privada previsível, mas apenas se você entender BGP, redundância e onde encerrar o tráfego.

2) Plano de estudo focado no blueprint: o que aprender e em que ordem

Comece com o blueprint, mas não o leia linearmente como documentação. Construa seu estudo em torno das dependências. Se seus fundamentos de roteamento são fracos, todo o resto se torna trivial. Aqui está a ordem que eu recomendo:

1. Networking Core: TCP/IP, planejamento de CIDR, BGP, sumarização de rotas, NAT, MTU, fragmentação e DNS.
2. Fundamentos de AWS VPC: subnets, route tables, security groups, NACLs, VPC endpoints, PrivateLink e comportamento do resolver.
3. Transit Gateway: anexos, route tables, propagação, associação, appliance mode, limitações de multicast e peering inter-Region.
4. Direct Connect: virtual interfaces, DX Gateway, links redundantes, design de failover, BGP communities, MACsec em circuitos suportados e padrões de DNS híbridos.
5. Cloud WAN: core network, segments, policy documents, edge locations, anexos e como ele simplifica a governança entre Regions/contas.
6. Segurança e inspeção: AWS Network Firewall, Gateway Load Balancer, ingress/egress centralizados e simetria de tráfego.
7. Automação e observabilidade: CloudFormation, Terraform 1.9+, AWS CLI v2, Reachability Analyzer, VPC Flow Logs, Network Manager e CloudWatch.

Se você tentar aprender Cloud WAN antes de realmente entender o TGW, você vai memorizar buzzwords e falhar nas perguntas de cenário. Cloud WAN não é “TGW, mas mais sofisticado”. É um modelo de rede global orientado por políticas que muda a forma como você pensa sobre segmentação, intenção de rota e escala operacional. Da mesma forma, as perguntas de Direct Connect geralmente punem pessoas que sabem o nome do produto, mas não o modo de falha. Um único link DX não é resiliência. Uma public virtual interface não é o mesmo que uma private one. Um DX Gateway não é um roteador.

Principais produtos e versões a saber

Para 2026, seja preciso com as ferramentas e referências de plataforma atuais: AWS CLI v2, AWS CDK v2, Terraform 1.9 ou mais recente, Python 3.12 para scripting e plataformas de ponta empresarial contemporâneas, como Cisco Catalyst 8000V, Cisco IOS XE em Catalyst 8300/8500, Juniper MX Series rodando Junos 24.x e Fortinet FortiGate-VM 7.4/7.6, onde você modela appliances de inspeção de terceiros. No lado da AWS, saiba AWS Network Firewall, Transit Gateway, Cloud WAN, Direct Connect, Route 53 Resolver, VPC Lattice para contexto de conectividade de serviço e CloudWatch Network Monitoring onde for relevante.

3) TGW, Cloud WAN e Direct Connect: o verdadeiro core do exame

Estes três tópicos respondem pela maioria das perguntas difíceis. Você precisa internalizar não apenas o que eles fazem, mas qual deles resolve qual classe de problema.

Transit Gateway

TGW é o seu hub de roteamento regional. É ideal quando você precisa de um design hub-and-spoke escalável através de múltiplas VPCs, VPNs e anexos de Direct Connect, com route tables usadas para controlar a segmentação. O exame adora perguntar sobre propagação versus associação. Se você confundir isso, escolherá a resposta errada. A propagação decide quais rotas um anexo anuncia em uma route table do TGW. A associação decide qual tabela um anexo usa para o encaminhamento.

Domine o appliance mode. Se você centraliza firewalls ou appliances NAT e precisa de tráfego de retorno simétrico através do mesmo anexo, o appliance mode é importante. Saiba que TGW não é um roteador tradicional com policy maps arbitrários; é uma fabric de roteamento gerenciada pela AWS com restrições. Também saiba que o peering TGW inter-Region não é transitivo e não cria magicamente uma malha global.

Cloud WAN

Cloud WAN é a resposta quando a pergunta é sobre “política global, governança centralizada, muitas contas, muitas Regions e complexidade operacional reduzida”. Ele usa uma core network e segments para controlar a intenção do tráfego. Isso é especialmente atraente quando você deseja expressar a segmentação em um nível superior do que unir múltiplos TGWs manualmente. Mas não o exalte demais. Em muitos ambientes reais, o TGW ainda ancora o lado da workload na VPC, enquanto o Cloud WAN se torna o control plane de política e roteamento acima dele. O exame pode testar se você reconhece o Cloud WAN como o modelo operacional mais simples para grandes redes distribuídas, não um substituto obrigatório para o TGW.

Cloud WAN frequentemente aparece em perguntas sobre fusões, expansão global ou equipes de rede que precisam aplicar políticas consistentemente entre unidades de negócio. Se o prompt menciona muitas contas, segmentação consistente e um desejo de reduzir o sprawl de route tables, Cloud WAN deve estar na sua lista de prioridades.

Direct Connect

Direct Connect é onde o exame se torna mais exigente. Você deve saber a diferença entre conectividade dedicada e hospedada, o papel das localizações e parceiros de DX, public versus private virtual interfaces, e como o Direct Connect Gateway estende o alcance para múltiplas VPCs ou Regions através de padrões de conectividade privada. Você também precisa dos fundamentos de BGP: seleção de ASN, preferência de rota, comportamento de failover e como a AWS e os roteadores on-premise convergem.

Para 2026, os cenários do exame empresarial refletem cada vez mais a prática de Edge moderna: circuitos duplos redundantes, caminhos diversos, MACsec onde suportado e designs híbridos que combinam DX com Site-to-Site VPN para backup. Saiba por que um backup VPN sobre a Internet pode ser aceitável para resiliência do control plane, mas não para workloads sensíveis à latência. Saiba quando private VIF para TGW via DX Gateway é preferível a anexar tudo diretamente a uma única VPC. E lembre-se que “mais largura de banda” não é “mais disponibilidade”.

aws ec2 create-transit-gateway-vpc-attachment \
  --transit-gateway-id tgw-0123456789abcdef0 \
  --vpc-id vpc-0abc123def4567890 \
  --subnet-ids subnet-11111111 subnet-22222222 \
  --options ApplianceModeSupport=enable,DnsSupport=enable,Ipv6Support=enable

Esse comando não é apenas prática de sintaxe. É um lembrete de que o exame espera que você raciocine sobre quais opções de anexo são importantes para roteamento, inspeção, DNS e suporte a IPv6.

4) Um plano de laboratório que realmente constrói o julgamento para o exame

Se você leva a sério a aprovação, construa um laboratório. A leitura sozinha não vai te ensinar como o roteamento da AWS falha. Um bom laboratório não precisa ser enorme. Precisa ser deliberado. Use duas contas AWS sob AWS Organizations, se possível, uma para networking core e outra para simulação de workload. Adicione uma terceira se quiser modelar serviços compartilhados ou inspeção. Mantenha os custos controlados, mas não subestime o laboratório a ponto de toda topologia ser trivial.

Minha sequência de laboratório recomendada:

1. Semana 1: Refresher de VPC e roteamento
   Crie três VPCs, múltiplas AZs, subnets públicas/privadas, NAT Gateway, Interface VPC Endpoints, Gateway Endpoints, Route 53 Resolver inbound/outbound endpoints e um host EC2 básico de teste. Prove que você pode quebrar e consertar intencionalmente DNS e roteamento.
2. Semana 2: TGW hub-and-spoke
   Anexe pelo menos três VPCs a um TGW. Construa duas route tables no TGW: uma para serviços compartilhados e outra para isolamento de workload. Teste propagação, associação, blackhole routes e roteamento assimétrico. Verifique o caminho do tráfego usando traceroute, tcpdump e VPC Reachability Analyzer.
3. Semana 3: Inspeção e egress centralizado
   Insira AWS Network Firewall ou um appliance de terceiros atrás do Gateway Load Balancer. Habilite o appliance mode onde necessário. Confirme que a simetria de tráfego de retorno permanece estável. Simule failover e observe o que falha.
4. Semana 4: Modelo de failover Direct Connect + VPN
   Se você não puder solicitar DX, simule o design usando uma Site-to-Site VPN e estude as escolhas de roteamento que você faria em um circuito real. Se você tiver acesso a DX, construa private VIFs, conecte-se ao TGW ou DX Gateway conforme apropriado e valide o comportamento BGP.
5. Semana 5: Modelo de política Cloud WAN
   Crie uma core network, defina segments, adicione anexos e compare o modelo operacional com o TGW. Documente onde o Cloud WAN reduz a complexidade e onde ele adiciona uma nova abstração que você deve governar.

Cada exercício de laboratório deve produzir uma página de anotações: arquitetura, route tables, modo de falha e remediação. Essa disciplina de anotações é o que converte o tempo de laboratório em prontidão para o exame.

5) Estratégia para o dia do exame: como evitar desperdiçar pontos

O ANS-C01 não é ganho por conhecimento enciclopédico. É ganho por eliminação disciplinada. A maioria das perguntas contém uma resposta obviamente errada, uma tecnicamente possível, mas operacionalmente inferior, uma que funciona apenas em um cenário mais restrito e uma que melhor corresponde ao requisito declarado. Seu trabalho é identificar o requisito, não o nome do produto.

Use esta regra de decisão: se a pergunta diz global, baseado em política, múltiplas Regions, muitas contas, pense primeiro em Cloud WAN. Se diz hub regional, múltiplas VPCs, roteamento transitivo dentro de uma Region, pense primeiro em TGW. Se diz conectividade privada para on-prem, latência determinística, BGP, circuitos redundantes, pense primeiro em Direct Connect. Se diz inspecionar tráfego east-west ou north-south centralmente, pense em Network Firewall ou inserção de appliance com TGW/GWLBe.

Táticas para o dia do exame:

• Leia cada cenário duas vezes. A primeira leitura identifica a classe da arquitetura; a segunda leitura captura as restrições.
• Observe palavras como transitivo, assimétrico, CIDR sobreposto, multi-account, segmentação e alta disponibilidade.
• Não confie demais em nomes de serviços “familiares” se o requisito entrar em conflito com eles.
• Se duas respostas parecerem corretas, escolha aquela que minimiza a complexidade operacional enquanto atende ao requisito explícito.
• Não gaste cinco minutos debatendo uma única questão. Marque-a, siga em frente e retorne depois.

Além disso, seja realista sobre seu tempo. Um exame aprofundado de networking recompensa o pensamento calmo. Se você estiver apressado, perderá os detalhes sutis do controle de rota. Os candidatos mais fortes não são aqueles que conhecem mais acrônimos; são aqueles que conseguem mapear a pergunta para o control plane de rede correto.

6) Meu roteiro recomendado de 30 dias

Se você tem um mês, esta é a abordagem mais eficiente:

1. Dias 1-7: Refresque fundamentos, VPC, DNS, roteamento, NAT, BGP e conceitos básicos de Direct Connect.
2. Dias 8-14: Mergulhe fundo em TGW e construa o laboratório hub-and-spoke.
3. Dias 15-20: Estude Cloud WAN e compare-o diretamente com TGW em uma matriz: escala, governança, intenção de rota, sprawl de contas e sobrecarga operacional.
4. Dias 21-25: Estude inspeção, egress, conectividade multi-Region e failover híbrido.
5. Dias 26-28: Faça simulados cronometrados e refaça todas as perguntas erradas de memória.
6. Dias 29-30: Revise suas anotações de laboratório, memorize os limites de serviço e descanse. Não estude material novo na noite anterior.

Se você vem de um background de engenharia de rede, seu maior risco é subestimar o comportamento do control plane específico da AWS. Se você vem de engenharia de nuvem, seu maior risco é a fraca intuição de BGP e domínio de rota. Corrija ambos.

Se você quer um caminho de treinamento prático, estrutura de laboratório e uma mentalidade de planejamento desenvolvida para passar em exames AWS difíceis, comece a mapear seu plano de estudo agora e compare-o com o suporte disponível em techleague.io.

FAQ