PRACTICE練習問題

Advanced Networking Specialty（ANS-C01）の練習問題 100問

Transit Gateway・Direct Connect・ハイブリッド DNS。ネットワーク基礎（領域B）の理解が直接効く。2026年12月31日で受験の受付を終える予定（取得済みの認定は3年有効）。 この問題は、執筆者が公式ドキュメントを出典に一から作った独自問題です。本試験の問題の再現・転載ではありません。各問に公式ドキュメントの出典を付けています。

受験日から逆算して計画する（学習プラン） ／ 試験の版・時間・受験料（AWS 認定の一覧） ／ 関連する記事: AWS Direct Connect とは何か｜接...・マルチアカウントのネットワーク設計｜Transit...・Amazon CloudFront とは何か｜エッ...

WHAT'S INSIDE

ANS-C01 の練習問題 100問の分野と扱うサービス

ANS-C01 の試験ガイドが示す分野ごとに問題を分けています。問題数は分野の配分に合わせたもので、どの分野も公式ドキュメントを出典に作っています。

分野	問題数	多く扱うサービス
ネットワーク設計	30問	AWS Direct Connect、AWS Transit Gateway、Amazon VPC、Amazon Route 53、Elastic Load Balancing
ネットワークの実装	26問	Amazon VPC、AWS Transit Gateway、AWS Direct Connect、AWS Site-to-Site VPN、AWS CloudFormation
ネットワークの管理と運用	20問	Amazon VPC、Amazon CloudWatch、AWS Site-to-Site VPN、Amazon EC2、AWS Transit Gateway
ネットワークのセキュリティとガバナンス	24問	Amazon VPC、AWS Network Firewall、AWS Config、Elastic Load Balancing、Amazon Route 53

SAMPLE QUESTIONS

ANS-C01 の見本の問題（分野ごとに1問）

全100問のうち、分野ごとに1問を答えと解説つきで載せています。残りの問題は、上の4つのモードから解けます。

ネットワーク設計ANS-C01 #1

東京・大阪・シンガポールの3リージョンにそれぞれ1つずつ VPC（仮想プライベートゲートウェイをアタッチ済み）を持つ製薬会社が、本社データセンターから1本の Direct Connect 専用接続だけで3つの VPC すべてにプライベート IP で到達したいと考えています。追加で用意する回線や仮想インターフェイスを最小にする構成はどれですか？

• Aリージョンごとに Direct Connect 接続を1本ずつ追加で契約し、それぞれのリージョンの VPC の仮想プライベートゲートウェイにプライベート仮想インターフェイスを作成する
• BDirect Connect ゲートウェイを作成し、1つのプライベート仮想インターフェイスをそれに接続して、3つの仮想プライベートゲートウェイを関連付ける
• Cパブリック仮想インターフェイスを作成し、その上で各 VPC へ Site-to-Site VPN を張る
• D東京の VPC にだけプライベート仮想インターフェイスを接続し、東京の VPC と他の2つの VPC を VPC ピアリングでつなぐ

答えと解説を見る

正解: B

Direct Connect ゲートウェイはグローバルなリソースで、1つのプライベート VIF から別リージョン・別アカウントの複数の仮想プライベートゲートウェイへ到達できます。回線をリージョンごとに増やす案はコスト増です。VPC ピアリングは推移的ルーティングをサポートしないため、東京経由で他の VPC へは到達できません。

公式の出典

• Direct Connect gateways
• How VPC peering connections work

ネットワークの実装ANS-C01 #31

あるサブネットのルートテーブルに、10.0.0.0/8 宛てで Transit Gateway を指すルートと、10.1.2.0/24 宛てで VPC ピアリング接続を指すルートがあります。このサブネットのインスタンスが 10.1.2.10 へ送信したとき、パケットはどこへ転送されますか？

• ATransit Gateway（先に追加されたルートが優先されるため）
• BTransit Gateway と VPC ピアリング接続に均等に分散される
• CVPC ピアリング接続（より長いプレフィックスに一致するため）
• D宛先が重複しているため破棄される

答えと解説を見る

正解: C

VPC のルートテーブルは、宛先に一致するルートのうち最も具体的なもの（最長プレフィックス一致）を使います。10.1.2.10 は /8 と /24 の両方に一致しますが、/24 のほうが具体的なので VPC ピアリング接続へ転送されます。追加した順序は関係せず、重なりがあっても破棄や分散は起きません。

公式の出典

• How route priority works

ネットワークの管理と運用ANS-C01 #57

アプリケーションサーバーから別サブネットのデータベースに接続できないという問い合わせがありました。実際にパケットを送らずに、送信元から宛先までの経路を構成情報から分析し、どのセキュリティグループやルートが通信を妨げているかを特定したい場合、最も適したツールはどれですか？

• AReachability Analyzer
• BNetwork Access Analyzer
• CVPC Traffic Mirroring
• DVPC フローログ

答えと解説を見る

正解: A

Reachability Analyzer は指定した送信元と宛先の間の到達可能性を構成情報から静的に分析し、到達できない場合は原因となっているコンポーネント（セキュリティグループ、ネットワーク ACL、ルートテーブルなど）を示します。Network Access Analyzer は要件に反する経路の洗い出し用です。フローログやミラーリングは実際のトラフィックが必要です。

公式の出典

• What is Reachability Analyzer?

ネットワークのセキュリティとガバナンスANS-C01 #77

Web サーバーのアクセスログから、特定の IP アドレス範囲からの攻撃的なスキャンが続いていることがわかりました。この範囲からサブネットへの通信を、サブネットの境界で明示的に拒否したい場合、最も適した方法はどれですか？

• Aネットワーク ACL に、許可より小さい番号で拒否ルールを追加する
• Bインスタンスのセキュリティグループに、その範囲を拒否するルールを追加する
• Cサブネットのルートテーブルで、その範囲をブラックホールに向ける
• DNetwork Load Balancer に AWS WAF を関連付けて拒否する

答えと解説を見る

正解: A

ネットワーク ACL は許可と拒否の両方のルールを持ち、番号の小さいルールから評価されるため、拒否ルールを許可ルールより前に置けばその範囲を遮断できます。セキュリティグループは許可ルールしか書けません。VPC のルートテーブルでは任意の宛先をブラックホールにできず、AWS WAF は Network Load Balancer に関連付けられません。

公式の出典

• Control subnet traffic with network access control lists
• Control traffic to your AWS resources using security groups

READ FIRST

ANS-C01 の論点を記事で読む

• AWS Direct Connect とは何か｜接続・VIF・DX ゲートウェイの役割と VPN との違いを設計の言葉で
• マルチアカウントのネットワーク設計｜Transit Gateway と PrivateLink と専用線の選び方
• Amazon CloudFront とは何か｜エッジ・オリジン・キャッシュ・OAC の関係を1本で
• VPC とは何か｜サブネット・ルートテーブル・ゲートウェイ・セキュリティグループと NACL の関係を1枚で