Test del módulo · Semana 3

Test: Redes en Google Cloud (I): VPC, firewall y balanceo de carga

Preguntas al estilo del examen. Contesta, pulsa «Comprobar» y lee siempre la explicación, también cuando aciertes: ahí está lo que de verdad se aprende.

16 preguntasComprobadas: 0/16

1. Una empresa va a desplegar su primera carga de producción en Google Cloud. En el futuro conectará la nube con su centro de datos, que usa varios rangos dentro de 10.128.0.0/16, y quiere controlar en qué regiones existen subredes. ¿Qué diseño de VPC es el más adecuado?

A. Usar la red default del proyecto y borrar las reglas de firewall que abren SSH y RDPB. Crear una VPC en modo automático y convertirla a modo personalizado cuando se conecte el centro de datosC. Crear una VPC en modo personalizado con subredes solo en las regiones necesarias y rangos que no se solapen con el centro de datosD. Crear una VPC por región en modo automático y unirlas con VPC Network Peering

2. En una VPC existen dos reglas de entrada que afectan a las mismas VMs: una deniega tcp:22 desde 0.0.0.0/0 con prioridad 1000 y otra permite tcp:22 desde 35.235.240.0/20 con prioridad 900. ¿Qué ocurre con una conexión SSH que llega por IAP desde 35.235.240.5?

A. Se deniega, porque las reglas deny siempre prevalecen sobre las allowB. Se permite, porque la regla allow tiene un número de prioridad menor y por tanto se evalúa antesC. Se deniega, porque la regla con prioridad 1000 es la de mayor prioridadD. Se permite solo si además existe una regla de salida que permita el tráfico de vuelta

3. El equipo de seguridad de una aseguradora quiere que solo las VMs del nivel de aplicación puedan conectarse a las VMs de base de datos en el puerto 5432. Los desarrolladores tienen permiso para editar las VMs de la aplicación, pero no deben poder dar acceso a la base de datos a otras VMs. ¿Qué debes configurar?

A. Una regla de entrada con etiqueta de red de origen app y etiqueta de destino dbB. Una regla de entrada que permita el rango de la subred de aplicación hacia todas las instanciasC. Una regla de entrada con la cuenta de servicio de la aplicación como origen y la cuenta de servicio de la base de datos como destinoD. Una regla de salida en las VMs de base de datos que deniegue todo salvo el puerto 5432

4. Una organización con 300 proyectos quiere garantizar que ninguna VM acepte tráfico RDP desde Internet, sin excepciones, y que los administradores de los proyectos no puedan anular esa regla. ¿Qué solución cumple el requisito con menos esfuerzo operativo?

A. Una política de firewall jerárquica asociada a la organización con una regla deny para tcp:3389 desde 0.0.0.0/0B. Una regla de firewall VPC deny en cada VPC de cada proyecto, gestionada con TerraformC. Una política de organización que prohíba las IP externas en las VMsD. Una política de Cloud Armor aplicada a todos los balanceadores de carga

5. Unas VMs sin IP externa procesan ficheros que leen de Cloud Storage y escriben en BigQuery. Además deben descargar parches semanales de un repositorio público de Internet. La empresa quiere que el tráfico hacia las APIs de Google no salga a Internet. ¿Qué dos acciones debes realizar? (Elige dos)

A. Asignar IP externas efímeras a las VMsB. Activar Private Google Access en la subred de las VMsC. Configurar Cloud NAT en la región de las VMsD. Crear un VPC Network Peering con la red de GoogleE. Crear una ruta estática hacia Cloud Storage con siguiente salto en una VM proxy

6. Una aplicación en GKE con nodos privados debe llamar a la API de un banco que solo acepta peticiones de un máximo de dos IP registradas previamente. ¿Qué debes hacer?

A. Asignar una IP externa estática a cada nodo del clústerB. Configurar Private Google Access en la subred de los nodosC. Publicar la aplicación con un external passthrough Network Load Balancer con IP estáticaD. Configurar Cloud NAT con asignación manual de dos IP externas estáticas reservadas

7. Una plataforma de comercio electrónico tiene usuarios en Europa, América y Asia. Su web HTTPS corre en MIG en tres regiones. Quieren una única IP pública, que cada usuario llegue al backend sano más cercano y cachear imágenes y hojas de estilo. ¿Qué solución recomiendas?

A. Tres regional external Application Load Balancers y registros DNS con geolocalizaciónB. Un global external Application Load Balancer con los tres MIG como backends y Cloud CDN activadoC. Un external passthrough Network Load Balancer en cada región con Cloud CDND. Un global external proxy Network Load Balancer con terminación TLS

8. Un estudio de videojuegos aloja servidores de partidas en una región. El protocolo del juego usa UDP y los servidores necesitan conocer la IP real de cada jugador para aplicar sus propias listas de bloqueo. ¿Qué balanceador de carga debe usar?

A. External passthrough Network Load BalancerB. Global external Application Load BalancerC. Regional external proxy Network Load BalancerD. Regional internal Application Load Balancer

9. Una empresa tiene varios microservicios HTTP en GKE en una única región. Solo deben ser accesibles desde otras cargas de la misma VPC y necesitan enrutamiento por ruta (/pedidos a un servicio, /clientes a otro) y reintentos automáticos. ¿Qué balanceador es el adecuado?

A. Internal passthrough Network Load BalancerB. Global external Application Load Balancer con Cloud Armor restringiendo las IP a la VPCC. Regional internal Application Load BalancerD. Regional internal proxy Network Load Balancer

10. Tras crear un global external Application Load Balancer con un MIG de backend, todas las peticiones devuelven error 502 y la consola muestra las instancias como no saludables. Las VMs responden correctamente en el puerto 80 cuando te conectas por SSH. ¿Cuál es la causa más probable?

A. Las VMs no tienen IP externaB. Falta Cloud NAT en la región del MIGC. El balanceador necesita una subred solo de proxy en la regiónD. No hay una regla de firewall que permita el tráfico de los rangos de comprobación de estado de Google hacia el puerto 80

11. Una aplicación web pública detrás de un global external Application Load Balancer sufre intentos de inyección SQL y ráfagas de peticiones desde algunas IP que degradan el servicio. Quieren mitigarlo sin modificar el código. ¿Qué dos medidas aplicarías? (Elige dos)

A. Una política de Cloud Armor con la regla WAF preconfigurada de inyección SQLB. Una regla de firewall VPC que deniegue las IP atacantes hacia las VMsC. Una regla de Cloud Armor de rate limiting (throttle o rate-based ban) por IPD. Cambiar el balanceador a un external passthrough Network Load BalancerE. Activar Cloud CDN en modo FORCE_CACHE_ALL

12. Por motivos legales, un medio de comunicación debe impedir el acceso a su web desde ciertos países. La web se sirve con un global external Application Load Balancer. ¿Cuál es la forma más sencilla de cumplirlo?

A. Crear reglas de firewall VPC con los rangos IP publicados de esos paísesB. Crear una regla de Cloud Armor que deniegue las peticiones cuyo origin.region_code coincida con esos paísesC. Configurar Cloud DNS con políticas de geolocalización que no respondan a esos paísesD. Desplegar el balanceador en nivel Standard para limitar el tráfico a una región

13. Una empresa sirve una aplicación de informes desde una única región europea a usuarios que están en esa misma zona. Toleran algo más de latencia y quieren reducir el coste de la salida a Internet, que es su mayor partida de red. No usan Cloud CDN. ¿Qué recomiendas?

A. Mantener el nivel Premium y activar Cloud CDN para reducir la salidaB. Mover la aplicación a varias regiones con un balanceador globalC. Usar el nivel de red Standard con un regional external Application Load BalancerD. Configurar Cloud NAT para abaratar la salida

14. Un clúster GKE nativo de VPC no puede añadir más nodos: los nodos nuevos quedan sin arrancar por falta de direcciones para Pods. La subred tiene un rango primario /20 con muchas IP libres. ¿Cuál es la causa y cómo se soluciona?

A. El rango primario es demasiado pequeño; hay que ampliarlo con expand-ip-rangeB. Faltan rutas estáticas hacia los Pods; hay que crear una por nodoC. El clúster debe pasarse a modo basado en rutas para usar el rango primarioD. El rango secundario de Pods está agotado; hay que añadir un rango de Pods adicional (multi-Pod CIDR) o dimensionarlo mayor

15. Una empresa quiere que sus VMs de producción resuelvan nombres internos como db.prod.interno sin que esos registros sean visibles en Internet, y que las VMs de desarrollo, en otra VPC del mismo proyecto, no puedan resolverlos. ¿Qué configuras?

A. Una zona pública de Cloud DNS con DNSSEC activadoB. Una zona privada de Cloud DNS autorizada solo para la VPC de producciónC. Una zona de reenvío hacia los servidores DNS de desarrolloD. Entradas en el fichero hosts de cada VM gestionadas por un script de arranque

16. Una plataforma de formación vende cursos en vídeo almacenados en Cloud Storage. Quiere entregarlos con baja latencia a alumnos de todo el mundo y que solo los alumnos que han pagado puedan descargarlos durante un tiempo limitado. ¿Qué arquitectura recomiendas?

A. Un global external Application Load Balancer con un backend bucket, Cloud CDN activado y URL firmadasB. Hacer público el bucket y compartir los enlaces solo con los alumnosC. Un regional external Application Load Balancer por continente con Cloud ArmorD. Replicar el bucket en varias regiones y usar un external passthrough Network Load Balancer