Implementar y administrar redes virtuales
El dominio 4 de AZ-104 supone entre el 15 y el 20% del examen. En EarnYourCert tienes 119 preguntas originales de este dominio, todas con explicación: 80 de opción múltiple, 21 de sí o no y 18 de completar u ordenar, como en el examen real.
Qué entra en este dominio
- 4.1Configurar y administrar redes virtuales42 preguntas
- 4.2Configurar el acceso seguro a redes virtuales41 preguntas
- 4.3Configurar la resolución de nombres y el equilibrio de carga36 preguntas
Preguntas de ejemplo del dominio 4
8 preguntas de nuestro banco de 119 para este dominio. Intenta responder antes de ver la solución.
1. ¿Qué herramienta de Azure Network Watcher permite comprobar si el tráfico entre dos máquinas virtuales (o entre una VM y un endpoint) está siendo permitido o bloqueado, y por qué regla de NSG?
- Azure Bastion, para conexión RDP/SSH sin IP pública
- Topología de red, que muestra un mapa visual de los recursos
- Diagnóstico de arranque, que muestra capturas de la consola serie
- Verificación de flujo de IP (IP flow verify)
Ver respuesta
Respuesta correcta: D. IP flow verify de Network Watcher comprueba si un paquete con un origen, destino, puerto y protocolo determinado se permite o deniega, indicando además qué regla de seguridad (NSG) está aplicando esa decisión.
2. En una topología hub-and-spoke, ¿cuál es el propósito principal del VNet hub?
- Alojar todas las cargas de trabajo de producción y desarrollo de la organización en un espacio de red centralizado y seguro
- Alojar servicios compartidos como firewall, DNS y puerta de enlace VPN, conectando los spokes a través de peering
- Actuar como punto de peering transitivo automático entre los VNets spoke eliminando la necesidad de UDRs adicionales
- Proveer conectividad directa de baja latencia entre todos los spokes mediante rutas del sistema de Azure sin pasar por el hub
Ver respuesta
Respuesta correcta: B. En la topología hub-and-spoke, el hub centraliza servicios compartidos como firewall, DNS, puertas de enlace VPN o ExpressRoute. Los spokes alojan cargas de trabajo individuales y se conectan al hub mediante peering. El tráfico entre spokes pasa por el hub, que aplica las políticas de seguridad y enrutamiento centralizadas.
3. ¿Cuál es el ancho de banda mínimo disponible en un circuito ExpressRoute?
- 10 Mbps
- 50 Mbps
- 100 Mbps
- 1 Gbps
Ver respuesta
Respuesta correcta: B. Los circuitos ExpressRoute están disponibles desde 50 Mbps hasta 100 Gbps. El ancho de banda mínimo es 50 Mbps. Las opciones disponibles incluyen: 50 Mbps, 100 Mbps, 200 Mbps, 500 Mbps, 1 Gbps, 2 Gbps, 5 Gbps, 10 Gbps y 100 Gbps.
4. ¿Qué protocolo VPN de punto a sitio es el más recomendado para clientes no Windows porque es multiplataforma (Windows, macOS, Linux, iOS, Android)?
- SSTP (Secure Socket Tunneling Protocol)
- IKEv2
- OpenVPN
- L2TP/IPsec
Ver respuesta
Respuesta correcta: C. OpenVPN es el protocolo de código abierto basado en TLS que funciona en todas las plataformas principales: Windows, macOS, Linux, iOS y Android. SSTP es exclusivo de Windows. IKEv2 funciona en Windows, macOS e iOS pero tiene soporte limitado en Linux y Android. OpenVPN también es el único que admite autenticación con Azure AD.
5. ¿Qué característica de Azure Firewall permite bloquear el tráfico hacia dominios maliciosos conocidos automáticamente, sin necesidad de crear reglas manuales?
- Reglas de aplicación con FQDN wildcard
- Inteligencia sobre amenazas (Threat Intelligence)
- Reglas de red basadas en etiquetas de servicio
- Políticas de firewall jerárquicas
Ver respuesta
Respuesta correcta: B. La característica de Threat Intelligence (inteligencia sobre amenazas) de Azure Firewall usa la fuente de amenazas de Microsoft para identificar y bloquear automáticamente el tráfico hacia IPs y FQDNs maliciosos conocidos. Puede configurarse en modo Alertar o Alertar y denegar, sin necesidad de crear reglas manuales para cada amenaza.
6. Una aplicación global necesita servir contenido estático desde ubicaciones cercanas a los usuarios en todo el mundo, junto con balanceo de carga de capa 7, WAF y aceleración mediante una red de distribución de contenido (CDN) integrada. ¿Qué servicio de Azure es el más adecuado?
- Azure Front Door
- Azure Load Balancer interno
- NAT Gateway
- Zona DNS privada
Ver respuesta
Respuesta correcta: A. Azure Front Door es un servicio global de entrega de aplicaciones que opera en capa 7, combinando balanceo de carga global, enrutamiento inteligente, aceleración de contenido mediante CDN integrada y Web Application Firewall (WAF), ideal para aplicaciones web globales.
7. Un administrador necesita que las sesiones de un usuario concreto sean siempre dirigidas al mismo servidor backend (afinidad de sesión). ¿Qué modo de distribución debe configurar en el Load Balancer de Azure?
- Distribución de 5 tuplas (predeterminado)
- Afinidad de IP de origen (2 o 3 tuplas)
- Round-robin ponderado
- Distribución por menor número de conexiones
Ver respuesta
Respuesta correcta: B. El modo de afinidad de IP de origen (Source IP affinity) usa 2 tuplas (IP origen + IP destino) o 3 tuplas (IP origen + IP destino + protocolo) para garantizar que las sesiones de un mismo cliente siempre se dirijan al mismo backend. El modo de 5 tuplas predeterminado también incluye el puerto origen, por lo que distintas sesiones del mismo cliente pueden ir a backends diferentes.
8. En Azure Application Gateway, ¿qué componente permite enrutar el tráfico a diferentes pools de backend según el path de la URL (por ejemplo, /images/* a un pool y /api/* a otro)?
- Listener básico (Basic listener) con una regla de enrutamiento simple que redirige todo el tráfico al pool backend predeterminado
- Regla de enrutamiento basada en path (Path-based routing rule)
- Sondeo de estado personalizado (Custom health probe) con rutas HTTP configuradas por aplicación
- Configuración de SSL offloading con terminación TLS en el gateway y reenvío HTTP sin cifrar al backend
Ver respuesta
Respuesta correcta: B. Las reglas de enrutamiento basadas en path (path-based routing) de Application Gateway permiten definir un mapa de URL paths donde cada path o patrón se asocia a un pool de backend específico. Por ejemplo, /images/* se enruta al pool de servidores de imágenes y /api/* al pool de la API. Requieren un listener multi-sitio o básico con regla de tipo 'path-based'.