先了解这张认证
AWS Certified Advanced Networking - Specialty（ANS-C01）在所有 AWS 认证里难度排第一，比 SAP-C02 还硬。考试 65 题、170 分钟、$300 USD，题干里 BGP AS-Path 操作、Direct Connect BGP community tag、Route 53 Resolver inbound/outbound endpoint 这类细节几乎没有"蒙对"的可能 — 你要么在生产环境真的搭过混合网络，要么就挂。
ANS-C01 在 2022 年 7 月接替 ANS-C00 上线，最大变化是去掉了 StorageGateway/WorkSpaces 这种边缘话题，把权重集中到了 Transit Gateway、Cloud WAN、Network Firewall、Gateway Load Balancer 这些 2020 年之后才 GA 的服务。考纲 4 大领域：Network Design（30%，多 VPC + 混合连接 + 全球网络）、Network Implementation（26%，VPC 高级路由 + Route 53 + ELB）、Network Management & Operations（20%，Flow Logs + Reachability Analyzer + 故障排查）、Network Security, Compliance & Governance（24%，Network Firewall + WAF + 加密传输）。
这张证的考点分布和 SAP 完全不同：SAP 考你"选哪个服务"，ANS 考你"这个服务的路由表怎么写、BGP community 怎么 tag、DNS 递归查询走哪个端点"。AWS 官方推荐 5 年以上网络实战经验 + 2 年以上 AWS 动手经验，这不是劝退话 — 是真实门槛。reddit 上通过的人普遍反馈："先拿 CCNP，再在 AWS 上跑 2 年混合网络，然后才有资格碰 ANS。" 证书有效期 3 年，到期需要重考。
考试档案
- 考试代码
- ANS-C01
- 发证机构
- AWS
- 题型
- 单选题 / 多选题
- 考试语言
- English / 日本語 / 한국어 / 简体中文
- 证书有效期
- 3 年
- 考试费
- $300
你会学到的技能
学完能做什么
- 获得 AWS 官方认可的 Advanced Networking Specialty 认证
- 掌握多 VPC、多账户和多区域网络架构设计
- 熟练配置 Transit Gateway、Direct Connect 和 VPN 混合连接
- 具备大规模 AWS 网络的监控、排障和优化能力
- 提升网络架构师岗位竞争力与高级职位机会
适合这样的你
- 设计和实施 AWS 网络架构的网络架构师
- 管理大规模 AWS 网络环境的高级网络工程师
- 负责混合云网络连接的基础设施工程师
- 希望深入 AWS 网络服务的解决方案架构师
- 已持有 AWS Associate 认证希望获得网络专项认证的学员
开始前需要什么
- 至少 2 年 AWS 网络架构设计与实施经验
- 深入理解 VPC、子网、路由表和安全组
- 了解 BGP、OSPF 等动态路由协议
- 具备混合云网络（VPN、Direct Connect）实践经验
- 建议先通过 AWS Solutions Architect Associate 或 Professional 认证
这些情况建议先考虑其他路径
- 应用层开发者和后端工程师（应该考 DVA-C02 或 SAP-C02）
- 公司 AWS 用量很小、没有真实混合网络需求的工程师
- 没有 BGP/OSPF 基础、也不打算补网络基础知识的人
- 目标是 DevOps/SRE 的工程师（应该考 DOP-C02）
- 只想"多一张证刷简历"、岗位和云网络无关的人
考试会考什么
30%网络设计
Network Design
网络设计
Network Design
26%网络实施
Network Implementation
网络实施
Network Implementation
20%网络管理与运维
Network Management and Operations
网络管理与运维
Network Management and Operations
24%网络安全、合规与治理
Network Security, Compliance, and Governance
网络安全、合规与治理
Network Security, Compliance, and Governance
一步一步，准备好考试
6 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 70h
- 有相关实操经验
- 10-14 周
- 从基础开始
- 20-28 周
- 建议日投入
- 1.5-2h
备考支持
- 6 个系统化学习章节，覆盖考试 4 大领域
- 302 道精选练习题，每题附详细解析
- 仿真模拟考试（65 题/170 分钟）
- 混合网络架构设计实战案例分析
- 错题本 + 智能复习，薄弱环节针对性突破
- 同步 AWS 官方 ANS-C01 最新考纲
1. 第零阶段：先自查网络基础（1 周）
ANS-C01 不教你 BGP 基础，默认你已经会。自查清单：能手画 BGP AS-Path 选路流程、知道 Local Preference vs MED vs AS-Path Prepending 的优先级、能解释 iBGP 和 eBGP 的区别、知道 OSPF LSA 类型。如果这些答不上来，先去补 CCNA/CCNP 的 BGP 章节（Jeremy's IT Lab 的免费 YouTube 课程最合适），否则后面学 Direct Connect BGP community 会完全听不懂。
2. 第一阶段：AWS 核心网络服务（3-4 周）
按这个顺序学：VPC（CIDR 规划、路由表、ENI、Gateway Endpoint vs Interface Endpoint）→ Transit Gateway（association / propagation / 路由表设计 / 跨 region peering）→ Direct Connect（专用连接 vs 托管连接、Private/Public/Transit VIF 的场景区别、LAG、DX Gateway）→ Site-to-Site VPN（静态 vs 动态路由、加速 VPN、与 DX 的主备组合）。Adrian Cantrill 的 ANS-C01 课程是这个阶段的首选，他讲 Transit Gateway 路由表的部分是全网最清楚的。
3. 第二阶段：Route 53 + 混合 DNS 深度专题（2 周）
这是 ANS 的第二大考点。必须搞清楚：Route 53 8 种路由策略的触发条件（Simple/Weighted/Latency/Failover/Geolocation/Geoproximity/Multivalue/IP-based）、Private Hosted Zone 的关联机制、Route 53 Resolver 的 inbound 和 outbound endpoint 完全是两回事（inbound 让 on-prem 解析 AWS 私有域名，outbound 让 AWS 解析 on-prem 域名）、DNS firewall、DNSSEC 签名链。考试里至少有 6-8 题直接考 Resolver endpoint 方向。
4. 第三阶段：Network Firewall + 安全服务（2 周）
AWS Network Firewall 的集中式 vs 分布式部署拓扑、有状态 vs 无状态规则组、Suricata 规则语法基础、Gateway Load Balancer + GENEVE 封装如何实现第三方防火墙透明插入。配合 WAF（rule group、rate-based rule、Bot Control、ACL capacity）、Shield Advanced、Firewall Manager 多账户策略。这部分题目少但细节多，错一题就是好几分。
5. 第四阶段：监控、故障排查与自动化（2 周）
VPC Flow Logs 的字段含义（特别是 action/log-status/tcp-flags）+ 用 Athena 查询的 SQL 写法、Traffic Mirroring 的会话配置、Reachability Analyzer 和 Network Access Analyzer 的区别、Transit Gateway Network Manager 的拓扑可视化。动手必做：在自己账户开一个 VPC + Flow Logs 到 S3，用 Athena 查出"被 Security Group 拒绝的流量"，这一题几乎每场考试都出。
6. 第五阶段：Tutorials Dojo 模考 + 错题本（3 周）
Jon Bonso 的 Tutorials Dojo ANS-C01 模考是唯一公认接近真题的题库（$15 左右），6 套全做完，每道错题的解析读 3 遍。目标是 3 次稳定 80% 以上才能去考。ExamTopics 上的 ANS-C01 题库可以当补充，但答案经常有错，要对照 AWS 官方文档核对。最后 1 周只做两件事：重做错题 + 看 re:Invent NET305/NET402/NET401 这三个经典演讲，它们讲的企业案例和考试场景重合度极高。
这张认证的职业价值
ANS-C01 是"高薪但窄门"的典型
持 ANS-C01 的人在美国的薪资中位数大约 $180K-$195K USD，比持 SAP 的普通云架构师高 $15K-$25K/年。原因很简单：会写 Terraform 搭 Transit Gateway hub-spoke + DX Gateway + Route 53 Resolver 的人本来就少，能同时搞定 BGP 路由策略和 AWS 网络服务的更少。澳洲市场 Telstra、NAB、Woodside 这类企业的 Senior Network Architect 岗位基本把 ANS 作为 preferred qualification，package 普遍从 $170K AUD 起谈，高的能到 $215K。
但这张证的需求面非常窄。它不像 SAA/SAP 那样几乎所有云相关岗位都认 — ANS 只在三类公司有用：
- 有大量 on-prem 资产在迁 AWS 的传统企业（银行、电信、能源、政府）。这些公司有真实的 Direct Connect + VPN 混合组网需求，招聘时会直接列 "ANS-C01 preferred"。
- AWS Professional Services / Advanced Consulting Partner。AWS 合作伙伴考评里 ANS 是加分项，有些合伙层级（Advanced/Premier）硬性要求团队里持证人数。
- 大型 SaaS 公司的 Platform/Infra 团队（Atlassian、Canva、Datadog）。他们跑的是多账户多 region 架构，需要懂 Transit Gateway 路由表精细控制和 PrivateLink 网格。
不适合的人群更多：
- 应用层开发者 / 后端工程师：日常碰不到 VPC 路由表，考下来就只能挂墙上，对薪资和晋升没帮助。应该考 DVA-C02 或 SAP-C02。
- 纯 on-prem 网络工程师（CCIE/CCNP）：如果你公司 AWS 用量很小，ANS 学的东西用不上，不如先升 CCIE。
- DevOps/SRE：更应该考 DOP-C02（DevOps Professional），ANS 的考点和你日常的 CI/CD、observability 几乎不重叠。
- 小公司/创业公司工程师：创业公司一般就一个 VPC + NAT Gateway，Transit Gateway 根本用不上，ANS 的知识没有应用场景。
一个真实的 ROI 计算：ANS 考试费 $300，加上 Cantrill 课程（$40）+ Tutorials Dojo 模考（$15）+ 大约 150 小时备考时间。如果你现在做的是应用开发，考完之后工资不会涨，时间全浪费；如果你是传统企业的网络工程师要转云，这 150 小时 + $355 能让你的简历从"on-prem 网工"变成"AWS 网络架构师"，跳槽涨幅 30-50% 是常见的。ANS 是"岗位对口就极度划算，岗位不对口就极度不划算"的证，没有中间地带。
- 美国
- USD 170,000 – 240,000
- 澳洲
- AUD 160,000 – 215,000
- 新加坡
- SGD 140,000 – 200,000
- 中国（一线）
- CNY 520,000 – 900,000
备考时，做好这些事
- **考前必须自己搭一遍 Transit Gateway hub-spoke**。不用真花钱，用 AWS Free Tier 开 3 个最小 VPC + 1 个 TGW，亲手配 association 和 propagation，用 VPC Reachability Analyzer 验证连通性。没动手过的人考场上 100% 选错路由表题。
- **母语非英语考生申请 ESL +30 分钟**。ANS 虽然题干比 SAP 短，但技术名词密度高，多 30 分钟对仔细读 CIDR 列表很有帮助。Pearson VUE 预约页面的 Accommodations 栏申请。
- **熟练使用 BGP community tag 速查表**：Direct Connect Public VIF 的 7224:7100 = 只宣告到本地 region；7224:7200 = 宣告到本 continent；7224:7300 = 全球宣告。考试里考到流量路径控制必用这三个。
- **关键词 → 服务的肌肉记忆**：看到 "on-prem 解析 VPC 私有域名" → Route 53 Resolver inbound endpoint；看到 "集中检测 east-west 流量" → Network Firewall + GWLB + appliance mode；看到 "多 region DX" → Transit VIF + DX Gateway；看到 "第三方防火墙透明插入" → Gateway Load Balancer + GENEVE；看到 "跨账户 TGW 共享" → Resource Access Manager (RAM)。
- **已有 AWS 认证可以领 50% 折扣券**。如果你持有 SAA/SAP 在有效期内，登录 AWS Certification 账户申领 voucher，ANS 考试从 $300 变成 $150。
- **双语切换核对**：中文翻译在 ANS 里比 SAP 更不可靠（很多网络术语没有准确对应词），每道题都用右上角按钮切换到英文版核对一次，尤其是 "propagation"、"association"、"endpoint"、"interface" 这几个词。
- **考前 1 周停刷新题，只过错题本**。ANS 的知识点细碎，最后 1 周应该做的是把错题本里"association 和 propagation 的区别"、"Private VIF vs Transit VIF"、"inbound vs outbound Resolver" 这类核心对比条目默写一遍，能闭眼写出来再去考。
这些误区要避开
- **混淆 VPC Peering 和 Transit Gateway 的使用场景**。Peering 是点对点、不传递路由、跨账户/跨 region 都支持但无法做集中策略；Transit Gateway 是 hub-spoke、路由表可以做精细化分段、但每 attachment 每小时收费 + 数据处理费。考试题干里出现 "3 个以上 VPC 需要互通 + 集中化管理" 必选 TGW；出现 "只有 2 个 VPC + 最低成本" 选 Peering。经常有人看到"多 VPC"就无脑选 TGW，结果题目真正问的是 "MOST cost-effective"，Peering 其实更便宜。
- **BGP 路径选择顺序记错**。AWS 考试里 BGP 选路顺序不是 Cisco 那套完整的 13 步，但以下几个是必须死记硬背的优先级：**Longest Prefix Match > Static Route > DX BGP > VPN BGP**。也就是说同一个目标 CIDR，如果 DX 和 VPN 同时存在 BGP 路由，DX 永远优先；如果想让 VPN 做主、DX 做备，不能靠 BGP attribute，必须用 more specific 的 prefix 或者 AS-Path Prepending 在 DX 侧加长。这道题几乎是必考。
- **Route 53 Resolver inbound 和 outbound endpoint 方向搞反**。记这句话：**"inbound 是从外面进来查 AWS 的私有域名；outbound 是从 AWS 出去查外面的域名。"** Inbound endpoint 给 on-prem 的 DNS server 一个 IP，让 on-prem 能解析 VPC 里的 .internal 私有域名；outbound endpoint 配 forwarding rule，把特定域名（比如 corp.example.com）转发到 on-prem DNS。两个方向都需要才能实现"双向混合 DNS 解析"。考试里至少 3-4 道题考这个方向。
- **混合 DNS 架构里忘记 on-prem DNS forwarder 的配置方向**。很多人只记得在 AWS 这边开 Resolver endpoint，忘记 on-prem 的 DNS server（BIND/Windows DNS）也需要配 conditional forwarder 指向 inbound endpoint 的 IP。考试里经常给一个 "已经开了 inbound endpoint 但 on-prem 还是解析不了 VPC 私有域名" 的场景，正确答案是 "on-prem DNS 没有配 forwarder"，不是 AWS 侧的问题。
- **Direct Connect VIF 三种类型搞混**。**Private VIF** 连到 VGW 或 DX Gateway，只能访问私有 IP（VPC 内部）；**Public VIF** 连到 AWS 公网服务（S3、DynamoDB、EC2 public IP），走 BGP 学公网前缀，需要 BGP community tag 控制流量范围；**Transit VIF** 只能连到 DX Gateway + Transit Gateway 组合，用于一个 DX 打通多个 region 的多个 TGW。考试里 "需要从 on-prem 直连访问 S3 + 不走公网" 的场景选 Public VIF；"一个 DX 访问 5 个 VPC" 的场景必须走 Private VIF + DX Gateway（不能直接挂 5 个 VGW，DX Gateway 就是为了解决这个而生的）。
- **Network Firewall 的集中式部署忘记考虑 GWLB endpoint 和路由回流**。集中式部署里，流量从 spoke VPC 经 TGW 送到 inspection VPC，经过 Network Firewall 检测后必须原路返回。漏配 appliance mode（TGW attachment 的一个开关）会导致来回流量走不同 AZ，造成 asymmetric routing 和连接失败。appliance mode 这个词在考试里出现至少 1-2 次。
- **时间分配失败**。170 分钟 / 65 题 = 2.6 分钟/题，ANS 的题干比 SAP 短但技术细节更密集，一道 Transit Gateway 路由表题可能 4 个选项都是长 CIDR 列表，看清楚就要 2 分钟。建议每 20 题看一次时间，遇到需要画拓扑的题直接 Mark + 跳过。
报名之前，你可能想问
ANS-C01 是 AWS 最难的认证考试吗？
ANS-C01 被广泛认为是 AWS 认证体系中难度最高的考试之一。它要求对网络协议（BGP、OSPF）、AWS 网络服务和混合网络架构有非常深入的理解。通过率相对较低，建议有扎实的网络基础和至少 2 年 AWS 网络实践经验。
Transit Gateway 和 VPC Peering 哪个更重要？
两者都是考试重点，但 Transit Gateway 在 ANS-C01 中占比更高。考试会深入考察 Transit Gateway 路由表、多账户共享、跨区域对等连接等高级场景。VPC Peering 通常在对比题中出现，考察您何时选择哪种方案。
考试对 Direct Connect 考察到什么深度？
Direct Connect 是考试的核心考点。需要掌握专用连接 vs 托管连接、虚拟接口类型（Private VIF、Public VIF、Transit VIF）、LAG 链路聚合、BGP 路由策略、故障转移设计以及与 VPN 的冗余架构设计。
ANS-C01 需要掌握哪些网络协议知识？
除了 TCP/IP 基础，重点需要掌握 BGP（AS Path、Local Preference、MED）、DNS（Route 53 路由策略、DNSSEC）和 TLS/SSL。考试中 BGP 路由相关题目较多，尤其是 Direct Connect 和 VPN 场景下的 BGP 配置。
考试中 Route 53 和 CloudFront 题目多吗？
是的，Route 53 和 CloudFront 都是高频考点。Route 53 重点考察路由策略（Failover、Weighted、Latency、Geolocation）、私有托管区域和 DNS 解析器。CloudFront 重点考察源站配置、缓存行为、Lambda@Edge 和安全配置。
听听学过的人怎么说
评价加载中…
我有 CCIE R&S，以为 ANS 就是"AWS 版的 BGP 考试"，结果第一次模考被 Route 53 Resolver 虐惨。Resolver 的 inbound/outbound 方向我一直搞反，直到自己在两个 VPC 之间用 on-prem DNS server 真的搭一遍才弄明白。考试当天最难的不是 BGP 题 — 是一道 Gateway Load Balancer + Network Firewall + 第三方 IDS 串在一起的流量路径题，我画了 3 遍拓扑才选对。
R. Nakamura
Principal Network Engineer (Singapore) · CCIE + 3 年 AWS · 802/1000 · 11 周
别信那些"有 SAP 考 ANS 会很轻松"的鬼话。SAP 考的是架构选型，ANS 考的是配置细节 — 完全不同的考试。我 SAP 考了 821 分，ANS 裸考模考才 58%。Transit Gateway 的 association 和 propagation 这两个词我反反复复学了 3 遍才真的懂："association 决定这个 attachment 用哪张路由表出流量；propagation 决定把这个 attachment 的 CIDR 写进哪张路由表。" 背下来没用，必须在 console 里点一遍。
M. Holloway
Cloud Network Architect (Sydney) · 已有 SAA + SAP · 778/1000 · 14 周
ANS 中文版翻译质量非常差，Transit Gateway 翻译成"中转网关"还行，但 "route propagation" 被翻译成"路由传播"就完全失去了技术含义。我整场考试都在中英文之间切换。另一个坑是 Direct Connect 的 BGP community tag（7224:7100 / 7224:7200 / 7224:7300）— 这是决定 Public VIF 流量走哪个 region 的关键机制，但国内的备考资料几乎没讲过，必须看 AWS 官方文档的 "Using BGP Community Tags" 那一页。
某外企混合云架构师
国内某券商 · 5 年网络 + 2 年 AWS · 762/1000 · 18 周
考完 ANS 之后 package 从 $155K 涨到 $198K AUD，直接上了 Lead 岗。但面试的时候被问了一个非常细的问题："如果 Transit Gateway 的两个 attachment 都指向同一个 VPC 的不同子网，流量会怎么走？" 这个在课程里基本不讲，我能答出来是因为真的在生产里踩过这个坑 — Transit Gateway 是 per-AZ attachment 的，如果 AZ 没对上流量会跨 AZ 走，产生额外费用。证书只是门票，实战经验才是让 offer 落袋的东西。
K. Patel
Senior Cloud Engineer → Lead Network Architect · Melbourne · 815/1000 · 10 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $29 起