💡**考前必须自己搭一遍 Transit Gateway hub-spoke**。不用真花钱，用 AWS Free Tier 开 3 个最小 VPC + 1 个 TGW，亲手配 association 和 propagation，用 VPC Reachability Analyzer 验证连通性。没动手过的人考场上 100% 选错路由表题。
💡**母语非英语考生申请 ESL +30 分钟**。ANS 虽然题干比 SAP 短，但技术名词密度高，多 30 分钟对仔细读 CIDR 列表很有帮助。Pearson VUE 预约页面的 Accommodations 栏申请。
💡**熟练使用 BGP community tag 速查表**：Direct Connect Public VIF 的 7224:7100 = 只宣告到本地 region；7224:7200 = 宣告到本 continent；7224:7300 = 全球宣告。考试里考到流量路径控制必用这三个。
💡**关键词 → 服务的肌肉记忆**：看到 "on-prem 解析 VPC 私有域名" → Route 53 Resolver inbound endpoint；看到 "集中检测 east-west 流量" → Network Firewall + GWLB + appliance mode；看到 "多 region DX" → Transit VIF + DX Gateway；看到 "第三方防火墙透明插入" → Gateway Load Balancer + GENEVE；看到 "跨账户 TGW 共享" → Resource Access Manager (RAM)。
💡**已有 AWS 认证可以领 50% 折扣券**。如果你持有 SAA/SAP 在有效期内，登录 AWS Certification 账户申领 voucher，ANS 考试从 $300 变成 $150。
💡**双语切换核对**：中文翻译在 ANS 里比 SAP 更不可靠（很多网络术语没有准确对应词），每道题都用右上角按钮切换到英文版核对一次，尤其是 "propagation"、"association"、"endpoint"、"interface" 这几个词。
💡**考前 1 周停刷新题，只过错题本**。ANS 的知识点细碎，最后 1 周应该做的是把错题本里"association 和 propagation 的区别"、"Private VIF vs Transit VIF"、"inbound vs outbound Resolver" 这类核心对比条目默写一遍，能闭眼写出来再去考。
⚠️**混淆 VPC Peering 和 Transit Gateway 的使用场景**。Peering 是点对点、不传递路由、跨账户/跨 region 都支持但无法做集中策略；Transit Gateway 是 hub-spoke、路由表可以做精细化分段、但每 attachment 每小时收费 + 数据处理费。考试题干里出现 "3 个以上 VPC 需要互通 + 集中化管理" 必选 TGW；出现 "只有 2 个 VPC + 最低成本" 选 Peering。经常有人看到"多 VPC"就无脑选 TGW，结果题目真正问的是 "MOST cost-effective"，Peering 其实更便宜。
⚠️**BGP 路径选择顺序记错**。AWS 考试里 BGP 选路顺序不是 Cisco 那套完整的 13 步，但以下几个是必须死记硬背的优先级：**Longest Prefix Match > Static Route > DX BGP > VPN BGP**。也就是说同一个目标 CIDR，如果 DX 和 VPN 同时存在 BGP 路由，DX 永远优先；如果想让 VPN 做主、DX 做备，不能靠 BGP attribute，必须用 more specific 的 prefix 或者 AS-Path Prepending 在 DX 侧加长。这道题几乎是必考。
⚠️**Route 53 Resolver inbound 和 outbound endpoint 方向搞反**。记这句话：**"inbound 是从外面进来查 AWS 的私有域名；outbound 是从 AWS 出去查外面的域名。"** Inbound endpoint 给 on-prem 的 DNS server 一个 IP，让 on-prem 能解析 VPC 里的 .internal 私有域名；outbound endpoint 配 forwarding rule，把特定域名（比如 corp.example.com）转发到 on-prem DNS。两个方向都需要才能实现"双向混合 DNS 解析"。考试里至少 3-4 道题考这个方向。
⚠️**混合 DNS 架构里忘记 on-prem DNS forwarder 的配置方向**。很多人只记得在 AWS 这边开 Resolver endpoint，忘记 on-prem 的 DNS server（BIND/Windows DNS）也需要配 conditional forwarder 指向 inbound endpoint 的 IP。考试里经常给一个 "已经开了 inbound endpoint 但 on-prem 还是解析不了 VPC 私有域名" 的场景，正确答案是 "on-prem DNS 没有配 forwarder"，不是 AWS 侧的问题。
⚠️**Direct Connect VIF 三种类型搞混**。**Private VIF** 连到 VGW 或 DX Gateway，只能访问私有 IP（VPC 内部）；**Public VIF** 连到 AWS 公网服务（S3、DynamoDB、EC2 public IP），走 BGP 学公网前缀，需要 BGP community tag 控制流量范围；**Transit VIF** 只能连到 DX Gateway + Transit Gateway 组合，用于一个 DX 打通多个 region 的多个 TGW。考试里 "需要从 on-prem 直连访问 S3 + 不走公网" 的场景选 Public VIF；"一个 DX 访问 5 个 VPC" 的场景必须走 Private VIF + DX Gateway（不能直接挂 5 个 VGW，DX Gateway 就是为了解决这个而生的）。
⚠️**Network Firewall 的集中式部署忘记考虑 GWLB endpoint 和路由回流**。集中式部署里，流量从 spoke VPC 经 TGW 送到 inspection VPC，经过 Network Firewall 检测后必须原路返回。漏配 appliance mode（TGW attachment 的一个开关）会导致来回流量走不同 AZ，造成 asymmetric routing 和连接失败。appliance mode 这个词在考试里出现至少 1-2 次。
⚠️**时间分配失败**。170 分钟 / 65 题 = 2.6 分钟/题，ANS 的题干比 SAP 短但技术细节更密集，一道 Transit Gateway 路由表题可能 4 个选项都是长 CIDR 列表，看清楚就要 2 分钟。建议每 20 题看一次时间，遇到需要画拓扑的题直接 Mark + 跳过。
