先了解这张认证
Microsoft Certified: Azure Network Engineer Associate（考试代号 AZ-700）是微软 Azure 认证体系里网络方向唯一的 Associate 级别专精证。它不是 AZ-104 那种"广度运维"证，而是把 Azure 网络这一个垂直领域挖到足够深 — 从 VNet 地址规划、UDR 路由劫持、BGP 宣告、ExpressRoute Private Peering、Azure Firewall Premium 的 TLS 检查和 IDPS，一直到 Private Link Service 跨租户发布，全部都会考。
考试结构：40-60 道题、100 分钟（加上同意条款实际约 120 分钟）、$165 USD、通过分数 700/1000。题型包括单选、多选、拖放、热点和案例分析。考纲 5 个领域：核心网络基础设施（20-25%）、连接服务 VPN/ExpressRoute/vWAN（20-25%）、应用交付 App Gateway/Front Door/LB（20-25%）、Private Access 私有访问（15-20%）、网络安全与监控（15-20%）。
这张证的定位比较尴尬也比较特别。尴尬在于：它不像 AZ-104 那样"企业 IT 都能用"，非 Azure 技术栈的公司基本不会认；特别在于：一旦你进入 Azure 为主的企业（尤其是银行、保险、政府、制造业这种深度用 Azure + ExpressRoute 的 hub-spoke 架构），AZ-700 是招聘 Azure Network Engineer 岗位时 HR 筛简历的硬指标之一，因为这个方向的人才池本来就小。
AZ-700 和 AZ-104 的网络部分有本质区别。AZ-104 网络只占 15-20%，考的是"会配 NSG、会拉 VNet Peering、知道 VPN Gateway 是什么"这种运维级别的东西；AZ-700 则要求你能在白板上画出一个多区域 hub-spoke + vWAN 的混合云架构，能解释为什么选 ExpressRoute FastPath 而不是普通 Private Peering，能在 UDR 和 BGP 冲突时判断实际流量走哪条路。这是工程师 vs 架构师的差别。
和 AZ-104 一样，AZ-700 也是每年免费续期。微软会在证书到期前 6 个月开放 Renewal Assessment，在线、不限时、可查文档，通过即可续 1 年。相比 Cisco CCNP（每 3 年重考一次 $300+）或 AWS ANS-C01（3 年 $300），这个续证成本优势非常明显。
考试档案
- 考试代码
- AZ-700
- 发证机构
- Azure
- 题型
- 单选题 / 多选题 / 案例分析 / 拖拽题
- 考试语言
- English / 中文(简体) / 日本語 / 한국어
- 证书有效期
- 1 年
- 考试费
- $165
你会学到的技能
学完能做什么
- 获得 Microsoft 官方 Azure Network Engineer Associate 认证
- 掌握 Azure 核心网络架构设计和实施
- 能够配置和管理混合网络连接方案
- 熟练部署应用交付和负载均衡服务
- 提升云网络工程师岗位竞争力
适合这样的你
- Azure 网络工程师和云网络架构师
- 网络安全工程师
- Azure 管理员希望专精网络领域
- 企业 IT 网络管理人员
- 准备向云网络方向转型的网络工程师
开始前需要什么
- 具备 Azure 管理基础（建议已了解 AZ-104 内容）
- 了解网络基础概念（TCP/IP, DNS, 路由）
- 熟悉传统网络设备和拓扑
- 有 Azure 门户和 CLI 操作经验
一步一步，准备好考试
7 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 45h
- 有相关实操经验
- 6-8 周
- 从基础开始
- 10-14 周
- 建议日投入
- 1.5-2h
备考支持
- 7 个系统化学习章节，覆盖考试 5 大领域
- 114 道精选练习题，每题附详细解析
- 仿真模拟考试（50 题/120 分钟）
- 错题本 + 智能复习，薄弱环节针对性突破
- 学习进度可视化追踪
- 同步 Microsoft 官方 AZ-700 最新考纲
1. 第一阶段：搭建 hub-spoke 实验环境（第 1-2 周）
不要只看视频。第一周必须做的事：注册 Azure 免费账户，手动搭一套最小的 hub-spoke 拓扑 — 1 个 hub VNet + 2 个 spoke VNet + VNet Peering + 一个 Azure Firewall 在 hub + 一台 VM 在每个 spoke。目标是让 spoke1 的 VM 通过 hub 的 firewall 访问 spoke2 的 VM，同时能通过 firewall 出公网。这个实验会强迫你理解 UDR（默认 spoke 到 spoke 走系统路由不经过 firewall，必须手动加 UDR）、NSG、Firewall 规则之间的关系。搞懂这个，AZ-700 的核心基础设施部分就过半了。
2. 第二阶段：深挖 5 大考试域（第 3-6 周）
按域系统过：① 核心基础设施（VNet、UDR、BGP 基础、Azure DNS Private Zone）；② 混合连接（Site-to-Site VPN、ExpressRoute 三种 peering、Global Reach、vWAN vs 传统 hub-spoke 的选型）；③ 应用交付（Application Gateway V2 + WAF 策略、Standard LB vs Gateway LB、Front Door Premium vs Traffic Manager、四层 vs 七层 vs DNS 层负载均衡）；④ Private Access（Private Endpoint + Private DNS Zone 自动集成、Service Endpoint 的区别、Private Link Service 跨租户发布）；⑤ 安全与监控（Azure Firewall 标准版 vs Premium 的 TLS 检查/IDPS、DDoS Protection Standard 的价格坑、Network Watcher 的 Connection Monitor/NSG Flow Logs/Packet Capture）。每个域必须至少做 3 个实验，只看不做考试一定挂。
3. 第三阶段：刷题 + 案例分析（第 7 周）
AZ-700 题目比 AZ-104 更"架构化" — 很多题是给你一个企业场景（混合云、多区域、合规要求），让你选最合适的服务组合。MeasureUp 官方题库和 Tutorials Dojo 是公认最接近真题的。每天刷 30-50 题，错题必须回到微软官方文档对照。重点练"选型题"：VPN vs ExpressRoute、App Gateway vs Front Door vs Traffic Manager、Private Endpoint vs Service Endpoint — 这几个对比是必考点。
4. 第四阶段：模考冲刺（第 8 周）
至少 3 套全真模考稳定 80%+ 再去考。最后一周重点背：ExpressRoute SKU 和带宽对应表、VPN Gateway SKU 对应的吞吐量、App Gateway WAF vs Front Door WAF 的差异、Private DNS Zone 的自动注册规则。考试当天：案例分析题不能回头，先花 5 分钟把所有 tab 看一遍再开始答。
这张认证的职业价值
为什么 AZ-700 是小众但溢价的证
Azure Network Engineer 不是一个大池子岗位。LinkedIn 2025 Q4 的数据里，全球 Azure Network Engineer 在招岗位大约是 Azure Administrator 的 1/8，但平均薪资高出 20-35%。原因很简单：懂云的多，懂网络的多，两个都深的极少。企业招一个能同时 hold 住 BGP 路由策略 + ExpressRoute 线路谈判 + Azure Firewall Premium TLS 拦截的人，愿意付溢价。
谁在招 AZ-700 持证人
主要是三类公司：
- 金融/保险/政府：澳洲四大行、CBA/NAB/Westpac/ANZ、Medibank、ATO、澳洲国防部这类机构几乎全部用 Azure + ExpressRoute 做混合云，hub-spoke 架构是标配。他们招 Senior Network Engineer 时 AZ-700 基本是 preferred。
- 大型跨国企业 in-house IT：Rio Tinto、BHP、Telstra、埃森哲、德勤、安永这种深度用 Microsoft 生态的企业，内部 Azure landing zone 团队需要 AZ-700 持证者。
- Microsoft Partner / MSP：微软金牌合作伙伴在投标政府和企业项目时，AZ-700 持证人数直接影响伙伴等级，所以他们会主动 sponsor 员工考。
薪资范围（2026）
- 澳洲 Sydney/Melbourne/Canberra：Azure Network Engineer 中级 AUD 125-150k，Senior 150-180k，Lead/Architect 级别 180-220k（Canberra 政府项目有安全许可 clearance 加成，能冲到 230k+）。
- 美国：USD 135-200k，湾区、纽约、西雅图金融/科技公司头部 offer 210k+（Senior Network Engineer - Azure）。
- 中国：北上深外企和金融科技 RMB 32-60 万，微软、埃森哲、德勤中国的 Azure 网络专精岗是主要招聘方。
- 新加坡：SGD 105-160k，DBS、UOB、星展的云迁移项目持续招 Azure 网络方向工程师。
最适合考 AZ-700 的人
- 传统网络工程师转云：你已经考过 CCNA/CCNP，懂 BGP、OSPF、VLAN、子网划分 — AZ-700 对你而言是学 Azure 怎么实现这些概念，学习曲线最低。CCNP + AZ-700 的组合在企业网络岗位非常吃香。
- 已有 AZ-104 想专精网络方向：你做过一阵 Azure 运维，想从"杂活运维"转到"网络专精"岗位，AZ-700 是最直接的路径。
- 在 Azure shop 做基础设施：公司已经是 Azure 为主，你正好被分到做 landing zone / hub-spoke / ExpressRoute 落地 — 考这个证正好把工作经验系统化。
- 安全方向的扩展：如果你做 Network Security，AZ-700 + SC-100 的组合能让你直接对口"Cloud Network Security Architect"岗位。
不适合考的人
- 公司完全不用 Azure（比如纯 AWS shop 或纯 GCP shop）— 这证的 ROI 接近于零，考 AWS Advanced Networking Specialty 或 GCP Network Engineer 更对口。
- 只做应用开发、不碰基础设施的软件工程师 — 和你的工作毫无交集。
- 刚入行的通用云工程师 — 先考 AZ-104 打基础，有 1-2 年实操再来 AZ-700，否则很多概念（BGP 宣告、hub-spoke routing）没有实战体感，硬背很痛苦。
- 想做架构师的 — 直接冲 AZ-305 Solutions Architect Expert，AZ-700 只在你真的要做网络专精时才有价值。
- 澳洲
- AUD 125,000 – 180,000
- 美国
- USD 135,000 – 200,000
- 中国
- CNY 320,000 – 600,000
- 新加坡
- SGD 105,000 – 160,000
备考时，做好这些事
- **申请 ESL +30 分钟加时**：母语非英语考生免费多 30 分钟，报名时在 Accommodation 里申请。AZ-700 的 case study 阅读量大，多 30 分钟非常关键。
- **Case Study 不可回头**：做 case 之前花 5 分钟把所有 tab（业务背景、网络拓扑图、合规要求、预算限制）全部看完再开始答题。中途发现关键信息在最后一个 tab 已经来不及了。
- **关键词敏感**：看到 "lowest latency + dedicated bandwidth" → ExpressRoute；看到 "global HTTP load balancing + WAF" → Front Door Premium；看到 "private IP access to PaaS" → Private Endpoint；看到 "inspect TLS traffic" → Azure Firewall Premium；看到 "100+ branch offices auto mesh" → Virtual WAN。
- **SKU 和价格题要背硬数据**：VPN Gateway 的 VpnGw1-VpnGw5 对应 650Mbps-10Gbps、ExpressRoute 50Mbps-10Gbps 线路带宽、App Gateway V2 vs Standard 的差异。这些数字考试会给你具体数值让你选对应 SKU。
- **拓扑图热点题留够时间**：考试会给一张网络拓扑图让你在上面点对应的服务位置（比如"WAF 应该部署在哪里"），建议每道热点题留 2 分钟。
- **考前一晚不要硬刷**：阅读量大的考试更依赖临场专注力。睡足比多记 50 题答案更重要。
这些误区要避开
- **UDR 覆盖系统路由的方向搞错** — 在 hub-spoke 架构里，Azure 默认 spoke 之间通过 VNet Peering 直连、不经过 hub firewall。你必须在每个 spoke 的 subnet 上加 UDR（目标 = 对方 spoke 的地址段，下一跳 = firewall 私有 IP），流量才会绕道 firewall。这是必考点，也是实战中最容易配错的地方。
- **ExpressRoute 和 VPN Gateway 选型混淆** — ExpressRoute 是专线（SLA 99.95%、低延迟、高带宽、按月计费昂贵），VPN Gateway 走公网（SLA 99.9% 或 99.95%、有延迟抖动、便宜）。考试场景常给出"需要稳定 10Gbps + 访问 Microsoft 365 同时直连"→ 答案是 ExpressRoute Premium + Microsoft Peering，不要选 VPN。
- **NSG / Azure Firewall / Application Gateway 职责混淆** — NSG 是 L3-L4 基础 ACL（放在 subnet 或 NIC 上，无状态检查增强规则）；Azure Firewall 是 L3-L7 托管防火墙（支持 FQDN、应用规则、TLS 检查）；Application Gateway 是 L7 HTTP/S 负载均衡器 + WAF（只处理 HTTP 流量）。考试爱考"用户访问企业 Web 应用需要 WAF 防护"→ App Gateway WAF，不是 Azure Firewall。
- **Private Link 和 Service Endpoint 混为一谈** — Service Endpoint 是通过 Azure 骨干网访问 PaaS，但资源仍然是公网 IP（只是限定只有特定 VNet 能访问）；Private Endpoint 是把 PaaS 服务映射到 VNet 里一个真正的私有 IP，流量完全不走公网。考合规要求（如金融/政府的数据不能经过公网）一定选 Private Endpoint。
- **Hub-spoke 和 Virtual WAN 选型不清楚** — 传统 hub-spoke 适合中小规模（几个 region、<50 个 spoke）、你要精细控制路由；Virtual WAN 适合大规模（几十个分支、多 region、需要自动 any-to-any 连接）、你不想手动管理 UDR。考试场景给"全球 100 个分支机构、希望自动化建立全互联"→ vWAN，而不是传统 hub-spoke。
- **Private DNS Zone 没做 VNet Link** — 配了 Private Endpoint 但忘了把 Private DNS Zone 链接到需要解析的 VNet，结果 VM 还是解析到公网 IP。Azure Portal 默认勾选 "Integrate with private DNS zone" 但只覆盖创建 endpoint 所在的 VNet，其他 VNet 必须手动加 VNet Link。这是生产事故和考试陷阱题的常客。
报名之前，你可能想问
AZ-700 考试难度如何？
AZ-700 属于 Associate 级别认证，专注于 Azure 网络领域。考试要求对 Azure 网络服务有全面的理解和实操经验，包括虚拟网络、VPN、ExpressRoute、负载均衡和网络安全。建议有 2-3 个月备考时间。
AZ-700 和 AZ-104 网络部分有什么区别？
AZ-104 涵盖 Azure 管理的各个方面，网络只是其中一部分。AZ-700 专注于网络领域，深度远超 AZ-104，涵盖 ExpressRoute、Front Door、Traffic Manager 等高级网络服务。
AZ-700 考试重点考哪些服务？
高频服务包括：VNet 和 VNet Peering、VPN Gateway、ExpressRoute、Azure Firewall、Application Gateway/WAF、Load Balancer、Front Door、Private Endpoint/Private Link 和 Network Watcher。
网络工程师需要考 AZ-700 吗？
如果您是或希望成为 Azure 网络工程师，AZ-700 是最直接相关的认证。它验证了在 Azure 上设计和管理企业级网络的能力，是网络方向最有价值的 Azure 认证。
听听学过的人怎么说
评价加载中…
我做了 8 年传统网络，CCNP 路由交换背景。学 AZ-700 最爽的是 BGP、路由宣告、NAT 这些概念和传统网络几乎一致，只是换到 Azure 的语境。最大的坑是 UDR 和 BGP 宣告路由的优先级 — Azure 里 UDR 会覆盖 BGP 学到的路由，这点和传统路由器反过来，我卡了两天才想通。考试里至少 3 道题就是考这个。
L. Zhang
CCNP → Azure Network Engineer @ 四大行 · 836/1000 · 7 周
我是先考的 AZ-104，隔了半年再来 AZ-700。感觉完全是两个难度 — AZ-700 的案例分析题特别长，一个 case 给你 8 个 tab 的业务背景，包括合规要求、预算、现有 on-prem 拓扑，然后让你选最合适的 ExpressRoute 方案。建议做 case 题先把所有 tab 过一遍再答，不然前面答的很可能要推翻。
S. Nguyen
Melbourne Senior Cloud Engineer · 782/1000 · 9 周
Private Endpoint 和 Private DNS Zone 的集成花了我很多时间才搞懂 — 特别是 Hub 里只有一个 Private DNS Zone 的情况下，多个 spoke 怎么通过 VNet Link 共用。这个场景考试考了 4-5 道题。另一个坑是 Azure Firewall Premium 的 TLS 检查需要你自己生成证书链，这个要动手做一次才记得住。
K. Patel
Azure Firewall / Private Link 专精 · 758/1000 · 11 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $29 起