Azure Network Engineer Associate AZ-700: Networking Mastery

Azure Network Engineer Associate：云网络架构师的黄金认证

Microsoft Azure Network Engineer Associate (AZ-700) 认证是专为云网络专家设计的角色型认证，验证您规划、实施和维护 Azure 网络解决方案的能力。这是继 AWS Advanced Networking、GCP Professional Cloud Network Engineer 之后，三大云厂商中最注重实战的网络认证。

为什么 AZ-700 值得考？

在多云和混合云架构日益普及的今天，Azure 凭借其与本地数据中心的无缝集成能力（ExpressRoute、Virtual WAN），成为企业级网络的首选平台。AZ-700 认证持证者平均薪资比普通网络工程师高 25-35%，在金融、医疗、政府等高合规行业尤其抢手。

核心价值定位

本认证覆盖五大核心领域：

1 混合网络设计 - 打通云与本地数据中心
2 核心网络基础设施 - 虚拟网络架构与路由
3 应用交付 - 负载均衡与流量管理
4 网络安全 - 防火墙、NSG、DDoS 防护
5 私有访问 - Private Link 与 Service Endpoints

lightbulb

适合人群

✅ 传统网络工程师 - 从 CCNA/CCNP 转型云网络（推荐先考 AZ-900）
✅ Azure 管理员 - 已持有 AZ-104，想深化网络专长
✅ 混合云架构师 - 需要设计企业级云连接方案
✅ DevOps 工程师 - 负责云基础设施网络部分
✅ 安全工程师 - 专注网络安全策略实施

考试格式与难度分析

基本考试信息

info

📊 考试项目

详细信息

schedule

**考试时长**

120 分钟

quiz

**题目数量**

40-60 题（实际多为 50-55 题）

check_circle

**通过分数**

700/1000（标准分）

payments

**考试费用**

$165（学生/教师可享折扣）

info

🔄 **有效期**

1 年（需完成续期评估）

info

🌍 **考试语言**

英语、日语、简体中文、韩语等

info

📍 **考试方式**

Pearson VUE 在线监考或考试中心

题型分布

1. 选择题（60-70%）

单选题为主
场景化问题（给定网络需求，选择最佳配置）
示例："公司需要将本地数据中心与 Azure 连接，延迟要求 <5ms，带宽 10Gbps，应选择什么服务？"

2. 多选题（15-20%）

选择 2-3 个正确答案
通常考察多服务组合场景
示例："实现跨区域高可用 Web 应用需要哪些服务？（选 3 个）"

3. 案例研究（5-10%）

给定企业网络架构图和需求
连续 5-8 道题基于同一场景
考察整体架构设计能力

4. 拖拽匹配题（5-10%）

匹配服务与使用场景
排序网络流量路径
配置NSG规则优先级

5. 实操题（可能出现）

少数考生报告遇到实验室题目
在 Azure Portal 模拟环境中完成配置任务
占总分约 10-15%

难度评估

维度	评分	说明
技术深度	⭐⭐⭐⭐	需要深入理解路由、NSG 规则优先级
实操要求	⭐⭐⭐⭐⭐	不动手很难理解服务配置细节
考试难度	⭐⭐⭐⭐	比 AZ-104 更专业，与 AZ-305 相当
更新频率	⭐⭐⭐⭐⭐	Azure 服务更新快，需关注新特性
通过率	~65%	略低于 AZ-104（70%）

与其他认证对比：

比 AWS ANS-C01 更注重混合云场景
比 GCP Professional Cloud Network 实操性更强
知识广度与 CCNP Enterprise 相当，但更偏云服务

考试知识域深度解析

📌 Domain 1: 设计、实施和管理混合网络（10-15%）

这是 Azure 网络认证的核心差异化领域，也是企业最关注的能力。

🔹 VPN 连接

站点到站点 VPN（Site-to-Site VPN）：

# 典型考点：选择正确的 VPN Gateway SKU
场景：需要支持 10 个并发连接，带宽 1 Gbps，高可用性
答案：VpnGw2 或更高（支持 Active-Active 配置）

# 考试陷阱：Basic SKU 不支持 BGP 和 Zone Redundancy

关键配置知识：

Gateway Subnet 必须命名为 GatewaySubnet，且 /27 或更大
主动-主动（Active-Active）vs 主动-备用（Active-Standby）
BGP 用于动态路由学习（与本地网络交换路由）
自定义 IPsec/IKE 策略（针对特殊安全要求）

点到站点 VPN（Point-to-Site VPN）：

证书认证 vs Azure AD 认证（考试常考认证方式选择）
OpenVPN vs IKEv2 vs SSTP 协议差异
VPN 客户端配置生成

ExpressRoute（重点中的重点）：

带宽和 SKU 选择：

SKU	带宽范围	适用场景	考试考点
Local	最高 10 Gbps	同区域连接	成本优化
Standard	50 Mbps - 10 Gbps	跨区域连接	标准企业级
Premium	50 Mbps - 10 Gbps	全球连接	Office 365 优化

ExpressRoute 对等互连（Peering）：

私有对等互连（Private Peering）
├─ 访问 VNet 中的 VM、PaaS 服务
├─ 支持 IPv4 和 IPv6
└─ BGP 会话要求

Microsoft 对等互连（Microsoft Peering）
├─ 访问公共 Azure 服务（如 Storage、SQL）
├─ 需要公共 IP 地址
└─ 可选择性路由公告

考试高频题：

Global Reach：连接两个 ExpressRoute 电路（例如北京和上海数据中心通过 Azure 互联）
FastPath：绕过 ExpressRoute Gateway 提升性能（99%考生不知道这个特性！）
Circuit Redundancy：双链路设计与故障转移

🔹 Virtual WAN（虚拟广域网）

考试视角的 Virtual WAN：

Basic vs Standard：Standard 支持 Site-to-Site VPN、ExpressRoute
Hub 路由：任意到任意（Any-to-Any）连接
分支连接：SD-WAN 集成（VeloCloud、Cisco Meraki）

典型考题场景：

问题：公司有 30 个分支机构，需要互联且连接到 Azure
传统方案：每个分支配置 Site-to-Site VPN（管理复杂）
Virtual WAN 方案：集中式 Hub 管理，自动路由学习

📌 Domain 2: 设计和实施核心网络基础设施（20-25%）

🔹 虚拟网络（VNet）设计

地址空间规划（考试必考）：

错误设计（考试陷阱）：
VNet1: 10.0.0.0/16
VNet2: 10.0.0.0/24  ❌ 重叠地址无法对等互连

正确设计：
VNet1: 10.1.0.0/16
VNet2: 10.2.0.0/16  ✅ 可对等互连

关键考点：
- 地址空间不能重叠
- 预留未来扩展空间
- /29 最小子网（5 个可用 IP）
- Azure 保留每个子网前 4 个和最后 1 个 IP

VNet 对等互连（Peering）深度知识：

对等互连类型	区域内对等	全球对等
延迟	<1 ms	区域间延迟
费用	入站/出站流量费	更高流量费
用途	同区域资源共享	跨区域灾备

考试必须掌握的配置：

允许网关传输（Allow Gateway Transit）
使用远程网关（Use Remote Gateways）- 仅在对等一侧配置
允许转发流量（Allow Forwarded Traffic）- Hub-Spoke 架构必需

示例考题：

Spoke VNet 需要通过 Hub VNet 的 VPN Gateway 访问本地网络
正确配置：
Hub VNet：☑ 允许网关传输
Spoke VNet：☑ 使用远程网关

🔹 IP 地址管理

公共 IP 地址 SKU：

特性	Basic	Standard
可用性区域	❌	✅
默认安全	开放	默认拒绝（需 NSG）
静态/动态	两者皆可	仅静态
用途	开发/测试	生产环境

私有 IP 地址：

动态分配（DHCP）：VM 重启后可能变化
静态分配：用于数据库、域控制器
考点：静态 IP 从子网 DHCP 池分配，不需要额外预留

🔹 路由设计

系统路由 vs 自定义路由：

默认系统路由（考试送分题）：

10.0.0.0/16 → VNet 内部流量
0.0.0.0/0 → Internet
10.1.0.0/16 → 对等 VNet（如果已配置对等互连）

用户定义路由（UDR）应用场景：

强制隧道（Forced Tunneling）：

目标：0.0.0.0/0
下一跳：虚拟网络网关
用途：所有互联网流量必须经过本地防火墙

服务链（Service Chaining）：

DMZ Subnet → 防火墙 NVA → 内部 Subnet
路由表：
目标：10.0.2.0/24
下一跳：10.0.1.4（防火墙 IP）

3
NVA 高可用性：
- Azure Load Balancer + HA Ports
- Azure Route Server 与 NVA BGP 对等

考试陷阱：

UDR 不影响同子网内流量
下一跳类型：虚拟设备、虚拟网关、Internet、None
0.0.0.0/0 配置 None = 黑洞路由（阻止互联网访问）

🔹 Azure DNS

公共 DNS 区域：

# 考点：委派子域
父域：contoso.com（注册商）
子域：azure.contoso.com（Azure DNS）
需要在父域添加 NS 记录指向 Azure DNS 名称服务器

私有 DNS 区域：

自动注册：VM 创建时自动添加 A 记录
虚拟网络链接：关联 VNet 才能解析
跨区域解析：链接多个 VNet 到同一私有区域

考试必考的记录类型：

记录类型	用途	示例
A	IPv4 地址	web.contoso.com → 10.0.1.4
AAAA	IPv6 地址	web.contoso.com → 2001:db8::1
CNAME	别名	www → web.contoso.com
MX	邮件交换	@ → mail.contoso.com
TXT	文本记录	SPF、域验证

📌 Domain 3: 设计和实施路由（25-30%）

此域是 AZ-700 的最大难点，占比最高且技术深度最深。

🔹 高级路由场景

场景 1：Hub-and-Spoke 拓扑

            Hub VNet (10.0.0.0/16)
          /      |      \
    Spoke1    Spoke2   Spoke3
  (10.1.0.0)  (10.2.0.0) (10.3.0.0)

问题：Spoke1 需要访问 Spoke2（默认无法直接通信）
解决方案：
1. UDR 方式：
   Spoke1 路由表：10.2.0.0/16 → NVA(10.0.1.4)
   Hub 需要部署防火墙 NVA 并启用 IP 转发

2. Azure Firewall 方式：
   在 Hub 部署 Azure Firewall
   所有 Spoke 流量路由到 Firewall
   使用网络规则允许 Spoke 间通信

场景 2：Azure Route Server

用途：简化 NVA 路由管理
工作原理：
- Route Server 与 NVA 建立 BGP 会话
- 自动将 NVA 学习的路由注入 VNet
- 无需手动配置 UDR

考试重点：
- Route Server 需要专用子网 /27 或更大
- 支持 Active-Active NVA 部署
- BGP ASN 必须与 VNet 不同

🔹 负载均衡器详解

Azure Load Balancer vs Application Gateway vs Traffic Manager vs Front Door（考试核心对比）：

服务	OSI 层	流量类型	全球/区域	典型用途
Azure Load Balancer	L4 (TCP/UDP)	内部/外部	区域性	VM 负载均衡
Application Gateway	L7 (HTTP/HTTPS)	外部	区域性	Web 应用 + WAF
Traffic Manager	DNS	任意	全球	跨区域流量分发
Front Door	L7 (HTTP/HTTPS)	外部	全球	全球 CDN + WAF

Azure Load Balancer 深度配置：

Standard SKU 特性（考试高频）：

✅ 可用性区域支持（Zone-Redundant 前端）
✅ HA Ports（protocol=All, port=0）- NVA 高可用必备
✅ 出站规则（Outbound Rules）- 精确控制 SNAT
✅ 多前端 IP（Multi-Frontend）

健康探测类型：

HTTP 探测：
- 路径：/health
- 间隔：5 秒
- 不正常阈值：2 次失败

TCP 探测：
- 端口：3389
- 仅检查 TCP 连接建立

考试陷阱：
HTTP 探测返回 200-399 才算健康
返回 404 会被标记为不健康！

负载均衡规则示例：

前端 IP：PublicIP1
后端池：WebServers（3 台 VM）
协议：TCP
端口：80 → 80
会话持久性：None（考试常问何时用 Client IP）

🔹 Application Gateway 深度知识

组件架构：

Internet
  ↓
Listener（监听器）- 端口 443 + SSL 证书
  ↓
Routing Rule（路由规则）- 基于路径/主机名
  ↓
Backend Pool（后端池）- VM/VMSS/App Service
  ↓
HTTP Settings（HTTP 设置）- 超时、Cookie

WAF（Web 应用防火墙）集成：

检测模式：记录威胁但不阻止
预防模式：主动阻止恶意流量
OWASP 规则集：CRS 3.2（最新）
自定义规则：基于地理位置、IP 范围

考试场景题：

需求：
- www.contoso.com/images → 图片服务器池
- www.contoso.com/api → API 服务器池
- api.contoso.com → 不同的 API 池

配置：
1. 多站点监听器（Multi-Site Listener）
   - www.contoso.com
   - api.contoso.com

2. 基于路径的路由（Path-Based Routing）
   /images/* → ImagePool
   /api/* → APIPool

📌 Domain 4: 保护和监控网络（15-20%）

🔹 网络安全组（NSG）深度解析

NSG 规则优先级（Priority）机制：

规则优先级：100-4096（数字越小优先级越高）

示例规则集：
优先级 100：允许 80 端口（HTTP）
优先级 200：拒绝所有入站流量
结果：HTTP 流量被允许（100 < 200 先匹配）

考试陷阱：
默认规则优先级 65000+（无法修改）
自定义规则必须 < 65000

默认安全规则（必须记住）：

入站：
- AllowVNetInBound（65000）：VNet 内流量
- AllowAzureLoadBalancerInBound（65001）：健康探测
- DenyAllInBound（65500）：拒绝所有

出站：
- AllowVNetOutBound（65000）：VNet 内流量
- AllowInternetOutBound（65001）：互联网访问
- DenyAllOutBound（65500）：拒绝所有

应用程序安全组（ASG）：

传统方式（难维护）：
允许 10.0.1.4, 10.0.1.5, 10.0.1.6 访问 SQL

ASG 方式（易扩展）：
源：ASG_WebServers
目标：ASG_DatabaseServers
端口：1433

优势：添加新 VM 只需加入 ASG，无需修改 NSG 规则

NSG Flow Logs：

存储到 Storage Account（考试常问保留策略）
Traffic Analytics 集成（AI 驱动的流量分析）
日志格式：JSON，包含源/目标 IP、端口、协议、流量方向

🔹 Azure Firewall

SKU 对比（考试必考）：

特性	Standard	Premium
IDPS	❌	✅ 入侵检测与防护
TLS 检查	❌	✅ 解密 HTTPS 流量
URL 过滤	FQDN 标记	完整 URL 过滤
Web 类别	❌	✅ 阻止赌博、社交网站
价格	$1.25/小时	$0.875/小时（基础）+ Premium 费用

防火墙规则处理顺序：

1. 网络规则集合（Network Rule Collections）
   - 优先级：100-65000
   - 基于 IP、端口、协议

2. 应用程序规则集合（Application Rule Collections）
   - 优先级：100-65000
   - 基于 FQDN、URL、Web 类别

3. NAT 规则集合（DNAT Rules）
   - 端口转发/发布内部服务

处理逻辑：
先检查 NAT 规则 → 网络规则 → 应用程序规则
任一规则匹配即停止处理

威胁情报（Threat Intelligence）：

Microsoft Cyber Security 实时情报
阻止已知恶意 IP/域名
Alert、Alert and Deny 模式

🔹 DDoS Protection

Basic vs Standard：

特性	Basic（免费）	Standard
防护能力	L3/L4 基础防护	高级 ML 检测
攻击分析	❌	✅ 实时指标
成本保护	❌	✅ 攻击期间扩展费用补偿
专家支持	❌	✅ 24/7 DDoS 响应团队
价格	免费	$2,944/月（保护 100 个资源）

考试场景：

问题：网站遭受 300 Gbps DDoS 攻击，需要哪些服务？
答案：
1. DDoS Protection Standard（必需）
2. Azure Firewall Premium（可选，应用层防护）
3. Application Gateway + WAF（HTTP flood 防护）

🔹 Network Watcher 工具集

诊断工具矩阵：

工具	用途	典型场景
IP Flow Verify	验证 NSG 规则	VM 无法访问互联网
Next Hop	查看路由路径	流量未按预期路由
Connection Troubleshoot	端到端连接测试	VM 无法连接 SQL
Packet Capture	抓包分析	深度网络故障排查
VPN Troubleshoot	VPN 诊断	VPN 连接断开

示例考题：

场景：Web VM 无法访问 SQL VM（同 VNet）
排查步骤：
1. IP Flow Verify：检查 NSG 规则是否允许 1433 端口
2. Effective Routes：确认路由表配置
3. Effective Security Rules：查看生效的安全规则
4. Connection Monitor：持续监控连接状态

Traffic Analytics：

基于 NSG Flow Logs 的可视化分析
识别 Top Talkers（流量大户）
检测异常流量模式
地理流量分布图

📌 Domain 5: 设计和实施 Azure 服务的私有访问（10-15%）

🔹 Private Endpoint vs Service Endpoint（核心对比）

维度	Private Endpoint	Service Endpoint
技术原理	VNet 内私有 IP	通过 Azure 骨干网优化路由
IP 地址	分配 VNet 私有 IP	仍使用服务公共 IP
访问路径	完全私有	经过公共端点（优化路径）
费用	$0.01/小时 + 数据处理费	免费
支持服务	100+ 服务	20+ 核心服务
跨区域	✅	❌（仅当前区域）
本地访问	✅（通过 VPN/ER）	❌
安全性	⭐⭐⭐⭐⭐	⭐⭐⭐

考试决策树：

需要从本地网络访问 Azure 服务？
├─ 是 → Private Endpoint
└─ 否 → 预算紧张？
        ├─ 是 → Service Endpoint
        └─ 否 → Private Endpoint（最佳实践）

🔹 Private Endpoint 配置深度

网络接口（NIC）与 IP：

创建 Private Endpoint 时：
1. 在目标子网创建网络接口（如 storage-pe.nic）
2. 分配私有 IP（如 10.0.1.5）
3. 自动创建 DNS 记录（如果配置私有 DNS 区域）

示例：
服务：mystorageaccount.blob.core.windows.net
私有 IP：10.0.1.5
DNS 记录：mystorageaccount.privatelink.blob.core.windows.net → 10.0.1.5

DNS 集成策略：

方案 1：Azure Private DNS Zone（推荐）：

# 自动创建的私有 DNS 区域：
privatelink.blob.core.windows.net

# VNet 链接：
关联 VNet：VNet1, VNet2
自动注册：禁用（Private Endpoint 手动注册）

# 解析流程：
VM 查询 mystorageaccount.blob.core.windows.net
→ Azure DNS 拆分 CNAME
→ mystorageaccount.privatelink.blob.core.windows.net
→ 私有 DNS 区域返回 10.0.1.5

方案 2：本地 DNS 集成：

混合环境配置：
1. 在 Hub VNet 部署 DNS 转发 VM
2. 本地 DNS 条件转发到 Azure DNS VM
3. DNS VM 使用 Azure 提供的 DNS（168.63.129.16）

DNS 转发规则：
privatelink.blob.core.windows.net → 168.63.129.16

考试陷阱：

❌ 错误：禁用公共访问后，私有终结点自动工作
✅ 正确：需要配置 DNS 才能解析到私有 IP

❌ 错误：一个服务只能有一个私有终结点
✅ 正确：可创建多个（不同 VNet/Subnet）

🔹 Service Endpoint 策略

策略应用场景：

问题：使用 Service Endpoint，但只想允许访问特定存储账户

解决方案：Service Endpoint Policy
允许列表：
- mystorageaccount1
- mystorageaccount2
阻止：所有其他存储账户

配置：
策略定义 → 关联到子网

考试必知的限制：

Service Endpoint 仅支持部分服务（Storage、SQL、Cosmos DB 等）
不能限制到具体资源（如特定容器）
仅在同一区域生效

🔹 Private Link Service

使用场景：

场景：将内部应用发布给合作伙伴（避免公开互联网暴露）

架构：
合作伙伴 VNet
  ↓ Private Endpoint
Azure Private Link Service
  ↓ 负载均衡器
您的应用 VM 池

配置步骤：
1. 创建内部负载均衡器
2. 创建 Private Link Service（关联负载均衡器）
3. 合作伙伴创建 Private Endpoint（指向您的 PLS）
4. 您审批连接请求

NAT IP 配置：

Private Link Service 需要专用子网
配置 NAT IP（后端 VM 看到的源 IP）
可用性区域支持（Zone-Redundant）

备考策略与资源推荐

官方学习资源

🎓 Microsoft Learn 路径（免费且必学）

AZ-700 官方学习路径：

模块 1：Azure 虚拟网络简介
模块 2：设计和实施混合网络
模块 3：设计和实施 Azure ExpressRoute
模块 4：负载均衡非 HTTP(S) 流量
模块 5：负载均衡 HTTP(S) 流量
模块 6：网络安全设计和实施
模块 7：设计和实施对 Azure 服务的私有访问
模块 8：网络监控设计和实施

学习建议：

✅ 每个模块配合沙盒实验室动手练习
✅ 利用知识检查题巩固知识点
✅ 总学习时间：40-50 小时

📄 必读官方文档

Azure 网络文档核心页面：

关键白皮书：

Azure 网络架构最佳实践
Hub-Spoke 网络拓扑设计
混合网络连接模式

第三方精品课程

🎥 视频课程推荐

John Savill's AZ-700 Study Cram（⭐⭐⭐⭐⭐ 免费）：

时长：4.5 小时
特色：深度技术讲解 + 白板图解
适合：有一定基础的学员最后冲刺

Pluralsight - AZ-700 路径（⭐⭐⭐⭐）：

课程讲师：Tim Warner
时长：约 15 小时
特色：场景化教学 + 实验室
价格：$29/月（个人版）

A Cloud Guru - AZ-700（⭐⭐⭐⭐）：

互动实验室环境
每章节配有挑战性练习
价格：$47/月

题库与模拟考试

📝 推荐题库

MeasureUp AZ-700（⭐⭐⭐⭐⭐ 官方合作）：

题目数量：约 120 题
特点：题目解析最详细
价格：$99（经常有 50% 折扣）
建议：考前 2 周使用

Whizlabs AZ-700（⭐⭐⭐⭐）：

题目数量：约 200 题
特点：性价比高，题目覆盖广
价格：$39.95
练习模式 + 模拟考试

90天备考计划

90 天备考计划（零基础）

📅 Month 1：基础筑基（每周 15-20 小时）

Week 1：网络基础 + Azure 入门

🔹 复习 TCP/IP、OSI 模型、子网划分
🔹 如果未考 AZ-900，完成 Azure 基础学习
🔹 创建 Azure 免费账户
🔹 Microsoft Learn 模块 1：Azure 虚拟网络简介
📝 动手：创建第一个 VNet，部署 VM

Week 2：VNet 与 Peering 深度

🔹 Microsoft Learn 模块：核心网络基础设施
🔹 学习地址空间规划最佳实践
🔹 理解 VNet Peering 配置参数
📝 动手：Hub-Spoke 拓扑实验
📝 动手：跨区域 VNet Peering

Week 3：路由与 DNS

🔹 深入学习 UDR、系统路由、BGP 基础
🔹 Azure DNS 公共与私有区域
🔹 DNS 解析流程
📝 动手：配置服务链（Service Chaining）
📝 动手：私有 DNS 区域 + 自动注册

Week 4：混合连接入门

🔹 Microsoft Learn 模块：混合网络
🔹 VPN Gateway SKU 与配置
🔹 ExpressRoute 架构（理论）
📝 动手：Point-to-Site VPN 实验
📝 动手：Site-to-Site VPN（VNet-to-VNet 模拟）

📅 Month 2：核心技能深化（每周 20-25 小时）

Week 5：ExpressRoute 与 Virtual WAN

🔹 ExpressRoute 对等互连详解
🔹 Virtual WAN Hub 架构
🔹 FastPath 与 Global Reach
📝 动手：使用免费试用模拟 ExpressRoute 配置（仅创建资源，不连接）
📝 理论：绘制企业级混合网络架构图

Week 6：负载均衡全景

🔹 Azure Load Balancer Standard 特性
🔹 Application Gateway 深度配置
🔹 Traffic Manager vs Front Door
📝 动手：Load Balancer + VMSS 实验
📝 动手：Application Gateway 多站点配置

Week 7：网络安全深度

🔹 NSG 规则优先级机制
🔹 Azure Firewall Standard vs Premium
🔹 DDoS Protection 策略
📝 动手：复杂 NSG + ASG 场景
📝 动手：部署 Azure Firewall（注意成本，实验后立即删除）

Week 8：私有访问与监控

🔹 Private Endpoint vs Service Endpoint 决策
🔹 Private DNS Zone 集成
🔹 Network Watcher 工具集
📝 动手：Storage Private Endpoint + DNS
📝 动手：Network Watcher 诊断实验

📅 Month 3：冲刺与模拟考试（每周 25-30 小时）

Week 9：题库刷题第一轮

🔹 Whizlabs 题库完整做一遍（200 题）
🔹 每道错题深度分析
🔹 整理薄弱知识点清单
📝 针对性实验弥补弱项
🎯 目标：准确率 > 75%

Week 10：强化弱项 + 第二轮刷题

🔹 复习 Microsoft Learn 薄弱模块
🔹 MeasureUp 题库练习
🔹 阅读官方文档补漏
📝 重做第一周所有错题
🎯 目标：准确率 > 80%

Week 11：模拟考试周

🔹 周一/三/五：全真模拟考试（3 次）
🔹 周二/四/六：分析错题 + 查漏补缺
🔹 复习 NSG、UDR、ExpressRoute 高频考点
🔹 背诵关键命令和配置参数
🎯 目标：模拟考试 3 次均 > 85%

Week 12：最后冲刺 + 考试

🔹 周一至周三：快速复习笔记
🔹 周四：休息调整心态
🔹 周五/周六：参加考试
🔹 考试技巧：
- ⏰ 时间管理：120 分钟 / 50 题 = 每题 2.4 分钟
- 🚩 先标记难题，第二轮处理
- 📖 仔细阅读场景描述，理解需求
- 🎯 排除法（通常能排除 2 个明显错误选项）

备考技巧与注意事项

🎯 考试答题策略

时间管理技巧

120 分钟答题节奏：

前 60 分钟：快速浏览所有题目
- 简单题直接作答（每题 1-1.5 分钟）
- 复杂场景题标记（⚠️ Mark for Review）
- 目标：完成 70% 题目

中间 40 分钟：攻克复杂题
- 处理标记的场景题
- 仔细分析需求与限制条件
- 使用排除法

最后 20 分钟：检查与复核
- 回顾标记题目
- 检查有无遗漏
- 确认每题至少有答案（无答案 = 0 分）

题目类型应对

场景分析题（Case Study）：

典型结构：
1. 公司背景与现有环境
2. 技术需求与业务目标
3. 约束条件（预算、合规、时间）
4. 5-8 个相关问题

阅读技巧：
✅ 先读问题，带着问题读场景
✅ 标注关键词：高可用、成本优化、最小延迟
✅ 画简图理清架构
❌ 不要过度推测未提及的需求

"选择最佳答案"题：

题目：需要实现低延迟访问 Azure Blob Storage
选项：
A. Service Endpoint（成本低，但仍经过公共端点）
B. Private Endpoint（完全私有，延迟最低）
C. VPN Gateway（不适用此场景）
D. ExpressRoute（过度设计，成本高）

答题逻辑：
1. 排除明显错误（C、D）
2. 对比剩余选项优劣
3. 如果题目强调"最小延迟" → B
4. 如果题目强调"成本优化" → A

高频考点速记

NSG 规则优先级：

记忆口诀："数小优先，默认垫底"
自定义规则：100-4096
默认规则：65000+

ExpressRoute 带宽选择：

<100 Mbps：办公网络访问
100 Mbps - 1 Gbps：中小型数据同步
1 Gbps - 10 Gbps：大数据迁移、实时备份
>10 Gbps：Direct（直连模式）

Load Balancer SKU 决策：

Basic：开发/测试环境（免费）
Standard：生产环境（支持可用性区域）

Private Endpoint 适用场景：

必须用：需要从本地访问 Azure 服务
推荐用：高安全要求（如金融、医疗）
可选用：跨区域访问服务
不适用：预算极度有限的开发环境

⚠️ 常见陷阱与误区

陷阱 1：VNet Peering 传递性

错误认知：
VNet1 ↔ VNet2 ↔ VNet3
认为 VNet1 可以直接访问 VNet3

✅ 正确：
VNet Peering 不具有传递性
必须显式配置 VNet1 ↔ VNet3

解决方案：
使用 Hub VNet + UDR 实现传递路由

陷阱 2：UDR 不影响同子网流量

场景：
Subnet A 配置 UDR：0.0.0.0/0 → NVA
问：同子网内 VM 通信是否经过 NVA？

❌ 错误答案：是
✅ 正确答案：否（系统路由优先级更高）

记忆：UDR 影响跨子网/外部流量，不影响本地流量

陷阱 3：Service Endpoint 的安全误解

错误理解：
启用 Service Endpoint 后，流量完全私有

✅ 事实：
- 流量仍到达服务的公共端点
- 仅优化路径（走 Azure 骨干网）
- 源 IP 是 VNet 私有 IP（服务端可识别）

安全最佳实践：
Storage Firewall 配置：仅允许特定 VNet/Subnet

陷阱 4：NSG 与 ASG 的作用范围

问：NSG 能否应用到 VNet？
❌ 错误：可以
✅ 正确：只能应用到 Subnet 或 NIC

问：ASG 能否跨 VNet 使用？
❌ 错误：可以
✅ 正确：仅在同一 Region 内有效

💡 考前 48 小时清单

必背知识卡片

卡片 1：Default NSG Rules

入站：
AllowVNetInBound (65000)
AllowAzureLoadBalancerInBound (65001)
DenyAllInBound (65500)

出站：
AllowVNetOutBound (65000)
AllowInternetOutBound (65001)
DenyAllOutBound (65500)

卡片 2：VPN Gateway SKU

Basic：最多 10 个 S2S 隧道，不支持 BGP
VpnGw1：最多 30 个隧道，1.25 Gbps
VpnGw2：最多 30 个隧道，2.5 Gbps
VpnGw3：最多 30 个隧道，10 Gbps

卡片 3：Load Balancer 健康探测协议

HTTP：GET 请求，200-399 为健康
TCP：3 次握手成功即健康
HTTPS：类似 HTTP（Application Gateway）

卡片 4：Private Endpoint DNS 记录

服务：Storage Blob
公共 FQDN：mystorageaccount.blob.core.windows.net
私有 FQDN：mystorageaccount.privatelink.blob.core.windows.net
DNS 区域：privatelink.blob.core.windows.net

最后 24 小时

不要做的事： ❌ 学习新知识点 ❌ 刷大量新题 ❌ 熬夜突击 ❌ 饮酒或大量咖啡

应该做的事： ✅ 浏览错题本 ✅ 复习知识卡片 ✅ 早睡早起 ✅ 准备考试设备（如果在线监考）

考试当天

在线监考准备（Pearson VUE OnVUE）：

提前 30 分钟：
1. 清理桌面（除键盘、鼠标、显示器外全部移除）
2. 关闭所有应用程序
3. 关闭手机
4. 准备护照/身份证

检查清单：
✅ 稳定网络（有线连接最佳）
✅ 摄像头正常
✅ 麦克风正常
✅ 房间光线充足
✅ 无其他人在场

考后职业发展路径

🎓 进阶认证路线

网络专家路径：

AZ-700（Associate）
  ↓
AZ-305：Azure Solutions Architect Expert
（需要同时通过 AZ-104 或 AZ-204）
  ↓
专家级认证维护（每年续期评估）

多云网络架构师路径：

AZ-700（Azure 网络）
  + 
AWS Advanced Networking Specialty (ANS-C01)
  +
GCP Professional Cloud Network Engineer
  =
多云网络架构师（年薪 $150k-$250k）

安全方向路径：

AZ-700（网络基础）
  ↓
AZ-500：Azure Security Engineer
  ↓
SC-100：Cybersecurity Architect Expert

💼 就业市场分析

AZ-700 持证者薪资范围（美国市场，2024）：

经验级别	年薪范围	典型职位
0-2 年	$75k - $95k	Azure Network Engineer
3-5 年	$95k - $130k	Senior Network Engineer
6-10 年	$130k - $170k	Network Architect
10+ 年	$170k - $220k	Principal Network Architect

中国市场（一线城市）：

经验级别	年薪范围
初级	¥25-35万
中级	¥35-55万
高级	¥55-90万

需求旺盛行业：

1 💰 金融服务（银行、保险）- 混合云需求强
2 🏥 医疗健康 - 高合规与安全要求
3 🏢 大型企业 - 多云环境管理
4 ☁️ 云服务提供商 - Azure MSP 合作伙伴
5 📱 科技公司 - 全球化网络架构

练习与模拟考试

info

开始您的 AZ-700 备考之旅

我们提供完整的 AZ-700 题库与模拟考试系统

练习模式：

🎯 自适应难度 - 根据答题情况动态调整
📈 详细成绩报告 - 识别需要强化的知识领域

play_arrow

Start Practice Mode

Study at your own pace

arrow_forward

timer

Take Mock Exam

Simulate the real exam

arrow_forward

常见问题解答

quizFrequently Asked Questions

考 AZ-700 前必须先考 AZ-900 吗？

不是强制要求，但如果您是 Azure 新手，强烈建议先考 AZ-900 打基础。AZ-700 假设您已掌握 Azure 基本概念（如资源组、区域、订阅等）。

需要有传统网络（CCNA/CCNP）背景吗？

有传统网络背景会更容易理解，但不是必须。关键是理解路由、子网、防火墙等核心概念。建议先学习 TCP/IP 和 OSI 模型基础。

这个考试实操性强吗？

非常强！约 70-80% 的题目基于实际配置场景。如果只看理论不动手，很难通过考试。建议至少完成 30+ 小时的实验室练习。

考试中会考 PowerShell 或 CLI 命令吗？

偶尔会考，但不是重点。考试主要测试概念理解和 Azure Portal 配置知识。了解基本的 az network 命令有帮助，但不需要背诵。

需要多长时间准备？

有网络背景：4-6 周（每周 15-20 小时）
零网络基础：8-12 周（每周 15-20 小时）
已持有 AZ-104：3-4 周（侧重网络高级特性）

ExpressRoute 实验成本很高，如何练习？

您可以：

1 仅创建 ExpressRoute Circuit 和 Gateway（不连接真实电路）
2 观看 Microsoft Learn 的演示视频
3 使用 Azure Portal 的"创建但不部署"功能了解配置流程
4 参考架构图理解概念

考试通过后认证有效期多久？

1 年有效期。需要每年完成免费的续期评估（Renewal Assessment）以保持认证有效性。评估通常包含 20-30 道题，涵盖新特性。

AZ-700 vs AWS ANS-C01，选哪个？

选 AZ-700：如果您的公司使用 Azure，或您在寻找混合云/企业级机会
选 AWS ANS-C01：如果您追求最大化就业市场（AWS 需求更大）
最佳策略：两个都考（多云网络工程师年薪更高）

考试能用中文吗？

可以！Microsoft 考试支持简体中文界面。但注意某些技术术语的中文翻译可能不准确，建议切换到英文界面或同时查看两种语言。

挂了怎么办？

第一次挂科后需等待 24 小时才能重考
第二次挂科后需等待 14 天
建议：分析成绩报告，识别薄弱域，针对性强化后再考

考完 AZ-700 后，您可以考虑以下进阶路径：

同系列 Azure 认证：

🎓 AZ-104：Azure Administrator - 如果您还未考，这是 AZ-305 的前置
🎓 AZ-305：Azure Solutions Architect Expert - 网络工程师的自然晋升路径
🎓 AZ-500：Azure Security Engineer - 深化网络安全专长

多云网络认证：

☁️ AWS ANS-C01：Advanced Networking - AWS 网络专家认证
☁️ GCP Professional Cloud Network Engineer - Google Cloud 网络认证

专业技能认证：

🔒 CCNP Enterprise - Cisco 企业网络专家
🛡️ CISSP - 信息安全专业人员

祝您 AZ-700 考试顺利！成为 Azure 网络专家的第一步从这里开始。🚀

最后更新：2025年12月

Azure Network Engineer Associate AZ-700: Networking Mastery

Azure Network Engineer Associate：云网络架构师的黄金认证

为什么 AZ-700 值得考？

核心价值定位

考试格式与难度分析

基本考试信息

题型分布

难度评估

考试知识域深度解析

📌 Domain 1: 设计、实施和管理混合网络（10-15%）

🔹 VPN 连接

🔹 Virtual WAN（虚拟广域网）

📌 Domain 2: 设计和实施核心网络基础设施（20-25%）

🔹 虚拟网络（VNet）设计

🔹 IP 地址管理

🔹 路由设计

🔹 Azure DNS

📌 Domain 3: 设计和实施路由（25-30%）

🔹 高级路由场景

🔹 负载均衡器详解

🔹 Application Gateway 深度知识

📌 Domain 4: 保护和监控网络（15-20%）

🔹 网络安全组（NSG）深度解析

🔹 Azure Firewall

🔹 DDoS Protection

🔹 Network Watcher 工具集

📌 Domain 5: 设计和实施 Azure 服务的私有访问（10-15%）

🔹 Private Endpoint vs Service Endpoint（核心对比）

🔹 Private Endpoint 配置深度

🔹 Service Endpoint 策略

🔹 Private Link Service

备考策略与资源推荐

官方学习资源

🎓 Microsoft Learn 路径（免费且必学）

📄 必读官方文档

第三方精品课程

🎥 视频课程推荐

题库与模拟考试

📝 推荐题库

90天备考计划

90 天备考计划（零基础）

📅 Month 1：基础筑基（每周 15-20 小时）

📅 Month 2：核心技能深化（每周 20-25 小时）

📅 Month 3：冲刺与模拟考试（每周 25-30 小时）

备考技巧与注意事项

🎯 考试答题策略

时间管理技巧

题目类型应对

高频考点速记

⚠️ 常见陷阱与误区

陷阱 1：VNet Peering 传递性

陷阱 2：UDR 不影响同子网流量

陷阱 3：Service Endpoint 的安全误解

陷阱 4：NSG 与 ASG 的作用范围

💡 考前 48 小时清单

必背知识卡片

最后 24 小时

考试当天

考后职业发展路径

🎓 进阶认证路线

💼 就业市场分析

练习与模拟考试

常见问题解答

相关认证推荐

Ready to Get Microsoft Azure Certified?