Cisco 300-410: Endereçamento Avançado de IPv4 e IPv6 — Guia de estudos

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

Faz parte do Cisco CCNP Enterprise 300-410 ENARSI — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

O endereçamento avançado de IPv4 e IPv6 é a base para um roteamento estável, encaminhamento previsível, agregação escalável e comportamento seguro no primeiro salto. Esta seção explica como os prefixos são selecionados, como os planos de endereçamento escalam por meio da sumarização, como o endereçamento IPv6 e o Neighbor Discovery operam, o que considerar para dual-stack e migração, e como verificar o encaminhamento. Ela também destaca modos de falha e trade-offs comuns para que o design e as operações possam convergir para resultados confiáveis.

Seleção de rotas IPv4 e planejamento de endereçamento escalável

• Correspondência de prefixo mais longo (LPM): Roteadores sempre preferem a rota mais específica. Uma rota de host /32 sobrepõe uma /24, que por sua vez sobrepõe uma /16, independentemente do protocolo. Implicação de design: garanta que rotas específicas existam onde a engenharia de tráfego exige precisão; caso contrário, a sumarização pode ocultar mudanças de alcançabilidade e causar caminhos subótimos ou black holes.
• Distância administrativa (AD): Quando múltiplas fontes fornecem o mesmo comprimento de prefixo, a rota com a menor AD vence (por exemplo, connected < static < eBGP < IGP < iBGP por padrão). Projete com intenção:
  • Use rotas estáticas flutuantes (AD mais alta) como fallbacks controlados para uma rota dinâmica primária.
  • Evite sobreposições não intencionais; uma rota estática com AD baixa pode suprimir silenciosamente um caminho aprendido por IGP.
• Design de rotas estáticas:
  • Próximo salto vs. interface de saída: ip route 192.0.2.0 255.255.255.0 198.51.100.1 realiza resolução recursiva e é resiliente a mudanças na Camada 2 (L2). ip route 192.0.2.0 255.255.255.0 GigabitEthernet0/0 pode disparar ARP por pacote em segmentos de acesso múltiplo e pode encaminhar incorretamente se existirem múltiplos próximos saltos.
  • Falhas de link: Monitore objetos de interface ou IP SLA para remover rotas estáticas padrão durante interrupções no upstream.
  • Proteção de sumarização: Instale uma rota de descarte para Null0 correspondente à sumarização para prevenir loops quando rotas específicas estiverem ausentes.
    • Exemplo: ip route 10.16.0.0 255.255.0.0 Null0 250
• Máscaras de sub-rede de tamanho variável (VLSM): Aloque sub-redes dimensionadas conforme a necessidade. Os benefícios incluem maior utilização e menos prefixos se acoplado com hierarquia. Os riscos incluem fragmentação que dificulta a sumarização.
• Sumarização de rotas:
  • Sumarize nas fronteiras de distribuição ou do core para restringir domínios de falha e reduzir o estado do plano de controle.
  • As fronteiras devem se alinhar em limites binários (nibble) para manter a agregação à medida que a rede cresce.
  • Trade-off: Sumarizações podem ocultar a remoção de rotas mais específicas, levando a black holes. Contorne isso através de:
    • Vazar rotas específicas críticas (por exemplo, para engenharia de tráfego) e monitorar a alcançabilidade.
    • Usar exceções precisas de correspondência mais longa ou anúncio condicional vinculado a sondas de alcançabilidade.
• Escalabilidade e sobreposição do plano de endereçamento:
  • Alocação hierárquica: reserve blocos por local/região/função. Evite endereçamento secundário e ad hoc que quebra a sumarização.
  • Evite sobreposição mantendo uma fonte única da verdade para alocações e pré-reservando espaço para crescimento dentro de cada bloco.
  • A separação de DMZ/Convidados/Serviços simplifica as políticas e reduz o raio de impacto.

Tipos de endereço IPv6 e design do plano

• Link-local (FE80::/10): Autoconfigurado, obrigatório em todas as interfaces, usado para ND e para próximos saltos de roteamento em um link. Não é roteável; pode ser o único endereço funcional para adjacências de underlay. Nota operacional: Ao usar um próximo salto link-local em rotas estáticas, você deve especificar a interface de saída.
• Global unicast (2000::/3): Roteável na Internet; aloque hierarquicamente (por exemplo, /48 por site, /64 por LAN). Prefira limites alinhados a nibble (/48, /56, /60, /64) para simplificar ACLs e sumarização.
• Multicast (FF00::/8): Usado por ND (multicast de nó solicitado), protocolos de roteamento e serviços. Garanta que o MLD e o policiamento do plano de controle considerem esses grupos em domínios L2 densos.
• Anycast: O mesmo endereço configurado em múltiplos nós; o tráfego é entregue à instância mais próxima pelo roteamento. Comumente usado para gateways de primeiro salto e DNS recursivo. Modo de falha: Operacionalmente indistinguível de unicast — documente as localizações e monitore a alcançabilidade, ou você pode acabar solucionando problemas no nó errado.
• Unique local (FC00::/7): Não roteável na Internet, único internamente. Útil para serviços internos e como identificadores estáveis quando se espera renumeração do provedor. Use NPTv6 apenas se precisar preservar o endereçamento do host em mudanças de provedor; entenda que o NPTv6 preserva o comprimento do prefixo, mas não a transparência de endereço de ponta a ponta.
• Identificadores de interface: Prefira métodos de IID estáveis e aleatórios (RFC 7217) em vez de EUI-64 para reduzir a exposição da privacidade. Para servidores e infraestrutura, use IIDs numerados para simplificar OAM e ACLs.

IPv6 Neighbor Discovery, ICMPv6 e autoconfiguração

• O ICMPv6 é crítico para o plano de controle:
  • Router Solicitation (RS) e Router Advertisement (RA) conduzem o aprendizado do gateway padrão e a determinação on-link.
  • Neighbor Solicitation (NS) e Neighbor Advertisement (NA) substituem o ARP; a alcançabilidade e o DAD dependem deles.
  • Redirecionamentos (Redirects) fornecem otimização de caminho de primeiro salto (first-hop); considere desativá-los em segmentos seguros.
• Detecção de Endereço Duplicado (DAD): Executa antes que um endereço se torne válido. Modo de falha: VMs ou hosts com comportamento inadequado podem recusar (NAK) endereços válidos; registre as falhas de DAD e coloque os infratores em quarentena via port-security ou inspeção de ND.
• SLAAC vs. DHCPv6:
  • SLAAC: Os hosts formam endereços a partir de RAs; o gateway padrão vem do RA. Vantagens: sem dependência de servidor, operações simples. Limitações: controle central limitado; as opções de DNS do host exigem RDNSS no RA ou DHCPv6.
  • DHCPv6 Stateless (sem estado): Complementa o SLAAC com parâmetros (DNS, domínio), mas não com endereços. Flags do RA: O=1, M=0.
  • DHCPv6 Stateful (com estado): O servidor atribui endereços e opções. Flags do RA: M=1 (O pode ser 0 ou 1). Use onde auditoria e reservas são necessárias (servidores, dispositivos regulamentados).
• Projeto de agente de retransmissão (relay-agent):
  • Posicione os servidores DHCPv6 centralmente; implante o relay nos gateways L3 com ipv6 dhcp relay destination [interface].
  • Garanta que os relays sigam o caminho mais curto para os servidores e que as ACLs de infraestrutura permitam UDP 546/547 e ICMPv6.
  • Modos de falha: O roteamento assimétrico impede que a Resposta (Reply) chegue ao relay; prefixos sobrepostos ou tempestades de RA (RA storms) causam rotatividade de endereços (address churn); garanta que apenas os roteadores designados emitam RAs nos segmentos de acesso, controlando as funções dos dispositivos.

Roteamento IPv6, segurança de primeiro salto, dual-stack e troubleshooting

• Rotas estáticas IPv6:
  • Padrão: ipv6 route ::/0 GigabitEthernet0/0 fe80::1 (o next-hop link-local exige a especificação da interface).
  • Next-hop recursivo com global unicast: ipv6 route 2001:db8:10::/48 2001:db8:ffff::1
  • Monitore a alcançabilidade upstream com object tracking para remover as rotas padrão quando o caminho do provedor falhar.
• Roteamento específico da origem (source-specific routing):
  • As RIBs clássicas são baseadas no destino; implemente o encaminhamento ciente da origem com IPv6 PBR ou seleção de VRF.
  • Exemplo (IPv6 PBR):
    • ipv6 access-list SRC-SITEA permit ipv6 host 2001:db8:100::/64 any
    • route-map V6-SADR permit 10 match ipv6 address SRC-SITEA set ipv6 next-hop 2001:db8:1::1
    • interface GigabitEthernet0/1 ipv6 policy route-map V6-SADR
  • Observação: O roteamento baseado em políticas (PBR) altera o encaminhamento sem modificar a tabela de roteamento. Teste o tratamento de falhas com cuidado; algumas variantes de set default next-hop encaminham o tráfego mesmo que o next-hop não seja resolvido.
• Trade-offs de dual-stack, tradução e migração:
  • Dual-stack: Executa IPv4 e IPv6 nativamente. Prós: paridade de protocolo, complexidade mínima de tradução. Contras: dobra a escala do plano de controle; as políticas de segurança devem cobrir ambas as famílias de protocolos.
  • Tradução: NAT64/DNS64 permite que clientes somente IPv6 alcancem servidores IPv4. Prós: acelera a implementação de camadas de acesso somente IPv6. Contras: quebra literais de IPv4, pode impactar aplicações que usam literais de IP ou ALGs.
  • Tunelamento: Bom para domínios limitados ou quando a rede subjacente (underlay) não possui IPv6. Prós: habilitação rápida. Contras: complexidade de MTU/PMTUD, opacidade operacional, sobrecarga adicional de encapsulamento.
  • Diretrizes de migração: Prefira dual-stack no core e na distribuição; considere acesso somente IPv6 com NAT64 para novos segmentos greenfield.
• Segurança de primeiro salto em IPv6:
  • RA Guard: Bloqueia RAs (Router Advertisements) não autorizados em portas de acesso; confie apenas nos uplinks para roteadores legítimos. Garanta que a plataforma suporte RA Guard com reconhecimento de cabeçalhos de extensão para evitar bypass.
  • DHCPv6 Guard: Bloqueia mensagens de servidor em portas não confiáveis; confie apenas nos uplinks para servidores ou relays DHCPv6 legítimos.
  • ND inspection: Aprende e protege os bindings para endereços SLAAC e DHCPv6, ajudando a prevenir spoofing de ND e exaustão do cache de vizinhos. Coordene com o port-security para evitar falsos positivos durante a rotatividade de hosts (host churn).
• Verificação de endereçamento e troubleshooting de busca de rotas:
  • Valide o endereçamento da interface e o ND:
    • show ipv6 interface brief
    • show ipv6 neighbors
  • Verifique a RIB/FIB por VRF:
    • show ip route vrf NAME
    • show ipv6 route vrf NAME
    • show ip cef exact-route SRCIP DSTIP
    • show ipv6 cef exact-route SRCv6 DSTv6
  • Confirme o estado do RA/DHCPv6:
    • show ipv6 routers
    • show ipv6 dhcp interface
  • Testes de pacote com endereço de origem explícito:
    • ping ipv6 DESTINATION source INTERFACE
  • Erros comuns:
    • O prefixo mais longo se sobrepõe a sumarizações inesperadas; verifique se há vazamento de rotas /32 ou /128.
    • Rotas estáticas apontando para uma interface inativa (down) permanecem até que o tracking as remova.
    • Em IPv6, não especificar uma interface com um next-hop link-local resulta em uma rota não resolvida.
    • Políticas de RA Guard/DHCPv6 Guard mal posicionadas podem bloquear mensagens de controle legítimas; marque as portas de infraestrutura como confiáveis (trusted).

Cenário de Problema Prático

A Contoso Manufacturing está implementando IPv6 em dois campi, mantendo os serviços IPv4. Eles exigem endereçamento escalável, comportamento seguro de primeiro salto, uplinks duplos por campus e políticas para direcionar o tráfego originado de VLANs específicas para ISPs preferenciais.

1. Alocar blocos IPv6 hierárquicos

• Atribua 2001:db8:100::/48 ao Campus A e 2001:db8:200::/48 ao Campus B. Subdivida cada /48 em /56 por prédio e /64 por VLAN.
• Justificativa: Limites alinhados por nibble (nibble-aligned) permitem uma sumarização limpa na distribuição e nos cores dos campi, simplificando ACLs e anúncios de rota.

2. Implementar dual-stack no core e na distribuição

• Mantenha IPv4 e IPv6 em enlaces roteados; OSPFv3 para IPv6 e OSPFv2 para IPv4, anunciando sumarizações /48 entre os campi.
• Justificativa: O encaminhamento nativo evita a sobrecarga de túneis e facilita o troubleshooting, ao mesmo tempo que permite a habilitação gradual do IPv6 na borda.

3. Usar SLAAC com DHCPv6 stateless para VLANs de usuário; DHCPv6 stateful para servidores

• Habilite RAs com O=1, M=0 na SVI da VLAN de usuário; execute DHCPv6 para opções de DNS e domínio. Use M=1 nas VLANs de servidor para atribuir endereços centralmente com reservas.
• Justificativa: Os usuários precisam de agilidade com sobrecarga operacional mínima; os servidores precisam de endereçamento determinístico e auditabilidade.

4. Proteger o primeiro salto

• Aplique RA Guard e DHCPv6 Guard a todas as portas de acesso; confie apenas nos uplinks para os switches de distribuição. Habilite o ND inspection nas VLANs de acesso.
• Justificativa: Bloqueia RAs e servidores DHCPv6 maliciosos (rogue) que podem sequestrar gateways padrão ou envenenar caches de vizinhos; o ND inspection constrói bindings legítimos para imposição de políticas.

5. Configurar roteamento padrão IPv6 resiliente com next-hops link-local

• No core de cada campus, instale duas rotas padrão monitoradas (tracked):
  • ipv6 route ::/0 GigabitEthernet0/0 fe80::ISP1 track 10
  • ipv6 route ::/0 GigabitEthernet0/1 fe80::ISP2 5
• Justificativa: Next-hops link-local exigem a especificação da interface e permanecem estáveis mesmo com a renumeração do provedor. O monitoramento (tracking) garante um failover rápido para o secundário com uma distância administrativa ou métrica ligeiramente maior.

6. Implementar direcionamento de saída específico da origem usando IPv6 PBR

• Nas VLANs de usuário no Prédio A1, direcione o tráfego para o ISP1; no Prédio A2, direcione para o ISP2:
  • route-map V6-STEER-A1 permit 10 match ipv6 address prefix-list A1-SOURCES set ipv6 next-hop 2001:db8:ISP1::1
  • route-map V6-STEER-A2 permit 10 match ipv6 address prefix-list A2-SOURCES set ipv6 next-hop 2001:db8:ISP2::1
  • Aplique as políticas às interfaces SVI correspondentes.
• Justificativa: As RIBs padrão tomam decisões baseadas no destino; o PBR substitui seletivamente o encaminhamento sem alterar a tabela de roteamento global. Isso alcança resultados semelhantes ao SADR para blocos de origem específicos.

7. Sumarizar e proteger com rotas de descarte

• Anuncie 2001:db8:100::/48 a partir do Campus A e instale a rota ipv6 route 2001:db8:100::/48 Null0 250.
• Justificativa: As sumarizações reduzem a instabilidade (churn) do plano de controle; a rota de descarte previne loops caso uma rota mais específica seja removida inesperadamente.

8. Verificação e operações contínuas

• Confirme o comportamento do RA e do DHCPv6:
  • show ipv6 routers
  • show ipv6 dhcp interface
• Valide as tabelas de vizinhos e os bindings:
  • show ipv6 neighbors
  • Comandos show de ND inspection específicos da plataforma
• Teste o direcionamento e a alcançabilidade:
  • ping ipv6 2001:db8:: target com a origem definida para as SVIs das VLANs A1 e A2
  • show ipv6 cef exact-route SRCv6 DSTv6 para verificar as decisões do PBR
• Justificativa: Testes com origem explícita comprovam o aprendizado do gateway padrão e a seleção de caminho do PBR, enquanto as consultas ao CEF confirmam o caminho de encaminhamento real em line rate. O monitoramento contínuo detecta anomalias de RA/DHCP precocemente.

Todos os domínios · Projeto →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →