Cisco 300-410: Serviços de Rede, Resiliência e Operações — Guia de estudos

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

Faz parte do Cisco CCNP Enterprise 300-410 ENARSI — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

Esta seção aborda os blocos de construção operacionais que mantêm as redes roteadas disponíveis, depuráveis e seguras: redundância de primeiro salto, sondagem ativa de caminho e detecção rápida de falhas, funções do plano de serviço (DHCP relay, NTP, DNS, telemetria), AAA para administração segura, automação orientada a eventos, redes de segurança de configuração e um ciclo de vida operacional para monitoramento e solução de problemas. As escolhas de design, as interações do plano de controle e os modos de falha comuns são destacados para permitir operações resilientes em escala.

Redundância de Primeiro Salto e Detecção Rápida de Falhas

Protocolos de redundância de primeiro salto (FHRPs) fornecem um gateway padrão estável em segmentos de LAN.

• HSRP: Usa um IP virtual com um MAC virtual 0000.0c07.acXX. Prioridade de 0 a 255, a maior vence. A preempção é desabilitada por padrão; habilite a preempção (preempt) para retomar a função ativa quando o roteador de maior prioridade se recuperar. O rastreamento de interface e de objetos (object tracking) subtrai da prioridade para forçar o failover em falhas parciais (por exemplo, perda do uplink da WAN).
• VRRP: Usa o MAC virtual 0000.5e00.01XX. O proprietário do IP virtual é o mestre (master) por padrão. A preempção está efetivamente ativada por padrão (diferente do HSRP). Rastreie objetos (track objects) por meio de extensões da CLI para rebaixar o mestre em caso de falhas.
• GLBP: Distribui a carga do gateway padrão dos hosts entre os Active Virtual Forwarders (AVFs), coordenados por um AVG usando MACs virtuais por AVF (0007.b4XX.XX). A ponderação (weighting) e o rastreamento (tracking) removem um AVF quando sua saúde se degrada; cuidado, pois uma ponderação mal dimensionada pode causar oscilação em condições de instabilidade (flapping).

Notas de design:

• Habilite a preempção com um atraso (delay) para evitar instabilidade (churn) durante breves períodos de instabilidade.
• Alinhe os temporizadores de hello/hold do FHRP com as expectativas de detecção upstream para evitar black holes transitórios.
• Rastreie a alcançabilidade upstream com IP SLA, e não apenas o estado da interface, para detectar falhas silenciosas além do domínio L2/L1.

Exemplo de HSRP com rastreamento de objetos (object tracking):

• interface Vlan10 standby 10 ip 10.10.10.1 standby 10 priority 110 standby 10 preempt delay minimum 30 standby 10 track 1 decrement 30
• track 1 ip sla 10 reachability
• ip sla 10 icmp-echo 198.51.100.1 source-interface GigabitEthernet0/0 frequency 5
• ip sla schedule 10 life forever start-time now

O Bidirectional Forwarding Detection (BFD) acelera a detecção de falhas de caminho, independentemente dos protocolos de roteamento.

• Modos: Assíncrono com eco opcional; salto único (single-hop) (IGPs, eBGP em conexões diretas) e múltiplos saltos (multi-hop) (iBGP). Use o modo eco onde houver offload de hardware; caso contrário, mantenha os temporizadores conservadores.
• Temporizadores típicos: 50 ms para transmissão/recepção, multiplicador de 150 ms, escolhidos para corresponder às capacidades do hardware. Exagerar nos valores pode causar falsos positivos e alto uso de CPU.
• Interação com o roteamento:
  • OSPF: bfd nas interfaces; a queda da vizinhança (neighbor teardown) ocorre após a queda do BFD, levando a uma convergência abaixo de 200 ms quando os limitadores (throttles) do SPF estão ajustados.
  • EIGRP: bfd por interface ou em modo nomeado (named mode); a adjacência é redefinida rapidamente na falha do BFD; garanta que os valores K/ASNs correspondam para formar a adjacência.
  • BGP: o comando neighbor fall-over bfd requer configuração em ambos os lados; para iBGP multi-hop, configure o BFD multi-hop.
• Modos de falha: Incompatibilidades de MTU no OSPF travam as vizinhanças no estado ExStart/Exchange; corrija o MTU da interface para permitir a troca de DBD. Evite BFD sobre caminhos assimétricos ou com NAT; o BFD multi-hop não atravessará o NAT de forma confiável.

IP SLA, Object Tracking e Comportamento Condicional do Plano de Controle

O IP SLA gera sondas sintéticas para avaliar a alcançabilidade e o desempenho (ICMP echo, UDP jitter, TCP connect, HTTP, DNS). Os objetos de rastreamento (track objects) vinculam os resultados do SLA às decisões de roteamento e de FHRP.

Padrões comuns:

• Rastreamento de rota estática: ip route 0.0.0.0 0.0.0.0 203.0.113.1 track 10 para remover uma rota padrão quando a sonda para o alvo de verificação de saúde do ISP falha.
• Rastreamento de HSRP/GLBP: reduz a prioridade/peso para forçar o failover do gateway quando a alcançabilidade upstream se degrada.
• Roteamento baseado em políticas (Policy-based routing) com set ip next-hop verify-availability usa o rastreamento para direcionar o tráfego somente quando o próximo salto é verificado como ativo.

Comportamento condicional do BGP:

• Prefira o ISP de menor latência (lower-delay) quando ambos estiverem ativos, aumentando o LOCAL_PREF no tráfego de entrada (inbound) do peer preferencial. O LOCAL_PREF é o atributo correto para influenciar a seleção de caminho de saída (outbound) em toda a rede.
• Evite “black holes” de route-map. Ao definir o local-preference seletivamente, inclua um permit final para passar todas as outras rotas:
  • route-map SETLP permit 10 match ip address prefix-list PRIMARY-PFX set local-preference 200
  • route-map SETLP permit 20 Sem o permit 20, as rotas não correspondidas são negadas, e a sessão parece estar ativa, mas não instala nenhum prefixo.
• Anúncio condicional: neighbor X advertise-map BACKUP exist-map PRIMARY faz com que a rota BACKUP seja anunciada somente quando a rota PRIMARY não existir mais. Valide a existência da rota na RIB correta (AFI/SAFI) e

Serviços de Rede e Administração Segura

Serviços essenciais:

• Relay de DHCP: O comando ip helper-address em uma SVI L3 encaminha broadcasts BOOTP/DHCP como unicasts. A inserção da Option 82 permite políticas por circuito; garanta que o servidor confie nas informações do agente de relay. Em VRFs, use ip helper-address vrf NAME e verifique o roteamento de retorno.
• NTP: Implante servidores redundantes e autenticados; prefira o NTPv4 com chaves de autenticação; evite assimetria cliente/servidor que introduz mudanças abruptas no tempo (step changes). Verifique a estabilidade do relógio antes de habilitar operações de PKI.
• DNS: Use ip name-server com múltiplos resolvers; habilite o DNS guard para segurança. Para fluxos sensíveis à latência, considere usar resolvers de cache locais no local (on-site).
• SNMP: Use SNMPv3 com authPriv; restrinja as views e os endereços de origem. Preserve os índices de interface entre reinicializações com snmp-server ifindex persist para manter os mapeamentos de monitoramento estáveis após trocas de hardware ou de line cards.
• Syslog: Defina a facility e a severidade apropriadas; envie para coletores redundantes via TCP ou TLS, se suportado. Alinhe as expectativas do parser para dados estruturados; inclua números de sequência e timestamps com fuso horário/UTC.
• NetFlow/IPFIX e telemetria orientada a modelos (model-driven telemetry): Exporte para coletores usando v9/IPFIX; aplique amostragem (sampling) em interfaces de alta vazão (high-throughput). Para streaming quase em tempo real, use telemetria orientada a modelos do tipo dial-out (gRPC/gNMI em plataformas que o suportam) com codificação escalável. Equilibre a granularidade com a capacidade do coletor.

Proteção do plano de controle (Control-plane):

• CoPP: Aplique a service-policy sob o control-plane, não nas interfaces de dados. Mover a política da entrada da interface para o control-plane aplica o policiamento da CPU corretamente e evita quedas não intencionais de tráfego de usuário.
• Autenticação MPLS/LDP: Use MD5 (ou TCP-AO, onde disponível) em sessões LDP para impedir a inserção de LSRs mal-intencionados (rogue LSR). Da mesma forma, proteja OSPF/EIGRP com autenticação e alinhe as áreas/ASNs e os K-values.

AAA e administração segura:

• Use TACACS+ para autorização de comandos e accounting (contabilidade); RADIUS para acesso à rede e autenticação de login; implante ambos com alta disponibilidade e redundância baseada na rede.
• Listas de métodos (method lists) com fallback local:
  • aaa authentication login RAD-LOCAL group RAD-SERV local
  • line vty 0 4 login authentication RAD-LOCAL Se um grupo de servidores foi criado com o tipo de protocolo errado, corrija-o (aaa group server radius …) e associe o servidor radius definido pelo nome (server name ISE1).
• Limite o acesso de gerenciamento com ACLs por VTY, acesso somente via SSH, exec-timeouts e views de CLI baseadas em função (role-based). Armazene os segredos compartilhados (shared secrets) de SNMP, RADIUS e TACACS+ de forma segura. Para IPv6, implante RA Guard e ND inspection; o ND inspection aprende e protege as associações (bindings) SLAAC na Camada 2 para evitar spoofing.

Movimentação de interfaces e VRF:

• Mudar a VRF em uma interface apaga o endereçamento IP. Execute na sequência correta:
  • interface Gi2 no vrf forwarding RED vrf forwarding BLUE ip address 10.0.0.0 255.255.255.254

Ciclo de Vida de Operações, Monitoramento e Solução de Problemas

Mecanismos de segurança para configurações:

• Arquive as configurações em armazenamento remoto (archive, path, time-period). Use

undefined

para reverter para um checkpoint sabidamente funcional; valide o delta do

undefined

em plataformas que suportam configurações candidatas. Coordene com janelas de manutenção e acesso out-of-band (OOB). Mantenha as variáveis de boot sincronizadas com as imagens; verifique os armazenamentos de PKI após upgrades.

Controle de mudanças e recuperação:

• Pré-mudança: mapeamento de dependências, critérios de falha e plano de reversão (backout). Durante a mudança: implementação em fases (staged rollout), verificações de saúde (health checks) e confirmação por telemetria. Pós-mudança: capture o estado final (snapshot), atualize a documentação e feche as exceções de monitoramento.
• Recuperação rápida: métodos de recarga a quente (warm reload), ISSU onde suportado e rollback estruturado com janelas de tempo baseadas em risco (por exemplo,

undefined

cancelado após o sucesso).

Baselines de monitoramento e alertas:

• Baselines: percentis de utilização de link, perda/latência/jitter por classe, CPU do plano de controle, contagem de adjacências, erros de interface, rotatividade de rotas (route churn), estabilidade da sessão BFD e volume de syslog.
• Limiares (Thresholds): limiares estáticos para limites rígidos (CPU > 85%), dinâmicos para desvios (3x o desvio padrão em 15 min). Projete alertas com múltiplos sinais para reduzir o ruído (por exemplo, oscilações na sessão BFD mais pico de CRC mais interface inativa).
• Análise de causa raiz (RCA): correlacione dados alinhados no tempo — mudanças de topologia, tabelas de roteamento, desvios de fluxo e logs. Marque eventos causais (corte de fibra) e sintomas dependentes (retirada de prefixos).

Solução de problemas em camadas e validação do caminho do pacote:

• Comece pelo sintoma do usuário; verifique L1/L2 (erros, MTU), depois a alcançabilidade L3 (ping com DF set, traceroute), depois o plano de controle (vizinhos, LSDB/adjacências), e então o plano de dados (adjacência CEF, NetFlow, EPC se disponível).
• Bloqueadores conhecidos:
  • Links virtuais OSPF exigem uma área de trânsito normal; áreas NSSA/stub manterão o link virtual inativo.
  • OSPF travado em ExStart frequentemente indica uma incompatibilidade de MTU.
  • A adjacência EIGRP falha com ASNs ou valores K (K-values) incompatíveis.
  • Loops de redistribuição: aplique tags nas rotas ao redistribuir e filtre na reentrada. Exemplo: negar a tag 100 ao redistribuir de volta para o OSPF.
• Valide a intenção do BGP: verifique os estados de LOCAL_PREF, AS_PATH e anúncio condicional. Confirme se a lógica de

undefined

/

undefined

está alinhada com a presença real na RIB.

Resiliência operacional e melhoria pós-incidente:

• Construa defesa em profundidade: gateways FHRP com dual-homing, IGP/BGP com suporte de BFD, rastreamento (tracking) orientado por IP SLA, CoPP e AAA com fallback local. Teste regularmente os runbooks de failover e recuperação.
• Pós-incidente: realize postmortems sem atribuição de culpa, documente cronogramas, identifique causas primárias e contribuintes, implemente ações corretivas (proteções de configuração, sondas aprimoradas, limiares ajustados) e meça os resultados em simulações futuras.

Cenário de Problema Prático

A Acme Health opera dois uplinks de WAN por site: um ISP-A de baixa latência e um ISP-B de satélite de alta latência para backup. O HSRP fornece redundância de gateway nas VLANs de usuário. Durante uma interrupção anterior, o tráfego fez failover para o ISP-B, mas não retornou para o ISP-A após a recuperação, e os alarmes de monitoramento dispararam devido a mudanças nos índices de interface após um upgrade de chassi.

Abordagem:

1. Estabilizar o comportamento do primeiro salto com preempção e rastreamento (tracking).

• Configure o HSRP com

undefined

e rastreamento por IP SLA de um alvo de saúde no ISP-A. Justificativa: a preempção garante que o gateway de maior prioridade retome a função ativa após a recuperação; o rastreamento baseado em SLA detecta a alcançabilidade upstream, não apenas o sinal da portadora do link, evitando black holes.

2. Preferir o ISP-A para saída (egress) com BGP LOCAL_PREF e anunciar o backup condicionalmente.

• Aplique um route-map de entrada no vizinho do ISP-A para definir um LOCAL_PREF mais alto em prefixos designados; inclua um

undefined

final para evitar a supressão de rotas não relacionadas. Use

undefined

para pares selecionados. Justificativa: o LOCAL_PREF direciona deterministicamente o tráfego de saída quando ambos os ISPs estão ativos; o

undefined

final evita quedas de rota não intencionais; o anúncio condicional anuncia backups apenas quando as rotas primárias são retiradas.

3. Acelerar a detecção de falhas com BFD vinculado ao IGP e BGP.

• Habilite o BFD nas interfaces OSPF/EIGRP e nos vizinhos BGP, usando timers de 50/150 ms onde suportado. Justificativa: a detecção em menos de um segundo colapsa o tempo de convergência; timers consistentes reduzem o failover assimétrico. Valide se o BFD multi-hop é usado para iBGP e evite caminhos que atravessem NAT.

4. Fortalecer os planos de controle e gerenciamento.

• Mova o CoPP de um anexo de interface para uma

undefined

no plano de controle. Habilite o SNMPv3 e

undefined

. Proteja as sessões LDP com MD5 onde o MPLS é usado. Justificativa: o CoPP só protege a CPU sob o plano de controle; o

undefined

persistente preserva a continuidade do monitoramento; a autenticação LDP impede LSRs maliciosos.

5. Garantir AAA com fallback resiliente para acesso remoto.

• Defina um grupo de servidores RADIUS corretamente e vincule o servidor pelo nome; crie uma lista de métodos de login com fallback local e aplique-a às VTYs. Justificativa: o agrupamento correto garante que o dispositivo realmente consulte o RADIUS; o fallback local preserva o acesso durante interrupções do RADIUS/ISE.

6. Validar a higiene do roteamento e a validação de multicast/origem.

• Para pontos de redistribuição, aplique tags nas rotas e filtre a reentrada para evitar loops. Onde o uRPF for necessário, use

undefined

(loose mode) nas bordas da WAN com roteamento complexo para evitar quedas durante falhas transitórias de consulta. Justificativa: o uso de tags previne o feedback; o uRPF em modo loose equilibra a segurança com a estabilidade operacional.

7. Instrumentar e automatizar para detecção e reversão rápidas.

• Crie baselines de latência e perda por link; defina alertas baseados em desvios. Transmita telemetria para sessões BFD e estado do HSRP. Implemente um applet EEM com um padrão de evento de syslog para ser acionado em mudanças de estado do HSRP e capturar automaticamente

undefined

. Justificativa: baselines reduzem o ruído dos alertas; a telemetria por streaming permite correlação rápida; o EEM captura dados forenses no momento da falha.

8. Planejar a reversão (rollback) e testar a recuperação.

• Use

undefined

e

undefined

para preparar uma imagem e configuração de reversão. Agende uma janela de manutenção para simular o failover e failback do ISP-A, verificando a re-preempção do HSRP, o comportamento do BGP LOCAL_PREF e os anúncios condicionais. Justificativa: testes controlados validam o novo design; o

undefined

fornece uma rota de fuga determinística.

Ao sequenciar o controle de gateway, a política de BGP, a detecção rápida e o fortalecimento do gerenciamento — e ao instrumentar com telemetria e EEM — a Acme Health resolve a “aderência” do failover (failover stickiness), previne a interrupção do monitoramento por rotatividade de índices e reduz mensuravelmente o tempo médio de recuperação (MTTR) para incidentes de WAN.

← VPN · Todos os domínios

Pratique estas questões → · Prática cronometrada no ExamRoll.io →