Cisco 300-415: Onboarding de Controladores, Certificados e Conectividade de Controle Segura — Guia de estudos

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

Faz parte do Cisco SD-WAN 300-415 ENSDWI — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

O Cisco SD-WAN usa um plano de controle baseado em certificados para integrar com segurança os controladores e dispositivos WAN Edge, atravessar fronteiras de NAT e manter conexões de controle criptografadas. O projeto correto da função do orquestrador vBond, do ciclo de vida dos certificados, do inventário de dispositivos e da estratégia de NAT garante uma integração previsível e um controle resiliente. As equipes de operações devem reconhecer os estados e alarmes da conexão de controle e ter um plano de recuperação para falhas de certificado ou de conectividade.

Orquestração e Conectividade de Controle Segura

O orquestrador vBond é o primeiro ponto de contato do plano de controle para todo WAN Edge. Ele desempenha três funções críticas:

• Verificação de admissão e identidade: valida a identidade do dispositivo (serial/chassi em relação à lista autorizada) e impõe a correspondência do organization-name.
• Descoberta de NAT e rendezvous: aprende a tupla de endereço-porta pública/privada e o tipo de NAT de cada par e, em seguida, informa ambos os lados para que possam formar conexões de controle diretas.
• Troca de conectividade inicial: fornece ao WAN Edge os endereços alcançáveis dos controladores vSmart e vManage para que ele possa construir canais de controle persistentes.

Propriedades e comportamentos principais:

• Alcançabilidade por IP público: o vBond deve residir em um IP público (preferencial) ou atrás de um NAT estático 1:1 com mapeamentos de entrada consistentes. Isso garante que ele possa ser alcançado por dispositivos em ambientes de NAT desconhecidos ou restritivos.
• Pareamento persistente com controladores: o vBond mantém conexões permanentes com os controladores vSmart para que sempre tenha informações de rendezvous atualizadas.
• Não está no caminho de dados: após facilitar a troca inicial, o vBond sai do fluxo; o controle contínuo ocorre diretamente entre os WAN Edges e os controladores vSmart/vManage.

Transporte e portas DTLS/TLS:

• O protocolo padrão para conexões do plano de controle é DTLS sobre UDP 12346. O TLS sobre TCP 23456 está disponível e é frequentemente preferido em data centers onde a inspeção/proxy de TCP é padrão.
• O vBond usa a porta 12346 por padrão quando certificados de controlador são usados e nenhuma porta alternativa é configurada.
• Permita o tráfego de saída e de retorno para:
  • UDP 12346 (plano de controle DTLS)
  • TCP 23456 (plano de controle TLS)
• O IPsec NAT-T do plano de dados usa UDP 4500 e é independente das escolhas do plano de controle.

Considerações sobre NAT:

• NATs do tipo full-cone e restrito geralmente funcionam com DTLS hole punching; o NAT simétrico é o mais desafiador. Se ambas as extremidades estiverem atrás de um NAT simétrico, use TLS (TCP 23456), altere a política de saída para preservar os mapeamentos de porta ou garanta que um dos lados tenha um NAT público/restrito.
• O vBond atrás de um NAT requer mapeamento estático 1:1 para 12346/UDP (e 23456/TCP se o TLS for usado). O PAT dinâmico no vBond não é suportado.
• Vínculos de NAT obsoletos podem derrubar os túneis de controle. Ajuste os keepalives e garanta interfaces de egresso consistentes na VPN 0.

Dicas de projeto:

• Posicione pelo menos duas instâncias do vBond em regiões públicas distintas para resiliência.
• Prefira TLS em ambientes com controles de egresso rigorosos ou limitação generalizada de UDP; garanta uma postura consistente entre os controladores e os WAN Edges.

Identidade, Certificados e Validação da Organização

Todos os controladores e dispositivos WAN Edge devem apresentar certificados que se encadeiem à mesma raiz confiável, e o organization-name deve ser o mesmo em todo o overlay.

Funções e fontes dos certificados:

• Controladores (vManage, vSmart, vBond): Solicitam e instalam certificados de controlador assinados pela raiz escolhida (CA corporativa ou CA pública). O vManage orquestra o ciclo de vida deles.
• Identidade do WAN Edge:
  • Hardware vEdge: vem com um certificado instalado de fábrica.
  • IOS XE SD-WAN (cEdge): usa o Cisco SUDI para identidade PnP; em seguida, obtém um certificado de controlador assinado pela mesma raiz usada pelos controladores.
• Controladores hospedados em nuvem: Entregues com certificados assinados pelo provedor e uma cadeia de confiança conhecida. Os WAN Edges devem confiar nessa cadeia; âncoras de confiança incompatíveis exigem a reemissão dos certificados de controle do dispositivo para se alinharem com a CA da nuvem.

Fases do ciclo de vida:

• Registro: As CSRs do controlador são geradas no vManage e assinadas pela CA selecionada; os WAN Edges se registram automaticamente durante o ZTP/PnP ou via bootstrap manual.
• Validação: Durante o handshake, os pares validam a cadeia de certificados, a data de expiração, o estado de revogação (se configurado) e o organization-name.
• Renovação e revogação: O vManage monitora a expiração e pode renovar os certificados. Dispositivos comprometidos ou desativados devem ter seus certificados revogados; remova-os da lista de seriais autorizados para impedir que se reconectem.

Falhas comuns de validação:

• Divergência de organization-name: As conexões de controle falham; o estado indica divergência de organização ou certificado não verificado.
• Cadeias de confiança mistas: Controladores e edges assinados por raízes diferentes não conseguem formar sessões de controle.
• Distorção de tempo: Os certificados aparecem como ainda não válidos ou expirados; o NTP na VPN 0 é obrigatório.
• Problemas de FQDN/SAN (TLS): Se o TLS for imposto e a validação de FQDN estiver habilitada, divergências de SAN/CN causarão falha na conexão.

Onboarding de Dispositivos, PnP/ZTP e Controles de Inventário

O onboarding é a combinação da validação da identidade do dispositivo, provisionamento zero-touch (zero-touch provisioning) e conectividade de controle automática baseada em certificados.

Inventário e autorização:

• Lista de seriais autorizados: O vManage armazena a lista de dispositivos WAN Edge permitidos. Preencha via sincronização da Smart Account ou fazendo o upload manual do arquivo de números de série autorizados no vManage quando a Smart Account Sync não é utilizada.
• Número de série vs. número de chassi: Ambos são usados para identificar unicamente e prevenir spoofing. Tokens para o vEdge podem ser necessários durante o onboarding manual.

Fluxos zero-touch:

• ZTP do vEdge: O dispositivo usa um perfil de fábrica para alcançar o serviço ZTP, aprende qual é o orquestrador vBond e inicia DTLS/TLS para o vBond para verificação de identidade e rendezvous. Em seguida, ele forma conexões de controle habilitadas para OMP com o vSmart e conectividade de gerenciamento com o vManage.
• PnP do IOS XE SD-WAN (cEdge): O dispositivo usa SUDI para se autenticar com o Cisco Plug and Play sobre HTTPS, que retorna a alcançabilidade do controlador. Alternativamente, pode-se usar PnP on-prem via opção 43 do DHCP/DNS ou um bootstrap por USB no dia 0 (day-0). Após a admissão pelo vBond, o dispositivo é redirecionado para o vManage para anexação de template.
• Depois que as conexões de controle estão ativas, o vManage envia (push) os templates, e o vSmart inicia o peering OMP para distribuir rotas, políticas e chaves criptográficas.

Checkpoints operacionais:

• Garanta que o organization-name na configuração do sistema corresponda exatamente ao da overlay.
• Verifique o roteamento IP da VPN 0, o DNS (se FQDNs forem usados) e o NTP.
• Abra as portas necessárias em direção ao vBond/vSmart/vManage e permita os fluxos de retorno.

Uma designação mínima do vBond no orquestrador:

system
 vbond 203.0.113.10 local
 organization MyCompany

Operações: Estados, Alarmes, Verificação e Recuperação

Controle os estados e alarmes da conexão:

• Estados típicos: down, connecting/handshake, authenticated, up. As falhas podem exibir erro de certificado, incompatibilidade de organização, sem resposta ou falha de NAT.
• Os alarmes comuns do vManage incluem: Control Connection Down, OMP Peer Down, Certificate Expiring/Expired, Device Not in Authorized List e Organization Mismatch.

Comandos de verificação (IOS XE SD-WAN):

show sdwan control connections
show sdwan control local-properties
show sdwan omp peers
show sdwan certificate status
show sdwan software

Comandos de verificação (vEdge):

show control connections
show control local-properties
show omp peers
show certificate installed

Fluxo de trabalho de troubleshooting e recuperação:

• Identidade e org-name:
  • Confirme se o dispositivo aparece no inventário do vManage com o serial/chassi correto.
  • Verifique o system organization-name em todos os nós.
• Tempo e confiança:
  • Garanta a alcançabilidade do NTP na VPN 0; verifique novamente as datas de validade do certificado.
  • Valide a cadeia de certificados nos controllers e edges; reemita se as raízes (roots) diferirem.
• Conectividade e NAT:
  • Confirme a alcançabilidade do vBond na porta UDP 12346 e TCP 23456 a partir da saída (egress) do WAN Edge.
  • Se o NAT simétrico impedir o DTLS, force o uso de TLS ou ajuste a política de saída (egress) para fixar os mapeamentos de saída.
• Reinscrição e renovação:
  • Se o certificado de um dispositivo estiver corrompido/expirado, revogue-o no vManage, remova-o da lista de autorizados, adicione-o novamente e acione a reinscrição (PnP/ZTP ou instalação manual).
  • Para migrações hospedadas na nuvem, alinhe as âncoras de confiança (trust anchors) reemitindo os certificados do controller e do WAN Edge para a CA da nuvem e, em seguida, reinicie as conexões de controle.
• Higiene operacional:
  • Mantenha os clusters de controllers saudáveis (por exemplo, cluster do vManage para escalabilidade).
  • Mantenha um DNS consistente para o endereçamento de controllers baseado em FQDN; atualize os SANs ao renomear ou alterar o IP dos controllers.

Trade-offs de NAT e portas:

• O DTLS (UDP) oferece menor overhead e, frequentemente, melhor desempenho, mas é sensível a UDP com limitação de taxa (rate-limited) e a NAT simétrico. O TLS (TCP) facilita a travessia por firewalls rigorosos, ao custo de um potencial bloqueio de início de fila (head-of-line blocking).
• O vBond deve permanecer altamente alcançável; comprometer sua alcançabilidade pública ou seus mapeamentos de entrada (inbound) é uma causa raiz frequente de falhas no onboarding.

Cenário de Problema Prático

A Acme Retail Corp. está fazendo o onboarding de 600 filiais, muitas delas atrás de NATs simétricos gerenciados por ISPs, para uma nova malha (fabric) Cisco SD-WAN. Os projetos-piloto iniciais mostram estabelecimento intermitente do plano de controle e falhas frequentes de DTLS.

Abordagem:

1. Implantar orquestradores vBond públicos e redundantes

   • Justificativa: Posicionar duas instâncias do vBond em IPs públicos distintos (regiões/ISPs separados) maximiza a alcançabilidade inicial e acelera a descoberta de NAT. O endereçamento público evita a ambiguidade introduzida pelos NATs do provedor e suporta tráfego de retorno previsível.

2. Forçar o uso de TLS para o plano de controle em regiões com alto uso de NAT

   • Justificativa: Filiais com NATs simétricos têm dificuldade com o UDP hole punching. O TLS sobre TCP 23456 fornece uma travessia estável através de firewalls stateful e CGN do ISP, reduzindo as oscilações (flaps) relacionadas ao DTLS sem impactar o OMP ou a distribuição de chaves.

3. Padronizar o organization-name e as âncoras de confiança (trust anchors) do controller

   • Justificativa: Alinhar todos os controllers e WAN Edges à mesma CA raiz (PKI corporativa selecionada pela Acme). Configurar o system organization-name de forma idêntica no vManage, vSmart, vBond e em todos os templates de dispositivo para evitar rejeições por incompatibilidade de organização (org-mismatch).

4. Pré-carregar a lista de seriais autorizados no vManage e automatizar o PnP/ZTP

   • Justificativa: Importar o inventário completo de dispositivos via sincronização da Smart Account para garantir que cada dispositivo passe nas verificações de identidade no vBond. Para cEdge, usar o Cisco PnP com SUDI; para hardware vEdge, garantir que os tokens e seriais estejam presentes. Isso elimina erros manuais e acelera a ativação (turn-up).

5. Fortalecer a alcançabilidade e a sincronização de tempo da VPN 0

   • Justificativa: Definir rotas padrão/DNS consistentes na VPN 0 e apontar o NTP para servidores públicos ou corporativos alcançáveis de todas as filiais. A hora correta evita erros de certificado “ainda não válido/expirado” que paralisam os handshakes TLS.

6. Normalizar as regras de firewall e o comportamento do NAT

   • Justificativa: Publicar uma política de saída (egress) para as filiais permitindo tráfego de saída TCP 23456 e UDP 12346 para os IPs do vBond/vSmart/vManage com mapeamentos de longa duração. Onde o ISP impõe NAT simétrico, garantir que pelo menos um caminho de controller suporte a travessia por TCP.

7. Instrumentar as operações com verificações e alarmes direcionados

   • Justificativa: Incorporar verificações show sdwan control connections e show sdwan certificate status no script do Dia 1. No vManage, inscrever-se nos alarmes Control Connection Down e Certificate Expiring. Isso expõe rapidamente sites mal configurados e sinaliza renovações antes do vencimento.

8. Estabelecer um runbook de recuperação para falhas de certificado ou conectividade

   • Justificativa: Definir etapas para revogar/reemitir certificados de dispositivo no vManage, reenviar seriais se necessário e alternar entre DTLS/TLS como mitigação. Incluir procedimentos para rotacionar certificados de controller sem impacto no serviço e para fazer failover entre instâncias do vBond. Isso minimiza o MTTR durante os picos de implantação (rollouts).

Ao combinar um vBond publicamente alcançável, um plano de controle TLS onde o NAT é restritivo, gerenciamento de identidade rigoroso e proteções operacionais (guardrails), a Acme Retail alcança um onboarding determinístico em escala, preservando a segurança e a resiliência do plano de controle da SD-WAN.

← Arquitetura e Planos da Fabric Cisco SD-WAN · Todos os domínios · OMP →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →