Cisco 350-401: Arquitetura e Projeto de Redes Corporativas — Guia de estudos

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Faz parte do Cisco CCNP Enterprise 350-401 ENCOR — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

A arquitetura de rede corporativa fornece o projeto que alinha conectividade, segurança e entrega de aplicações com os objetivos de negócio. Um design sólido decompõe a rede em planos e camadas, reduz o impacto de falhas com domínios claramente definidos e equilibra resiliência, desempenho, escala e custo. Empresas modernas abrangem campi e data centers on-premises, regiões de nuvem e sites remotos, frequentemente conectados por overlays programáveis e governados por controladores baseados em intenção. As seções a seguir detalham designs de campus em camadas, arquiteturas de fabric, padrões de disponibilidade, considerações sobre nuvem e virtualização, trade-offs, planejamento de capacidade, documentação, conceitos de controladores e práticas de ciclo de vida, com justificativas operacionais e modos de falha comuns destacados.

Arquitetura de Campus e Fabric

Designs de campus de duas e três camadas:

• Duas camadas (core colapsado): Combina as funções de core e distribuição. Mais adequado para campi de pequeno a médio porte onde a latência e o custo são priorizados e a distribuição por andar é limitada. Os domínios de falha se expandem porque a agregação e o core são compartilhados; planeje a redundância de acordo.
• Três camadas: Core, distribuição e acesso distintos.
  • Acesso: Fornece conectividade para usuários e dispositivos, PoE, segurança de borda e classificação/marcação de QoS. Prefira o acesso roteado (Camada 3 do acesso para a distribuição) para diminuir os domínios de Camada 2, eliminar o spanning tree nos uplinks e permitir a convergência rápida do ECMP.
  • Distribuição: Agrega o acesso, impõe políticas, realiza sumarização de Camada 3, isola falhas de acesso e fornece uma fronteira de plano de controle. É comum fazer dual-homing do acesso a um par de switches de distribuição com links ponto a ponto de camada 3.
  • Core: Transporte rápido e resiliente de Camada 3 com o mínimo de políticas. A melhor prática é ter links ponto a ponto redundantes de Camada 3 entre os dispositivos de core para uma convergência previsível e rápida e multipath de custo igual. Mantenha os recursos enxutos para evitar instabilidade (churn) no plano de controle.

Acesso roteado e migração: O acesso roteado simplifica a migração da Camada 2 tradicional para fabrics programáveis. Gateways padrão anycast em um fabric podem substituir os FHRPs na distribuição, reduzindo a complexidade de HSRP/VRRP/GLBP. Em um modelo tradicional com roteadores de múltiplos fornecedores e hosts dual-stack, o VRRPv3 é preferido para a redundância de gateway IPv4/IPv6.

Conceitos de fabric:

• Underlay: Alcançabilidade IP física para os nós do fabric (ex: IS-IS/OSPF/BGP). Projete para convergência rápida (BFD, links ponto a ponto, ECMP).
• Overlay: Virtualização e segmentação lógicas de Camada 2 e Camada 3 sobre o underlay. No Cisco SD-Access, o overlay fornece redes virtuais (VRFs) e grupos escaláveis através do plano de dados VXLAN.
• Plano de controle: Mapeia identidades de endpoints para suas localizações. O SD-Access usa LISP para o mapeamento de ID de endpoint para localização; um nó de plano de controle do fabric mantém o banco de dados global de endpoints e redes.
• Funções do fabric:
  • Nó de borda (Edge node): Primeiro salto (first-hop) para clientes com e sem fio; impõe políticas e encapsula o tráfego no overlay.
  • Nó de fronteira (Border node): Conecta o fabric a redes externas ou a outros fabrics; realiza a tradução entre os domínios do overlay e os domínios fora do overlay.
  • Nó de plano de controle (Control-plane node): Armazena e resolve os mapeamentos de endpoints para o fabric.
  • Roteador de fusão (Fusion router): Vaza rotas entre as redes virtuais do fabric e os serviços compartilhados, mantendo a segmentação ao mesmo tempo que permite o acesso a recursos comuns.
• Wireless no fabric: O RRM é executado no controlador wireless. O wireless habilitado para fabric integra APs e WLCs com o overlay, preservando a segmentação e as políticas.

Separação de planos:

• Plano de dados (Data plane): Encaminhamento real de pacotes (orientado por ASIC, baseado na FIB).
• Plano de controle (Control plane): Protocolos de topologia, alcançabilidade e mapeamento (ex: OSPF/BGP/LISP). A RIB alimenta a FIB; a RIB armazena os prefixos de roteamento, a FIB contém as informações de encaminhamento de saída construídas a partir da RIB.
• Plano de gerenciamento (Management plane): Configuração, telemetria, garantia (assurance) (ex: DNAC, vManage, SNMP, telemetria orientada a modelos). São necessários um RBAC forte e governança de API.

Modos de falha comuns e mitigações:

• Loops de Camada 2/tempestades de broadcast: Minimize o raio de impacto (blast radius) da Camada 2; use controle de tempestade (storm control) e UDLD. O acesso roteado reduz o risco.
• Contenção de gateway padrão: Ajuste fino (tuning) de FHRP ou gateways anycast no fabric. Monitore a alcançabilidade upstream para evitar black holes assimétricos.
• Sobrecarga do plano de controle: Mantenha o core enxuto; sumarize na distribuição; evite o uso excessivo de políticas ou TCAM no core.

Alta Disponibilidade, Redundância e Design de Domínio de Falha

Princípios de design:

• Padrões de redundância: Redundância de dispositivos (supervisores duplos, stacks de switches, StackWise Virtual), redundância de links (port-channels) e redundância de caminhos (ECMP). O Link Management Protocol do StackWise Virtual rejeita o encaminhamento de tráfego de link unidirecional, evitando agregados parcialmente ativos (half-up).
• Convergência rápida: Bidirectional Forwarding Detection (BFD), timers de IGP ajustados, NSF/SSO em plataformas compatíveis e domínios de falha contidos (sumarização hierárquica). Prefira links roteados ponto a ponto para uma reconvergência determinística.
• Limites de domínio de falha: Contenha o impacto isolando VLANs de acesso por andar/prédio, usando segmentação baseada em VRF e colocando serviços compartilhados atrás de pontos dedicados de vazamento de rotas (fusion). Use domínios de manutenção alinhados à criticidade do negócio.

FHRPs e gateways padrão:

• Use o VRRPv3 quando a interoperabilidade dual-stack e multivendor for necessária. Gateways Anycast em um fabric podem substituir os FHRPs, preservando a redundância de primeiro salto com consistência em todo o fabric.

Exemplo de VRRPv3 para IPv4/IPv6 em uma SVI de distribuição: interface Vlan20 ip address 10.20.0.2 255.255.255.0 vrrp 20 address-family ipv4 address 10.20.0.1 ! ipv6 address 2001:db8:20::2/64 vrrp 20 address-family ipv6 address 2001:db8:20::1

Trade-offs:

• Stacks ativo/ativo e MLAGs maximizam a utilização, mas adicionam complexidade às operações e ao isolamento de falhas.
• A sumarização reduz o churn do plano de controle, mas pode mascarar a perda de alcançabilidade; use sumarizações descontíguas com cautela.
• Domínios de falha maiores minimizam o custo de hardware, mas aumentam o raio de impacto (blast radius); dimensione corretamente os domínios para a criticidade da aplicação.

Nuvem, Virtualização e Entrega de Serviços

Arquiteturas corporativas:

• On-premises: Controle total do design físico e lógico; serviços sensíveis à latência; tipicamente campus de três camadas e segmentação habilitada por fabric.
• Nuvem: Os modelos IaaS/PaaS/SaaS deslocam os limites operacionais. O provedor gerencia o underlay físico; você projeta overlays, roteamento e segurança em redes virtuais.
• Híbrida: Interconectar de forma segura o ambiente on-prem e a nuvem via IPsec/GRE, direct connects ou SD-WAN. Normalizar políticas e segmentação entre os sites.
• Multi-cloud: Conectividade e segurança consistentes entre provedores. Roteadores de nuvem/appliances virtuais ou SD-WAN atuam como trânsito com política unificada.

WAN baseada em controlador:

• O Cisco SD-WAN usa o vSmart para gerenciar o plano de controle e o OMP entre os roteadores de borda, o vManage como o plano único de gerenciamento e o vBond para orquestração. A intenção centralizada impulsiona o roteamento, a segmentação e a segurança consistentes. A política é distribuída; o plano de dados é direto entre os sites.

Virtualização:

• Hypervisors (KVM/ESXi/Hyper-V) hospedam switches virtuais que fornecem conectividade de Camada 2 entre VMs. A conectividade de Camada 2 controlada é alcançada usando o vSwitch fornecido pelo hypervisor ou um soft switch baseado em VM. Os benefícios incluem redução de espaço em rack, energia e refrigeração, e provisionamento rápido.
• Modos de falha: Grandes domínios de Camada 2 e tráfego ARP/ND podem causar amplificação de broadcast, especialmente com VMs comunicativas (“chatty”). Mitigue com sub-redes menores, supressão de ARP em overlays e policiamento robusto do plano de controle.
• Contêineres: Cargas de trabalho leves com rede de overlay (ex: VXLAN/Geneve via CNI). Planeje para endpoints efêmeros, fluxos leste-oeste e malhas de serviço (service meshes); imponha a microssegmentação nos níveis de host, vSwitch e fabric.
• Modelos de entrega de serviço:
  • IaaS: Você gerencia o SO convidado, a rede dentro da VPC/VNet e os controles de segurança.
  • PaaS: Controle de rede restrito; foco em conectividade segura, endpoints privados e saída baseada em políticas.
  • SaaS: Otimize DNS, latência e acesso seguro; saídas locais (local breakouts) de SD-WAN e integrações com CASB/SASE são comuns.

SD-Access e conectividade externa:

• Nós de borda (border nodes) conectam os fabrics a redes externas. Roteadores de fusão (fusion routers) realizam o vazamento de rotas (route leaking) entre redes virtuais e serviços compartilhados para preservar a segmentação enquanto habilitam o acesso necessário.

Trade-offs de Design, Planejamento de Capacidade, Documentação e Ciclo de Vida

Trade-offs entre escala, resiliência, desempenho e custo:

• Escala: Mais overlays, VRFs e políticas exigem mais TCAM/CPU; planeje o hardware adequadamente. O ECMP escala o desempenho, mas aumenta a complexidade da solução de problemas (troubleshooting).
• Resiliência: Fabrics duplos e caminhos diversos reduzem o risco, mas aumentam o custo. Decida o MTTD/MTTR aceitável e alinhe a profundidade da redundância.
• Desempenho: Cores de baixa latência evitam o processamento de políticas de serviço (service-policy); empurre ACL/QoS para as bordas. Serviços compartilhados podem precisar de caminhos de alta largura de banda ou cache.
• Custo: Taxas de oversubscription (ex: 4:1 no acesso, 2:1 na distribuição) equilibram orçamento e throughput; valide com base nos padrões de tráfego reais.

Planejamento de capacidade e análise de fluxo de tráfego:

• Meça antes de dimensionar: Use NetFlow/IPFIX, sFlow, amostragem de SPAN e telemetria do controller. Analise a largura de banda do 95º percentil, pps, contagem de fluxos e microbursts.
• Margem de segurança (Headroom): Reserve de 20 a 30% de capacidade para absorver picos (bursts), manutenções e crescimento.
• QoS na WAN: O traffic shaping mitiga o congestionamento armazenando em buffer e enfileirando pacotes acima da taxa contratada. Use QoS hierárquico para priorizar o tráfego de voz e de controle, reduzindo o jitter e a perda relacionada à largura de banda.
• Exemplo de política de shaping para WAN:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Documentação, modelos de topologia e validação:

• High-level design (HLD): Topologia lógica, domínios de falha, roteamento, segurança e estratégia de segmentação.
• Low-level design (LLD): Planos de IP/VLAN, parâmetros de underlay/overlay, QoS, funções de dispositivo e templates. Mantenha uma fonte da verdade (source of truth) para a automação.
• Modelos de topologia: Em camadas (core/distribution/access), funções do fabric (edge/border/control-plane) e pontos de inserção de serviço (firewalls, proxies, telemetria).
• Validação: Emule o underlay/overlay em laboratório; execute simulações de caminho e de falha; verifique a escala (rotas, endpoints, políticas) em relação aos limites da plataforma; realize testes de simulação de mudanças (dry-runs) e testes de rollback. Valide continuamente com ferramentas de assurance que comparam a intenção (intent) versus o estado (state).

Design baseado em controller e orientado por intenção (intent-driven):

• Defina os resultados desejados (segmentação, SLAs, postura de segurança). Os controllers traduzem a intenção em configurações de dispositivo e validam a conformidade via telemetria. O assurance de ciclo fechado (closed-loop) destaca desvios (drift) e anomalias para remediação. O Identity Services Engine (ISE) se integra ao SD-Access para autorizar clientes com/sem fio com base na identidade e na postura (posture).

Ciclo de vida, dos requisitos às operações:

• Coletar requisitos: Fatores de negócio, conformidade, aplicações, SLAs, crescimento.
• Traduzir para a arquitetura: Escolher camadas (tiers), fabrics, controllers e modelo de segurança.
• Design detalhado: Endereçamento, roteamento, QoS, segmentação, seleção de dispositivo/plataforma.
• Construir e validar: Staging, provisionamento automatizado, testes de linha de base (baseline), simulações de falha.
• Operar e otimizar: Monitoramento, gerenciamento de capacidade, relatórios de SLO, resposta a incidentes e revisões periódicas do design. Itere as políticas de intenção com base nos resultados do assurance.

Cenário de Problema Prático

A Northwind Manufacturing está consolidando dois campi antigos e estendendo workloads para duas nuvens públicas. Objetivos: colapsar os domínios legados de Camada 2, habilitar a segmentação baseada em identidade, fornecer desempenho de WAN determinístico e garantir acesso transparente a serviços compartilhados.

Abordagem:

1. Adotar um campus roteado de três camadas com acesso pronto para fabric

• Justificativa: O acesso roteado remove as dependências do spanning-tree e encolhe os domínios de falha. Uplinks ponto a ponto de Camada 3 para a distribuição habilitam o ECMP e a convergência rápida. Manter o core com poucas funcionalidades (feature-light) garante um desempenho previsível.

2. Implantar o SD-Access para segmentação baseada em identidade

• Justificativa: Os nós de borda do fabric (edge nodes) fornecem gateways anycast e aplicam políticas baseadas em grupo. Um nó de plano de controle (control-plane node) mantém os mapeamentos de endpoint via LISP, e o overlay (VXLAN) entrega segmentos lógicos L2/L3 por todo o campus com política consistente para com e sem fio. O ISE decide se um cliente com fio tem acesso permitido ao se conectar a um switch de borda.

3. Conectar o fabric a serviços compartilhados via border e fusion

• Justificativa: Os nós de borda (border nodes) fazem a interface com domínios roteados externos. Um fusion router vaza rotas de forma limpa entre as redes virtuais dos usuários e os serviços compartilhados (DNS/AD/impressão), preservando a segmentação e, ao mesmo tempo, permitindo o acesso controlado.

4. Implementar SD-WAN para interconectar sites e nuvens

• Justificativa: O Cisco SD-WAN fornece intenção centralizada. O vSmart gerencia o plano de controle usando OMP; o vManage oferece o plano único de gerenciamento. As políticas direcionam o tráfego para SaaS e entre sites, permitindo saídas locais para a internet (local internet breakouts) com segurança e seleção de caminho determinística.

5. Dimensionar corretamente a redundância e os domínios de falha

• Justificativa: Pares de distribuição duplos por prédio e switches de acesso empilhados (stacked) limitam o raio de impacto (blast radius). O StackWise Virtual fornece redundância de chassi; seu LMP rejeita o encaminhamento de link unidirecional, prevenindo falhas assimétricas. A sumarização na distribuição reduz o churn do plano de controle, preservando a visibilidade precisa das falhas.

6. Projetar o QoS para a WAN e a borda do campus

• Justificativa: O shaping nos links da WAN armazena em buffer os pacotes acima da taxa contratada para mitigar o congestionamento. O enfileiramento prioritário (priority queuing) para voz/vídeo reduz o excesso de jitter; o WRED nas classes padrão evita o tail drop para fluxos elásticos. A marcação (marking) é aplicada no acesso para manter os limites de confiança (trust boundaries).

7. Planejar a capacidade com dados de tráfego empíricos

• Justificativa: Colete dados de NetFlow/IPFIX e telemetria do controller para traçar o perfil de utilização do 95º percentil, pps e os principais “faladores” (top talkers). Dimensione os uplinks e os circuitos de WAN com 30% de margem de segurança (headroom), valide o hashing do ECMP para elephant flows e garanta a escala do TCAM para VRFs e políticas.

8. Validar e automatizar as operações

• Justificativa: Crie o HLD/LLD, use uma fonte da verdade (source of truth) para gerar as configurações e prepare (stage) a implantação em um laboratório que espelhe o underlay/overlay. Execute simulações de falha (perda de link, nó, controller), verifique as metas de reconvergência e estabeleça uma linha de base (baseline) para latência/jitter. Após a implantação, use o assurance para detectar desvios de intenção (intent drift) e alimentar a melhoria contínua no gerenciamento de mudanças.

Este design atende aos objetivos da Northwind ao restringir os domínios de falha, aplicar políticas baseadas em identidade de ponta a ponta, garantir um desempenho de WAN previsível e permitir a expansão multinuvem com governança e operações consistentes.

Todos os domínios · Comutação e Segmentação de Camada 2 em Campus →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →