Cisco 350-401: Comutação e Segmentação de Camada 2 em Campus — Guia de estudos

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Faz parte do Cisco CCNP Enterprise 350-401 ENCOR — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

O switching e a segmentação de Camada 2 no campus fornecem o isolamento de domínio de broadcast, o encaminhamento determinístico e as proteções operacionais necessários para uma LAN corporativa escalável e resiliente. Esta seção explica como os switches Ethernet aprendem e encaminham, como VLANs e troncos (trunks) segmentam o tráfego, como o roteamento inter-VLAN é habilitado em switches multicamada, como as variantes do Spanning Tree controlam topologias com loops, como agregar links com segurança, como gerenciar a propagação de VLANs e como fortalecer a Camada 2 contra ataques e falhas comuns. A seção termina com orientações de validação e um cenário prático.

Fundamentos de Switching Ethernet e Segmentação com VLANs

Switches Ethernet encaminham quadros (frames) com base nos endereços MAC de destino e segmentam o tráfego com VLANs.

• Aprendizado e encaminhamento de MAC

  • Quando um switch recebe um quadro, ele aprende o MAC de origem e a interface de entrada, inserindo-os na tabela CAM (tabela de endereços MAC). As entradas expiram (geralmente em 300 segundos) se não forem atualizadas.
  • A consulta de destino determina a ação:
    • Unicast conhecido: encaminha para a única interface de saída na tabela CAM.
    • Unicast desconhecido, broadcast e muitos quadros multicast: inunda (flood) para todas as portas na VLAN, exceto a de entrada.
  • A filtragem ocorre quando o destino mapeia para a mesma porta da origem (sem encaminhamento) ou por políticas como storm control, port security ou private VLANs (se utilizadas).

• Modos de falha e trade-offs

  • A exaustão da CAM (ex: ataques de MAC flooding) força uma inundação excessiva de unicast desconhecido; proteja com port security e control-plane policing.
  • MAC flapping (o mesmo MAC aprendido em múltiplas portas) geralmente indica loops físicos, pares de HA (alta disponibilidade) conectados incorretamente ou condições de split-brain em vPC/VSS.

• VLANs e acesso

  • Uma VLAN define um domínio de broadcast de Camada 2; portas de acesso transportam uma única VLAN não marcada (untagged) para o dispositivo final conectado.
  • VLANs de Voz: uma porta de acesso pode transportar uma VLAN de voz marcada (tagged) com 802.1Q para um telefone IP e uma VLAN de dados não marcada para um PC conectado atrás do telefone. CDP/LLDP anunciam a VLAN de voz para o telefone. Confie no CoS na porta (Trust CoS) somente se o QoS estiver implementado de ponta a ponta.

  Exemplo (acesso mais voz):

undefined

• Troncos (trunks) e VLANs nativas

  • Troncos (trunks) 802.1Q transportam múltiplas VLANs entre switches. Cada tronco tem uma lista de VLANs permitidas; restrinja-a ao conjunto mínimo necessário.
  • A VLAN nativa é enviada sem marcação (untagged) em 802.1Q por padrão. Use uma VLAN nativa dedicada e não utilizada, e marque a VLAN nativa (tag the native VLAN) se houver suporte, para prevenir VLAN hopping e evitar que divergências (mismatches) criem anomalias no plano de controle.
  • Modos de falha: divergências de VLAN nativa disparam erros de PVID no spanning-tree e podem criar um “blackhole” para o tráfego de controle; troncos excessivamente permissivos propagam VLANs não intencionais por todo o campus.

• Multicast em Camada 2

  • Sem controle, o tráfego multicast inunda a VLAN. O IGMP snooping restringe o encaminhamento ao aprender as portas dos receptores a partir de mensagens IGMP de entrada (joins) e saída (leaves) de grupos. Se não houver um roteador multicast na VLAN, habilite um IGMP snooping querier para manter o estado dos grupos.

  Exemplo:

undefined

Roteamento Inter-VLAN e Design de Switch Multicamada

O roteamento inter-VLAN é realizado em switches multicamada usando SVIs (uma por VLAN roteada). O encaminhamento por hardware (CEF) usa a FIB e a tabela de adjacência para desempenho em line-rate, evitando o process switching, que é intensivo em CPU.

• Implementação de SVI

  • Crie uma SVI para cada VLAN de usuário e configure o gateway de primeiro salto (first-hop) nela. Sempre que possível, sumarize rotas na camada de distribuição. Use object tracking para gateways redundantes (HSRP/VRRP) e aplique ACLs/QoS de forma consistente na SVI.
  • Alinhe as fronteiras de Camada 2 e Camada 3: projetos de acesso roteado (routed access) usam links de Camada 3 do acesso para a distribuição, diminuindo os domínios de falha de Camada 2 e simplificando a convergência, enquanto preservam a segmentação com SVIs na distribuição.

• Redundância e convergência de gateway

  • Projete a redundância de primeiro salto em conjunto com o posicionamento da raiz (root) do spanning-tree, para que o gateway ativo esteja topologicamente mais próximo dos hosts. HSRP/VRRP são comuns; GLBP ou virtualização de chassis (VSS/StackWise Virtual) permitem a utilização de gateways ativo-ativo.
  • Modos de falha: desalinhamento entre a raiz do STP e o gateway ativo causa caminhos de tráfego subótimos e atrasos na convergência; ACLs assimétricas nas SVIs resultam em alcançabilidade unidirecional.

• Orientações operacionais

  • Use numeração de SVI e endereçamento IP consistentes, e monitore o DHCP relay (ip helper-address) por VLAN. Monitore as tabelas ARP/ND e a CPU do plano de controle em busca de anomalias durante eventos.

Spanning Tree e Proteção contra Loops

O Spanning Tree Protocol previne loops de Camada 2 (Layer 2) ao mesmo tempo que permite redundância física.

• Opções de protocolo

  • 802.1D PVST+: instâncias por VLAN, convergência mais lenta.
  • 802.1w Rapid PVST+: instâncias por VLAN com convergência rápida via proposta/acordo (proposal/agreement) e sincronização (sync).
  • 802.1s MST: mapeia muitas VLANs para poucas instâncias de spanning-tree, escalando melhor em ambientes grandes. Todos os switches em uma região devem ter correspondência de nome, revisão e mapeamento de VLAN para instância; divergências criam fronteiras e executam o PVST+ nas VLANs de borda.

• Eleição da root e funções de porta

  • A root bridge é escolhida pelo menor bridge ID (prioridade + MAC). Defina as prioridades intencionalmente para posicionar as roots primária e secundária na camada de distribuição.
  • Funções do RSTP: root, designated, alternate e backup. Estados: discarding, learning, forwarding. Opere os links de borda como ponto a ponto (point-to-point) para uma sincronização mais rápida.

  Exemplo (rapid PVST+ com roots determinísticas):

undefined

undefined

undefined

• Proteção de borda e de topologia

  • PortFast: transiciona imediatamente as portas de borda para o estado de encaminhamento (forwarding); nunca habilite em interconexões de switches.
  • BPDU Guard: coloca uma porta com PortFast em estado de errdisable ao receber qualquer BPDU; use em conjunto com o PortFast para impedir loops acidentais causados por switches não gerenciados.
  • Root Guard: impede que uma porta designada (designated) se torne a root, bloqueando BPDUs superiores; use nos uplinks da camada de acesso voltados para switches downstream para proteger o posicionamento da root.
  • Loop Guard: impede que portas não designadas (non-designated) passem para o estado de encaminhamento (forwarding) se os BPDUs pararem de chegar (típico em links unidirecionais); complemente com UDLD aggressive para links ópticos.
  • Bridge Assurance (em plataformas compatíveis): garante que os BPDUs estejam presentes bidirecionalmente nos links ponto a ponto do core/distribuição, prevenindo falhas silenciosas.

• Modos de falha

  • Links unidirecionais podem fazer com que portas alternadas (alternate) passem para o estado de encaminhamento (forwarding) e criem loops; o Loop Guard e o UDLD mitigam isso.
  • O BPDU Filter em portas que não são de borda suprime BPDUs e pode causar loops catastróficos; evite, exceto em casos de uso específicos e validados.

Agregação de Link, VTP e Operações de Trunk

• Fundamentos do EtherChannel

  • Agrupa links paralelos em um Port-Channel, que é visto como uma única interface lógica pelo STP (as decisões de bloqueio se aplicam ao grupo). Os benefícios incluem maior largura de banda agregada e recuperação mais rápida.
  • Negociação: LACP (active/passive, IEEE 802.1AX) ou PAgP (desirable/auto, proprietário da Cisco). O modo ‘on’ força o agrupamento sem negociação e arrisca criar loops se os pares estiverem configurados incorretamente — evite entre switches.
  • Consistência dos membros: velocidade/duplex, VLANs permitidas, VLAN nativa, configurações de STP e modo do channel-group devem ser idênticos. Use o LACP min-links para manter o agregado inativo até que um número mínimo de membros esteja presente.
  • Balanceamento de carga: hashing por fluxo com base em MAC/IP/porta de origem/destino; escolha um método que corresponda aos padrões de tráfego dominantes. Lembre-se que o hashing é por switch e por direção; a simetria não é garantida.

  Exemplo (trunk LACP):

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• Conceitos de VTP e pruning

  • O VTP distribui definições de VLAN. Modos: server, client, transparent e off (dependente da plataforma). A Versão 3 adiciona autenticação aprimorada e funções de servidor primário.
  • Riscos: um dispositivo com um número de revisão de configuração mais alto pode sobrescrever o domínio e causar a perda de VLANs. A melhor prática é usar o modo transparent ou off, com listas explícitas de VLANs permitidas no trunk.
  • O VTP pruning economiza largura de banda do trunk ao impedir que VLANs não utilizadas sejam propagadas (flooding); no entanto, ele depende de um estado VTP preciso e é inferior ao pruning explícito com “allowed VLAN”.
  • Solução de problemas de incompatibilidade de trunk: verifique o encapsulamento (802.1Q), a lista de VLANs permitidas e a VLAN nativa; as negociações DTP auto/desired podem criar surpresas — use switchport mode trunk e switchport nonegotiate para estabilidade.

  Exemplo (trunk seguro com pruning explícito):

undefined

undefined

undefined

undefined

undefined

Segurança de Camada 2, Multicast e Validação Operacional

• Port security

  • Limita os endereços MAC por porta de acesso; o aprendizado “sticky” (aderente) preserva os MACs aprendidos na configuração em execução (running config). Ações de violação: protect, restrict ou shutdown. Aumente o máximo para portas de voz+dados. Configure o envelhecimento (aging) de MACs sticky durante movimentações para reduzir tickets de operações.

• DHCP snooping e ARP inspection

  • O DHCP snooping constrói uma tabela de associação (binding table) (IP/MAC/VLAN/interface) e bloqueia ofertas DHCP não confiáveis (untrusted). Marque como confiáveis (trust) os uplinks para servidores legítimos e aplique limite de taxa (rate-limit) nos clientes. Mantenha as associações após reinicializações, se suportado.
  • O Dynamic ARP Inspection usa as associações do snooping para verificar pacotes ARP, prevenindo spoofing. Marque os uplinks como confiáveis (trust); adicione ACLs de ARP para dispositivos com endereços estáticos. Valide o MAC/IP de origem, quando disponível, para impedir ataques man-in-the-middle.

  Exemplo: ip dhcp snooping ip dhcp snooping vlan 10,20 ip arp inspection vlan 10,20 interface Port-channel1 ip dhcp snooping trust ip arp inspection trust interface Gi1/0/10 ip dhcp snooping limit rate 25

• Operações de IGMP snooping

  • Com um roteador multicast presente, as portas mrouter são aprendidas automaticamente a partir de “hellos” PIM ou podem ser configuradas estaticamente. Sem um roteador, habilite um “snooping querier” por VLAN para evitar flooding (inundação).
  • Fique atento a “blackholes” de estado de grupo se o snooping estiver habilitado, mas os “reports” (relatórios) forem filtrados por ACLs ou storm control.

• Validação e solução de problemas de loop

  • Linha de base (Baseline):

undefined

para localizar hosts e detectar “flapping” (oscilação). -

undefined

para confirmar o root, as funções (roles) e os temporizadores (timers); verifique por estados inconsistentes. -

undefined

para a saúde dos membros; verifique o comportamento do hashing e do min-links durante falhas. -

undefined

para a correção das VLANs permitidas/nativas; verifique os logs por inconsistências de PVID/VLAN nativa. -

undefined

para garantir o modo seguro (safe mode) e a versão esperada. -

undefined

e

undefined

para validar os pipelines de segurança.

• Indicadores de loop: picos repentinos de CPU, tempestades (storms) de broadcast/multicast, “flaps” de MAC entre portas, estado de errdisable devido ao BPDU Guard. Use SPAN para amostragem de pacotes e habilite o storm-control para limitar o impacto enquanto você remedia.
• Causas raiz comuns: switches não gerenciados conectados a duas portas de acesso, uplinks com PortFast habilitado, inconsistências de VLAN nativa, fibra unidirecional, configuração incorreta de EtherChannel (“on” vs. negociado).

Cenário de Problema Prático

A Northwind Manufacturing está enfrentando tempestades de broadcast intermitentes e quedas na qualidade de voz após adicionar dois novos armários de acesso (access closets). O ambiente usa SVIs na camada de distribuição, Rapid PVST+ e telefonia IP com telefones conectados em cascata (daisy-chain) aos PCs.

1. Definir e restringir o escopo das VLANs

   • Configure explicitamente as VLANs permitidas no trunk e mova a VLAN nativa para um ID não utilizado (999), aplicando “tagging” na nativa, se suportado.
   • Justificativa: restringe os domínios de broadcast aos links pretendidos e elimina inconsistências de VLAN nativa que amplificam loops e anomalias no plano de controle.

2. Alinhar as raízes do spanning-tree com os gateways

   • Defina os switches de distribuição como raízes STP primária/secundária para as VLANs de usuário e de voz; verifique os tipos de link ponto a ponto.
   • Justificativa: garante o caminho de Camada 2 mais curto para os gateways padrão ativos, reduz o tempo de convergência e estabiliza os fluxos de tráfego.

3. Proteger as portas de borda (edge ports)

   • Habilite PortFast e BPDU Guard em todas as portas voltadas para o acesso; configure port security com MACs “sticky” e um máximo de três em portas de voz/dados.
   • Justificativa: acelera a ativação de endpoints, previne loops acidentais por meio de dispositivos não gerenciados e mitiga a exaustão da tabela CAM ou MAC-spoofing.

4. Corrigir a consistência do EtherChannel

   • Converta todos os “bundles” entre switches para LACP (ativo em ambos os lados), defina “min-links 2” para os uplinks de distribuição e garanta que as VLANs/nativas correspondam nos membros e no Port-Channel.
   • Justificativa: a agregação negociada impede que links paralelos acidentais encaminhem tráfego de forma independente; o “min-links” preserva a capacidade simétrica e o hashing previsível durante falhas.

5. Habilitar DHCP snooping e DAI

   • Marque como confiáveis (trust) apenas os uplinks em direção a servidores DHCP legítimos; habilite limites de taxa (rate limits) de DHCP nas portas de acesso; habilite a inspeção ARP usando a tabela de snooping; adicione ACLs de ARP para servidores estáticos.
   • Justificativa: bloqueia servidores DHCP “rogue” (maliciosos) que redirecionam o tráfego e previne ataques man-in-the-middle baseados em ARP que degradariam a voz e os dados.

6. Otimizar as portas de acesso de voz

   • Configure “switchport voice vlan” para todas as portas de telefone; habilite a confiança de CoS (trust CoS) com Auto-QoS, se disponível; aumente o máximo do port-security para cobrir os MACs do telefone, PC e softphone.
   • Justificativa: garante a separação correta de VLAN e a preservação da marcação de QoS, melhorando diretamente o desempenho de MOS e jitter.

7. Restringir multicast com IGMP snooping

   • Verifique se existe uma SVI com PIM habilitado para cada VLAN com receptores multicast; onde não houver roteador, habilite um “IGMP snooping querier”; marque os uplinks de distribuição como portas “mrouter”, se necessário.
   • Justificativa: previne a inundação (flooding) desnecessária de multicast que pode desencadear sintomas de tempestade de broadcast e consumir recursos de CPU do telefone.

8. Validar e testar o failover

   • Execute

undefined

,

undefined

,

undefined

e examine o syslog em busca de eventos de PVID/native mismatch ou BPDU Guard. Desconecte um link membro de cada Port-Channel e confirme que nenhuma mudança na topologia causa perda de pacotes de voz.

• Justificativa: a validação proativa comprova a convergência determinística e descobre assimetrias ocultas antes de impactar os usuários.

9. Detectar e prevenir falhas unidirecionais

   • Habilite UDLD “aggressive” nos uplinks de fibra e Loop Guard nas portas não designadas; habilite o Bridge Assurance nas interconexões de distribuição.
   • Justificativa: captura condições de link unidirecional que, de outra forma, acionariam o encaminhamento pela porta alternativa e causariam loops.

10. Operacionalizar o monitoramento

    • Adicione alertas para “MAC flapping”, mudanças na topologia STP que excedam os limiares, violações de DHCP snooping e anomalias na contagem de grupos IGMP.
    • Justificativa: a telemetria de alerta precoce encurta o tempo médio para detecção (MTTD) e evita que pequenos erros de cabeamento se transformem em interrupções em toda a rede do campus.

← Arquitetura e Projeto de Redes Corporativas · Todos os domínios · Roteamento Unicast e Controle de Rota →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →