Cisco 350-401: Virtualização de Rede, Overlays e Tecnologias de Fabric — Guia de estudos

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Faz parte do Cisco CCNP Enterprise 350-401 ENCOR — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

As redes corporativas modernas dependem de virtualização e overlays de malha (fabric) para escalar, segmentar e automatizar serviços nos domínios de campus, data center e WAN. Um underlay com roteamento IP fornece alcançabilidade e entropia para ECMP, enquanto o overlay provê isolamento de inquilinos (tenants), mobilidade e políticas. A separação do plano de controle desacopla a descoberta de endpoints e a distribuição de rotas do encaminhamento de dados, permitindo convergência rápida, segurança consistente e operações determinísticas. Esta seção examina os componentes fundamentais — VRFs, VXLAN, EVPN, LISP e Cisco SD-Access — juntamente com trade-offs de design, práticas operacionais e padrões de migração de redes tradicionais baseadas em VLAN.

Underlays, Overlays e Encapsulamento

Um underlay é a malha de transporte IP, física ou lógica. Seus objetivos são conectividade simples, rápida e de alta disponibilidade usando equal-cost multipath. Orientações de design:

• Designs de acesso roteado e spine–leaf minimizam os domínios de falha de L2, evitam o STP e aceleram a convergência.
• Use endereçamento de loopback consistente para adjacências do plano de controle e IPs de origem do VTEP.
• Provisione uma margem de MTU para o encapsulamento do overlay (para SD-Access, 9100 é recomendado).

O overlay fornece redes lógicas (segmentos L2 e L3) independentes da topologia do underlay. Os benefícios incluem isolamento de inquilinos, conectividade any-to-any e mobilidade sem a necessidade de renumerar sub-redes. Overlays exigem:

• Encapsulamento (ex: VXLAN sobre UDP 4789) para transportar identificadores virtuais e estender segmentos.
• Um plano de controle para distribuir os mapeamentos de endpoint para túnel (ex: BGP EVPN ou LISP).

A separação do plano de controle troca a disseminação de estado por escalabilidade:

• Sem um plano de controle dedicado, o flood-and-learn consome largura de banda e pode fazer com que estados críticos expirem de forma imprevisível.
• Com EVPN ou LISP, o estado é sinalizado de forma precisa, reduzindo a carga de broadcast, unknown unicast e multicast (BUM) e habilitando recursos como a supressão de ARP/ND.

Trade-offs de encapsulamento:

• VXLAN sobre UDP: ECMP ubíquo, suporte a offload na NIC; exige aumento do MTU do underlay e que o hashing reconheça os cabeçalhos externos.
• GRE/NVGRE: cabeçalho mais simples, mas com entropia mais fraca para ECMP e menos offload de hardware.
• Overlays baseados em MPLS: QoS e OAM maduros; exigem infraestrutura com capacidade MPLS e expertise operacional.

Modos de falha comuns:

• Divergência de MTU causando perdas silenciosas de frames encapsulados — valide com pings com o bit DF (Don’t Fragment) e tamanho ajustado para a margem do overlay.
• Roteamento assimétrico no underlay fazendo com que firewalls stateful descartem o tráfego de retorno — posicione as políticas nas bordas do overlay ou garanta a simetria.
• Polarização de hash nos links do underlay — habilite o hashing por fluxo nos cabeçalhos externos e verifique os caminhos ECMP.

Segmentação e VXLAN/EVPN

VRFs e segmentação escalável:

• Instâncias de VRF criam tabelas de roteamento independentes, isolando inquilinos (tenants), domínios de negócio ou ambientes (Prod/Dev/Guest).
• Combine VRFs (macrossegmentação) com microssegmentação (ex: scalable group tags e políticas) para acesso de privilégio mínimo entre VRFs e segmentos.

Componentes do VXLAN:

• VTEP: dispositivo de borda que encapsula/desencapsula VXLAN. VTEPs de hardware (switches/roteadores) e VTEPs de software (hypervisors) terminam os segmentos lógicos na borda da malha.
• VNI: identificador de 24 bits que mapeia um segmento. Use VNIs de L2 para segmentos em bridge e um L3VNI associado a uma VRF para alcançabilidade roteada através da malha.
• Tratamento de BUM: o flood-and-learn pode usar multicast no underlay ou replicação head-end. O aprendizado via plano de controle com EVPN elimina a maior parte do flooding por meio de anúncios seletivos e supressão de ARP/ND.

Conceitos de BGP EVPN para VXLAN:

• Tipos de rota:
  • Type 2 (MAC/IP): anuncia o MAC e, opcionalmente, o IP do host, permitindo roteamento e bridging integrados (IRB) e supressão de ARP/ND.
  • Type 3 (IMET): sinaliza multicast inclusivo/replicação de ingresso (ingress-replication) para tráfego BUM.
  • Type 5 (IP Prefix): transporta prefixos IP por VRF/L3VNI, permitindo o roteamento entre sub-redes sem a necessidade de rotas Type 2 específicas de host.
• Gateway anycast: IP/MAC de SVI idêntico em todos os VTEPs; os hosts mantêm o mesmo gateway padrão ao se moverem.
• Route targets: o controle de import/export por VRF e por VNI controla o isolamento de inquilinos e o vazamento seletivo de rotas (leaking).
• Convergência e mobilidade: números de sequência na rota Type 2 detectam mobilidade; entradas obsoletas são suprimidas rapidamente.

Principais trade-offs e modos de falha:

• O flood-and-learn puro é simples, mas gera muito tráfego (chatty); o EVPN adiciona complexidade, mas escala e reduz o tráfego BUM.
• Route targets desalinhados causam blackholes de tráfego ou vazamento de rotas — padronize os templates de política.
• A detecção de MAC duplicado pode colocar endpoints em quarentena se um hypervisor realizar MAC spoofing; ajuste os limiares para VDI ou serviços em cluster.
• A ausência de rotas Type 3 ou configurações de replicação divergentes levam a frames BUM órfãos — valide as entradas IMET e as listas de replicação.

Exemplos mínimos (estilo NX-OS): vrf context TENANT_A vni 100100 rd auto address-family ipv4 unicast route-target import 65000:100100 route-target export 65000:100100

interface nve1 source-interface loopback1 host-reachability protocol bgp member vni 10010 ingress-replication protocol bgp

router bgp 65000 address-family l2vpn evpn neighbor 10.10.10.10 remote-as 65000 neighbor 10.10.10.10 update-source loopback0

LISP e Fabrics Cisco SD-Access

Fundamentos do LISP:

• EID: endpoint ID, geralmente o IP do host dentro de uma rede virtual.
• RLOC: routing locator, o endereço alcançável no underlay do xTR (edge tunnel router ou VTEP).
• Map-Server/Map-Resolver: banco de dados centralizado e ponto de consulta. Os ETRs registram os mapeamentos de EID para RLOC; os ITRs consultam para resolver os mapeamentos.
• Alcançabilidade do Locator: RLOC-probes monitoram a atividade do xTR; o SMR (solicit-map-request) aciona atualizações de cache em caso de mobilidade.
• Modos de falha: cache de mapa obsoleto (stale) causando rotas subótimas; inalcançabilidade do MS/MR bloqueando novos fluxos; NAT entre xTRs ocultando RLOCs — planeje para transparência de RLOC ou NAT traversal.

O Cisco SD-Access aplica o LISP para o plano de controle do campus e o VXLAN para o plano de dados:

• Funções do fabric:
  • Edge node: conecta endpoints com fio (wired) e encapsula o tráfego em VXLAN.
  • Border node: conecta o fabric a redes L3 externas ou a outros fabrics; realiza o handoff por VRF e por política.
  • Control plane node: hospeda o LISP MS/MR, mantendo os mapeamentos (bindings) de endpoint para edge.
  • Wireless: os APs fazem parte do overlay; um fabric wireless controller gerencia o CAPWAP, o RRM e a integração com o fabric. O roaming entre switches de borda (edge) usa procedimentos inter-xTR.
• Política e segmentação:
  • Redes virtuais (Virtual networks) são mapeadas para VRFs para macrossegmentação.
  • A microssegmentação usa scalable group tags (SGTs) com aplicação de SGACLs nas bordas do fabric.
  • O Identity Services Engine determina o acesso durante o onboarding (802.1X/MAB/webauth) e, em seguida, atribui VN e SGT, permitindo uma política consistente independentemente da localização.
• Borda (border) e fusão (fusion):
  • Os border nodes fornecem handoff de Camada 3 por VRF; um fusion router vaza rotas entre VRFs de usuário e serviços compartilhados usando políticas de VRF-Lite ou MP-BGP.
  • Políticas de fusão mal configuradas podem causar roteamento assimétrico ou acesso excessivamente permissivo — valide o vazamento de rotas (route leaking) e a intenção das SGACLs.
• Notas operacionais:
  • Use um MTU de 9100 no fabric para acomodar os cabeçalhos do VXLAN e de política.
  • A rede overlay fornece serviços lógicos L2 e L3; a supressão de ARP/ND reduz o ruído.
  • APs de fabric wireless operam em modo fabric e se conectam diretamente aos switches de borda (edge).

Verificações de exemplo:

undefined

undefined

undefined

undefined

Operações, Rede de Hipervisor, Solução de Problemas e Migração

Rede de virtual switch e hipervisor:

• Construções de vSwitch (grupos de portas, agrupamento de uplinks, marcação de VLAN) conectam workloads aos switches ToR físicos. Garanta um mapeamento consistente de VLAN para VNI quando os hipervisores atuam como VTEPs.
• VTEPs de software em hipervisores (por exemplo, baseados em OVS) estendem as overlays para as workloads; offloads de hardware (checksum/TSO de VXLAN) melhoram o desempenho.
• SR-IOV ou bypass de NIC acelerado podem limitar a visibilidade e a aplicação de políticas; garanta que a telemetria e os controles de segurança permaneçam eficazes, ou termine os fluxos SR-IOV em nós cientes de políticas.
• LAG/LACP de hipervisores para ToR devem ser configurados de maneira uniforme; a consistência do MTU entre os domínios virtual e físico é obrigatória.

Fluxo de trabalho para solução de problemas de overlay:

1. Verificação do underlay

• Garanta a alcançabilidade IP e o ECMP entre as loopbacks. Valide o MTU: ping 192.0.2.10 size 8972 df-bit
• Verifique a estabilidade do IGP/BGP, a recursão de rotas e a CPU nos processos de roteamento.

2. Adjacência e estado do túnel

• VXLAN: verifique os peers NVE e a associação ao VNI; confirme a alcançabilidade da porta UDP 4789 e o TTL.
• LISP: verifique o registro do xTR no MS/MR e as entradas do map-cache; garanta o sucesso do RLOC-probe.

3. Rotas do plano de controle

• EVPN: confirme as sessões BGP e os tipos de rota (2, 3, 5) por VNI/VRF; valide se os route-targets estão alinhados com o design. show bgp l2vpn evpn route-type 2
• Inspecione as tabelas de supressão de ARP/ND e os números de sequência de mobilidade.

4. Identidade e política do endpoint

• Confirme a autenticação/autorização do cliente com o ISE. Verifique a atribuição de SGT e os contadores da SGACL para detectar quedas por política.

5. Validação do plano de dados

• Use pings estendidos entre VNIs/VRFs. Capture na entrada/saída do VTEP para confirmar o encapsulamento e o desencapsulamento. Verifique os contadores de ACL de hardware e os policers.

6. Isolamento de falhas comuns

• Blackhole dentro de um VNI: rota de host Tipo 2 ausente ou entrada obsoleta — limpe rotas EVPN seletivas ou faça o flush do ARP/ND no VTEP afetado.
• Inundação excessiva (flooding): incompatibilidade de IMET/replicação — audite as rotas Tipo 3 e as listas de replicação.
• Problemas de mobilidade: MAC/IP do anycast-gateway inconsistente — padronize o MAC virtual da SVI e verifique se o FHRP não está ativo em nenhum VTEP.

Estratégias de migração de VLANs para arquiteturas de fabric:

• Prepare o underlay: mude para acesso roteado ou spine–leaf. Elimine loops L2 e dependências de STP sempre que possível.
• Introduza VRFs e anycast gateways: migre as SVIs de HSRP/VRRP na distribuição para anycast gateways do fabric. Durante a transição, use redundância de primeiro salto (first-hop) apenas em segmentos legados; não execute FHRP nas SVIs de gateway do fabric.
• Habilitação de VNI em estágios: mapeie as VLANs existentes para VNIs e, em seguida, habilite L3VNI por VRF. Comece com segmentos de baixo risco (Guest) e depois os críticos (Prod).
• Design de borda (border) e fusão (fusion): defina handoffs de Camada 3 por VRF, implante um fusion router para vazar rotas entre VRFs de usuário e serviços compartilhados usando uma política explícita de import/export.
• Transição da rede sem fio (cutover): converta os APs para o modo fabric e conecte-os aos switches de borda (edge); garanta que o controlador sem fio esteja integrado ao plano de controle do fabric. O roaming entre as bordas (edges) usa procedimentos inter-xTR de forma transparente.
• Onboarding com foco em política (policy-first): integre o ISE desde o início para atribuição de VN/SGT baseada em identidade para evitar retrabalho.
• Coexistência e rollback: mantenha caminhos paralelos com demarcações claramente definidas. Valide o MTU, o QoS e o monitoramento de ponta a ponta antes de expandir o escopo.

Cenário de Problema Prático

A Contoso Health está consolidando hospitais em um fabric de campus programável, mantendo uma separação rigorosa dos domínios Clínico (Clinical), Visitante (Guest) e IoT, e preservando a conectividade com serviços compartilhados (EHR, DNS, Internet).

1. Construa um underlay roteado com ECMP e MTU 9100

• Justificativa: Um underlay IP simples com loopbacks consistentes e jumbo MTU fornece alcançabilidade previsível e entropia para o hashing do VXLAN, garantindo alta disponibilidade e margem para o encapsulamento.

2. Defina VRFs e mapeie para redes virtuais

• Justificativa: Crie as VRFs Clinical, Guest e IoT. Essa macrossegmentação impõe o isolamento de tráfego dentro do campus e se alinha aos requisitos de conformidade.

3. Implante nós do plano de controle do fabric e nós de borda (edge)

• Justificativa: Os nós do plano de controle hospedam o LISP MS/MR para o mapeamento de endpoint para borda. Os nós de borda conectam usuários com fio e encapsulam/desencapsulam VXLAN, fornecendo anycast gateways por sub-rede para que os endpoints possam fazer roaming sem alterar o gateway.

4. Integre o ISE para onboarding baseado em identidade

• Justificativa: O ISE avalia clientes com e sem fio via 802.1X/MAB e atribui VN e scalable group tags. Isso permite uma política uniforme independentemente da localização e do tipo de dispositivo, com a aplicação de SGACLs nas bordas.

5. Habilite VXLAN com EVPN na agregação do data center e nos cores do campus

• Justificativa: O EVPN distribui rotas Tipo 2, 3 e 5 para alcançabilidade de hosts e prefixos, permitindo a supressão de ARP/ND e roteamento/bridging integrados. Isso reduz o tráfego BUM e acelera a convergência para aplicações clínicas.

6. Implemente nós de borda (border) com um fusion router para serviços compartilhados

• Justificativa: Os nós de borda se conectam por VRF ao core/borda da Internet. Um fusion router vaza rotas selecionadas entre as VRFs Clinical/IoT e a VRF de Serviços Compartilhados (Shared-Services) usando import/export explícito e SGACLs, evitando a superexposição de sistemas clínicos.

7. Migre VLANs para VNIs em fases

• Justificativa: Mapeie as VLANs existentes para VNIs e migre as sub-redes para os anycast gateways do fabric de forma incremental. Isso limita o raio de impacto (blast radius) e permite a validação da alcançabilidade e da política de cada segmento antes de prosseguir.

8. Converta os APs para o modo fabric e conecte-os diretamente aos switches de borda

• Justificativa: APs em modo fabric tornam-se participantes da overlay, estendendo as VNIs para clientes sem fio. O controlador sem fio continua a gerenciar o RRM e a mobilidade; o roaming inter-xTR preserva a continuidade da sessão entre as bordas.

9. Valide a saúde do plano de controle e do plano de dados

• Justificativa: Verifique os registros LISP, os tipos de rota EVPN por VNI/VRF e os peerings NVE. Teste com pings com o bit DF definido e tamanho próximo a 8972 bytes para garantir que o MTU é suficiente. Confirme os contadores da SGACL para garantir que a microssegmentação pretendida está funcionando.

10. Estabeleça runbooks de operações e planos de rollback

• Justificativa: Documente a solução de problemas no estilo “primeiro o underlay, depois a overlay”, incluindo comandos para verificar map-caches, rotas EVPN e peers VXLAN. Mantenha caminhos de coexistência e demarcações claras para permitir um rollback rápido, se necessário.

← Infraestrutura Wireless e Mobilidade · Todos os domínios · Conectividade WAN →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →