Cisco 350-401: Conectividade WAN, VPN e SD-WAN — Guia de estudos

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Faz parte do Cisco CCNP Enterprise 350-401 ENCOR — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

O design de WAN corporativa equilibra alcançabilidade, desempenho, custo e segurança em underlays e overlays heterogêneos. Arquiteturas modernas combinam transportes privados (MPLS, Metro Ethernet) com banda larga pública e celular, usando overlays criptografados (IPsec, DMVPN, Cisco SD-WAN) para alcançar independência de transporte, segmentação e seleção de caminho com reconhecimento de aplicação. Operações robustas exigem medição contínua (perda, latência, jitter), detecção de brownout e failover rápido, preservando QoS e segurança de ponta a ponta.

Transporte de WAN e Conectividade com Provedores

As empresas comumente combinam múltiplos transportes de WAN para mitigar riscos e otimizar custos:

• MPLS L3VPN: Latência/jitter previsíveis com QoS da operadora e SLAs definidos. Conectividade any-to-any nativa. As desvantagens incluem custo recorrente mais alto, provisionamento mais longo, roteamento gerenciado pela operadora e dependência de um único domínio de provedor. Verifique a diversidade de última milha; faça dual-home para PEs ou POPs diversos para evitar domínios de falha compartilhados.
• Metro Ethernet (E-LAN/E-LINE): Alta largura de banda, baixa latência em áreas metropolitanas ou regionais; útil para interconexão de data centers e hubs regionais. Considere o suporte a MTU para encapsulamento de overlay e o comportamento da marcação de QoS no handoff com a provedora.
• Internet DIA/banda larga: Econômico, onipresente e escalável. Sem garantias de QoS; variação de desempenho e potencial remoção de DSCP. Requer criptografia de overlay e detecção de brownout. Valide a compatibilidade de CGN e NAT para VPNs; prefira IPs públicos/estáticos para um onboarding mais simples.
• LTE/5G: Implantação rápida e WAN out-of-band ou terciária. Latência e jitter variáveis; limites de dados e congestionamento de RF são restrições comuns. Use como backup ou para gerenciamento out-of-band crítico.
• Linhas privadas (DWDM, circuitos TDM/Ethernet dedicados): Determinísticas e seguras por isolamento. Flexibilidade limitada, custo por bit mais alto e falta de conectividade any-to-any inerente.

Projete para diversidade de transporte em múltiplas camadas:

• Física: Dutos, energia e locais de demarcação separados.
• Provedor: Operadoras e ASes de upstream distintos.
• Tecnologia: Combine MPLS, DIA, banda larga e celular.
• Roteamento: Planos de controle independentes (eBGP para PEs diferentes, controle de overlay independente do underlay).

Principais modos de falha e mitigações:

• Corte na última milha ou manutenção da provedora: Última milha dupla e redirecionamento rápido com overlays.
• Blackholes de MTU/fragmentação por sobrecarga de encapsulamento: Configure path MTU discovery e MSS clamping.
• Remarcação de DSCP por ISPs: Remarque na borda da WAN; confie no QoS por túnel no overlay.
• CGNAT quebrando túneis de entrada: Use onboarding assistido por controlador ou túneis iniciados de saída.

Fundamentos de VPN e Tunelamento

O GRE fornece encapsulamento L3/L2 simples para alcançabilidade do overlay, mas sem criptografia ou integridade. É frequentemente combinado com IPsec para confidencialidade. Os keepalives do GRE detectam falhas unidirecionais; a sobrecarga de MTU requer ajuste.

O IPsec protege os dados na Camada 3. Elementos principais:

• IKEv2 para troca de chaves do plano de controle e negociação de SA, com Dead Peer Detection e NAT-T.
• ESP com AES-GCM ou AES-CBC mais integridade; PFS para garantir forward secrecy.
• Timers de re-keying balanceados para segurança e sobrecarga de CPU.

Exemplo: GRE sobre IPsec no IOS XE (abreviado)

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

O DMVPN adiciona escala por meio de GRE multiponto e NHRP, permitindo túneis spoke-to-spoke sob demanda. O roteamento dinâmico (EIGRP, OSPF, BGP) é executado sobre o overlay. Desvantagens:

• Pontos fortes: Malha de spokes elástica, encaminhamento reduzido no hub, provisionamento mais simples.
• Riscos: Churn no banco de dados NHRP, gargalos no hub, dimensionamento de criptografia/CPU no headend, granularidade de QoS limitada por túnel, a menos que políticas hierárquicas sejam usadas. Solucione problemas com show dmvpn, show ip nhrp e o estado do crypto SA.

Segmentação:

• Legado: VRF-Lite e MPLS L3VPNs isolam domínios de tráfego.
• Overlays: As “VPNs” de SD-WAN representam instâncias de roteamento virtualizadas por segmento; mapeie para VRFs na borda da WAN. Isso fornece isolamento de tenant e serviço sem dependência do transporte.

Arquitetura e Operação do Cisco SD-WAN

O Cisco SD-WAN separa os planos:

• vManage: Plano de gerenciamento único para configuração, monitoramento e operações de ciclo de vida.
• vBond: Orquestrador que autentica os WAN Edges, fornece alcançabilidade inicial e pode atuar como um servidor STUN para travessia de NAT.
• vSmart: Cérebro do plano de controle que estabelece conexões de controle seguras, executa o OMP para distribuir rotas, atributos de TLOC e políticas, e dissemina informações de segurança para o estabelecimento de túneis.

Os dispositivos WAN Edge (vEdge/Catalyst SD-WAN) constroem túneis IPsec do plano de dados sobre qualquer underlay (MPLS, Internet, LTE). O plano de controle usa DTLS/TLS para os controladores; o plano de dados usa IPsec com sondas de desempenho baseadas em BFD. Conceitos principais:

• TLOC: Tupla de system IP, color (tipo/intenção do underlay) e encapsulamento. As colors permitem que a política prefira ou restrinja transportes.
• Rotas OMP: Alcançabilidade de prefixo; Rotas TLOC: Adjacência de transporte; Rotas de serviço: inserção de serviço.
• Segmentação: As VPNs de SD-WAN fornecem domínios de roteamento isolados em todo o fabric.

Onboarding e segurança:

• ZTP com identidade baseada em certificado (SUDI ou emitido pelo controlador), sincronização de tempo e alcançabilidade ao vBond.
• Tratamento de NAT com vBond STUN e NAT-T. Desvio de tempo, expiração de certificado e controladores inalcançáveis são pontos de falha comuns no onboarding.

Transporte de túnel:

• Túneis seguros em malha completa (full-mesh) ou parcial (partial-mesh) entre os WAN Edges, conforme a política.
• O BFD por TLOC/por VPN monitora perda, latência e jitter em intervalos e multiplicadores configuráveis para detectar blackouts e brownouts.

Política, Desempenho e Resiliência

Camadas de política:

• Política de controle centralizada: Influencia os anúncios OMP e a topologia hub/spoke (ex: filtragem de rotas, preferência de TLOC).
• Política de dados centralizada: Define os comportamentos de encaminhamento por VPN e por classe de tráfego (com base nos campos IP) em toda a malha (fabric).
• Política local: QoS em nível de interface, ACLs e shaping em um WAN Edge individual.

O roteamento com reconhecimento de aplicação (AAR) usa classes de SLA e características de caminho medidas pelo BFD para selecionar um caminho por aplicação ou classe de tráfego:

• A classe de SLA define os limites aceitáveis para perda, latência unidirecional e jitter, e a frequência das sondas (probes). Múltiplas classes podem refletir níveis de aplicação (voz, transacional, melhor esforço/best effort).
• A seleção de caminho avalia os TLOCs candidatos por política, preferindo os caminhos que atendem aos requisitos. Se nenhum atender, as alternativas (fallbacks) incluem o melhor caminho disponível, breakout local ou descarte (drop) — tudo orientado por política. Histerese e temporizadores de hold-down evitam oscilações (flapping).
• O “flow pinning” (fixação de fluxo) mantém a consistência do caminho para sessões estabelecidas; novos fluxos reavaliam a escolha do caminho.

Qualidade de Serviço (QoS):

• Shaping por túnel para o CIR do underlay, políticas hierárquicas para enfileiramento (LLQ para voz, classes AF) e reconhecimento de policers nas bordas do provedor.
• A preservação de DSCP através do IPsec é suportada; remarque conforme necessário antes da criptografia para preservar a intenção.
• Em transportes de Internet, trate o QoS localmente (shaping de saída, priorização) sabendo que o QoS em trânsito não é garantido.

Segurança e segmentação:

• ZBFW por VPN, filtragem de URL, IDS/IPS e proxy TLS podem ser inseridos na borda da WAN (WAN edge).
• O breakout seguro de internet (DIA) descarrega o tráfego SaaS/Internet localmente, aplicando a política de segurança; o tráfego restante segue o overlay para os hubs ou DCs.

Resiliência:

• Uso ativo/ativo de múltiplas “cores” (ex: mpls e biz-internet) com ECMP ou com primário/secundário preferido por política.
• Transportes de backup como LTE com custo/preferência de TLOC mais altos para serem ativados apenas em caso de falha.
• A extensão de TLOC conecta o transporte de um dispositivo a outro em um site, aumentando a sobrevivência quando os circuitos terminam em roteadores diferentes.
• Pares de hubs regionais em DCs diferentes garantem redundância de controle/dados; clusters de controladores duplos por função (vManage, vBond, vSmart) distribuídos entre os sites.

Detecção de brownout:

• Métricas derivadas do BFD identificam a degradação antes de uma falha total (hard failure). As políticas podem desviar apenas o tráfego sensível (voz, VDI) de um link degradado, mantendo os fluxos de grande volume (bulk flows) nele, preservando a largura de banda.

Operações e Solução de Problemas

A verificação operacional foca na alcançabilidade do underlay, no controle do overlay e no desempenho do plano de dados:

• Underlay: Validar o endereçamento IP, o comportamento do NAT e o MTU. Use ping com o bit DF e tamanhos variados, traceroute e rastreamento com ip sla para designs legados. Para LTE, verifique a qualidade do sinal e o CGNAT da operadora.
• Controle do SD-WAN: Use

undefined

para verificar as sessões DTLS/TLS com o vBond, vSmart e vManage. A sincronização de tempo e os certificados devem ser válidos.

• OMP: Use

undefined

e

undefined

para confirmar a troca de rotas e TLOCs; analise os efeitos da política de controle.

• Plano de dados: Use

undefined

e estatísticas de perda/latência/jitter; correlacione com a conformidade do SLA da app-route. Capturas de pacotes nas interfaces WAN ajudam a validar o encapsulamento DSCP e IPsec.

• Política: Inspecione políticas centralizadas/locais para verificar as condições de correspondência (match) e as ações; confirme a identificação de aplicativos via DPI e o fallback para classificação baseada em porta quando necessário.
• QoS: Use

undefined

, quedas na fila (queue drops) e taxas de shaping; garanta que o overhead de criptografia seja considerado no shaping para evitar tail drops.

• VPNs Legadas: Use

undefined

,

undefined

,

undefined

e tabelas NHRP para verificar o estado do túnel. Problemas comuns incluem incompatibilidade de fase 1/fase 2, falha na negociação do NAT-T e falhas de PMTUD.

Recuperação de falhas:

• Garanta a redundância dos controladores e políticas de rehoming de dispositivos; teste a perda de um site de controlador.
• Valide o direcionamento (steering) e a reversão em cenários de brownout com testes de degradação controlada.
• Implemente checkpoints para rollback de configuração e implantações em fases (staged deployments) a partir do vManage.

Cenário de Problema Prático

A Northstar Retail está substituindo uma WAN MPLS de provedor único por uma SD-WAN de transporte duplo usando banda larga DIA e MPLS em 200 filiais, com LTE como backup terciário. Os objetivos são manter os SLAs de transações de voz e POS, permitir o internet breakout seguro para SaaS e minimizar o risco da migração.

Abordagem:

1. Construir o plano de controle do SD-WAN

• Implantar vManage, vSmart e vBond redundantes em dois data centers. Justificativa: O vManage fornece o gerenciamento, o vSmart provê o plano de controle via OMP e distribuição de políticas, e o vBond orquestra o onboarding e a travessia de NAT. A redundância geográfica garante a sobrevivência do plano de controle.

2. Preparar os underlays e a diversidade de sites

• Contratar DIA e, onde viável, um MPLS ou MetroE de uma operadora diferente; adicionar LTE em sites críticos. Configurar demarcações e caminhos de energia separados. Justificativa: Provedores e last miles diversos reduzem falhas correlacionadas; o LTE garante alcançabilidade terciária durante interrupções regionais.

3. Fazer o onboarding dos WAN Edges com ZTP e certificados

• Usar o onboarding assistido pelo vBond; garantir a hora exata via NTP e permitir tráfego UDP/TCP de saída para a descoberta dos controladores. Justificativa: A identidade baseada em certificados e o STUN do vBond superam as barreiras de NAT e estabelecem canais de controle seguros.

4. Definir segmentação e serviços

• Criar VPNs SD-WAN para Corp (VPN 10), Voz (VPN 20), Visitantes (VPN 30) e PCI (VPN 40). Inserir ZBFW e filtragem de URL no tráfego de Visitantes e no DIA para o tráfego Corporativo. Justificativa: O isolamento por VPN atende a metas de conformidade e segurança; o service chaining impõe a segurança por segmento.

5. Estabelecer classes de SLA e roteamento ciente de aplicação (application-aware routing)

• Criar SLA-Voz (perda/latência/jitter rigorosos), SLA-Transacional (limiares moderados) e SLA-BE (best effort). Identificar aplicativos usando DPI para voz/SIP/RTP e gateways de POS. A política prefere MPLS para Voz e POS quando em conformidade, caso contrário, direciona para o DIA; tráfego em massa/SaaS prefere o DIA. Justificativa: A conformidade de SLA orientada por BFD permite evitar brownouts enquanto otimiza os caminhos de menor custo.

6. Configurar QoS e shaping por transporte

• Aplicar QoS hierárquico com LLQ para voz, filas AF para POS e tráfego interativo, e shaping para o CIR do provedor menos o overhead do IPsec. Preservar o DSCP antes da criptografia. Justificativa: Prevenir tail drops, garantir prioridade para aplicativos sensíveis à latência e evitar fragmentação.

7. Habilitar internet breakout seguro

• Para tráfego SaaS e web, realizar breakout local via DIA com ZBFW, segurança de DNS e filtragem de URL; enviar destinos desconhecidos ou sensíveis para os hubs do DC para inspeção. Justificativa: Reduz a latência para SaaS enquanto mantém o controle de políticas e a conformidade.

8. Implementar política de resiliência e failover

• Usar ECMP ativo/ativo entre DIA e MPLS para tráfego BE; definir a preferência de TLOC para que Voz/POS escolham o MPLS quando estiver saudável. Configurar o LTE com preferência mais baixa apenas para failover. Adicionar temporizadores de histerese para evitar flapping. Justificativa: Preferência controlada e estabilidade durante brownouts; LTE reservado para emergências.

9. Validar MTU e MSS, depois pilotar

• Definir o MTU/MSS do túnel nos WAN Edges; verificar o PMTUD em ambos os transportes. Pilotar em 10 filiais, injetando perda/latência controlada para confirmar o direcionamento de caminho e a reversão. Justificativa: Evitar blackholes de fragmentação e confirmar o comportamento operacional antes da expansão em escala.

10. Migrar em ondas com rollback

• Anunciar as sub-redes do site via OMP tanto do CPE MPLS legado quanto do WAN Edge durante a coexistência. Mover o tráfego ajustando rotas padrão e métricas BGP. Manter um plano de retorno (backout) restaurando as métricas legadas. Justificativa: Transição não disruptiva com rollback determinístico.

11. Operacionalizar o monitoramento e a solução de problemas

• Dashboards no vManage monitoram métricas de BFD, conformidade de SLA e caminhos de aplicativos. Use

undefined

,

undefined

e

undefined

para verificações aprofundadas. Estabelecer limiares de alerta alinhados às classes de SLA. Justificativa: Detecção precoce de brownouts e isolamento rápido da causa raiz.

12. Fortalecimento (hardening) e testes periódicos

• Rotacionar certificados, testar o failover de controladores e executar testes de degradação trimestrais. Justificativa: Mantém a postura de segurança e verifica se as respostas de failover e brownout permanecem eficazes à medida que a rede evolui.

← Virtualização de Rede · Todos os domínios · Segurança Corporativa e Serviços de Identidade →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →