Cisco 350-401: Infraestrutura Wireless e Mobilidade — Guia de estudos

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Faz parte do Cisco CCNP Enterprise 350-401 ENCOR — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

A rede sem fio corporativa conecta usuários, dispositivos e IoT em escala, preservando a segurança, o desempenho e a visibilidade operacional. Projetá-la e operá-la bem exige a compreensão de arquiteturas, comportamento do plano de controle/dados, engenharia de RF, onboarding e segmentação, mecanismos de mobilidade, QoS para aplicações em tempo real e um ciclo de vida disciplinado. Esta seção fornece o racional de design, orientação operacional e modos de falha comuns para implantações modernas centradas em Cisco, incluindo wireless tradicional baseado em controladora, gerenciado na nuvem e habilitado para fabric.

Arquiteturas, Funções e Planos de Controle/Dados

As arquiteturas sem fio diferem em onde o controle e a política residem e como o tráfego é tratado:

• APs autônomos: Cada AP toma todas as decisões e faz a ponte do tráfego localmente. Prós: simples para sites muito pequenos, sem dependência de controladora. Contras: baixa escalabilidade, política/visibilidade fragmentada, coordenação de RF manual, roaming rápido limitado. Modos de falha: configurações inconsistentes, sobreposição de canais, adoção lenta de recursos de segurança.

• Baseado em controladora (WLC on-prem): Os APs executam um modelo split-MAC e formam túneis CAPWAP para uma Wireless LAN Controller. A WLC centraliza as funções do plano de controle (adesão do AP, configuração, gerenciamento 802.11, RRM) e pode comutar dados centralmente (túnel do tráfego do usuário para a WLC) ou localmente na borda (FlexConnect). Prós: escala, política consistente, roaming rápido, RRM. Compromissos: dimensionamento e HA da WLC são necessários; a comutação central adiciona latência e risco de hairpinning.

• Gerenciado na nuvem: APs ou gateways sem fio são gerenciados por uma controladora na nuvem; os dados podem permanecer locais ou atravessar gateways na nuvem, dependendo do design. Prós: operações simplificadas, gerenciamento fácil de múltiplos sites. Compromissos: dependência da Internet para gerenciamento; tenha clareza sobre por onde os dados saem.

• Controladoras embarcadas: Uma função de controladora hospedada dentro de um AP ou switch (por exemplo, controladora sem fio embarcada em APs Catalyst). Prós: autonomia da filial, menos appliances. Compromissos: limites de escala/recursos em comparação com WLCs completas, alinhamento de código e capacidades entre os sites.

Funções da WLC e do AP

• WLC: Controle central de política e RF; mantém o banco de dados de APs; executa o Radio Resource Management (RRM) para calcular canal/potência; termina o controle CAPWAP; pode terminar dados quando a comutação central é usada; impõe políticas de QoS, ACLs e AAA.
• AP: Executa os rádios, anuncia SSIDs (beaconing), lida com o MAC 802.11 em split-MAC (funções críticas de tempo no AP), converte quadros 802.11 para 802.3 para encaminhamento. Em redes sem fio SD-Access, os APs de fabric fazem parte do overlay e estão tipicamente em modo local e conectados diretamente a uma borda do fabric.

CAPWAP, controle vs. dados

• Caminho de controle: O controle CAPWAP do AP para a WLC está sempre presente. Garanta que o MTU acomode CAPWAP + IPsec, se usado; buracos negros de PMTU podem causar instabilidade no AP.
• Opções de caminho de dados:
  • Comutação central: Os quadros do usuário são tunelados para a WLC, depois passam por ponte/roteamento. Simplifica a segmentação, mas pode adicionar latência e gargalos.
  • Comutação local (FlexConnect): Os dados saem localmente na porta do switch do AP; a política é enviada centralmente. Útil para filiais. Requer consistência cuidadosa de VLANs e design de DHCP/ACL.
  • SSID habilitado para fabric (SD-Access): O AP converte 802.11 para 802.3 e encapsula em VXLAN em direção à borda do fabric; a política e a segmentação de ponta a ponta viajam no overlay.

Falhas comuns de adesão e mitigações

• Divergência de certificado ou horário do AP: Use NTP para a WLC e os APs; verifique a confiança de MIC/SSC; evite inspeção profunda que quebra o DTLS.
• Divergência de domínio regulatório: Alinhe os códigos de país e os canais permitidos.
• Alcançabilidade do CAPWAP: Permita UDP/5246–5247, garanta a travessia de NAT, se aplicável, e valide jumbo/MTU.

Fundamentos de RF e Construções de WLAN

Bandas e canais

• 2.4 GHz: Três canais de 20 MHz sem sobreposição (1, 6, 11). Longo alcance, alta interferência (Bluetooth, micro-ondas). Limite ou desabilite em designs densos e sensíveis ao desempenho.
• 5 GHz: Muitos canais de 20 MHz nas bandas UNII-1/2/2e/3/4 com considerações de DFS. Preferível para capacidade e VoWLAN. Eventos de DFS podem acionar mudanças de canal — monitore falsos positivos e adjacência de radar.
• 6 GHz (Wi‑Fi 6E): Espectro contíguo grande; 20/40/80/160 MHz sem clientes legados. WPA3 e Protected Management Frames (PMF) são obrigatórios. A Automated Frequency Coordination pode ser aplicada em ambientes externos.

Compromissos da largura de canal

• 20 MHz: Maior concorrência e reuso; melhor em ambientes corporativos densos.
• 40/80/160 MHz: Throughput de pico mais alto por cliente, mas menos canais únicos; arriscado em alta densidade; pode exacerbar a contenção de co-canal.

Potência e TPC

• Mantenha a potência de transmissão do AP próxima à potência do cliente para evitar clientes ‘sticky’ (aderentes); permita que o TPC do RRM reduza a potência onde as células se sobrepõem. O excesso de potência aumenta a contenção e os problemas de nó oculto.

Tipos de interferência

• Interferência de co-canal: Poucos canais únicos ou células com potência excessiva.
• Interferência de canal adjacente: Largura sobreposta ou canais desalinhados.
• Interferentes não-802.11: Bluetooth, DECT, micro-ondas, câmeras. Use análise de espectro/equivalente ao CleanAir para localizar e mitigar.

Perfis de SSID, BSSID e WLAN

• SSID é o nome da rede; cada SSID por rádio gera um BSSID único. Muitos SSIDs aumentam o overhead de beacons; almeje 4–6 ou menos.
• O perfil de WLAN vincula o SSID ao perfil de segurança, QoS e política. Mapeie para VLAN/VRF ou para segmentação de overlay (por exemplo, SGTs), dependendo da arquitetura.

Sequência de onboarding do cliente

• Descoberta/varredura → Autenticação/associação → Gerenciamento de chaves (handshake de 4 vias ou SAE) → DHCP/DNS → captive portal/CoA se for convidado.
• Armadilhas comuns: taxas de dados baixas desabilitadas podem quebrar clientes legados; falha de DHCP ou DNS parece uma falha de WLAN; a randomização de MAC pode impactar o NAC/profiling.

Segurança, Segmentação e Onboarding

WPA2, WPA3 e 802.1X

• WPA2-Enterprise: 802.1X com AES-CCMP; maduro e amplamente suportado.
• WPA3-Personal: SAE substitui o PSK para mitigar ataques de dicionário offline.
• WPA3-Enterprise: 802.1X com PMF obrigatório; modo de 192 bits para casos de uso de alta garantia.
• PMF (802.11w): Obrigatório para WPA3; fortemente recomendado para WPA2. Incompatibilidades (mismatches) causam falhas de associação — use os modos de transição com critério.

RADIUS e políticas

• Use servidores RADIUS redundantes; habilite o session-timeout e o Change of Authorization para alterações de política pós-conexão; prefira EAP-TLS para identidade baseada em certificados.
• Política dinâmica: Atribua VLAN, dACL, SGT ou QoS por usuário via atributos RADIUS; em uma malha (fabric), prefira políticas baseadas em grupo em vez da proliferação de VLANs (VLAN sprawl).

Acesso de convidado e ancoragem

• A autenticação web centralizada com uma WLC âncora de convidados em uma DMZ isola o tráfego de convidados. Os clientes se associam a uma WLC/AP externa (foreign); um túnel de mobilidade ancora o tráfego na WLC da DMZ para a saída (egress). Modos de falha: a perda de alcançabilidade da âncora causa interrupção no serviço de convidados; garanta que os grupos de mobilidade estejam definidos corretamente e que as regras de NAT/firewall permitam o controle e os dados de mobilidade.

Opções de segmentação wireless

• VLAN por SSID ou VLANs dinâmicas via RADIUS.
• VRF e SGTs para segmentação escalável; no SD-Access, o VXLAN transporta VN/SGT no overlay da malha (fabric), desacoplando os SSIDs das restrições de L2.
• IoT: Use MPSK/Identity PSK ou EAP-TLS sempre que possível; isole com ACL/SGT e aplique rate-limit.

Exemplos de configuração curtos e úteis (sintaxe Catalyst 9800)

Definir RADIUS e lista 802.1X: radius server ISE1 address ipv4 10.10.10.10 auth-port 1812 acct-port 1813 key 0 MySecretKey ! aaa new-model aaa group server radius ISE server name ISE1 ! aaa authentication dot1x DOT1X-LIST group ISE

Criar uma WLAN 802.1X e mapear a política: wlan CORP 10 CORP security wpa akm dot1x security pmf optional no shutdown ! wireless profile policy CORP-POLICY vlan 20 aaa-override ! wireless tag policy CORP-TAG wlan CORP policy CORP-POLICY

Mobilidade, QoS, Design, Monitoramento e Ciclo de Vida

Roaming e grupos de mobilidade

• Roaming intra-controladora: Rápido e transparente quando todos os APs compartilham a mesma WLC e o mesmo grupo de mobilidade; o cache oportunista de PMK/OKC e o 802.11r reduzem o tempo de reautenticação.
• Roaming inter-controladoras: Requer grupos de mobilidade para que as WLCs compartilhem o contexto do cliente; um roam pode ser L2 (mesma sub-rede) ou L3 (sub-rede diferente) com túneis de mobilidade mantendo a continuidade do IP.
• 802.11k/v/r: o ‘k’ fornece relatórios de vizinhança, o ‘v’ auxilia na transição de BSS, o ‘r’ acelera o estabelecimento de chaves (FT over-the-air/over-the-DS). Habilite para voz em tempo real apenas se a base de clientes for compatível; o suporte misto pode levar a falhas de associação.
• Wireless SD-Access: Os APs fazem parte do overlay do fabric; o tráfego do usuário é encapsulado em VXLAN em direção às bordas do fabric. Roams entre APs em switches de acesso diferentes permanecem contínuos através do plano de controle do fabric.

QoS wireless e aplicações em tempo real

• Categorias de acesso WMM: Voice (Voz), Video (Vídeo), Best Effort (Melhor Esforço), Background (Plano de Fundo). Mapeie o DSCP para UP apropriadamente; marque o tráfego de upstream e preserve as marcações sobre CAPWAP/VXLAN.
• Controle de Admissão de Chamadas (TSPEC/ACM): Evita a sobressuscrição da categoria de acesso de voz (AC); habilite nos SSIDs que transportam voz e ajuste por célula de AP.
• Otimização de multicast: Converta para unicast ou use melhorias do 802.11ac/ax; evite taxas básicas baixas que forçam um multicast lento.
• Recursos do Wi-Fi 6/6E: O OFDMA melhora a latência agendando unidades de recurso; o BSS Coloring reduz a contenção na reutilização espacial; ajuste o target wake time para economia de energia em dispositivos IoT.

Posicionamento de AP, cobertura e capacidade

• Metas de cobertura: Para dados, −67 dBm no mínimo com SNR ≥25 dB; para voz, geralmente −65 dBm e perda de pacotes <1%. Sobreposição de 15–20% nas bordas da célula em 5 GHz; evite buracos de cobertura em escadarias/elevadores.
• Planejamento de capacidade: Dimensione para o número de clientes e o airtime das aplicações, não apenas para o RSSI. Prefira canais de 20 MHz, desabilite ou limite 2.4 GHz em espaços densos e defina as taxas básicas mínimas para 12–24 Mbps para reduzir os beacons de airtime, garantindo a compatibilidade.
• Antenas: Selecione padrões que se ajustem ao ambiente; use antenas direcionais para corredores/armazéns; ajuste o EIRP aos limites regulatórios.
• Site surveys (pesquisas de local): Modelagem preditiva para o design inicial; validação pré-implantação; pesquisas ativas/pós-implantação para verificar o desempenho real. Refaça a pesquisa após mudanças no layout ou no inventário.

Monitoramento e troubleshooting de redes wireless

• Telemetria: Transmita métricas da WLC/AP para seu NMS; habilite o syslog; use plataformas de assurance (garantia) para análise da jornada do cliente (associação, autenticação, DHCP, DNS).
• Análise de espectro: Identifique interferência não-802.11 e eventos de DFS; monitore os ciclos de trabalho (duty cycles).
• Triagem por cliente:
  • Associação/autenticação: Verifique as configurações de segurança, compatibilidade com PMF e 802.11r, e a confiança de certificado (para EAP-TLS).
  • Camada de IP: Opções de DHCP, esgotamento de escopo, helpers de relay e alcançabilidade do DNS.
  • Mobilidade: Clientes “sticky” (aderentes) devido à assimetria de potência; valide as listas de vizinhança 802.11k/v; mudanças excessivas de RRM interrompendo sessões.
  • Caminho de dados (Data path): MTU e fragmentação de CAPWAP/VXLAN; ACLs ou firewall bloqueando RADIUS/CoA ou o controle de mobilidade.
• Modos de falha comuns: muitos SSIDs causando alto airtime de beacons; mudanças de canal por DFS derrubando chamadas em tempo real; timeouts do RADIUS devido a roteamento assimétrico; redirecionamento do portal de convidados bloqueado por interceptação de HTTPS.

Gerenciamento seguro do ciclo de vida wireless

• Governança de imagem e configuração: Padronize o código da WLC/AP; use upgrades de AP em fases e contínuos (rolling); mantenha HA de controladora N+1.
• Certificados e PKI: Automatize o registro (enrollment) 802.1X EAP-TLS com SCEP/EST; monitore expirações; proteja as cifras de CAPWAP/DTLS; rotacione os segredos do RADIUS.
• Higiene de políticas: Revise regularmente os SSIDs, desative os não utilizados, rotacione PSKs ou migre para MPSK/EAP-TLS; audite políticas de dACL/SGT; minimize regras de exceção.
• Higiene de RRM: Restrinja as faixas de DCA/TPC; trave canais/potência onde necessário (auditórios de alta densidade); faça um baseline de RF e compare após as mudanças.
• Backups e testes: Agende backups de configuração; testes de cliente sintéticos para onboarding e portal cativo; testes de caos (chaos testing) para failover de controladora e mobilidade de âncora.

Cenário de Problema Prático

A Contoso Financial está migrando uma sede de 12 andares para Wi-Fi 6E, consolidando quatro SSIDs legados, habilitando acesso baseado em certificado e suportando voz por softphone e vídeo de operadores (traders) com o mínimo de interrupção. O campus cabeado é um fabric SD-Access; o tráfego de convidados deve sair por uma DMZ, e a empresa tem problemas frequentes de associação de APs durante as janelas de manutenção.

Abordagem

1. Racionalizar SSIDs e definir perfis de WLAN

• Criar três SSIDs: CORP (802.1X EAP-TLS), GUEST (aberto com autenticação web) e IOT (MPSK).
• Justificativa: Menos SSIDs reduzem a sobrecarga de airtime; modos de segurança distintos mapeiam para políticas claras. WPA3/PMF nos SSIDs CORP e IOT melhora a resiliência; o GUEST usa um portal cativo para facilidade de uso.

2. Implementar 802.1X baseado em certificado com RADIUS resiliente

• Integrar a WLC com nós ISE redundantes; impor EAP-TLS; habilitar CoA e política dinâmica (SGT e substituição de VLAN).
• Justificativa: O EAP-TLS elimina segredos compartilhados e suporta segmentação por usuário. O CoA permite mudanças de função pós-autenticação (por exemplo, conformidade de postura).

3. Habilitar SSIDs integrados ao fabric para CORP e IOT; ancorar o GUEST na WLC da DMZ

• Marcar os APs como APs de fabric; mapear SSIDs para redes virtuais/SGTs; garantir VXLAN em direção às bordas do fabric. Configurar âncoras de mobilidade para o GUEST em um par de WLCs na DMZ.
• Justificativa: O fabric preserva a política de ponta a ponta sem proliferação de VLANs; a ancoragem isola os convidados e simplifica a saída para a Internet e a conformidade.

4. Projetar o RF com 6 GHz como primário, 5 GHz como secundário e 2.4 GHz mínimo

• Usar canais de 20 MHz em áreas de escritório densas; limitar a 40 MHz apenas em zonas de baixa densidade; desabilitar 2.4 GHz exceto em salas de descanso e áreas de IoT. Restringir o DCA a canais não-DFS onde há prevalência de radar; definir o TPC para corresponder à potência típica do cliente (14–17 dBm EIRP).
• Justificativa: Maximiza a concorrência e minimiza a contenção; evita quedas de chamadas causadas por DFS; a simetria de potência reduz clientes “sticky”.

5. Preparar roaming rápido e confiável para aplicações de voz e de operadores

• Habilitar 802.11k/v globalmente e 802.11r no SSID CORP após validar a compatibilidade do cliente; ajustar os limiares da lista de vizinhos; habilitar CAC para voz com TSPEC.
• Justificativa: O roaming assistido reduz a latência de handoff; o CAC evita a sobressuscrição de airtime que degradaria o MOS.

6. Fortalecer a associação de APs e a resiliência da controladora

• Verificar NTP e confiança de certificado; aumentar o MTU do CAPWAP se necessário; permitir CAPWAP/DTLS através de firewalls; implantar WLC N+1 com balanceamento de carga de associação de APs e HA SSO.
• Justificativa: Tempo e confiança são bloqueadores comuns de associação; um HA adequado evita quedas em massa de APs durante a manutenção.

7. Executar um site survey e validação em fases

• Design preditivo seguido por pesquisas ativas andar por andar; travar canais/potência nos pregões de negociação; definir taxas básicas mínimas para 12–24 Mbps; medir SNR, MCS e latência sob carga.
• Justificativa: Valida as condições reais de RF; reduz a rotatividade do RRM em zonas críticas; impõe baselines de desempenho.

8. Implementar QoS de ponta a ponta

• Mapear DSCP-para-UP e preservar as marcações em CAPWAP/VXLAN; habilitar CAC de voz; converter streams de vídeo multicast para unicast onde for viável.
• Justificativa: Garante prioridade consistente e latência/jitter limitados para aplicações em tempo real.

9. Monitorar e iterar usando ferramentas de assurance e de espectro

• Transmitir telemetria da WLC/APs; criar dashboards para os estágios de onboarding do cliente; alertar sobre eventos de DFS e mudanças de RRM; usar análise de espectro para localizar interferentes.
• Justificativa: Encurta o tempo médio para isenção de culpa (MTTI) e identifica rapidamente gargalos de RF ou AAA.

10. Institucionalizar práticas seguras de ciclo de vida

• Padronizar um código testado de WLC/AP; agendar upgrades de AP contínuos (rolling); rotacionar PSKs no SSID IOT trimestralmente; monitorar expirações de certificados; revisões trimestrais de política/RRM.
• Justificativa: Evita desvios de configuração (drift), reduz a exposição a riscos e sustenta o desempenho à medida que o ambiente evolui.

← Serviços IP · Todos os domínios · Virtualização de Rede →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →