Cisco 350-401: 网络虚拟化、叠加网络和 Fabric 技术 — 学习指南

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

属于 Cisco CCNP Enterprise 350-401 ENCOR — 学习指南. 使用经过验证的答案练习： Cisco 考试中心, 或参加限时模拟考试： ExamRoll.io.

概述

现代企业网络依靠虚拟化和 Fabric 覆盖网络 (overlay) 来跨园区、数据中心和广域网 (WAN) 域实现服务的扩展、分段和自动化。一个 IP 路由的底层网络 (underlay) 为 ECMP 提供可达性和熵，而覆盖网络则提供租户隔离、移动性和策略。控制平面分离将端点发现和路由分发与数据转发解耦，从而实现快速收敛、一致的安全性和确定性的运维。本节将探讨其构建块——VRFs、VXLAN、EVPN、LISP 和 Cisco SD-Access——以及相关的设计权衡、运维实践以及从传统的基于 VLAN 的网络迁移的模式。

Underlay、Overlay 和封装

Underlay 是物理或逻辑的 IP 传输 Fabric。其目标是使用等价多路径 (ECMP) 实现简单、快速和高可用的连接。设计指南：

路由式接入和 Spine-Leaf 设计可以最小化二层故障域、避免 STP 并加速收敛。
为控制平面邻接关系和 VTEP 源 IP 使用一致的环回地址。
为覆盖网络封装预留 MTU 净空（对于 SD-Access，建议设置为 9100）。

Overlay 提供独立于 Underlay 拓扑的逻辑网络（二层和三层分段）。其优势包括租户隔离、任意到任意的连接以及无需重新编号子网的移动性。Overlay 需要：

封装（例如，基于 UDP 4789 的 VXLAN），用于承载虚拟标识符并扩展分段。
一个控制平面，用于分发端点到隧道的绑定关系（例如，BGP EVPN 或 LISP）。

控制平面分离以状态传播换取可扩展性：

如果没有专用的控制平面，泛洪和学习 (flood-and-learn) 会消耗带宽，并且关键状态可能会不可预测地老化。
使用 EVPN 或 LISP 时，状态被精确地信令通告，从而降低了广播、未知单播和组播 (BUM) 负载，并启用了 ARP/ND 抑制等功能。

封装的权衡：

基于 UDP 的 VXLAN：普遍支持 ECMP、支持网卡卸载；但需要增加 Underlay 的 MTU，并且哈希算法需要能感知外部报头。
GRE/NVGRE：报头更简单，但用于 ECMP 的熵较弱，硬件卸载支持也较少。
基于 MPLS 的 Overlay：拥有成熟的 QoS 和 OAM；但需要支持 MPLS 的基础设施和相应的运维专业知识。

常见的故障模式：

MTU 不匹配导致封装帧被静默丢弃——使用为 Overlay 净空调整过大小并设置了 DF 位的 ping 命令进行验证。
Underlay 非对称路由导致状态防火墙丢弃返回流量——将策略部署在 Overlay 边缘或确保路由对称。
Underlay 链路上的哈希极化——在外部报头上启用基于流的哈希，并验证 ECMP 路径。

分段和 VXLAN/EVPN

VRF 和可扩展分段：

VRF 实例创建独立的路由表，用于隔离租户、业务域或环境（生产/开发/访客）。
将 VRF（宏分段）与微分段（例如，可扩展组标签和策略）相结合，以实现跨 VRF 和分段的最小权限访问。

VXLAN 组件：

VTEP：封装/解封装 VXLAN 的边缘设备。硬件 VTEP（交换机/路由器）和软件 VTEP (Hypervisor) 在 Fabric 边缘终止逻辑分段。
VNI：映射一个分段的 24 位标识符。使用 L2 VNI 用于桥接分段，使用绑定到 VRF 的 L3VNI 实现 Fabric 内的路由可达性。
BUM 处理：泛洪和学习可以使用 Underlay 组播或头端复制。通过 EVPN 的控制平面学习，可以通过选择性通告和 ARP/ND 抑制来消除大部分泛洪。

用于 VXLAN 的 BGP EVPN 概念：

路由类型：
- Type 2 (MAC/IP)：通告主机的 MAC 和可选的 IP，从而实现集成桥接和路由 (IRB) 以及 ARP/ND 抑制。
- Type 3 (IMET)：为 BUM 流量信令通告包容性组播/入口复制。
- Type 5 (IP Prefix)：为每个 VRF/L3VNI 携带 IP 前缀，无需主机特定的 Type 2 路由即可实现子网间路由。
Anycast 网关：所有 VTEP 上都配置相同的 SVI IP/MAC；主机在移动时保持相同的默认网关。
路由目标 (Route Target)：基于每个 VRF 和每个 VNI 的导入/导出控制，实现租户隔离和选择性路由泄漏。
收敛和移动性：Type 2 路由上的序列号用于检测移动性；过时的条目会被快速抑制。

关键权衡和故障模式：

纯粹的泛洪和学习很简单，但流量开销大；EVPN 增加了复杂性，但扩展性更好并能减少 BUM 流量。
路由目标配置错误会导致流量黑洞或泄漏——应标准化策略模板。
如果 Hypervisor 执行 MAC 欺骗，重复 MAC 检测功能可能会隔离端点；应为 VDI 或集群服务调整阈值。
Type 3 路由缺失或复制设置不匹配会导致 BUM 帧被孤立——应验证 IMET 条目和复制列表。

最小化示例 (NX-OS 风格)： vrf context TENANT_A vni 100100 rd auto address-family ipv4 unicast route-target import 65000:100100 route-target export 65000:100100

interface nve1 source-interface loopback1 host-reachability protocol bgp member vni 10010 ingress-replication protocol bgp

router bgp 65000 address-family l2vpn evpn neighbor 10.10.10.10 remote-as 65000 neighbor 10.10.10.10 update-source loopback0

LISP 与 Cisco SD-Access Fabric

LISP 基础知识：

EID：端点 ID，通常是虚拟网络内的主机 IP。
RLOC：路由定位器，xTR（边缘隧道路由器或 VTEP）的可在底层网络路由的地址。
Map-Server/Map-Resolver：集中式数据库和查询点。ETR 注册 EID 到 RLOC 的映射；ITR 查询以解析映射。
定位器可达性：RLOC-probe 监控 xTR 的活动状态；SMR (solicit-map-request) 在移动性事件发生时触发缓存更新。
故障模式：过期的映射缓存导致次优路径；MS/MR 不可达会阻塞新流；xTR 之间的 NAT 隐藏 RLOC——需要规划 RLOC 透明性或 NAT 穿越。

Cisco SD-Access 将 LISP 用于园区网的控制平面，将 VXLAN 用于数据平面：

Fabric 角色：
- Edge node：连接有线端点并将流量封装到 VXLAN 中。
- Border node：将 Fabric 连接到外部 L3 网络或其他 Fabric；按 VRF 和策略执行切换。
- Control plane node：托管 LISP MS/MR，维护端点到边缘的绑定关系。
- Wireless：AP 是 Overlay 的一部分；Fabric 无线控制器处理 CAPWAP、RRM 和 Fabric 集成。跨边缘交换机的漫游使用 xTR 间的过程。
策略与分段：
- 虚拟网络 (Virtual network) 映射到 VRF 以实现宏分段。
- 微分段使用可扩展组标签 (SGT)，并在 Fabric 边缘通过 SGACL 强制执行。
- Identity Services Engine 在终端入网 (onboarding) 时（通过 802.1X/MAB/webauth）确定访问权限，然后分配 VN 和 SGT，从而实现与位置无关的一致性策略。
边界与融合：
- Border node 按 VRF 提供三层切换；fusion router 使用 VRF-Lite 或 MP-BGP 策略在用户 VRF 和共享服务之间进行路由渗透。
- 错误的 fusion 策略可能导致非对称路由或权限过大的访问——需要验证路由渗透和 SGACL 的意图。
运维说明：
- 使用 9100 的 Fabric MTU 以容纳 VXLAN 和策略报头。
- Overlay 网络提供逻辑上的 L2 和 L3 服务；ARP/ND 抑制功能可减少网络噪音。
- 无线 Fabric AP 以 Fabric 模式运行，并直接连接到边缘交换机。