Cisco 350-401: Unternehmensnetzwerk-Architektur und -Design — Lernleitfaden

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Teil des Cisco CCNP Enterprise 350-401 ENCOR — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Die Unternehmensnetzwerkarchitektur bildet die Grundlage, die Konnektivität, Sicherheit und Anwendungsbereitstellung an den Geschäftszielen ausrichtet. Ein solides Design unterteilt das Netzwerk in Ebenen (Planes) und Schichten (Layers), reduziert die Auswirkungen von Fehlern durch klar definierte Domänen und schafft eine Balance zwischen Ausfallsicherheit, Leistung, Skalierbarkeit und Kosten. Moderne Unternehmen erstrecken sich über lokale Standorte und Rechenzentren, Cloud-Regionen und entfernte Standorte, die oft durch programmierbare Overlays verbunden und von Intent-basierten Controllern gesteuert werden. Die folgenden Abschnitte beschreiben Campus-Tier-Designs, Fabric-Architekturen, Verfügbarkeitsmuster, Überlegungen zu Cloud und Virtualisierung, Kompromisse, Kapazitätsplanung, Dokumentation, Controller-Konzepte und Lifecycle-Praktiken, wobei betriebliche Überlegungen und häufige Fehlermodi hervorgehoben werden.

Campus- und Fabric-Architektur

Zwei- und dreistufige Campus-Designs:

• Zweistufig (Collapsed Core): Kombiniert Core- und Distribution-Funktionen. Am besten geeignet für kleine bis mittlere Standorte, bei denen Latenz und Kosten im Vordergrund stehen und die Etagenverteilung begrenzt ist. Fehlerdomänen werden größer, da Aggregation und Core gemeinsam genutzt werden; planen Sie die Redundanz entsprechend.
• Dreistufig: Getrennte Core-, Distribution- und Access-Ebenen.
  • Access: Stellt Konnektivität für Benutzer und Geräte, PoE, Edge-Sicherheit sowie QoS-Klassifizierung/-Markierung bereit. Bevorzugen Sie Routed Access (Layer 3 von Access zu Distribution), um Layer-2-Domänen zu verkleinern, Spanning Tree in den Uplinks zu eliminieren und eine schnelle ECMP-Konvergenz zu ermöglichen.
  • Distribution: Aggregiert den Access-Bereich, setzt Richtlinien durch, führt Layer-3-Zusammenfassungen durch, isoliert Ausfälle im Access-Bereich und bildet eine Control-Plane-Grenze. Eine übliche Praxis ist das Dual-Homing von Access-Switches an ein Paar von Distribution-Switches über Layer-3-Punkt-zu-Punkt-Verbindungen.
  • Core: Schneller, ausfallsicherer Layer-3-Transport mit minimalen Richtlinien. Best Practice sind redundante Layer-3-Punkt-zu-Punkt-Verbindungen zwischen Core-Geräten für vorhersagbare, schnelle Konvergenz und Equal-Cost Multipathing. Halten Sie die Funktionen schlank, um Control-Plane-Churn zu vermeiden.

Routed Access und Migration: Routed Access vereinfacht den Übergang von traditionellem Layer 2 zu programmierbaren Fabrics. Anycast-Default-Gateways in einer Fabric können FHRPs auf der Distribution-Ebene ersetzen und so die Komplexität von HSRP/VRRP/GLBP reduzieren. In einem traditionellen Modell mit Routern verschiedener Hersteller und Dual-Stack-Hosts wird VRRPv3 für die Gateway-Redundanz von IPv4/IPv6 bevorzugt.

Fabric-Konzepte:

• Underlay: Physische IP-Erreichbarkeit für Fabric-Knoten (z. B. IS-IS/OSPF/BGP). Auf schnelle Konvergenz auslegen (BFD, Punkt-zu-Punkt-Verbindungen, ECMP).
• Overlay: Logische Layer-2- und Layer-3-Virtualisierung und -Segmentierung auf dem Underlay. Bei Cisco SD-Access stellt das Overlay virtuelle Netzwerke (VRFs) und skalierbare Gruppen über die VXLAN Data Plane bereit.
• Control Plane: Ordnet Endpunkt-Identitäten Standorten zu. SD-Access verwendet LISP für das Mapping von Endpunkt-ID zu Standort; ein Fabric Control-Plane-Knoten verwaltet die globale Datenbank der Endpunkte und Netzwerke.
• Fabric-Rollen:
  • Edge Node: First-Hop für kabelgebundene/drahtlose Clients; setzt Richtlinien durch und kapselt den Datenverkehr in das Overlay.
  • Border Node: Verbindet die Fabric mit externen Netzwerken oder anderen Fabrics; führt die Übersetzung zwischen Overlay- und Nicht-Overlay-Domänen durch.
  • Control-Plane Node: Speichert und löst Endpunkt-Mappings für die Fabric auf.
  • Fusion Router: Leakt Routen zwischen virtuellen Netzwerken der Fabric und Shared Services, wodurch die Segmentierung aufrechterhalten und gleichzeitig der Zugriff auf gemeinsame Ressourcen ermöglicht wird.
• Wireless in der Fabric: RRM wird auf dem Wireless Controller ausgeführt. Fabric-fähiges Wireless integriert APs und WLCs in das Overlay, wodurch Segmentierung und Richtlinien erhalten bleiben.

Trennung der Ebenen (Planes):

• Data Plane: Die eigentliche Paketweiterleitung (ASIC-gesteuert, FIB-basiert).
• Control Plane: Topologie-, Erreichbarkeits- und Mapping-Protokolle (z. B. OSPF/BGP/LISP). Die RIB speist die FIB; die RIB speichert Routing-Präfixe, die FIB enthält die aus der RIB erstellten Egress-Forwarding-Informationen.
• Management Plane: Konfiguration, Telemetrie, Assurance (z. B. DNAC, vManage, SNMP, Model-Driven Telemetry). Starke RBAC und API-Governance sind erforderlich.

Häufige Fehlermodi und Gegenmaßnahmen:

• Layer-2-Schleifen/Broadcast-Stürme: Minimieren Sie den Layer-2-Blast-Radius; verwenden Sie Storm Control und UDLD. Routed Access reduziert das Risiko.
• Konflikte beim Default-Gateway: FHRP-Tuning oder Anycast-Gateways in der Fabric. Verfolgen Sie die Upstream-Erreichbarkeit, um asymmetrische Black Holes zu vermeiden.
• Überlastung der Control Plane: Halten Sie den Core schlank; fassen Sie auf der Distribution-Ebene zusammen; vermeiden Sie übermäßige Richtlinien oder TCAM-Nutzung im Core.

Hochverfügbarkeit, Redundanz und Design von Fehlerdomänen

Designprinzipien:

• Redundanzmuster: Geräteredundanz (duale Supervisoren, Switch-Stacks, StackWise Virtual), Link-Redundanz (Port-Channels) und Pfadredundanz (ECMP). Das Link Management Protocol von StackWise Virtual lehnt die Weiterleitung von unidirektionalem Link-Verkehr ab und verhindert so halbseitig aktive Aggregationen.
• Schnelle Konvergenz: Bidirectional Forwarding Detection (BFD), optimierte IGP-Timer, NSF/SSO auf geeigneten Plattformen und eingegrenzte Fehlerdomänen (hierarchische Zusammenfassung). Bevorzugen Sie geroutete Punkt-zu-Punkt-Verbindungen für eine deterministische Rekonvergenz.
• Grenzen von Fehlerdomänen: Begrenzen Sie die Auswirkungen durch die Isolierung von Zugriffs-VLANs pro Etage/Gebäude, die Verwendung von VRF-basierter Segmentierung und die Platzierung gemeinsamer Dienste hinter dedizierten Punkten für Route-Leaking (Fusion). Verwenden Sie Wartungsdomänen, die auf die Geschäftskritikalität abgestimmt sind.

FHRPs und Standard-Gateways:

• Verwenden Sie VRRPv3, wenn Dual-Stack und Herstellerunabhängigkeit erforderlich sind. Anycast-Gateways in einer Fabric können FHRPs ersetzen und gleichzeitig die First-Hop-Redundanz mit Fabric-weiter Konsistenz beibehalten.

Beispiel für VRRPv3 für IPv4/IPv6 auf einem Distribution-SVI: interface Vlan20 ip address 10.20.0.2 255.255.255.0 vrrp 20 address-family ipv4 address 10.20.0.1 ! ipv6 address 2001:db8:20::2/64 vrrp 20 address-family ipv6 address 2001:db8:20::1

Abwägungen:

• Aktiv/Aktiv-Stacks und MLAGs maximieren die Auslastung, erhöhen aber die Komplexität bei Betrieb und Fehlerisolierung.
• Zusammenfassung reduziert den Control-Plane-Churn, kann aber den Verlust der Erreichbarkeit verschleiern; verwenden Sie nicht zusammenhängende Summaries mit Vorsicht.
• Größere Fehlerdomänen minimieren die Hardwarekosten, erhöhen aber den „Blast Radius“ (Auswirkungsbereich); dimensionieren Sie Domänen entsprechend der Kritikalität der Anwendung.

Cloud, Virtualisierung und Service-Bereitstellung

Unternehmensarchitekturen:

• On-Premises: Volle Kontrolle über das physische und logische Design; latenzempfindliche Dienste; typischerweise dreistufiger Campus und Fabric-fähige Segmentierung.
• Cloud: IaaS/PaaS/SaaS-Modelle verschieben die Betriebsgrenzen. Der Anbieter kümmert sich um das physische Underlay; Sie entwerfen Overlays, Routing und Sicherheit in virtuellen Netzwerken.
• Hybrid: Sichere Verbindung von On-Premises und Cloud über IPsec/GRE, Direct Connects oder SD-WAN. Normalisieren Sie Richtlinien und Segmentierung standortübergreifend.
• Multi-Cloud: Konsistente Konnektivität und Sicherheit über Anbieter hinweg. Cloud-Router/virtuelle Appliances oder SD-WAN fungieren als Transit mit einheitlichen Richtlinien.

Controller-basiertes WAN:

• Cisco SD-WAN verwendet vSmart zur Verwaltung der Control-Plane und OMP zwischen Edge-Routern, vManage als zentrale Verwaltungsebene (Single Plane of Management) und vBond für die Orchestrierung. Zentralisierte Absicht (Intent) steuert konsistentes Routing, Segmentierung und Sicherheit. Die Richtlinien werden verteilt; die Data-Plane verläuft direkt zwischen den Standorten.

Virtualisierung:

• Hypervisoren (KVM/ESXi/Hyper-V) hosten virtuelle Switches, die Layer-2-Konnektivität zwischen VMs bereitstellen. Kontrollierte Layer-2-Konnektivität wird durch den vom Hypervisor bereitgestellten vSwitch oder einen VM-basierten Soft-Switch erreicht. Vorteile sind reduzierter Rack-Platz, Stromverbrauch und Kühlungsbedarf sowie schnelle Bereitstellung.
• Fehlermodi: Große Layer-2-Domänen und ARP/ND-Verkehr können zu einer Broadcast-Verstärkung führen, insbesondere bei „gesprächigen“ (chatty) VMs. Gegenmaßnahmen sind kleinere Subnetze, ARP-Suppression in Overlays und robustes Control-Plane-Policing.
• Container: Leichtgewichtige Workloads mit Overlay-Networking (z. B. VXLAN/Geneve über CNI). Planen Sie für ephemere Endpunkte, Ost-West-Verkehrsflüsse und Service Meshes; setzen Sie Mikrosegmentierung auf Host-, vSwitch- und Fabric-Ebene durch.
• Service-Bereitstellungsmodelle:
  • IaaS: Sie verwalten das Gastbetriebssystem, das Networking innerhalb von VPC/VNet und die Sicherheitskontrollen.
  • PaaS: Eingeschränkte Netzwerkkontrolle; Fokus auf sichere Konnektivität, private Endpunkte und richtlinienbasierten Egress-Verkehr.
  • SaaS: Optimieren Sie DNS, Latenz und sicheren Zugriff; SD-WAN Local Breakouts und CASB/SASE-Integrationen sind üblich.

SD-Access und externe Konnektivität:

• Border Nodes verbinden Fabrics mit externen Netzwerken. Fusion Router führen Route-Leaking zwischen virtuellen Netzwerken und gemeinsamen Diensten durch, um die Segmentierung beizubehalten und gleichzeitig den notwendigen Zugriff zu ermöglichen.

Alle Domänen · Campus Layer 2 Switching und Segmentierung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →