Cisco 350-401: IP-Dienste, Multicast und Quality of Service — Lernleitfaden

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Teil des Cisco CCNP Enterprise 350-401 ENCOR — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

IP-Dienste, Multicast und QoS bilden den operativen Kern eines Unternehmensnetzwerks. Grundlegende Dienste wie DHCP, DNS, NTP und Management-Telemetrie ermöglichen den Betrieb von Endpunkten und für Operatoren; NAT setzt Adressierungs- und Sicherheitsgrenzen durch; QoS sichert die Benutzererfahrung für Echtzeitanwendungen; Multicast skaliert die Eins-zu-viele-Verteilung; und aktives Monitoring mit IP SLA und Object Tracking schließt den Kreis für die Ausfallsicherheit. Dieser Abschnitt erläutert die Design- und Betriebsgrundlagen für jeden dieser Bereiche und beleuchtet Fehlermodi und Kompromisse.

Grundlegende IP-Dienste und Telemetrie

DHCP: Stellen Sie Adressen und Optionen zentral bereit und gewährleisten Sie dabei die Skalierbarkeit und Korrektheit des Relays.

Relay- und Options-Handling: Verwenden Sie ip helper-address auf der First-Hop-Schnittstelle, um Client-Broadcasts per Unicast an den DHCP-Server weiterzuleiten. Fügen Sie nur erforderliche UDP-Helper hinzu (z. B. 67/68 DHCP, 53 DNS, 69 TFTP, 161 SNMP), um das Rauschen zu begrenzen. Option 43 versorgt CAPWAP APs mit WLC-Adressen; Option 82 (Relay-Informationen) fügt Circuit-Identifier für portbasierte Richtlinien und Reservierungen hinzu. Vertrauen Sie Option 82 oder entfernen Sie sie mit Bedacht – Access-Layer-Switches fügen sie typischerweise ein, und Upstream-Geräte sollten sie nicht überschreiben.
Zuweisungsmodelle: Dynamischer Pool mit Reservierungen für Infrastruktur-MACs oder Client-IDs, statische Bindungen für kritische Infrastruktur und kurze Leases für hochmobile oder VPN-Pools. Berücksichtigen Sie die Subnetzauslastung und Split-Scope- oder DHCP-Failover für die Ausfallsicherheit.
Fehlerbehebung: Validieren Sie zuerst die L2-Erreichbarkeit und die VLANs, dann die Erreichbarkeit des Relays und die giaddr-Population. Verwenden Sie auf Cisco IOS mit Vorsicht show ip dhcp binding, show ip dhcp server statistics und debug ip dhcp server events. Häufige Fehler sind fehlende Helper-Adressen auf einem SVI, eine von einer Firewall verworfene Option 82 oder ein erschöpfter Pool.

DNS: Stellen Sie redundante, Anycast-fähige Resolver in der Nähe der Benutzer bereit. Erzwingen Sie Split-Horizon-Einträge für interne Dienste. Cachen Sie nahe an den Clients, um die Latenz zu reduzieren. Sichern Sie mit DNSSEC-Validierung und beschränken Sie die Rekursion auf interne Subnetze.

NTP: Zeitkonsistenz schützt Protokolle, Kerberos und Zertifikate. NTPv4 fügt Sicherheitserweiterungen hinzu und verwendet Site-Local-IPv6-Multicast zur Erkennung in LANs. Entwerfen Sie mit mindestens zwei Upstream-Quellen (öffentliche oder unternehmensinterne Stratum-1/2-Server) und verteilen Sie die Zeit über interne Stratum-3-Server. Bevorzugen Sie Authentifizierung (symmetrische Schlüssel oder NTS) und vermeiden Sie, dass jeder Knoten NTP aus dem Internet bezieht; leiten Sie die Infrastruktur an lokale NTP-Server weiter.

Management-Ebene und Telemetrie:

SNMP: Bevorzugen Sie SNMPv3 für Authentifizierung/Datenschutz; minimieren Sie die Abfrageintervalle; gruppieren Sie OIDs nach Rolle. Beschränken Sie SNMP mit ACLs und Control Plane Policing (CoPP), um vor Überlastung und Missbrauch zu schützen. Traps/Informs sollten ratenbegrenzt sein.
Syslog: Verwenden Sie, wo unterstützt, einen zuverlässigen Transport und senden Sie an mindestens zwei Kollektoren. Normalisieren Sie den Schweregrad (0–7) und stempeln Sie die Zeit über NTP. Implementieren Sie Parsing für Schlüsselereignisse (Link-Flaps, Routenänderungen, Sicherheit).
NetFlow/IPFIX: Exportieren Sie nur benötigte Felder; verwenden Sie Sampling auf Verbindungen mit hohem Durchsatz. Stellen Sie die Kapazität des Kollektors und Datenschutzkontrollen sicher. Bevorzugen Sie IPFIX für herstellerneutrale Erweiterbarkeit.
Model-driven Telemetry: Streamen Sie YANG-modellierte Daten (gNMI/NETCONF Dial-in/Out) in festen Intervallen; dies ist latenzärmer und effizienter als Massen-SNMP. Richten Sie die Erfassung an SLIs/SLOs aus (z. B. Drops, Warteschlangentiefe, CPU, Speicher, Routen-Churn).

NAT: Statisch, Dynamisch, PAT und Validierung

NAT setzt Adressunabhängigkeit, Richtlinien und die Migration überlappender IP-Adressen durch. Wählen Sie die einfachste Konstruktion, die die Anforderung erfüllt.

Statisches NAT: Eins-zu-eins, deterministisch. Wird für eingehende Dienste, VoIP-Gateways und IPsec-Peers verwendet, die eine stabile Identität erfordern. Kompromiss: verbraucht öffentliche IPs.
Dynamisches NAT (Pool): Viele-zu-weniger-Zuordnung mit kurzlebiger Auswahl aus einem Pool für reine Outbound-Clients. Das Rück-Routing muss auf das NAT-Gerät abzielen; Asymmetrie unterbricht Sitzungen.
PAT (Overload): Viele-zu-eins-Zuordnung unter Verwendung eindeutiger TCP/UDP-Ports auf einer einzelnen IP (oder wenigen IPs). Extrem effizient, kann aber bei hoher Gleichzeitigkeit von Verbindungen die Ports erschöpfen; verteilen Sie PAT auf hochskalierten Edge-Geräten über mehrere Adressen.
Hairpin- und Twice-NAT: Erforderlich, wenn interne Hosts interne Dienste über die öffentliche Adresse erreichen müssen oder wenn sowohl Quelle als auch Ziel neu zugeordnet werden müssen. Validieren Sie die Richtlinien- und Routenübereinstimmung sorgfältig.
Reihenfolge der Operationen und VRFs: Stellen Sie sicher, dass NAT in der richtigen Phase im Verhältnis zu ACLs, ZBFW und PBR stattfindet. Wenden Sie bei VRF-Designs pro-VRF-NAT-Regeln an und bestätigen Sie das Route-Leaking für den Rückverkehr.
Hochverfügbarkeit: Stateful NAT ist für ein nahtloses Failover zwingend erforderlich; andernfalls verwenden Sie deterministisches statisches NAT auf beiden Peers mit First-Hop-Redundanz und akzeptieren den Sitzungsverlust für dynamische/PAT-Flows.
Validierung und Fehlerbehebung: show ip nat translations und statistics, bestätigen Sie die Trefferzähler (Hit Counters) bei ACLs, überprüfen Sie die Routen zum/vom NAT-Outside. Verwenden Sie Debug-Befehle sparsam; Paketmitschnitte sind oft sicherer. Achten Sie auf Port-Erschöpfung, überlappende Pools und asymmetrisches Routing.

Kurzes Beispiel: ip access-list standard NAT_INSIDE permit 10.10.0.0 0.0.255.255 ip nat pool PUBLIC 198.51.100.10 198.51.100.14 netmask 255.255.255.248 ip nat inside source list NAT_INSIDE pool PUBLIC overload interface Gig0/0 ip nat inside interface Gig0/1 ip nat outside

Aktive Überwachung, automatisches Failover und Fehlerbehebung

IP SLA und Tracking automatisieren Korrekturmaßnahmen und validieren SLAs in Echtzeit.

IP SLA: ICMP-Echo für die Erreichbarkeit, UDP-Jitter für die Sprach-/Videoqualität, HTTP/TCP-Connect für die Anwendungsverfügbarkeit. Für Multicast können UDP-Jitter-Operationen die Gruppenzustellung an ein spezifisches (S,G) oder (*,G) testen.
Objekt-Tracking und Auslöser: Verfolgen Sie IP-SLA-Ergebnisse, Schnittstellenzustände oder Routen. Verknüpfen Sie das Tracking mit HSRP/VRRP, statischen Routen oder PBR. Verwenden Sie EEM-Applets für komplexe Sequenzen (protokollieren, rekonfigurieren, benachrichtigen).
Beispiel:

undefined

Überwachung der Dienstverfügbarkeit: Kombinieren Sie SNMP-Zähler (Drops, Fehler), QoS-Warteschlangenstatistiken, NetFlow/IPFIX für die Klassenauslastung und Syslog zur Anomaliekorrelation. Die Zeitsynchronisation muss strikt sein, andernfalls schlägt die Korrelation aus mehreren Quellen fehl.
Häufige Fehlermodi und Kompromisse:
- DHCP: Option 82 wird von Firewalls entfernt; Überlappung von Split-Scopes; nicht autorisierte DHCP-Server – aktivieren Sie DHCP-Snooping.
- DNS: Asymmetrische Richtlinie oder blockiertes EDNS0; Anycast-Ausfall ohne Rückzug der Route führt zu Blackholes – überwachen Sie den BGP-Zustand, wenn Anycast verwendet wird.
- NTP: Peering-Schleifen und falsche Zeitgeber; nicht authentifizierte Zeitverschiebungen verursachen Zertifikatsfehler – erzwingen Sie Authentifizierung und Plausibilitätsschwellenwerte.
- NAT: Asymmetrisches Routing über redundante Edge-Geräte unterbricht Sitzungen; Erschöpfung der PAT-Ports – skalieren Sie Pools horizontal oder verwenden Sie Per-Flow-Hashing mit ECMP, das zustandsbehaftete Geräte berücksichtigt.
- QoS: Überprovisioniertes LLQ lässt andere Klassen verhungern; falsch zugeordnetes DSCP auf einer Plattform führt zu unerwarteten Warteschlangen – validieren Sie plattformspezifische QoS-Maps.
- Multicast: RPF-Fehler durch Routenfilter; Verlust der RP-Erreichbarkeit blockiert neue Joins; IGMP-Snooping ohne einen Querier lässt Mitgliedschaften veralten – aktivieren Sie einen Querier oder die Präsenz eines PIM-Routers im VLAN.
- Überlastung der Control Plane: Übermäßiges Polling oder Trap-Stürme destabilisieren das Routing – wenden Sie CoPP und Ratenbegrenzungen für Telemetrie an.

Praktisches Problemszenario

Acme BioTech muss standortübergreifende Multicast-Videoschulungen, VoIP und Cloud-Internetzugang von zwei redundanten Rechenzentren aus unterstützen, die über MPLS mit einem Internet-VPN-Backup verbunden sind. Benutzer berichten von zeitweiligen Bildeinfrierungen während der Schulungen und gelegentlicher Verschlechterung der Anrufqualität bei Failover-Ereignissen.

Vorgehensweise:

Zeit im gesamten Bestand normalisieren und sichern.

Konfigurieren Sie NTPv4 auf allen Netzwerkgeräten zu lokalen Stratum-2-Servern mit Authentifizierung. Begründung: Eine konsistente Zeit gewährleistet valide QoS-Analysen, korreliert Syslog/NetFlow und verhindert Zertifikatsanomalien, die während eines Failovers Management-APIs beeinträchtigen könnten.

DHCP und DNS für Infrastruktur-Endpunkte und Telefone stabilisieren.

Stellen Sie ip helper-address auf Access-SVIs sicher, aktivieren Sie die Einfügung von Option 82 am Access und das Vertrauen in der Distribution-Schicht und stellen Sie Option 150 für Telefon-TFTP bereit, wo zutreffend. Validieren Sie, dass DNS-Resolver von allen VLANs aus erreichbar sind. Begründung: Stabile Adressierung und Namensauflösung eliminieren fälschliche Neuregistrierungen von Telefonen und Fehler bei der AP/Controller-Erkennung, die zu QoS-Problemen führen können.

QoS mit einer klaren Trust Boundary und WAN-Shaping implementieren.

Markierungen von IP-Telefonen und TelePresence-Endpunkten vertrauen; PCs auf Standard ummarkieren. Wenden Sie LLQ für EF mit 10 % und einem Policer an, AF41 für interaktives Video mit 20 % und WRED, und shapen Sie den Egress-Verkehr auf den MPLS-CIR an den WAN-Edges. Begründung: Schützt Sprache und interaktives Video bei Überlastung und verhindert Policing-Drops des Providers durch Anpassung an die vertraglich vereinbarte Rate.

Multicast für Campus und WAN optimieren.

Implementieren Sie PIM-SM im Core mit Anycast-RP über die beiden Rechenzentren mittels MSDP, aktivieren Sie IGMP v3 auf Access-VLANs und bevorzugen Sie SSM (232/8) für Schulungs-Streams, bei denen die Quellen bekannt sind. Begründung: Anycast-RP erhält den Sitzungsstart über Rechenzentren hinweg aufrecht; SSM beseitigt die RP-Abhängigkeit für primäre Schulungs-Streams und vereinfacht die WAN-Überquerung.

NAT und Pfadsymmetrie am Internet-Edge validieren.

Verwenden Sie zustandsbehaftetes NAT auf dem HA-Paar für ausgehendes PAT, deterministisches statisches NAT für eingehende Dienste und stellen Sie sicher, dass HSRP mit dem aktiven zustandsbehafteten Peer übereinstimmt. Begründung: Verhindert Sitzungsverluste und Asymmetrie während eines Failovers, die Softphone-Medien zu Cloud-Diensten beeinträchtigen könnten.

IP SLA mit Objekt-Tracking einsetzen, um das Failover auf das Internet-Backup zu automatisieren.

Konfigurieren Sie IP-SLA-UDP-Jitter-Probes zum Cloud-SBC und ICMP zum MPLS-PE; verfolgen Sie die Ergebnisse, um statische Routen anzupassen oder die BGP Local Preference zu beeinflussen. Begründung: Misst die tatsächliche Dienstqualität, nicht nur die Erreichbarkeit; löst ein kontrolliertes Failover aus, bevor Benutzer eine Verschlechterung bemerken.

Telemetrie instrumentieren und die Control Plane schützen.

Streamen Sie Warteschlangentiefe- und Drop-Zähler über modellgetriebene Telemetrie an Kollektoren, aktivieren Sie NetFlow/IPFIX an den WAN-Edges und beschränken Sie SNMP auf NMS-IPs mit SNMPv3. Wenden Sie CoPP mit einer expliziten Klasse für Management-Verkehr an. Begründung: Bietet umsetzbare Einblicke und stellt gleichzeitig sicher, dass die Control Plane unter der Überwachungslast stabil bleibt.

Testen, beobachten und anpassen.

Führen Sie eine geplante Multicast-Schulung mit synthetischen VoIP-Anrufen durch, während Sie show policy-map interface, show ip mroute und Warteschlangen-Drops erfassen. Passen Sie die Bandbreiten für LLQ und AF41 basierend auf der gemessenen Auslastung und dem Verhalten des Providers an. Begründung: Empirisches Tuning gleicht die QoS-Zuweisungen mit realen Verkehrsmustern und den Policing-Eigenschaften des Providers ab.

Diese Abfolge befasst sich mit Taktstabilität, grundlegenden Diensten, Queuing und Ratenkontrolle, korrektem Verhalten der Multicast-Control-Plane, NAT-Symmetrie, automatischem Failover und Beobachtbarkeit – zusammen ergibt dies eine konsistente Sprach- und Videoleistung über MPLS- und Internet-Pfade hinweg.

← Unicast-Routing und Routensteuerung · Alle Domänen · Drahtlose Infrastruktur und Mobilität →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →