Cisco 350-401: Campus Layer 2 Switching und Segmentierung — Lernleitfaden

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Teil des Cisco CCNP Enterprise 350-401 ENCOR — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Layer-2-Switching und -Segmentierung im Campus-Netzwerk bieten die Isolierung von Broadcast-Domänen, deterministisches Forwarding und operative Schutzmaßnahmen, die für ein skalierbares, resilientes Unternehmens-LAN erforderlich sind. Dieser Abschnitt erklärt, wie Ethernet-Switches lernen und weiterleiten, wie VLANs und Trunks den Datenverkehr segmentieren, wie Inter-VLAN-Routing auf Multilayer-Switches aktiviert wird, wie Spanning-Tree-Varianten schleifenbehaftete Topologien kontrollieren, wie man Links sicher aggregiert, wie die VLAN-Verbreitung verwaltet wird und wie man Layer 2 gegen gängige Angriffe und Ausfälle härtet. Er schließt mit Anleitungen zur Validierung und einem praktischen Szenario.

Grundlagen des Ethernet-Switching und der VLAN-Segmentierung

Ethernet-Switches leiten Frames basierend auf Ziel-MAC-Adressen weiter und segmentieren den Datenverkehr mit VLANs.

• MAC-Lernen und -Weiterleitung

  • Wenn ein Switch einen Frame empfängt, lernt er die Quell-MAC-Adresse und die Eingangsschnittstelle in die CAM-Tabelle (MAC-Adresstabelle). Einträge veralten (typischerweise nach 300 Sekunden), wenn sie nicht aktualisiert werden.
  • Die Suche nach dem Ziel bestimmt die Aktion:
    • Bekannter Unicast: Weiterleitung an die einzelne Ausgangsschnittstelle in der CAM-Tabelle.
    • Unbekannter Unicast, Broadcast und viele Multicast-Frames: Flutung an alle Ports im VLAN außer dem Eingangsport.
  • Filterung findet statt, wenn das Ziel auf denselben Port wie die Quelle abgebildet wird (keine Weiterleitung), oder durch Richtlinien wie Storm Control, Port Security oder Private VLANs (falls verwendet).

• Ausfallmodi und Kompromisse

  • Eine Erschöpfung der CAM-Tabelle (z. B. durch MAC-Flooding-Angriffe) erzwingt eine exzessive Flutung von unbekanntem Unicast; schützen Sie dies mit Port Security und Control-Plane-Policing.
  • MAC-Flapping (dieselbe MAC wird an mehreren Ports gelernt) deutet oft auf physische Schleifen, falsch verkabelte HA-Paare oder Split-Brain-Zustände bei vPC/VSS hin.

• VLANs und Access-Ports

  • Ein VLAN definiert eine Layer-2-Broadcast-Domäne; Access-Ports übertragen ein einzelnes, ungetaggtes VLAN für das angeschlossene Endgerät.
  • Voice-VLANs: Ein Access-Port kann ein getaggtes 802.1Q Voice-VLAN für ein IP-Telefon und ein ungetaggtes Daten-VLAN für einen PC hinter dem Telefon übertragen. CDP/LLDP kündigen das Voice-VLAN dem Telefon an. Vertrauen Sie CoS am Port nur, wenn QoS durchgängig (End-to-End) implementiert ist.

  Beispiel (Access plus Voice):

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• Trunks und native VLANs

  • 802.1Q-Trunks übertragen mehrere VLANs zwischen Switches. Jeder Trunk hat eine Liste der erlaubten VLANs; beschränken Sie diese auf das erforderliche Minimum.
  • Das native VLAN wird bei 802.1Q standardmäßig ungetaggt gesendet. Verwenden Sie ein ungenutztes, dediziertes natives VLAN und taggen Sie das native VLAN, falls unterstützt, um VLAN-Hopping und Diskrepanzen (Mismatches) zu verhindern, die Anomalien in der Control-Plane verursachen können.
  • Ausfallmodi: Diskrepanzen beim nativen VLAN lösen Spanning-Tree-PVID-Fehler aus und können Steuerungsdatenverkehr ins Leere laufen lassen (Blackholing); zu freizügig konfigurierte Trunks verbreiten unbeabsichtigte VLANs über den gesamten Campus.

• Layer-2-Multicast

  • Ohne Steuerung wird Multicast innerhalb des VLANs geflutet. IGMP-Snooping schränkt die Weiterleitung ein, indem es die Empfänger-Ports aus IGMP-Joins und -Leaves lernt. Wenn kein Multicast-Router im VLAN vorhanden ist, aktivieren Sie einen IGMP-Snooping-Querier, um den Gruppenzustand aufrechtzuerhalten.

  Beispiel:

undefined

undefined

Inter-VLAN-Routing und Multilayer-Switch-Design

Inter-VLAN-Routing wird auf Multilayer-Switches mittels SVIs (eines pro geroutetem VLAN) durchgeführt. Hardware-Forwarding (CEF) nutzt die FIB und die Adjacency-Tabelle für Leistung auf Leitungsgeschwindigkeit (Line-Rate) und vermeidet CPU-intensives Process-Switching.

• SVI-Bereitstellung

  • Erstellen Sie für jedes Benutzer-VLAN ein SVI und platzieren Sie dort das First-Hop-Gateway. Fassen Sie Routen wo möglich auf der Distributionsebene zusammen. Verwenden Sie Object-Tracking für redundante Gateways (HSRP/VRRP) und konsistente ACL/QoS am SVI.
  • Gleichen Sie Layer-2- und Layer-3-Grenzen an: Routed-Access-Designs verwenden Layer-3-Links von der Access- zur Distributionsebene, was Layer-2-Ausfalldomänen verkleinert und die Konvergenz vereinfacht, während die Segmentierung durch SVIs auf der Distributionsebene erhalten bleibt.

• Gateway-Redundanz und Konvergenz

  • Entwerfen Sie die First-Hop-Redundanz zusammen mit der Platzierung der Spanning-Tree-Root, sodass das aktive Gateway topologisch am nächsten zu den Hosts liegt. HSRP/VRRP sind üblich; GLBP oder Chassis-Virtualisierung (VSS/StackWise Virtual) ermöglichen eine Aktiv-Aktiv-Nutzung der Gateways.
  • Ausfallmodi: Eine Nichtübereinstimmung von STP-Root und aktivem Gateway verursacht suboptimale Datenpfade und Konvergenzverzögerungen; asymmetrische ACLs auf SVIs führen zu einseitiger Erreichbarkeit.

• Betriebliche Anleitung

  • Verwenden Sie eine konsistente SVI-Nummerierung und IP-Adressierung und verfolgen Sie das DHCP-Relay (ip helper-address) pro VLAN. Überwachen Sie ARP/ND-Tabellen und die CPU der Control-Plane auf Anomalien während Störfällen.

Spanning Tree und Loop Protection

Das Spanning Tree Protocol verhindert Layer-2-Schleifen und ermöglicht gleichzeitig physische Redundanz.

• Protokoll-Optionen

  • 802.1D PVST+: pro-VLAN-Instanzen, langsamere Konvergenz.
  • 802.1w Rapid PVST+: pro-VLAN-Instanzen mit schneller Konvergenz durch Proposal/Agreement und Synchronisierung.
  • 802.1s MST: bildet viele VLANs auf wenige Spanning-Tree-Instanzen ab, was in großen Umgebungen besser skaliert. Alle Switches in einer Region müssen in Name, Revision und VLAN-zu-Instanz-Zuweisung übereinstimmen; Abweichungen erzeugen Grenzen und führen PVST+ auf den Edge-VLANs aus.

• Root-Wahl und Port-Rollen

  • Die Root Bridge wird durch die niedrigste Bridge-ID (Priorität + MAC) gewählt. Setzen Sie die Prioritäten gezielt, um die primäre und sekundäre Root auf der Distributionsebene zu platzieren.
  • RSTP-Rollen: Root, Designated, Alternate und Backup. Zustände: Discarding, Learning, Forwarding. Betreiben Sie Edge-Links als Point-to-Point für eine schnellere Synchronisierung.

  Beispiel (Rapid PVST+ mit deterministischen Roots):

undefined

undefined

undefined

• Schutz für Edge und Topologie

  • PortFast: versetzt Edge-Ports sofort in den Forwarding-Zustand; niemals auf Switch-Verbindungen aktivieren.
  • BPDU Guard: versetzt einen PortFast-Port bei Empfang einer BPDU in den Err-Disabled-Zustand; kombinieren Sie es mit PortFast, um versehentliche Schleifen durch nicht verwaltete Switches zu verhindern.
  • Root Guard: verhindert, dass ein Designated Port zur Root wird, indem es überlegene BPDUs blockiert; verwenden Sie es auf Uplinks der Zugriffsebene, die auf nachgeschaltete Switches zeigen, um die Platzierung der Root zu schützen.
  • Loop Guard: verhindert, dass nicht designierte Ports in den Forwarding-Zustand wechseln, wenn keine BPDUs mehr ankommen (typisch bei unidirektionalen Links); ergänzen Sie es mit UDLD Aggressive für Glasfaserverbindungen.
  • Bridge Assurance (auf unterstützten Plattformen): stellt sicher, dass BPDUs auf Point-to-Point-Links im Core/Distribution-Bereich bidirektional vorhanden sind, um stille Ausfälle zu verhindern.

• Fehlermodi

  • Unidirektionale Links können Alternate Ports in den Forwarding-Zustand zwingen und Schleifen erzeugen; Loop Guard und UDLD wirken dem entgegen.
  • BPDU Filter auf Nicht-Edge-Ports unterdrückt BPDUs und kann katastrophale Schleifen verursachen; vermeiden Sie dies, außer für spezifische, validierte Anwendungsfälle.

Link-Aggregation, VTP und Trunk-Betrieb

• EtherChannel-Grundlagen

  • Bündelt parallele Links zu einem Port-Channel, der von STP als eine einzige logische Schnittstelle betrachtet wird (Blockierungsentscheidungen gelten für das Bündel). Zu den Vorteilen gehören eine höhere aggregierte Bandbreite und eine schnellere Wiederherstellung.
  • Aushandlung: LACP (Active/Passive, IEEE 802.1AX) oder PAgP (Desirable/Auto, Cisco-proprietär). Der Modus ‘on’ erzwingt die Bündelung ohne Aushandlung und birgt bei Fehlkonfiguration die Gefahr von Schleifen – zwischen Switches vermeiden.
  • Konsistenz der Mitglieder: Geschwindigkeit/Duplex, erlaubte VLANs, natives VLAN, STP-Einstellungen und der Channel-Group-Modus müssen übereinstimmen. Verwenden Sie LACP Min-Links, um das Bündel inaktiv zu halten, bis eine Mindestanzahl von Mitgliedern vorhanden ist.
  • Lastverteilung: Per-Flow-Hashing nach Quell-/Ziel-MAC/IP/Port; wählen Sie eine Methode, die zu den dominanten Verkehrsmustern passt. Denken Sie daran, dass das Hashing pro Switch und pro Richtung erfolgt; Symmetrie ist nicht garantiert.

  Beispiel (LACP-Trunk):

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• VTP-Konzepte und Pruning

  • VTP verteilt VLAN-Definitionen. Modi: Server, Client, Transparent und Off (plattformabhängig). Version 3 fügt eine bessere Authentifizierung und primäre Serverrollen hinzu.
  • Risiken: Ein Gerät mit einer höheren Konfigurationsrevisionsnummer kann die Domäne überschreiben und zum Verlust von VLANs führen. Best Practice ist der Modus Transparent oder Off, mit expliziten Listen der erlaubten VLANs auf dem Trunk.
  • VTP Pruning spart Bandbreite auf dem Trunk, indem es das Fluten von ungenutzten VLANs verhindert; es verlässt sich jedoch auf einen korrekten VTP-Zustand und ist dem expliziten Pruning über „allowed VLAN“ unterlegen.
  • Fehlerbehebung bei Trunk-Inkonsistenzen: Überprüfen Sie die Kapselung (802.1Q), die Liste der erlaubten VLANs und das native VLAN; DTP Auto/Desired-Aushandlungen können zu Überraschungen führen – verwenden Sie für Stabilität switchport mode trunk und switchport nonegotiate.

  Beispiel (sicherer Trunk mit explizitem Pruning):

undefined

undefined

undefined

undefined

undefined

Layer-2-Sicherheit, Multicast und operative Validierung

• Port-Sicherheit

  • Begrenzt die Anzahl der MAC-Adressen pro Access-Port; Sticky Learning speichert gelernte MACs in der Running Config. Aktionen bei Verletzung: protect, restrict oder shutdown. Erhöhen Sie das Maximum für Voice+Data-Ports. Lassen Sie Sticky-MACs bei Umzügen altern, um die Anzahl der Operation-Tickets zu reduzieren.

• DHCP-Snooping und ARP-Inspection

  • DHCP-Snooping erstellt eine Binding-Tabelle (IP/MAC/VLAN/Interface) und blockiert nicht vertrauenswürdige DHCP-Angebote. Vertrauen Sie Uplinks zu legitimen Servern und wenden Sie eine Ratenbegrenzung auf Clients an. Speichern Sie Bindings über Neustarts hinweg, falls unterstützt.
  • Dynamic ARP Inspection verwendet Snooping-Bindings, um ARP-Pakete zu verifizieren und Spoofing zu verhindern. Vertrauen Sie Uplinks; fügen Sie ARP-ACLs für Geräte mit statischen Adressen hinzu. Validieren Sie Quell-MAC/IP, wo verfügbar, um Man-in-the-Middle-Angriffe zu stoppen.

  Beispiel:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• IGMP-Snooping-Betrieb

  • Wenn ein Multicast-Router vorhanden ist, werden Mrouter-Ports automatisch aus PIM-Hellos gelernt oder können statisch konfiguriert werden. Ohne einen solchen, aktivieren Sie einen Snooping-Querier pro VLAN, um Flooding zu vermeiden.
  • Achten Sie auf Group-State-Blackholes, wenn Snooping aktiviert ist, aber Reports durch ACLs oder Storm Control gefiltert werden.

• Validierung und Fehlerbehebung bei Schleifen (Loops)

  • Baseline:

undefined

, um Hosts zu lokalisieren und Flapping zu erkennen. -

undefined

, um Root, Rollen und Timer zu bestätigen; auf inkonsistente Zustände prüfen. -

undefined

für den Zustand der Member-Links; überprüfen Sie das Hashing- und Min-Links-Verhalten bei Ausfällen. -

undefined

auf Korrektheit der erlaubten/nativen VLANs; prüfen Sie die Logs auf PVID/native-Inkonsistenzen. -

undefined

, um den sicheren Modus und die erwartete Version zu gewährleisten. -

undefined

und

undefined

, um die Sicherheits-Pipelines zu validieren.

• Loop-Indikatoren: plötzliche CPU-Spitzen, Broadcast-/Multicast-Stürme, MAC-Flaps über Ports hinweg, Errdisable aufgrund von BPDU Guard. Verwenden Sie SPAN für Packet-Sampling und aktivieren Sie Storm-Control, um die Auswirkungen zu begrenzen, während Sie das Problem beheben.
• Häufige Ursachen: nicht verwaltete Switches, die an zwei Access-Ports angeschlossen sind, auf Uplinks aktiviertes PortFast, Inkonsistenzen bei nativen VLANs, unidirektionale Glasfaserverbindungen, Fehlkonfiguration von EtherChannel („on“ vs. ausgehandelt).

Praktisches Problemszenario

Northwind Manufacturing erlebt nach der Erweiterung um zwei neue Access-Verteiler zeitweise Broadcast-Stürme und Einbrüche der Sprachqualität. Die Umgebung verwendet SVIs auf der Verteilungsschicht, Rapid PVST+ und IP-Telefonie, bei der Telefone in Reihe mit PCs geschaltet sind.

1. VLAN-Gültigkeitsbereich definieren und einschränken

   • Konfigurieren Sie explizit erlaubte VLANs auf Trunks und verschieben Sie das native VLAN auf eine ungenutzte ID (999), wobei das native VLAN getaggt wird, falls unterstützt.
   • Begründung: Beschränkt Broadcast-Domänen auf die vorgesehenen Verbindungen und eliminiert Inkonsistenzen bei nativen VLANs, die Loops und Anomalien der Steuerungsebene verstärken.

2. Spanning-Tree-Roots an den Gateways ausrichten

   • Legen Sie die Distribution-Switches als primäre/sekundäre STP-Roots für Benutzer- und Voice-VLANs fest; überprüfen Sie die Point-to-Point-Verbindungstypen.
   • Begründung: Gewährleistet den kürzesten Layer-2-Pfad zu aktiven Default-Gateways, reduziert die Konvergenzzeit und stabilisiert die Verkehrsflüsse.

3. Edge-Ports härten

   • Aktivieren Sie PortFast und BPDU Guard auf allen Ports, die zu Access-Geräten zeigen; richten Sie Port-Sicherheit mit Sticky-MACs und einem Maximum von drei auf Voice/Data-Ports ein.
   • Begründung: Beschleunigt die Inbetriebnahme von Endgeräten, verhindert versehentliche Loops durch nicht verwaltete Geräte und mindert CAM-Erschöpfung oder MAC-Spoofing.

4. Konsistenz von EtherChannel wiederherstellen

   • Wandeln Sie alle Bündel zwischen Switches in LACP (auf beiden Seiten aktiv) um, setzen Sie Min-Links auf 2 für Uplinks der Verteilungsschicht und stellen Sie sicher, dass VLAN/native VLANs auf den Member-Links und dem Port-Channel übereinstimmen.
   • Begründung: Die ausgehandelte Aggregation verhindert, dass versehentlich parallele Verbindungen unabhängig voneinander weiterleiten; Min-Links bewahrt die symmetrische Kapazität und das vorhersehbare Hashing bei Ausfällen.

5. DHCP-Snooping und DAI aktivieren

   • Vertrauen Sie nur Uplinks zu legitimen DHCP-Servern; aktivieren Sie DHCP-Ratenbegrenzungen auf Access-Ports; aktivieren Sie die ARP-Inspection unter Verwendung der Snooping-Tabelle; fügen Sie ARP-ACLs für statische Server hinzu.
   • Begründung: Blockiert nicht autorisierte DHCP-Server, die den Verkehr umleiten, und verhindert ARP-basierte Man-in-the-Middle-Angriffe, die die Sprach- und Datenqualität beeinträchtigen würden.

6. Voice-Access-Ports optimieren

   • Konfigurieren Sie switchport voice vlan für alle Telefon-Ports; aktivieren Sie CoS-Trust mit Auto-QoS, falls verfügbar; erhöhen Sie das Maximum der Port-Sicherheit, um MAC-Adressen von Telefon, PC und Softphone abzudecken.
   • Begründung: Garantiert die korrekte VLAN-Trennung und den Erhalt der QoS-Markierungen, was die MOS- und Jitter-Performance direkt verbessert.

7. Multicast mit IGMP-Snooping einschränken

   • Überprüfen Sie, ob für jedes VLAN mit Multicast-Empfängern ein PIM-fähiges SVI existiert; wo kein Router vorhanden ist, aktivieren Sie einen IGMP-Snooping-Querier; markieren Sie Uplinks der Verteilungsschicht bei Bedarf als Mrouter-Ports.
   • Begründung: Verhindert unnötiges Multicast-Flooding, das Symptome eines Broadcast-Sturms auslösen und CPU-Ressourcen von Telefonen verbrauchen kann.

8. Failover validieren und testen

   • Führen Sie

undefined

,

undefined

,

undefined

aus und untersuchen Sie das Syslog auf PVID/native-Inkonsistenzen oder BPDU-Guard-Ereignisse. Trennen Sie eine Member-Verbindung jedes Port-Channels und bestätigen Sie, dass keine Topologieänderung zu Sprachpaketverlusten führt.

• Begründung: Proaktive Validierung beweist eine deterministische Konvergenz und deckt versteckte Asymmetrien auf, bevor sie die Benutzer beeinträchtigen.

9. Unidirektionale Ausfälle erkennen und verhindern

   • Aktivieren Sie UDLD aggressive auf Glasfaser-Uplinks und Loop Guard auf nicht designierten Ports; aktivieren Sie Bridge Assurance auf den Verbindungen der Verteilungsschicht.
   • Begründung: Erkennt Zustände mit unidirektionaler Verbindung, die andernfalls die Weiterleitung über alternative Ports und Loops auslösen würden.

10. Monitoring operationalisieren

    • Fügen Sie Alarme für MAC-Flapping, STP-Topologieänderungen, die Schwellenwerte überschreiten, DHCP-Snooping-Verletzungen und Anomalien bei der Anzahl der IGMP-Gruppen hinzu.
    • Begründung: Frühwarn-Telemetrie verkürzt die mittlere Erkennungszeit (MTTD) und verhindert, dass kleinere Verkabelungsfehler zu campusweiten Ausfällen kaskadieren.

← Unternehmensnetzwerk-Architektur und -Design · Alle Domänen · Unicast-Routing und Routensteuerung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →