Cisco 350-401: Netzwerkvirtualisierung, Overlays und Fabric-Technologien — Lernleitfaden

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Teil des Cisco CCNP Enterprise 350-401 ENCOR — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Moderne Unternehmensnetzwerke setzen auf Virtualisierung und Fabric-Overlays, um Dienste über Campus-, Rechenzentrums- und WAN-Domänen hinweg zu skalieren, zu segmentieren und zu automatisieren. Ein IP-geroutetes Underlay sorgt für Erreichbarkeit und Entropie für ECMP, während das Overlay Mandantentrennung, Mobilität und Richtlinien bereitstellt. Die Trennung der Kontrollebene entkoppelt die Endpunkterkennung und Routenverteilung von der Datenweiterleitung und ermöglicht so eine schnelle Konvergenz, konsistente Sicherheit und einen deterministischen Betrieb. Dieser Abschnitt untersucht die Bausteine – VRFs, VXLAN, EVPN, LISP und Cisco SD-Access – zusammen mit Design-Abwägungen, Betriebspraktiken und Migrationsmustern von traditionellen VLAN-basierten Netzwerken.

Underlays, Overlays und Kapselung

Ein Underlay ist die physische oder logische IP-Transport-Fabric. Seine Ziele sind einfache, schnelle und hochverfügbare Konnektivität unter Verwendung von Equal-Cost Multipath. Design-Richtlinien:

Geroutete Access- und Spine-Leaf-Designs minimieren L2-Fehlerdomänen, vermeiden STP und beschleunigen die Konvergenz.
Verwenden Sie eine konsistente Loopback-Adressierung für Adjazenzbeziehungen der Kontrollebene und VTEP-Quell-IPs.
Stellen Sie einen MTU-Headroom für die Overlay-Kapselung bereit (für SD-Access werden 9100 empfohlen).

Das Overlay stellt logische Netzwerke (L2- und L3-Segmente) bereit, die von der Underlay-Topologie unabhängig sind. Zu den Vorteilen gehören Mandantentrennung, Any-to-Any-Konnektivität und Mobilität ohne Neunummerierung von Subnetzen. Overlays erfordern:

Kapselung (z. B. VXLAN über UDP 4789), um virtuelle Identifikatoren zu transportieren und Segmente zu erweitern.
Eine Kontrollebene zur Verteilung von Endpunkt-zu-Tunnel-Bindungen (z. B. BGP EVPN oder LISP).

Die Trennung der Kontrollebene tauscht die Zustandsverbreitung gegen Skalierbarkeit ein:

Ohne eine dedizierte Kontrollebene verbraucht Flood-and-Learn Bandbreite und kritische Zustände können unvorhersehbar veralten.
Mit EVPN oder LISP wird der Zustand präzise signalisiert, was die Last durch Broadcast, Unknown Unicast und Multicast (BUM) reduziert und Funktionen wie ARP/ND-Suppression ermöglicht.

Abwägungen bei der Kapselung:

VXLAN über UDP: allgegenwärtiges ECMP, Unterstützung für NIC-Offload; erfordert eine Erhöhung der Underlay-MTU und die Berücksichtigung der äußeren Header beim Hashing.
GRE/NVGRE: einfacherer Header, aber schwächere Entropie für ECMP und weniger Hardware-Offload.
MPLS-basierte Overlays: ausgereiftes QoS und OAM; erfordern eine MPLS-fähige Infrastruktur und betriebliches Fachwissen.

Häufige Fehlermodi:

MTU-Mismatch, der zu stillem Verwerfen gekapselter Frames führt – validieren Sie dies mit Pings, die für den Overlay-Headroom dimensioniert sind und das DF-Bit gesetzt haben.
Asymmetrisches Underlay-Routing, das dazu führt, dass zustandsbehaftete Firewalls den Rückverkehr verwerfen – platzieren Sie Richtlinien an den Rändern des Overlays oder stellen Sie Symmetrie sicher.
Hash-Polarisierung auf Underlay-Links – aktivieren Sie Per-Flow-Hashing für die äußeren Header und überprüfen Sie die ECMP-Pfade.

Segmentierung und VXLAN/EVPN

VRFs und skalierbare Segmentierung:

VRF-Instanzen erstellen unabhängige Routing-Tabellen und isolieren Mandanten, Geschäftsbereiche oder Umgebungen (Prod/Dev/Guest).
Kombinieren Sie VRFs (Makro-Segmentierung) mit Mikro-Segmentierung (z. B. Scalable Group Tags und Richtlinien) für einen Zugriff nach dem Least-Privilege-Prinzip über VRFs und Segmente hinweg.

VXLAN-Komponenten:

VTEP: Edge-Gerät, das VXLAN kapselt/entkapselt. Hardware-VTEPs (Switches/Router) und Software-VTEPs (Hypervisoren) terminieren logische Segmente am Rand der Fabric.
VNI: 24-Bit-Identifikator, der ein Segment abbildet. Verwenden Sie L2-VNIs für gebridgte Segmente und eine an eine VRF gebundene L3VNI für geroutete Erreichbarkeit über die Fabric hinweg.
BUM-Handhabung: Flood-and-Learn kann Multicast im Underlay oder Head-End-Replikation verwenden. Das Lernen über die Kontrollebene mit EVPN eliminiert den größten Teil des Floodings durch selektive Ankündigungen (Advertisement) und ARP/ND-Suppression.

BGP-EVPN-Konzepte für VXLAN:

Routentypen:
- Typ 2 (MAC/IP): Kündigt Host-MAC und optionale IP an, was integriertes Bridging und Routing (IRB) sowie ARP/ND-Suppression ermöglicht.
- Typ 3 (IMET): Signalisiert Inclusive Multicast/Ingress-Replication für BUM.
- Typ 5 (IP-Präfix): Transportiert IP-Präfixe pro VRF/L3VNI und ermöglicht so Inter-Subnetz-Routing ohne hostspezifische Typ-2-Routen.
Anycast-Gateway: Identische SVI-IP/MAC an allen VTEPs; Hosts behalten bei einem Umzug dasselbe Standard-Gateway.
Route Targets: Der Import/Export pro VRF und pro VNI steuert die Mandantentrennung und das selektive Leaking.
Konvergenz und Mobilität: Sequenznummern bei Typ 2 erkennen Mobilität; veraltete Einträge werden schnell unterdrückt.

Wichtige Abwägungen und Fehlermodi:

Reines Flood-and-Learn ist einfach, aber „geschwätzig“ (chatty); EVPN erhöht die Komplexität, skaliert aber und reduziert BUM.
Falsch ausgerichtete Route Targets verursachen Traffic-Blackholes oder Leckagen – standardisieren Sie Richtlinienvorlagen.
Die Erkennung doppelter MAC-Adressen kann Endpunkte unter Quarantäne stellen, wenn ein Hypervisor MAC-Spoofing durchführt; passen Sie die Schwellenwerte für VDI oder geclusterte Dienste an.
Fehlende oder nicht übereinstimmende Replikationseinstellungen für Typ 3 führen zu verwaisten BUM-Frames – validieren Sie die IMET-Einträge und Replikationslisten.

Minimale Beispiele (NX-OS-Stil): vrf context TENANT_A vni 100100 rd auto address-family ipv4 unicast route-target import 65000:100100 route-target export 65000:100100

interface nve1 source-interface loopback1 host-reachability protocol bgp member vni 10010 ingress-replication protocol bgp

router bgp 65000 address-family l2vpn evpn neighbor 10.10.10.10 remote-as 65000 neighbor 10.10.10.10 update-source loopback0

LISP und Cisco SD-Access Fabrics

LISP-Grundlagen:

EID: Endpoint-ID, typischerweise die Host-IP innerhalb eines virtuellen Netzwerks.
RLOC: Routing Locator, die im Underlay erreichbare Adresse des xTR (Edge Tunnel Router oder VTEP).
Map-Server/Map-Resolver: zentrale Datenbank und Abfragestelle. ETRs registrieren EID-zu-RLOC-Mappings; ITRs fragen Mappings ab, um sie aufzulösen.
Erreichbarkeit der Locators: RLOC-Probes überwachen die Erreichbarkeit (Liveliness) der xTRs; SMR (Solicit-Map-Request) löst bei Mobilität Cache-Updates aus.
Fehlermodi: veralteter Map-Cache, der suboptimale Pfade verursacht; Nichterreichbarkeit von MS/MR, die neue Flows blockiert; NAT zwischen xTRs, das RLOCs verbirgt – planen Sie RLOC-Transparenz oder NAT-Traversal ein.

Cisco SD-Access wendet LISP für die Control-Plane des Campus und VXLAN für die Data-Plane an:

Fabric-Rollen:
- Edge Node: verbindet kabelgebundene Endpunkte und kapselt den Datenverkehr in VXLAN.
- Border Node: verbindet die Fabric mit externen L3-Netzwerken oder anderen Fabrics; führt die Übergabe (Handoff) pro VRF und Richtlinie durch.
- Control Plane Node: hostet LISP MS/MR und pflegt die Endpoint-zu-Edge-Bindungen.
- Wireless: APs sind Teil des Overlays; ein Fabric Wireless Controller übernimmt CAPWAP, RRM und die Fabric-Integration. Roaming über Edge-Switches hinweg nutzt Inter-xTR-Verfahren.
Richtlinien und Segmentierung:
- Virtuelle Netzwerke werden auf VRFs für die Makro-Segmentierung abgebildet.
- Die Mikro-Segmentierung verwendet Scalable Group Tags (SGTs) mit SGACL-Durchsetzung an den Fabric-Edges.
- Die Identity Services Engine bestimmt den Zugriff beim Onboarding (802.1X/MAB/Webauth), weist dann VN und SGT zu und ermöglicht so eine standortunabhängige, konsistente Richtlinie.
Border und Fusion:
- Border Nodes stellen einen Layer-3-Handoff pro VRF bereit; ein Fusion-Router leakt Routen zwischen Benutzer-VRFs und gemeinsam genutzten Diensten mittels VRF-Lite oder MP-BGP-Richtlinien.
- Fehlkonfigurierte Fusion-Richtlinien können zu asymmetrischem Routing oder zu weit gefassten Zugriffsberechtigungen führen – validieren Sie das Route-Leaking und die Absicht der SGACLs.
Betriebliche Hinweise:
- Verwenden Sie eine Fabric-MTU von 9100, um VXLAN- und Policy-Header zu berücksichtigen.
- Das Overlay-Netzwerk stellt logische L2- und L3-Dienste bereit; ARP/ND-Suppression reduziert das Rauschen (Noise).
- Wireless Fabric APs arbeiten im Fabric-Modus und verbinden sich direkt mit Edge-Switches.

Beispiel-Überprüfungen:

undefined

Betrieb, Hypervisor-Networking, Fehlerbehebung und Migration

Virtueller Switch und Hypervisor-Networking:

vSwitch-Konstrukte (Port-Gruppen, Uplink-Teaming, VLAN-Tagging) binden Workloads an physische ToR-Switches an. Stellen Sie ein konsistentes VLAN-zu-VNI-Mapping sicher, wenn Hypervisoren als VTEPs fungieren.
Software-VTEPs in Hypervisoren (z. B. basierend auf OVS) erweitern Overlays bis zu den Workloads; Hardware-Offloads (VXLAN Checksum/TSO) verbessern die Leistung.
SR-IOV oder beschleunigter NIC-Bypass können die Transparenz und Richtliniendurchsetzung einschränken; stellen Sie sicher, dass Telemetrie- und Sicherheitskontrollen wirksam bleiben, oder terminieren Sie SR-IOV-Flows an richtlinien-bewussten Knoten (policy-aware nodes).
LAG/LACP von Hypervisoren zu ToR-Switches muss einheitlich konfiguriert sein; eine konsistente MTU über virtuelle und physische Domänen hinweg ist zwingend erforderlich.

Workflow zur Fehlerbehebung im Overlay:

Underlay-Verifizierung

Stellen Sie IP-Erreichbarkeit und ECMP zwischen Loopbacks sicher. Validieren Sie die MTU: ping 192.0.2.10 size 8972 df-bit
Überprüfen Sie die Stabilität von IGP/BGP, die Routen-Rekursion und die CPU-Auslastung der Routing-Prozesse.

Tunnel-Adjazenz und -Status

VXLAN: Überprüfen Sie NVE-Peers und VNI-Mitgliedschaft; bestätigen Sie die Erreichbarkeit von UDP 4789 und die TTL.
LISP: Überprüfen Sie die xTR-Registrierung bei MS/MR und die Map-Cache-Einträge; stellen Sie den Erfolg von RLOC-Probes sicher.

Control-Plane-Routen

EVPN: Bestätigen Sie BGP-Sitzungen und Routentypen (2, 3, 5) pro VNI/VRF; validieren Sie, dass die Route-Targets dem Design entsprechen. show bgp l2vpn evpn route-type 2
Prüfen Sie die ARP/ND-Suppression-Tabellen und Mobility Sequence Numbers.

Endpunkt-Identität und -Richtlinie

Bestätigen Sie die Client-Authentifizierung/-Autorisierung mit ISE. Überprüfen Sie die SGT-Zuweisung und die SGACL-Zähler, um Policy-Drops zu erkennen.

Data-Plane-Validierung

Verwenden Sie erweiterte Pings über VNIs/VRFs hinweg. Erfassen Sie Pakete am VTEP-Ingress/-Egress, um die Enkapsulierung und Dekapsulierung zu bestätigen. Überprüfen Sie die Zähler von Hardware-ACLs und Policern.

Allgemeine Fehlerisolierung

Blackhole innerhalb einer VNI: Fehlende Typ-2-Host-Route oder veralteter Eintrag – löschen Sie selektiv EVPN-Routen oder leeren Sie ARP/ND auf dem betroffenen VTEP.
Übermäßiges Flooding: IMET/Replikations-Mismatch – überprüfen Sie Typ-3-Routen und Replikationslisten.
Mobilitätsprobleme: Inkonsistente Anycast-Gateway-MAC/IP – standardisieren Sie die virtuelle MAC des SVI und stellen Sie sicher, dass FHRP auf keinem VTEP aktiv ist.

Migrationsstrategien von VLANs zu Fabric-Architekturen:

Bereiten Sie das Underlay vor: Wechseln Sie zu Routed Access oder Spine-Leaf. Beseitigen Sie L2-Loops und STP-Abhängigkeiten, wo immer möglich.
Führen Sie VRFs und Anycast-Gateways ein: Migrieren Sie SVIs von HSRP/VRRP in der Distribution zu Fabric-Anycast-Gateways. Verwenden Sie während des Übergangs First-Hop-Redundanz nur in Legacy-Segmenten; führen Sie FHRP nicht auf Fabric-Gateway-SVIs aus.
Gestaffelte VNI-Aktivierung: Mappen Sie bestehende VLANs auf VNIs und aktivieren Sie dann L3VNI pro VRF. Beginnen Sie mit Segmenten mit geringem Risiko (Gäste), dann mit kritischen (Produktion).
Border- und Fusion-Design: Definieren Sie Layer-3-Handoffs pro VRF

← Drahtlose Infrastruktur und Mobilität · Alle Domänen · WAN- →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →