Cisco 350-401: WAN-, VPN- und SD-WAN-Konnektivität — Lernleitfaden

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Teil des Cisco CCNP Enterprise 350-401 ENCOR — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Betrieb und Fehlerbehebung

Die Betriebsüberprüfung konzentriert sich auf die Erreichbarkeit des Underlays, die Steuerung des Overlays und die Leistung der Datenebene:

• Underlay: Validieren Sie die IP-Adressierung, das NAT-Verhalten und die MTU. Verwenden Sie Ping mit gesetztem DF-Bit und variierenden Größen, Traceroute und ip sla tracking für Legacy-Designs. Bei LTE überprüfen Sie die Signalqualität und das CGNAT des Carriers.
• SD-WAN Control Plane: show control connections zur Überprüfung der DTLS/TLS-Sitzungen zu vBond, vSmart und vManage. Zeitsynchronisierung und Zertifikate müssen gültig sein.
• OMP: show omp peers und show omp routes zur Bestätigung des Austauschs von Routen und TLOCs; analysieren Sie die Auswirkungen der Control-Policy.
• Datenebene: show bfd sessions und Statistiken zu Verlust/Latenz/Jitter; korrelieren Sie diese mit der Einhaltung der SLA für App-Routen. Paketmitschnitte auf den WAN-Schnittstellen helfen bei der Validierung der DSCP- und IPsec-Kapselung.
• Policy: Überprüfen Sie zentralisierte/lokale Richtlinien auf Übereinstimmungsbedingungen und Aktionen; bestätigen Sie die App-Identifizierung über DPI und den Fallback auf portbasierte Klassifizierung, wo erforderlich.
• QoS: show policy-map interface, Verluste in der Warteschlange (Queue Drops) und Shaping-Raten; stellen Sie sicher, dass der Verschlüsselungs-Overhead beim Shaping berücksichtigt wird, um Tail Drops zu vermeiden.
• Legacy-VPNs: show crypto ikev2 sa, show crypto ipsec sa, show dmvpn und NHRP-Tabellen für den Tunnelstatus. Häufige Probleme sind Inkompatibilitäten bei Phase-1/Phase-2, nicht ausgehandeltes NAT-T und Fehler bei PMTUD.

Wiederherstellung nach Ausfällen:

• Stellen Sie Controller-Redundanz und Richtlinien für das Rehoming von Geräten sicher; testen Sie den Ausfall eines Controller-Standorts.
• Validieren Sie die Steuerung und Rückkehr bei Brownouts mit kontrollierten Beeinträchtigungstests.
• Implementieren Sie Rollback-Checkpoints für die Konfiguration und gestaffelte Deployments von vManage aus.

Praktisches Problemszenario

Northstar Retail ersetzt ein MPLS-WAN eines einzelnen Anbieters durch ein SD-WAN mit dualem Transport über DIA-Breitband und MPLS an 200 Standorten, mit LTE als tertiärem Backup. Die Ziele sind die Aufrechterhaltung der SLAs für Sprach- und POS-Transaktionen, die Ermöglichung eines sicheren Internet-Breakouts für SaaS und die Minimierung des Migrationsrisikos.

Vorgehensweise:

1. Aufbau der SD-WAN Control Plane

• Deployen Sie redundante vManage, vSmart und vBond in zwei Rechenzentren. Begründung: vManage stellt das Management bereit, vSmart liefert die Control Plane über OMP und die Verteilung von Richtlinien, und vBond orchestriert das Onboarding und die NAT-Traversal. Geografische Redundanz gewährleistet die Überlebensfähigkeit der Control Plane.

2. Vorbereitung der Underlays und Standortdiversität

• Bestellen Sie DIA und, wo möglich, MPLS oder MetroE eines anderen Carriers; fügen Sie LTE an kritischen Standorten hinzu. Konfigurieren Sie getrennte Demarcation Points (Demarcs) und Strompfade. Begründung: Unterschiedliche Anbieter und letzte Meilen reduzieren korrelierte Ausfälle; LTE stellt die tertiäre Erreichbarkeit bei regionalen Ausfällen sicher.

3. Onboarding der WAN Edges mit ZTP und Zertifikaten

• Verwenden Sie vBond-unterstütztes Onboarding; stellen Sie die genaue Zeit über NTP sicher und erlauben Sie ausgehendes UDP/TCP für die Controller-Erkennung. Begründung: Zertifikatbasierte Identität und vBond STUN überwinden NAT-Barrieren und bauen sichere Steuerkanäle auf.

4. Definition von Segmentierung und Diensten

• Erstellen Sie SD-WAN-VPNs für Corp (VPN 10), Voice (VPN 20), Guest (VPN 30) und PCI (VPN 40). Fügen Sie ZBFW und URL-Filterung für Gast- und DIA-Verkehr des Unternehmens (Corp) ein. Begründung: Die Isolation pro VPN erfüllt Compliance- und Sicherheitsziele; Service Chaining setzt die Sicherheit pro Segment durch.

5. Einrichtung von SLA-Klassen und anwendungsorientiertem Routing

• Erstellen Sie SLA-Voice (enge Grenzen für Verlust/Latenz/Jitter), SLA-Transact (moderate Schwellenwerte) und SLA-BE (Best Effort). Ordnen Sie Anwendungen mittels DPI für Voice/SIP/RTP und POS-Gateways zu. Die Richtlinie bevorzugt MPLS für Sprache und POS, wenn die SLA eingehalten wird, andernfalls wird auf DIA umgeleitet; Massen-/SaaS-Verkehr bevorzugt DIA. Begründung: Die BFD-gesteuerte SLA-Einhaltung ermöglicht die Vermeidung von Brownouts und optimiert gleichzeitig die Kostenpfade.

6. Konfiguration von QoS und Shaping pro Transportweg

• Wenden Sie hierarchisches QoS mit LLQ für Sprache, AF-Queues für POS und interaktiven Verkehr an, sowie Shaping auf die CIR des Anbieters abzüglich des IPsec-Overheads. Behalten Sie DSCP vor der Verschlüsselung bei. Begründung: Verhindert Tail Drops, stellt die Priorität für latenzempfindliche Anwendungen sicher und vermeidet Fragmentierung.

7. Aktivierung des sicheren Internet-Breakouts

• Führen Sie für SaaS- und Web-Verkehr einen lokalen DIA mit ZBFW, DNS-Sicherheit und URL-Filterung durch; senden Sie unbekannte oder sensible Ziele zur Überprüfung an die DC-Hubs. Begründung: Reduziert die Latenz zu SaaS bei gleichzeitiger Aufrechterhaltung der Richtlinienkontrolle und Compliance.

8. Implementierung von Resilienz- und Failover-Richtlinien

• Verwenden Sie Active/Active ECMP über DIA und MPLS für BE-Verkehr; stellen Sie die TLOC-Präferenz so ein, dass Sprache/POS bei einwandfreiem Zustand MPLS wählen. Konfigurieren Sie LTE mit niedrigerer Präferenz nur für Failover. Fügen Sie Hysterese-Timer hinzu, um Flapping zu verhindern. Begründung: Kontrollierte Präferenz und Stabilität bei Brownouts; LTE ist für Notfälle reserviert.

9. Validierung von MTU und MSS, dann Pilotphase

• Setzen Sie die Tunnel-MTU/MSS auf den WAN Edges; verifizieren Sie PMTUD über beide Transportwege. Führen Sie einen Pilottest mit 10 Standorten durch und fügen Sie kontrolliert Verlust/Latenz hinzu, um die Pfadsteuerung und die Rückkehr zum ursprünglichen Pfad zu bestätigen. Begründung: Vermeidung von Fragmentierungs-Blackholes und Bestätigung des Betriebsverhaltens vor dem Scale-Out.

10. Migration in Wellen mit Rollback-Möglichkeit

• Kündigen Sie die Standort-Subnetze über OMP sowohl vom alten MPLS CPE als auch vom WAN Edge während der Koexistenzphase an. Stellen Sie den Datenverkehr durch Anpassung von Standardrouten und BGP-Metriken um. Halten Sie einen Backout-Plan durch Wiederherstellung der alten Metriken bereit. Begründung: Unterbrechungsfreier Übergang mit deterministischem Rollback.

11. Operationalisierung von Überwachung und Fehlerbehebung

• Dashboards in vManage überwachen BFD-Metriken, SLA-Konformität und Anwendungspfade. Verwenden Sie show control connections, show omp routes und show bfd sessions für tiefgehende Prüfungen. Legen Sie Alarmierungsschwellen fest, die auf die SLA-Klassen abgestimmt sind. Begründung: Früherkennung von Brownouts und schnelle Ursachenisolierung.

12. Härtung und regelmäßige Tests

• Rotieren Sie Zertifikate, testen Sie den Controller-Failover und führen Sie vierteljährliche Beeinträchtigungstests durch. Begründung: Erhält die Sicherheitslage aufrecht und stellt sicher, dass die Reaktionen auf Failover und Brownouts auch bei der Weiterentwicklung des Netzwerks wirksam bleiben.

← Netzwerkvirtualisierung · Alle Domänen · Unternehmenssicherheit und Identitätsdienste →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →