Cisco 350-401: Drahtlose Infrastruktur und Mobilität — Lernleitfaden

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Teil des Cisco CCNP Enterprise 350-401 ENCOR — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Enterprise Wireless verbindet Benutzer, Geräte und IoT in großem Umfang und gewährleistet dabei Sicherheit, Leistung und betriebliche Transparenz. Ein guter Entwurf und Betrieb erfordert ein Verständnis von Architekturen, dem Verhalten der Kontroll- und Datenebene, RF-Engineering, Onboarding und Segmentierung, Mobilitätsmechanismen, QoS für Echtzeitanwendungen und einem disziplinierten Lebenszyklus. Dieser Abschnitt bietet Begründungen für das Design, betriebliche Anleitungen und häufige Fehlermodi für moderne, Cisco-zentrierte Implementierungen, einschließlich traditioneller Controller-basierter, Cloud-verwalteter und Fabric-fähiger Wireless-Lösungen.

Architekturen, Rollen und Kontroll-/Datenebenen

Wireless-Architekturen unterscheiden sich darin, wo die Steuerung und die Richtlinien angesiedelt sind und wie der Datenverkehr gehandhabt wird:

Autonome APs: Jeder AP trifft alle Entscheidungen und überbrückt den Datenverkehr lokal. Vorteile: einfach für sehr kleine Standorte, keine Controller-Abhängigkeit. Nachteile: schlechte Skalierbarkeit, fragmentierte Richtlinien/Sichtbarkeit, manuelle RF-Koordination, eingeschränktes Fast Roaming. Fehlermodi: inkonsistente Konfigurationen, Kanalüberlappung, langsame Übernahme von Sicherheitsfunktionen.
Controller-basiert (On-Prem WLC): APs betreiben ein Split-MAC-Modell und bilden CAPWAP-Tunnel zu einem Wireless LAN Controller. Der WLC zentralisiert die Funktionen der Steuerungsebene (AP-Join, Konfiguration, 802.11-Management, RRM) und kann Daten zentral switchen (Benutzerverkehr zum WLC tunneln) oder am Edge lokal switchen (FlexConnect). Vorteile: Skalierbarkeit, konsistente Richtlinien, Fast Roaming, RRM. Nachteile: WLC-Dimensionierung und HA erforderlich; zentrales Switching erhöht die Latenz und das Hairpin-Risiko.
Cloud-verwaltet: APs oder Wireless Gateways werden von einem Cloud-Controller verwaltet; die Daten können je nach Design lokal bleiben oder über Cloud-Gateways laufen. Vorteile: vereinfachter Betrieb, einfache Verwaltung mehrerer Standorte. Nachteile: Abhängigkeit vom Internet für die Verwaltung; es muss klar sein, wo der Datenausgang (Egress) erfolgt.
Eingebettete Controller: Eine Controller-Funktion, die in einem AP oder Switch gehostet wird (z. B. Embedded Wireless Controller auf Catalyst APs). Vorteile: Autonomie der Zweigstelle, weniger Appliances. Nachteile: Skalierungs-/Funktionsgrenzen im Vergleich zu vollwertigen WLCs, Abstimmung von Code und Fähigkeiten über Standorte hinweg.

Rollen von WLC und AP

WLC: Zentrale Richtlinien- und RF-Steuerung; pflegt die AP-Datenbank; führt Radio Resource Management (RRM) zur Berechnung von Kanal/Sendeleistung aus; terminiert die CAPWAP-Steuerung; kann bei Verwendung von Central Switching Daten terminieren; setzt QoS-, ACL- und AAA-Richtlinien durch.
AP: Steuert die Funkmodule, sendet SSIDs (Beacons), verarbeitet 802.11 MAC im Split-MAC-Modus (zeitkritische Funktionen am AP), konvertiert 802.11-Frames in 802.3 zur Weiterleitung. Bei SD-Access Wireless sind Fabric-APs Teil des Overlays und befinden sich typischerweise im lokalen Modus und sind direkt mit einem Fabric Edge verbunden.

CAPWAP, Steuerung vs. Daten

Steuerungspfad: Die CAPWAP-Steuerung von AP zu WLC ist immer vorhanden. Stellen Sie sicher, dass die MTU für CAPWAP + IPsec (falls verwendet) ausreicht; PMTU-Black-Holes können zu AP-Instabilität führen.
Optionen für den Datenpfad:
- Central Switching: Benutzer-Frames werden zum WLC getunnelt und dann gebridged/geroutet. Vereinfacht die Segmentierung, kann aber Latenz und Engpässe verursachen.
- Local Switching (FlexConnect): Daten verlassen das Netzwerk lokal am Switch-Port des APs; die Richtlinien werden zentral bereitgestellt. Nützlich für Zweigstellen. Erfordert ein sorgfältiges Design für VLAN-Konsistenz und DHCP/ACLs.
- Fabric-fähige SSID (SD-Access): Der AP konvertiert 802.11 in 802.3 und kapselt es in VXLAN in Richtung des Fabric Edge; End-to-End-Richtlinien und Segmentierung werden im Overlay transportiert.

Häufige Fehler beim Join-Prozess und deren Behebung

AP-Zertifikat oder Zeit-Mismatch: Verwenden Sie NTP für WLC und APs; überprüfen Sie das Vertrauen in MIC/SSC; vermeiden Sie Deep Inspection, die DTLS unterbricht.
Mismatch der regulatorischen Domäne: Gleichen Sie Ländercodes und erlaubte Kanäle ab.
CAPWAP-Erreichbarkeit: Erlauben Sie UDP/5246–5247, stellen Sie gegebenenfalls NAT-Traversal sicher und validieren Sie Jumbo/MTU.

RF-Grundlagen und WLAN-Konstrukte

Bänder und Kanäle

2,4 GHz: Drei nicht überlappende 20-MHz-Kanäle (1, 6, 11). Große Reichweite, hohe Störanfälligkeit (Bluetooth, Mikrowellen). In dichten, leistungssensiblen Designs begrenzen oder deaktivieren.
5 GHz: Viele 20-MHz-Kanäle in den Bereichen UNII-1/2/2e/3/4 mit DFS-Anforderungen. Bevorzugt für Kapazität und VoWLAN. DFS-Ereignisse können Kanalwechsel auslösen – auf Fehlalarme (False Positives) und benachbarte Radarsysteme achten.
6 GHz (Wi‑Fi 6E): Großes zusammenhängendes Spektrum; 20/40/80/160 MHz ohne Legacy-Clients. WPA3 und Protected Management Frames (PMF) sind obligatorisch. Im Freien kann Automated Frequency Coordination zur Anwendung kommen.

Abwägungen bei der Kanalbreite

20 MHz: Höchste Gleichzeitigkeit und Wiederverwendbarkeit; am besten in dichten Unternehmensumgebungen.
40/80/160 MHz: Höherer Spitzendurchsatz pro Client, aber weniger einzigartige Kanäle; riskant in Umgebungen mit hoher Dichte; kann Co-Channel-Contention verschärfen.

Sendeleistung und TPC

Halten Sie die AP-Sendeleistung nahe an der Client-Sendeleistung, um „Sticky Clients“ zu vermeiden; erlauben Sie RRM TPC, die Leistung zu reduzieren, wo sich Zellen überlappen. Übermäßige Sendeleistung erhöht die Contention und Hidden-Node-Probleme.

Arten von Interferenzen

Co-Channel-Interferenz: Zu wenige einzigartige Kanäle oder übermäßig starke Funkzellen.
Adjacent-Channel-Interferenz: Überlappende Kanalbreiten oder nicht aufeinander abgestimmte Kanäle.
Nicht-802.11-Störquellen: Bluetooth, DECT, Mikrowellen, Kameras. Verwenden Sie Spektrumanalyse/CleanAir-Äquivalente, um diese zu lokalisieren und zu entschärfen.

SSID, BSSID und WLAN-Profile

Die SSID ist der Netzwerkname; jede SSID pro Funkmodul erzeugt eine eindeutige BSSID. Zu viele SSIDs erhöhen den Beacon-/Overhead; streben Sie 4–6 oder weniger an.
Das WLAN-Profil verknüpft die SSID mit einem Sicherheits-, QoS- und Richtlinienprofil. Je nach Architektur wird es einem VLAN/VRF oder einer Overlay-Segmentierung (z. B. SGTs) zugeordnet.

Ablauf des Client-Onboardings

Discovery/Scanning → Authentifizierung/Assoziierung → Schlüsselmanagement (4-Way-Handshake oder SAE) → DHCP/DNS → Captive Portal/CoA bei Gästen.
Häufige Fallstricke: Deaktivierte niedrige Datenraten können die Funktion von Legacy-Clients beeinträchtigen; ein DHCP- oder DNS-Ausfall sieht wie ein WLAN-Ausfall aus; MAC-Randomisierung kann NAC/Profiling beeinträchtigen.

Sicherheit, Segmentierung und Onboarding

WPA2, WPA3 und 802.1X

WPA2-Enterprise: 802.1X mit AES-CCMP; ausgereift und weit verbreitet.
WPA3-Personal: SAE ersetzt PSK, um Offline-Wörterbuchangriffe zu verhindern.
WPA3-Enterprise: 802.1X mit obligatorischem PMF; 192-Bit-Modus für Anwendungsfälle mit hohem Sicherheitsanspruch.
PMF (802.11w): Obligatorisch für WPA3; dringend empfohlen für WPA2. Inkompatibilitäten verursachen Assoziierungsfehler – Übergangsmodi mit Bedacht einsetzen.

RADIUS und Richtlinien

Verwenden Sie redundante RADIUS-Server; aktivieren Sie Session-Timeout und Change of Authorization für Richtlinienänderungen nach der Verbindung; bevorzugen Sie EAP-TLS für zertifikatbasierte Identität.
Dynamische Richtlinien: Weisen Sie VLAN, dACL, SGT oder QoS pro Benutzer über RADIUS-Attribute zu; in einer Fabric sind gruppenbasierte Richtlinien einem VLAN-Wildwuchs vorzuziehen.

Gastzugang und Anchoring

Zentrale Web-Authentifizierung mit einem Gast-Anchor-WLC in einer DMZ isoliert den Gast-Datenverkehr. Clients assoziieren sich mit einem Foreign-WLC/AP; ein Mobility-Tunnel verankert den Datenverkehr für den Austritt (Egress) am DMZ-WLC. Fehlerszenarien: Der Verlust der Erreichbarkeit des Anchors führt zu einem Ausfall des Gastzugangs; stellen Sie sicher, dass Mobility-Gruppen korrekt definiert sind und NAT/Firewall-Regeln den Mobility-Steuerungs-/-Datenverkehr zulassen.

Optionen für die Wireless-Segmentierung

VLAN pro SSID oder dynamische VLANs über RADIUS.
VRF und SGTs für eine skalierbare Segmentierung; in SD-Access transportiert VXLAN VN/SGT im Fabric-Overlay und entkoppelt so SSIDs von L2-Beschränkungen.
IoT: Verwenden Sie nach Möglichkeit MPSK/Identity PSK oder EAP-TLS; isolieren Sie den Datenverkehr mit ACL/SGT und wenden Sie Ratenbegrenzung an.

Kurze, nützliche Konfigurationsbeispiele (Catalyst 9800-Syntax)

RADIUS- und 802.1X-Liste definieren:

undefined

Ein 802.1X-WLAN erstellen und Richtlinie zuordnen:

undefined

Mobilität, QoS, Design, Überwachung und Lebenszyklus

Roaming und Mobilitätsgruppen

Intra-Controller-Roaming: Schnell und transparent, wenn alle APs denselben WLC und dieselbe Mobilitätsgruppe nutzen; opportunistisches PMK-Caching/OKC und 802.11r reduzieren die Zeit für die erneute Authentifizierung.
Inter-Controller-Roaming: Erfordert Mobilitätsgruppen, damit WLCs den Client-Kontext teilen; ein Roam kann L2 (selbes Subnetz) oder L3 (anderes Subnetz) sein, wobei Mobilitätstunnel die IP-Kontinuität aufrechterhalten.
802.11k/v/r: k liefert Nachbarschaftsberichte (Neighbor Reports), v unterstützt den BSS-Übergang, r beschleunigt die Schlüsseletablierung (FT over-the-air/over-the-DS). Nur für Echtzeit-Sprachanwendungen aktivieren, wenn die Client-Basis dies unterstützt; gemischte Unterstützung kann zu Assoziierungsfehlern führen.
SD-Access Wireless: APs sind Teil des Fabric-Overlays; der Benutzerverkehr wird VXLAN-gekapselt zu den Fabric-Edges geleitet. Roaming zwischen APs an verschiedenen Access-Switches bleibt über die Fabric-Control-Plane nahtlos.

Wireless QoS und Echtzeitanwendungen

WMM-Zugriffskategorien: Voice, Video, Best Effort, Background. DSCP entsprechend auf UP abbilden; Upstream markieren und Markierungen über CAPWAP/VXLAN beibehalten.
Call Admission Control (TSPEC/ACM): Überbuchung der Voice-AC verhindern; auf SSIDs mit Sprachverkehr aktivieren und pro AP-Zelle anpassen.
Multicast-Optimierung: In Unicast umwandeln oder 802.11ac/ax-Verbesserungen nutzen; niedrige Basisraten vermeiden, die langsames Multicast erzwingen.
Wi‑Fi 6/6E-Funktionen: OFDMA verbessert die Latenz durch die Planung von Resource Units; BSS Coloring reduziert Konkurrenz bei der räumlichen Wiederverwendung (Spatial Reuse); Target Wake Time für Energieeinsparungen bei IoT anpassen.

AP-Platzierung, Abdeckung und Kapazität

Abdeckungsziele: Für Daten −67 dBm Minimum mit einem SNR ≥25 dB; für Sprache oft −65 dBm und Paketverlust <1 %. 15–20 % Überlappung an den Zellrändern im 5-GHz-Band; Funklöcher in Treppenhäusern/Aufzügen vermeiden.
Kapazitätsplanung: Dimensionierung nach Client-Anzahl und Airtime der Anwendung, nicht nur nach RSSI. 20-MHz-Kanäle bevorzugen, 2,4 GHz in dichten Umgebungen deaktivieren oder einschränken und minimale Basisraten auf 12–24 Mbit/s einstellen, um Airtime durch Beacons zu reduzieren und gleichzeitig die Kompatibilität zu gewährleisten.
Antennen: Strahlungsmuster auswählen, die zur Umgebung passen; Richtantennen für Gänge/Lagerhallen verwenden; EIRP an die regulatorischen Grenzwerte anpassen.
Standortvermessungen (Site Surveys): Prädiktive Modellierung für das initiale Design; Validierung vor der Bereitstellung; aktive/Post-Deployment-Surveys zur Überprüfung der realen Leistung. Erneute Vermessung nach Änderungen am Layout oder Inventar.

Wireless-Überwachung und Fehlerbehebung

Telemetrie: WLC/AP-Metriken an Ihr NMS streamen; Syslog aktivieren; Assurance-Plattformen für die Analyse der Client Journey nutzen (Assoziierung, Authentifizierung, DHCP, DNS).
Spektrumanalyse: Nicht-802.11-Interferenzen und DFS-Ereignisse identifizieren; Auslastungsgrade (Duty Cycles) verfolgen.
Triage pro Client:
- Assoziierung/Authentifizierung: Sicherheitseinstellungen, PMF, 802.11r-Kompatibilität und Zertifikatsvertrauen (für EAP-TLS) prüfen.
- IP-Schicht: DHCP-Optionen, Bereichsausschöpfung, Relay-Helfer und DNS-Erreichbarkeit.
- Mobilität: „Klebrige“ Clients (Sticky Clients) aufgrund von Leistungsasymmetrie; 802.11k/v-Nachbarschaftslisten validieren; übermäßige RRM-Änderungen, die Sitzungen stören.
- Datenpfad: CAPWAP/VXLAN-MTU und Fragmentierung; ACLs oder Firewall, die RADIUS/CoA oder die Mobilitätssteuerung blockieren.
Häufige Fehlermodi: zu viele SSIDs verursachen hohe Airtime durch Beacons; DFS-Kanalwechsel unterbrechen Echtzeitanrufe; RADIUS-Timeouts aufgrund von asymmetrischem Routing; Umleitung zum Gastportal durch HTTPS-Interception blockiert.

Sicheres Lifecycle-Management für Wireless

Image- und Konfigurations-Governance: WLC/AP-Code standardisieren; gestaffelte und rollierende AP-Upgrades verwenden; N+1-Controller-HA aufrechterhalten.
Zertifikate und PKI: 802.1X EAP-TLS-Registrierung mit SCEP/EST automatisieren; Ablaufdaten überwachen; CAPWAP/DTLS-Ciphers absichern; RADIUS-Secrets rotieren.
Richtlinienhygiene: SSIDs regelmäßig überprüfen, ungenutzte deaktivieren, PSKs rotieren oder auf MPSK/EAP-TLS migrieren; dACL/SGT-Richtlinien auditieren; Ausnahmeregeln minimieren.
RRM-Hygiene: DCA/TPC-Bereiche einschränken; Kanäle/Leistung bei Bedarf sperren (z. B. in hochdichten Auditorien); RF-Baseline erstellen und nach Änderungen vergleichen.
Backups und Tests: Konfigurations-Backups planen; synthetische Client-Tests für Onboarding und Captive Portal; Chaos-Tests für Controller-Failover und Anchor-Mobilität.

Praktisches Problemszenario

Contoso Financial migriert eine 12-stöckige Unternehmenszentrale auf Wi‑Fi 6E. Dabei werden vier alte SSIDs konsolidiert, zertifikatbasierter Zugriff ermöglicht und Softphone-Sprachanrufe sowie Trader-Videos mit minimaler Unterbrechung unterstützt. Der kabelgebundene Campus ist eine SD-Access-Fabric; Gast-Traffic muss über eine DMZ ausgeleitet werden, und das Unternehmen hat während der Wartungsfenster häufig Probleme beim Beitritt von APs.

Vorgehensweise

SSIDs rationalisieren und WLAN-Profile definieren

Drei SSIDs erstellen: CORP (802.1X EAP‑TLS), GUEST (offen mit Web-Authentifizierung) und IOT (MPSK).
Begründung: Weniger SSIDs reduzieren den Airtime-Overhead; unterschiedliche Sicherheitsmodi ermöglichen eine klare Richtlinienzuordnung. WPA3/PMF auf CORP und IOT verbessert die Ausfallsicherheit; GUEST verwendet ein Captive Portal für eine einfache Nutzung.

Zertifikatbasiertes 802.1X mit resilientem RADIUS implementieren

WLC mit redundanten ISE-Knoten integrieren; EAP‑TLS erzwingen; CoA und dynamische Richtlinien (SGT und VLAN-Override) aktivieren.
Begründung: EAP‑TLS eliminiert Shared Secrets und unterstützt eine benutzerspezifische Segmentierung. CoA ermöglicht Rollenänderungen nach der Authentifizierung (z. B. bei Konformität mit den Sicherheitsrichtlinien).

Fabric-fähige SSIDs für CORP und IOT aktivieren; GUEST an DMZ-WLC verankern

APs als Fabric-APs kennzeichnen; SSIDs virtuellen Netzwerken/SGTs zuordnen; VXLAN zu den Fabric-Edges sicherstellen. Mobilitätsanker für GUEST zu einem DMZ-WLC-Paar konfigurieren.
Begründung: Die Fabric erhält die Richtlinien durchgängig aufrecht, ohne VLAN-Wildwuchs; die Verankerung isoliert Gäste und vereinfacht den Internet-Ausgang und die Compliance.

RF-Design mit 6 GHz als primärem, 5 GHz als sekundärem und minimalem 2,4-GHz-Band

20-MHz-Kanäle in dichten Bürobereichen verwenden; auf 40 MHz nur in Zonen mit geringer Dichte beschränken; 2,4 GHz außer in Pausenräumen und IoT-Bereichen deaktivieren. DCA auf Nicht-DFS-Kanäle beschränken, wo Radar verbreitet ist; TPC so einstellen, dass es der typischen Client-Leistung entspricht (14–17 dBm EIRP).
Begründung: Maximiert die Gleichzeitigkeit und minimiert die Konkurrenz; vermeidet durch DFS verursachte Anrufabbrüche; Leistungssymmetrie reduziert „klebrige“ Clients.

Schnelles, zuverlässiges Roaming für Sprach- und Trading-Anwendungen vorbereiten

802.11k/v global und 802.11r auf CORP nach Validierung der Client-Kompatibilität aktivieren; Schwellenwerte für Nachbarschaftslisten anpassen; CAC für Sprache mit TSPEC aktivieren.
Begründung: Unterstütztes Roaming reduziert die Handoff-Latenz; CAC verhindert eine Überbuchung der Airtime, die den MOS verschlechtern würde.

AP-Beitritt und Controller-Resilienz härten

NTP und Zertifikatsvertrauen überprüfen; CAPWAP-MTU bei Bedarf erhöhen; CAPWAP/DTLS durch Firewalls erlauben; N+1-WLC mit AP-Join-Lastverteilung und HA SSO bereitstellen.
Begründung: Zeit und Vertrauen sind häufige Blocker beim Beitritt; eine korrekte HA verhindert massenhafte AP-Flaps während der Wartung.

Eine phasenweise Standortvermessung und Validierung durchführen

Prädiktives Design, gefolgt von etagenweisen aktiven Vermessungen; Kanäle/Leistung in den Handelsräumen sperren; minimale Basisraten auf 12–24 Mbit/s einstellen; SNR, MCS und Latenz unter Last messen.
Begründung: Validiert die realen RF-Bedingungen; reduziert den RRM-Churn in kritischen Zonen; erzwingt Leistungs-Baselines.

End-to-End-QoS implementieren

DSCP-zu-UP abbilden und Markierungen in CAPWAP/VXLAN beibehalten; Voice-CAC aktivieren; Multicast-Videoströme wo möglich in Unicast umwandeln.
Begründung: Gewährleistet konsistente Priorität und begrenzte Latenz/Jitter für Echtzeitanwendungen.

Überwachen und iterieren mit Assurance- und Spektrum-Tools

Telemetriedaten von WLC/APs streamen; Dashboards für die Phasen des Client-Onboardings erstellen; bei DFS-Ereignissen und RRM-Änderungen alarmieren; Spektrumanalyse zur Lokalisierung von Störquellen verwenden.
Begründung: Verkürzt die „Mean Time to Innocence“ und identifiziert schnell Engpässe bei RF oder AAA.

Sichere Lifecycle-Praktiken institutionalisieren

Auf einen getesteten WLC/AP-Code standardisieren; rollierende AP-Upgrades planen; PSKs auf IOT vierteljährlich rotieren; Zertifikatsablaufdaten überwachen; vierteljährliche Richtlinien-/RRM-Überprüfungen.
Begründung: Verhindert Abweichungen (Drift), reduziert die Angriffsfläche und erhält die Leistung aufrecht, während sich die Umgebung weiterentwickelt.

← IP-Dienste · Alle Domänen · Netzwerkvirtualisierung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

Bestehe deine Prüfung →