Cisco 200-301: Switching Ethernet e Inoltro di Livello 2 — Guida allo studio

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Fa parte della Cisco CCNA 200-301 — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

Gli switch Ethernet inoltrano i frame di Livello 2 all’interno di un dominio di broadcast apprendendo e consultando una tabella degli indirizzi MAC (chiamata anche tabella CAM). Gli switch prendono decisioni per ogni singolo frame in base al MAC di destinazione, alla VLAN e allo stato dell’interfaccia di uscita (egress). Il corretto funzionamento si basa su un apprendimento accurato degli indirizzi MAC, parametri di link stabili e protezioni contro i loop e gli abusi a Livello 2. Questa sezione spiega la logica operativa, i compromessi di progettazione (trade-off), le modalità di guasto e i metodi di verifica pertinenti allo switching in ambiente di produzione.

Apprendimento MAC, Inoltro, Filtraggio e Flooding

Gli switch apprendono gli indirizzi MAC di origine ispezionando il MAC di origine e la VLAN in ingresso (ingress) e associando tale tupla all’interfaccia di ricezione. Le voci sono dinamiche per impostazione predefinita e scadono dopo un timer di inattività (comunemente 300 secondi sugli switch Cisco per reti campus). L’invecchiamento (aging) rimuove le voci non utilizzate, liberando spazio e favorendo la mobilità; timer troppo brevi aumentano il flooding di traffico unicast sconosciuto, mentre timer troppo lunghi rischiano di causare un inoltro basato su informazioni obsolete e tabelle più grandi.

Logica di inoltro per frame:

• Unicast con MAC di destinazione noto nella VLAN: inoltra il frame attraverso la singola porta associata (a meno che tale porta non sia la stessa di ingresso, nel qual caso lo switch filtra/scarta il frame per evitare la riflessione).
• Unicast con MAC di destinazione sconosciuto nella VLAN: effettua il flooding su tutte le altre porte attive in quella VLAN (unknown-unicast flooding).
• Broadcast (ff:ff:ff:ff:ff:ff): effettua il flooding su tutte le altre porte della VLAN. I broadcast sono necessari per protocolli come ARP e alcuni protocolli di discovery.
• Multicast: senza lo snooping, molti switch trattano il traffico multicast come broadcast ed effettuano il flooding all’interno della VLAN. Con l’IGMP snooping (IPv4) o l’MLD snooping (IPv6), gli switch limitano il multicast alle sole porte con ricevitori interessati, riducendo il traffico non necessario.

È possibile configurare voci MAC statiche per un inoltro deterministico o per “bloccare” dispositivi in contesti ad alta sicurezza. L’uso eccessivo di voci statiche complica le operazioni; è preferibile l’apprendimento dinamico con controlli.

Modalità di guasto comuni:

• MAC flapping: lo stesso indirizzo MAC appare su più interfacce in rapida successione, spesso a causa di loop o percorsi asimmetrici. I sintomi includono messaggi di log e aggiornamenti incessanti della tabella CAM.
• Esaurimento della CAM: la tabella si riempie a causa delle dimensioni della rete o di un attacco, causando un aumento del flooding di traffico unicast sconosciuto e potenziali fughe di dati tra le porte di accesso.

Comandi utili:

undefined

undefined

undefined

undefined

undefined

Porte di Accesso, Stati Operativi e Port Security

Le porte di accesso (access port) gestiscono una singola VLAN e si connettono agli endpoint. È bene configurarle esplicitamente per eliminare ambiguità e ridurre i rischi legati al trunking.

Esempi:

undefined

undefined

undefined

undefined

undefined

Stati operativi del link riportati dallo switch:

• connected/up: link e line protocol attivi; i frame verranno inoltrati se non bloccati amministrativamente.
• notconnect/down: nessun link fisico rilevato.
• administratively down: configurato lo stato di shutdown.
• err-disabled: interfaccia disabilitata da funzionalità di protezione (come violazioni della port security, rilevamento di loop o azioni di storm control).

La port security limita il numero di indirizzi MAC che possono apparire su una porta di accesso e definisce cosa fare in caso di violazione. Questo mitiga il MAC-flooding, l’uso di hub non autorizzati e gli spostamenti occasionali di dispositivi.

Esempio con apprendimento sticky:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Gli indirizzi MAC appresi in modo sticky diventano voci MAC sicure scritte nella configurazione corrente (running configuration); è necessario salvare la configurazione per renderli persistenti tra i riavvii. È anche possibile configurare MAC sicuri statici.

Modalità di violazione:

• protect: scarta silenziosamente i frame con MAC sconosciuti o che violano le regole. Nessun trap SNMP o syslog; è la modalità meno dirompente e meno visibile.
• restrict: scarta i frame che violano le regole, incrementa il contatore delle violazioni e genera un trap syslog/SNMP; è la modalità preferita per avere visibilità senza causare la caduta del link.
• shutdown (predefinito): mette la porta in stato err-disabled, richiedendo un intervento manuale (shutdown/no shutdown) o un ripristino automatico temporizzato.

Ripristino e visibilità:

undefined

undefined

undefined

undefined

Compromessi (Trade-off): le modalità protect/restrict mantengono il link attivo ma possono mascherare i problemi; la modalità shutdown è “rumorosa” ma applica in modo inequivocabile la policy e blocca tutto il traffico dal segmento compromesso.

Decisioni di Inoltro, Contatori, Duplex/Velocità e Risoluzione dei Problemi

La correttezza dell’inoltro inizia con un apprendimento accurato. Quando il traffico non viene consegnato, verificare se il MAC di destinazione esiste effettivamente nella tabella, corrisponde alla porta e alla VLAN corrette, e che le porte di ingresso e di uscita siano operative.

Passaggi fondamentali per la risoluzione dei problemi:

• Confermare l’appartenenza alla VLAN e la modalità della porta: show interfaces switchport
• Controllare l’apprendimento dei MAC: show mac address-table dynamic address H.H.H
• Cercare eventi di MAC flapping nel log: show logging
• Verificare lo stato e gli errori dell’interfaccia: show interfaces INTERFACE
• Validare i neighbor CDP/LLDP e il cablaggio: show cdp neighbors detail, show lldp neighbors detail

Contatori di interfaccia e cosa indicano:

• input errors: aggregato di problemi sul lato ricezione, inclusi CRC, runt, giant. Quando un frame fallisce il controllo FCS, aumentano sia i contatori input errors che CRC.
• CRC: frame ricevuti con errori FCS; comunemente problemi di cablaggio, interferenze elettriche o disallineamento del duplex.
• runt: frame più piccoli di 64 byte, spesso legati a collisioni su collegamenti half-duplex.
• giant: frame più grandi della MTU senza troncamento; possono essere dovuti a tagging o a una MTU configurata in modo errato.
• late collisions: collisioni rilevate dopo i primi 64 byte; si verificano tipicamente a causa di collegamenti half-duplex o di una lunghezza del cavo eccessiva, oltre gli standard Ethernet.
• output errors: fallimenti in trasmissione; potrebbero essere dovuti a congestione o problemi hardware.

Negoziazione di duplex e velocità:

• L’autonegoziazione è richiesta per i collegamenti in rame 1000BASE-T e più veloci; forzare la velocità su un lato e lasciarla in automatico sull’altro può causare un disallineamento del duplex (un’estremità in full, l’altra in half). I sintomi includono errori CRC, collisioni tardive e scarso throughput.
• La best practice sugli switch moderni è impostare velocità e duplex in automatico end-to-end, con Auto-MDIX abilitato, a meno che non ci si connetta a dispositivi legacy o non negozianti, dove sono necessarie impostazioni forzate e corrispondenti.
• Verificare con show interfaces status e show interfaces INTERFACE | include Duplex|Speed.

Il rilevamento dei neighbor tramite CDP e LLDP aiuta a identificare cosa è connesso, la porta remota, le VLAN e talvolta l’indirizzamento IP. Utilizzarli durante la messa in servizio e la risoluzione dei problemi, e disabilitarli dove le policy di sicurezza vietano la fuga di informazioni sul rilevamento dei dispositivi.

Esempi:

• Abilitazione/disabilitazione globale: no cdp run lldp run
• A livello di interfaccia: no cdp enable lldp transmit lldp receive
• Verifica: show cdp neighbors detail show lldp neighbors detail

Consapevolezza degli Attacchi di Livello 2, Storm Control e Sintomi di Loop

Minacce di base a Livello 2 e relative mitigazioni:

• Flooding di indirizzi MAC (overflow della CAM): un utente malintenzionato invia frame con molti indirizzi MAC di origine contraffatti per esaurire la tabella, causando flooding unknown-unicast e possibile sniffing. Mitigare con la port security (limitare il numero di MAC, sticky/static), disabilitare le porte non utilizzate e monitorare l’utilizzo della CAM.
• Fuga di informazioni tramite discovery: CDP/LLDP possono rivelare la piattaforma e le VLAN; disabilitarli sulle porte di accesso non attendibili.
• Switch non autorizzati o loop: la connessione di switch non gestiti può creare loop, producendo broadcast storm e MAC flapping. Utilizzare PortFast, BPDU Guard e strumenti di rilevamento dei loop.

Lo storm control limita i rate di traffico broadcast, multicast e unknown-unicast per contenere le tempeste di traffico (storm) preservando al contempo il traffico normale.

Esempio: interface gigabitEthernet1/0/20 storm-control broadcast level 1.00 0.50 storm-control multicast level 1.00 0.50 storm-control action shutdown

I livelli sono espressi come percentuale della larghezza di banda del link o in pps, a seconda della piattaforma. Configurare un piano di ripristino se si utilizza ‘shutdown’ come azione:

• show storm-control
• errdisable recovery cause storm-control
• errdisable recovery interval 300

Sintomi e indicatori di loop:

• Picco improvviso e sostenuto nei contatori di traffico broadcast, multicast e unknown-unicast su molte porte.
• L’utilizzo della CPU sugli switch aumenta bruscamente; instabilità del control plane.
• Log di MAC flapping che mostrano lo stesso MAC spostarsi rapidamente tra le porte.
• Timeout ARP e fallimenti intermittenti delle applicazioni all’interno della VLAN.

Prevenire i loop con un design resiliente (nessuna interconnessione L2 non gestita), funzionalità di spanning tree (PortFast sull’accesso, BPDU Guard per disattivare le porte che ricevono BPDU) e tecnologie come UDLD su fibra per rilevare guasti unidirezionali. Comandi di verifica:

• show spanning-tree vlan X
• show spanning-tree interface INTERFACE detail
• show processes cpu sorted

Comandi di Verifica e Risoluzione dei Problemi dello Switch

La visibilità operativa è fondamentale per la salute del Layer 2. I comandi di uso comune includono:

• Interfaccia e contatori: show interfaces, show interfaces counters errors, show interfaces status
• Tabella MAC: show mac address-table [dynamic|static], clear mac address-table dynamic
• VLAN e modalità della porta: show vlan brief, show interfaces switchport
• Sicurezza delle porte: show port-security, show port-security interface INTERFACE, show errdisable recovery
• Discovery: show cdp neighbors detail, show lldp neighbors detail
• Tempeste di traffico e loop: show storm-control, show spanning-tree, show logging
• Stato del sistema: show processes cpu history, show platform hardware capacity (dipende dal modello)

Quando si sospetta un problema di inoltro dei frame, riprodurre il traffico e osservare i contatori in tempo reale con terminal monitor e comandi show successivi per individuare il dominio di guasto (endpoint, cavo, interfaccia, VLAN, switch fabric).

Scenario Pratico di un Problema

Contoso Health Labs riscontra interruzioni intermittenti delle chiamate vocali e scarse prestazioni dei desktop sulla VLAN 20 dopo aver aggiunto diversi telefoni IP e piccoli switch non gestiti nelle aree di lavoro.

Approccio:

1. Definire una baseline e isolare l’impatto.

• Logica: Usare i comandi show interfaces counters errors e show processes cpu sorted per rilevare se il problema è localizzato o sistemico. Un utilizzo elevato della CPU e un aumento dei contatori di broadcast/unknown-unicast su molte porte suggeriscono una tempesta o un loop di Layer 2.

2. Validare duplex/velocità e cablaggio.

• Logica: Sulle porte di accesso principali, eseguire show interfaces status e show interfaces INTERFACE per confermare la modalità a-full e la corrispondenza delle velocità. Picchi di “late collision” e CRC indicano un disallineamento del duplex o problemi di cablaggio; correggere impostando entrambe le estremità su “auto” o su valori forzati corrispondenti e sostituire i cavi sospetti.

3. Identificare e contenere i loop.

• Logica: Controllare i log per il “MAC flapping”. Abilitare PortFast e BPDU Guard su tutte le porte di accesso per disabilitare automaticamente (err-disable) le porte che ricevono BPDU da switch non autorizzati o non gestiti. Questo interrompe i loop formati da mini-switch collegati in cascata (daisy-chain). Configurazione: interface range g1/0/1-48 spanning-tree portfast spanning-tree bpduguard enable

4. Implementare lo storm control sulle porte di accesso.

• Logica: Limitare il traffico broadcast, multicast e unknown-unicast per evitare che le tempeste sovraccarichino la VLAN e la CPU, preservando il traffico VoIP durante i guasti. Configurazione: interface range g1/0/1-48 storm-control broadcast level 0.50 0.25 storm-control multicast level 0.50 0.25 storm-control action shutdown errdisable recovery cause storm-control errdisable recovery interval 300

5. Applicare la port security con MAC “sticky” sulle porte rivolte agli utenti.

• Logica: Prevenire il “MAC flooding” e l’uso di hub non autorizzati limitando il numero di indirizzi MAC per porta al telefono più un PC. Usare la modalità restrict per mantenere attivi i link registrando al contempo le violazioni. Configurazione: interface range g1/0/1-48 switchport mode access switchport access vlan 20 switchport port-security switchport port-security maximum 2 switchport port-security mac-address sticky switchport port-security violation restrict

6. Limitare il flooding multicast con IGMP snooping.

• Logica: Se i telefoni IP utilizzano servizi multicast, abilitare l’IGMP snooping e assicurarsi che esista un “querier” per costruire stati di inoltro multicast accurati, riducendo il flooding non necessario sulla VLAN 20.

7. Verificare la topologia dei vicini e limitare l’esposizione delle informazioni di discovery.

• Logica: Usare show cdp neighbors detail e show lldp neighbors detail per convalidare l’ordine di cablaggio switch-telefono-PC. Disabilitare CDP/LLDP sulle porte in cui le policy non consentono la divulgazione di informazioni a dispositivi non gestiti.

8. Monitorare e convalidare la stabilità.

• Logica: Dopo le modifiche, monitorare i contatori degli errori, le statistiche di storm-control e la stabilità della tabella CAM con show mac address-table count. Assicurarsi che non si verifichino eventi di err-disable ricorrenti e confermare la qualità delle chiamate tramite il feedback degli utenti e le metriche QoS. Questo chiude il cerchio tra la configurazione e la qualità misurabile del servizio.

← Fondamenti di Rete e Infrastruttura Fisica · Tutti i domini · VLAN →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →