Cisco 200-301: VLAN, Trunk, Spanning Tree e EtherChannel — Guida allo studio

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Fa parte della Cisco CCNA 200-301 — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

Le Virtual LAN (VLAN), il trunking, lo Spanning Tree Protocol (STP) e l’EtherChannel sono tecnologie fondamentali di Layer 2 che segmentano i domini di broadcast, trasportano più VLAN attraverso i link, prevengono i loop e aumentano la larghezza di banda e la resilienza. Una progettazione corretta e una configurazione coerente prevengono le interruzioni di servizio più comuni causate da disallineamenti, loop e negoziazioni errate. Questa sezione spiega il comportamento operativo, l’intento della configurazione e i compromessi, ed evidenzia le modalità di guasto che è probabile incontrare nelle architetture di campus e di piccole imprese.

VLAN, Trunk e Routing Inter-VLAN

Creazione di VLAN e assegnazione di porte di accesso

• Le VLAN segmentano logicamente uno switch in più domini di broadcast; uno switch mantiene una tabella MAC separata per ogni VLAN. I frame con destinazione sconosciuta vengono inoltrati in flooding solo all’interno della VLAN.
• Definire le VLAN con ID (1–4094). La VLAN 1 è quella predefinita/nativa di default; le VLAN 1002–1005 sono riservate. Evitare il traffico utente sulla VLAN 1 per motivi di sicurezza e chiarezza operativa.
• Le porte di accesso trasportano una sola VLAN dati. Configurare con switchport mode access e switchport access vlan X per impedire al Dynamic Trunking Protocol (DTP) di negoziare un trunk in modo inaspettato.

VLAN voce e considerazioni sulla QoS

• I telefoni IP inseriscono comunemente un tag 802.1Q interno per la voce, mentre un PC collegato a cascata attraverso il telefono rimane senza tag sulla VLAN di accesso.
• Configurare switchport voice vlan Y e considerare attendibili i marcatori CoS di Layer 2 o DSCP di Layer 3 in base alla policy. Assicurarsi che sia la VLAN di accesso sia la VLAN voce siano permesse sui trunk a monte.

VLAN native

• Sui trunk 802.1Q, la VLAN nativa viene inviata senza tag. Per sicurezza e chiarezza, impostare una VLAN nativa dedicata e non utilizzata su entrambi i lati e rimuoverla (prune) dall’accesso utente.
• Un disallineamento della VLAN nativa può causare fughe di traffico (traffic leak), anomalie dello spanning-tree ed esposizione del piano di controllo.

Trunk 802.1Q, liste di VLAN consentite, tagging e negoziazione

• Un trunk 802.1Q trasporta più VLAN etichettando (tagging) i frame con un ID VLAN; la VLAN nativa non è etichettata. Utilizzare lo standard IEEE 802.1Q con apparecchiature di terze parti.
• Limitare esplicitamente il trasporto con switchport trunk allowed vlan per ridurre il traffico di broadcast non necessario e la superficie di attacco.
• La creazione del trunk può essere manuale (switchport mode trunk) o negoziata con DTP. La modalità dynamic desirable tenta attivamente di creare un trunk; dynamic auto è passiva. Con dispositivi vicini non-Cisco, configurare staticamente 802.1Q e considerare switchport nonegotiate.

Brevi esempi

vlan 10
 name Users
vlan 20
 name Voice

interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 10
 switchport voice vlan 20
 spanning-tree portfast
 spanning-tree bpduguard enable

interface GigabitEthernet1/0/48
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30

Routing Inter-VLAN

• Router-on-a-stick: Una singola interfaccia di un router con sottointerfacce 802.1Q instrada il traffico tra le VLAN. La scalabilità è limitata dalla larghezza di banda della singola interfaccia e dall’inoltro via CPU sui router di fascia bassa.
• Switch di Layer 3: Creare interfacce virtuali commutate (SVI) per ogni VLAN e abilitare ip routing per il routing inter-VLAN basato su hardware. Offre un throughput più elevato e un’applicazione delle policy più semplice.

Brevi esempi

! Router-on-a-stick
interface GigabitEthernet0/0.10
 encapsulation dot1q 10
 ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0.20
 encapsulation dot1q 20
 ip address 192.168.20.1 255.255.255.0

! Layer 3 switch with SVIs
ip routing
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
interface Vlan20
 ip address 192.168.20.1 255.255.255.0

Disallineamenti comuni e compromessi

• Disallineamenti della VLAN nativa del trunk o delle VLAN consentite causano “VLAN bleed” (sanguinamento di VLAN) e host orfani. Validare sempre entrambe le estremità.
• Configurazioni errate della VLAN voce/dati interrompono la connettività telefono/PC; verificare che il telefono invii il traffico voce con tag e che la fiducia (trust) della QoS sia coerente.
• Evitare il “VLAN sprawl” (proliferazione incontrollata di VLAN); documentare le mappature VLAN-subnet e, quando possibile, riassumere il routing.

Funzionamento dello Spanning Tree e Protezione dai Loop

Scopo e comportamento

• Ethernet non ha un TTL e in caso di loop crea un’apertura incontrollata del circuito (fail open). STP costruisce un albero privo di loop bloccando i link ridondanti, preservando al contempo un singolo percorso attivo per ogni VLAN.
• L’elezione del root bridge utilizza il bridge ID più basso (priorità + MAC). Impostare root deterministici per ogni VLAN o istanza. Esempio: spanning-tree vlan 200 priority 0.

Ruoli delle porte, stati e costo del percorso

• Ruoli: Root Port (il percorso migliore di uno switch non-root verso il root), Designated Port (il percorso migliore su un segmento), Alternate/Backup (porte di standby per la prevenzione dei loop).
• Stati classici 802.1D: Blocking, Listening, Learning, Forwarding, Disabled. Il Rapid STP (802.1w) li riduce a Discarding, Learning, Forwarding.
• Il costo del percorso è cumulativo; un valore più basso è preferibile. Usare i costi predefiniti 802.1t o regolarlo esplicitamente sui link ad alta velocità per influenzare la selezione del percorso.

Rapid PVST+ e MST

• Rapid PVST+ esegue un’istanza per ogni VLAN e converge rapidamente tramite handshake e un meccanismo di proposta/accordo sui link punto-punto; ideale per un numero ridotto di VLAN che necessitano di un controllo granulare.
• MST mappa più VLAN su poche istanze, garantendo la scalabilità in ambienti più grandi. Tutti gli switch in una regione MST devono concordare su nome, revisione e mappatura VLAN-istanza; altrimenti, interoperano in modalità di compatibilità PVST+ con alberi spanning-tree non ottimali.
• Cambiamenti di topologia: 802.1D utilizza TCN BPDU dal bridge designato sul segmento modificato; RSTP segnala un TC nelle BPDU provenienti dal root, facendo scadere rapidamente le voci della tabella CAM per limitare la durata del flooding.

Funzionalità perimetrali e di protezione

• PortFast: Mette immediatamente le porte di accesso in stato di forwarding, prevenendo lunghi ritardi di convergenza sui link verso gli host. Non abilitare su link che potrebbero diventare di transito.
• BPDU Guard: Mette una porta PortFast in stato “err-disable” se viene ricevuta una BPDU, proteggendo da loop accidentali causati da switch non gestiti.
• Root Guard: Impedisce a una porta designata di diventare una root port se vengono ricevute BPDU superiori; la porta viene posta in uno stato “root-inconsistent” finché la minaccia non viene rimossa.
• Loop Guard: Protegge da guasti unidirezionali o dalla perdita di BPDU sulle porte non designate; mantiene la porta bloccata (stato “loop-inconsistent”) invece di inoltrare erroneamente il traffico.
• BPDU Filter: Sopprime l’invio/l’elaborazione delle BPDU. Utilizzare solo in situazioni strettamente controllate (ad esempio, sul perimetro della rete sugli host), poiché un uso improprio può creare loop.

Brevi esempi

spanning-tree mode rapid-pvst
spanning-tree vlan 10,20 root primary
spanning-tree portfast default
spanning-tree bpduguard default

Modalità di guasto e risoluzione dei problemi

• Root bridge inaspettato a causa dell’uso della priorità predefinita; impostare esplicitamente le priorità a livello di root/distribution.
• Un disallineamento della VLAN nativa può trascinare le BPDU di controllo nella VLAN sbagliata. Allineare le VLAN native sui trunk.
• Link in fibra unidirezionali: Loop Guard è d’aiuto, ma considerare anche strumenti di monitoraggio fisico.

EtherChannel e distribuzione del carico

Funzionamento e protocolli

• EtherChannel aggrega link paralleli in un’unica interfaccia logica port-channel per aumentare la larghezza di banda e garantire un failover rapido. STP, tabelle MAC e routing vedono un singolo link.
• LACP (IEEE 802.1AX/802.3ad) è uno standard aperto; le modalità sono active/passive. PAgP è proprietario di Cisco; le modalità sono desirable/auto. La modalità on forza il bundling senza alcun protocollo — da usare solo quando entrambi i lati sono configurati in modo identico e statico.
• La coerenza tra le interfacce membro è obbligatoria: velocità/duplex, tipo di link (access o trunk), VLAN consentite e VLAN nativa, impostazioni STP, MTU e la modalità Layer 2 o Layer 3 devono corrispondere. Incoerenze portano alla sospensione delle interfacce membro o allo stato di errdisable.

Bilanciamento del carico

• La distribuzione del traffico si basa su un hashing per-flow su campi come MAC di origine/destinazione, IP o porte di Layer 4. Selezionare un algoritmo di hash che diversifichi il pattern di traffico tipico.
• Il bilanciamento del carico per-packet non è supportato a causa di problemi di ordinamento dei pacchetti; aspettarsi un utilizzo non uniforme in presenza di un numero ridotto di flussi.

Port-channel di Layer 2 vs Layer 3

• Layer 2: Creare il bundle sulle interfacce membro e sul Port-Channel con il comando switchport; quindi impostare gli attributi di access/trunk sull’interfaccia Port-Channel.
• Layer 3: Configurare no switchport sull’interfaccia Port-Channel, assegnare un indirizzo IP e aggiungere le interfacce membro. Utile per uplink routed a livello di distribution.

Esempi brevi

! LACP Layer 2 trunked port-channel
interface range Gi1/0/1-2
 channel-group 10 mode active
!
interface Port-channel10
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30

! Layer 3 port-channel
interface Port-channel20
 no switchport
 ip address 172.16.0.1 255.255.255.0

Errori comuni

• Un lato LACP, l’altro PAgP o on: il bundle non si formerà o si formerà in modo incoerente. Standardizzare su LACP per ambienti multivendor.
• Interfacce membro con diverse liste di VLAN consentite o VLAN native su un port-channel in modalità trunk causano blackhole inaspettati.
• Modificare le impostazioni delle interfacce membro invece di quelle del Port-Channel porta a rinegoziazioni e instabilità; applicare la configurazione al Port-Channel, non alle interfacce fisiche.

Igiene Operativa: VLAN Pruning, VTP e Isolamento dei Guasti

VLAN pruning

• Eseguire il pruning manuale con

! LACP Layer 2 trunked port-channel
interface range Gi1/0/1-2
 channel-group 10 mode active
!
interface Port-channel10
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30

! Layer 3 port-channel
interface Port-channel20
 no switchport
 ip address 172.16.0.1 255.255.255.0

per prevenire flooding non necessario sui trunk.

• Il VTP pruning (se si utilizza VTP) esegue il pruning automaticamente in base alla presenza delle VLAN, ma si basa su annunci accurati. Il pruning manuale è prevedibile e facile da auditare.

Consapevolezza e rischi del VTP

• Il VTP propaga il database delle VLAN attraverso un dominio. Modalità: server, client, transparent. Tutti gli switch in un dominio condividono un nome e un numero di revisione.
• Un dispositivo con un numero di revisione più alto e un database VLAN vuoto può cancellare le VLAN a livello di dominio quando viene aggiunto. La best practice è usare VTP in modalità transparent (o server con controlli rigorosi), impostare password e resettare la revisione quando si riutilizzano gli apparati.

Problemi di mismatch da tenere d’occhio

• Mismatch della VLAN nativa: produce leakage del piano di controllo e anomalie STP. Allineare la VLAN nativa su entrambe le estremità.
• Mismatch delle VLAN consentite sul trunk: causa raggiungibilità unidirezionale per VLAN specifiche.
• Mismatch DTP: la modalità dynamic auto-a-auto non forma un trunk; impostare esplicitamente la modalità sui link tra switch.
• Porta di accesso nella VLAN sbagliata: causa comune di isolamento dell’host. Verificare con

undefined

.

Prevenzione dei loop e isolamento dei guasti

• Combinare PortFast e BPDU Guard a livello di edge, Root Guard verso l’accesso dalla distribuzione e Loop Guard sugli uplink ridondanti non designati.
• Usare lo storm control per limitare il traffico broadcast/multicast sulle porte di accesso, riducendo il raggio d’impatto durante i guasti.
• Eseguire il troubleshooting con

undefined

per localizzare TCN e cambiamenti di ruolo/stato,

undefined

per lo stato di salute del bundle e

undefined

per confermare il learning. CDP/LLDP forniscono l’identità dei vicini e la mappatura delle porte quando il Layer 3 non è attivo.

Scenario Pratico

Northwind Textiles sta consolidando due edifici in un unico design di accesso e distribuzione per il campus. Requisiti: convergere rapidamente in caso di guasti ai link, supportare VLAN per utenti e per la voce, prevenire loop accidentali causati da dispositivi non gestiti e garantire un utilizzo bilanciato degli uplink ridondanti.

Approccio

1. Definire le VLAN e standardizzare la VLAN nativa

• Creare la VLAN 10 (Utenti) e la VLAN 20 (Voce). Riservare la VLAN 999 come nativa e mantenerla inutilizzata altrove. Configurare le porte di accesso con

undefined

,

undefined

e

undefined

.

• Motivazione: Una segmentazione chiara e una VLAN nativa dedicata prevengono il leakage di traffico non taggato e semplificano l’auditing. La Voice VLAN assicura che i telefoni tagghino il traffico e ricevano la QoS.

2. Costruire trunk 802.1Q deterministici con pruning

• Sui link tra accesso e distribuzione, impostare

undefined

,

undefined

,

undefined

e

undefined

.

• Motivazione: Il trunking esplicito evita l’ambiguità del DTP, una VLAN nativa coerente previene i mismatch e il pruning riduce il dominio di broadcast e la superficie di attacco.

3. Implementare Rapid PVST+ con controllo del root e protezioni a livello di edge

• Abilitare

undefined

. Impostare la coppia di switch di distribuzione come root primario/secondario usando

undefined

. Abilitare

undefined

e

undefined

sugli switch di accesso; applicare

undefined

verso l’accesso e

undefined

sugli uplink ridondanti.

• Motivazione: La convergenza rapida limita i tempi di disservizio. Il posizionamento del root stabilizza la selezione del percorso. Le protezioni a livello di edge prevengono i loop da dispositivi non gestiti e i guasti unidirezionali.

4. Aggregare gli uplink con EtherChannel LACP

• Raggruppare due o più link tra accesso e distribuzione usando

undefined

su entrambe le estremità. Configurare le interfacce Port-Channel come trunk con le stesse VLAN consentite e la VLAN nativa 999. Impostare il

undefined

del sistema su

undefined

.

• Motivazione: LACP fornisce una negoziazione basata su standard, una gestione rapida dei guasti dei membri e rileva le incoerenze. L’hashing sulle coppie di IP distribuisce il traffico eterogeneo degli utenti tra i link.

5. Implementare SVI di Layer 3 a livello di distribuzione per il routing inter-VLAN

• Sugli switch di distribuzione, abilitare

undefined

e creare SVI per le VLAN 10 e 20 con HSRP/VRRP per la ridondanza del gateway. Mantenere il livello di accesso puramente Layer 2.

• Motivazione: Il routing basato su hardware a livello di distribuzione scala il throughput, localizza i domini di guasto e semplifica l’applicazione delle policy e delle ACL vicino al core.

6. Rinforzare il comportamento dei trunk e del VTP

• Impostare tutti gli switch su

undefined

e configurare

undefined

sui trunk verso dispositivi di terze parti. Validare la simmetria delle VLAN native e consentite con comandi show e template.

• Motivazione: Elimina il rischio di cancellazioni dovute alla revisione VTP e previene il trunking DTP non intenzionale, preservando una topologia prevedibile e l’integrità delle VLAN.

7. Validare e monitorare

• Verificare i ruoli dello spanning tree con

undefined

, lo stato di salute dell’EtherChannel con

undefined

e il learning dei MAC per ogni VLAN. Abilitare il syslog per i TCN di STP e il ripristino da errdisable per BPDU Guard con cautela.

• Motivazione: La validazione continua rileva le deviazioni (drift) ed evidenzia precocemente i guasti di cablaggio o configurazione, minimizzando il tempo medio di riparazione (MTTR).

← Switching Ethernet e Inoltro di Livello 2 · Tutti i domini · Indirizzamento IPv4 →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →