Cisco 200-301: Progettazione e Operazioni di LAN Wireless — Guida allo studio

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Fa parte della Cisco CCNA 200-301 — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

Le WLAN enterprise connettono i client wireless alla rete cablata, soddisfacendo al contempo obiettivi di copertura, capacità, sicurezza e operatività. Progettare e gestire una WLAN robusta richiede la selezione di un’architettura appropriata, la comprensione del comportamento RF, l’applicazione di autenticazione e segmentazione forti e la validazione delle prestazioni sotto un carico di client reale. Questa sezione spiega le architetture, i percorsi di controllo e dei dati, la pianificazione RF e dei canali, i modelli di sicurezza, l’onboarding, il QoS per applicazioni sensibili alla latenza come la voce, e le operazioni pratiche e il troubleshooting.

Architetture WLAN, ruoli e percorsi di controllo/dati

Dominano tre modelli di implementazione:

AP autonomi (standalone): Ogni AP è configurato e gestito individualmente. Questo modello è adatto a siti di piccole dimensioni ma scala con difficoltà e complica il roaming, la gestione RF e l’applicazione coerente delle policy.
AP basati su controller (lightweight): Gli AP lightweight si uniscono a un Wireless LAN Controller (WLC) utilizzando CAPWAP, il successore standardizzato di LWAPP. Il controllo centralizzato elimina la configurazione per singolo AP e abilita la gestione RF dinamica, il roaming veloce e la coerenza delle policy.
AP gestiti dal cloud: La gestione e le policy di controllo vengono fornite da un servizio cloud, mentre il traffico dati dei client esce tipicamente in locale dall’AP. I vantaggi includono operazioni semplificate e visibilità globale; le dipendenze includono la raggiungibilità affidabile di Internet per la gestione.

Ruoli di WLC e AP:

Modalità degli AP: Local (switching centralizzato sul WLC), FlexConnect (switching locale con autenticazione e policy centralizzate; può continuare a servire i client se il WLC non è raggiungibile), monitor/sniffer (per analisi RF) e mesh/bridge.
CAPWAP: Utilizza UDP/5246 (controllo) e UDP/5247 (dati). In modalità Local, i dati dei client vengono incapsulati verso il WLC (percorso dati centralizzato). In modalità FlexConnect con local-switching, i dati dei client escono dalla porta dello switch dell’AP (percorso dati distribuito) mentre il controllo rimane centralizzato.
Disaggregazione del piano di controllo rispetto al piano dati: Il controller centralizza il controllo e la gestione (RF, policy, orchestrazione dell’autenticazione) mentre i dati possono essere centralizzati o locali, a seconda della modalità dell’AP.
Connettività e join: Un AP in modalità Local può essere collegato a qualsiasi dominio L2 e funzionare purché abbia raggiungibilità L3 verso un WLC. Il discovery utilizza comunemente l’Opzione 43 di DHCP, il DNS (CISCO-CAPWAP-CONTROLLER) o IP statici del controller.
Alta disponibilità: I WLC utilizzano spesso la link aggregation (LAG) verso gli switch upstream; qualsiasi singola porta funzionante nel bundle può trasportare il traffico dei client, quindi la perdita di tutti i link tranne uno preserva comunque il servizio. Le coppie di WLC in SSO minimizzano l’impatto sui client durante il failover.

Modalità di guasto comuni e mitigazioni:

CAPWAP bloccato da ACL o firewall (UDP/5246–5247). Validare il path MTU e consentire la frammentazione se necessario.
Disallineamenti del dominio normativo o del codice che impediscono il join dell’AP. Standardizzare le immagini e i domini.
Problemi di certificato o di sfasamento temporale (time skew) durante l’autenticazione reciproca. Assicurare un NTP accurato e la fiducia nella catena di certificati del dispositivo.
Lo switching centralizzato crea colli di bottiglia sui link WAN; considerare lo switching locale FlexConnect per le sedi remote.

Mappatura SSID-VLAN:

Switching centralizzato: L’SSID mappa su un’interfaccia/VLAN sul WLC; il traffico dei client attraversa il tunnel CAPWAP per raggiungere quella VLAN sul controller.
Switching locale FlexConnect: L’SSID mappa direttamente su una VLAN locale sulla porta dello switch dell’AP. RADIUS può assegnare dinamicamente le VLAN per utente o per gruppo.

RF, canali, capacità e roaming

Identificatori e airtime:

L’SSID identifica la WLAN; ogni radio dell’AP crea un BSSID (MAC) per radio per ogni SSID. Un numero maggiore di SSID aumenta l’overhead dei beacon; mantenerne circa quattro o meno per banda.
Bande radio: 2.4 GHz (portata maggiore, solo tre canali non sovrapposti da 20 MHz: 1, 6, 11) e 5 GHz (portata minore, capacità superiore, con fino a 23 canali non sovrapposti da 20 MHz a seconda del dominio normativo e della disponibilità DFS). Usare preferenzialmente i 5 GHz per capacità e voce.
Ampiezza del canale: I canali da 20 MHz offrono la migliore densità e la minima contesa sullo stesso canale; 40/80 MHz migliorano il throughput di picco ma riducono il riutilizzo dei canali e aumentano il rischio di interferenza. Per ambienti enterprise e voce, si raccomandano tipicamente i 20 MHz.

Interferenza e contesa:

Contesa sullo stesso canale (CCI): Gli AP sullo stesso canale devono condividere l’airtime; la capacità diminuisce all’aumentare dei dispositivi che trasmettono. Mitigare riutilizzando canali non sovrapposti e riducendo/allineando le dimensioni delle celle.
Interferenza su canali adiacenti (ACI): Canali sovrapposti o aggregati (bonded) “sconfinano” l’uno nell’altro; evitare pianificando correttamente l’ampiezza e l’allineamento dei canali.
Interferenti esterni: Forni a microonde, Bluetooth, telefoni cordless, telecamere analogiche e WLAN vicine. Utilizzare l’analisi dello spettro per localizzarli e mitigarli.
Canali DFS: Forniscono capacità aggiuntiva a 5 GHz ma possono essere liberati in caso di rilevamento di radar; considerarli per il traffico dati ma pianificare attentamente per le aree critiche per la voce.

Best practice quando si aggiungono celle di copertura:

Usare canali non sovrapposti per celle sovrapposte (1/6/11 a 2.4 GHz; pianificare set di riutilizzo per i 5 GHz).
Preferire i 5 GHz per aumentare la capacità grazie al suo ampio set di canali non sovrapposti.

Potenza, velocità e RRM:

Allineare la potenza di trasmissione in modo che le celle adiacenti abbiano un RSSI simile ai bordi; puntare a una sovrapposizione del 15-20% ai bordi delle celle per il roaming.
Disabilitare le velocità di trasmissione (data rate) più basse e legacy per ridurre i “client appiccicosi” (sticky client) e l’overhead di beacon/gestione; impostare le velocità minime per i client per bilanciare copertura e capacità.
Abilitare RRM/Auto RF in modo che il sistema misuri il rumore e il carico, quindi assegni dinamicamente canali e potenza per ridurre la contesa.

Roaming:

Incoraggiare il roaming con band steering/Band Select per spostare i client dual-band sulla banda a 5 GHz.
Usare 802.11k (report sui vicini), 802.11v (roaming assistito dalla rete) e 802.11r (fast BSS transition) per ridurre il tempo di roaming per le applicazioni sensibili alla latenza.
Pianificare i domini L2 per consentire il roaming L2 dove possibile; per il roaming L3, assicurarsi che il mobility tunneling supporti una transizione senza interruzioni.

Sicurezza, Segmentazione e Onboarding

Sicurezza WLAN:

WPA2‑PSK (personal): Implementazione semplice con un segreto condiviso; il rischio operativo è la condivisione della chiave. Ruotare le PSK o utilizzare PSK per utente (DPSK) dove supportato.
WPA2/WPA3‑Enterprise (802.1X): Chiavi per sessione tramite EAP con un server RADIUS. WPA3 introduce SAE per la modalità personal e ciphersuite più robuste, oltre a Protected Management Frames obbligatori; utilizzare le modalità di transizione con cautela per mantenere la compatibilità.
Non consentire WEP e TKIP; richiedere AES‑CCMP o il GCMP di WPA3.

AAA e RADIUS:

802.1X controlla l’accesso tramite supplicant, authenticator (AP/WLC) e server RADIUS. L’autenticazione (Authentication) identifica gli utenti; l’autorizzazione (Authorization) applica ruoli/VLAN; l’accounting traccia l’utilizzo.
L’assegnazione dinamica di VLAN e gli ACL scaricabili (downloadable ACLs) possono segmentare utenti/gruppi in base alle policy.
TACACS+ è tipicamente usato per l’amministrazione dei dispositivi; RADIUS è preferito per l’accesso alla rete (unisce authN e authZ). Utilizzare RADIUS per WLAN 802.1X.

Accesso guest e segmentazione:

Utilizzare un SSID guest dedicato, mappato su una VLAN guest e un percorso di uscita verso firewall/Internet. Applicare l’isolamento client (client isolation), limiti di banda (rate limits) e autenticazione web/captive portal secondo necessità.
Le architetture di mobilità con anchor (Anchor mobility designs) possono terminare il traffico guest su un controller residente in DMZ.

Onboarding e troubleshooting:

Validare la raggiungibilità del server RADIUS, i segreti condivisi e le catene di fiducia dei certificati (cert trust chains). La sincronizzazione dell’orario è obbligatoria per EAP‑TLS e per la validazione dei certificati.
Controllare discrepanze nelle policy WLAN (WPA2 vs WPA3), PSK errate o requisiti PMF.
Verificare lo scope DHCP per la VLAN dei client e che gli ACL permettano il traffico DHCP/DNS.
Sicurezza della gestione: abilitare HTTPS sui controller; questi generano certificati autofirmati (self‑signed) locali per la UI web—sostituirli con certificati firmati da una CA per l’ambiente di produzione.

Breve esempio di 802.1X cablato su una porta di accesso (utile per l’enforcement perimetrale con bridge wireless o guest cablati):

undefined

Implementazione, QoS e convalida operativa

Posizionamento e capacità degli AP:

Eseguire un’indagine del sito (predittiva e in loco) per posizionare gli AP in modo che si raggiungano i valori target di RSSI e SNR in tutte le aree. Target tipico per i dati: ≥‑67 dBm e SNR ≥25 dB; target per la voce: ≥‑65 dBm e SNR ≥25 dB con canali da 20 MHz.
Pianificare la capacità: stimare i client simultanei per cella, il loro mix di applicazioni e l’airtime richiesto. Evitare di sovrappopolare gli SSID; ogni SSID aggiuntivo aggiunge beacon e overhead.

Switching, VLAN e PoE:

Configurare in trunk gli uplink verso i WLC e consentire le VLAN dei client per le WLAN gestite in modo centralizzato (centrally switched). Per lo switching locale FlexConnect, assicurarsi che la porta dello switch a cui è connesso l’AP fornisca le VLAN necessarie.
Prevedere un budget PoE/PoE+ per gli AP dual-radio con stream spaziali multipli e per funzionalità future. Convalidare la negoziazione LLDP/802.3at.
Vincoli WAN: se i siti remoti effettuano il backhaul verso il data center su collegamenti a banda stretta (ad esempio, T1 a 1,544 Mbps), evitare il tunneling centrale dei dati per le WLAN ad alto volume; utilizzare il breakout locale e limitare (throttle) il traffico guest.

QoS wireless e voce:

Abilitare WMM (802.11e) e mappare i valori DSCP sulle priorità utente (user priorities) in modo che la voce sia contrassegnata come EF->UP6 e trattata con una priorità di contesa più alta.
Utilizzare il Call Admission Control (CAC/TSPEC) per limitare il numero di chiamate simultanee per radio. Mantenere l’ampiezza del canale a 20 MHz per la voce.
Ottimizzare i data rate minimi, gli intervalli DTIM e il bilanciamento del carico (load-balancing) in modo che i client effettuino il roaming in modo proattivo e il buffering in modalità PS (Power Save) non degradi la qualità della chiamata.
Roaming veloce: abilitare 802.11r/k/v sugli SSID dedicati alla voce, verificare la compatibilità dei dispositivi (handset) e impostare le soglie di roaming (ad es., indirizzare i client al roaming quando l’RSSI scende al di sotto di circa -70 dBm).

Convalida operativa:

Verifiche del Day 1: stato di join degli AP, convergenza di RRM, distribuzione di canali/potenza, mappatura delle VLAN dei client, raggiungibilità di DHCP/DNS, log AAA e stato di HA/LAG del WLC.
KPI di stato (Health KPIs): SNR, tasso di ritrasmissione (retry rate), utilizzo del canale, metriche di esperienza del client (latenza, jitter, MOS per la voce) e tempo di roaming.
Isolamento dei guasti:
- Join dell’AP: confermare CAPWAP UDP/5246–5247, discovery del controller, certificati e corrispondenza del codice/dominio normativo (regulatory).
- Autenticazione: mancate corrispondenze della PSK; timeout di RADIUS; certificati non validi; metodo EAP errato; utente disabilitato.
- Indirizzamento: errori di tagging VLAN, esaurimento del pool DHCP o errata configurazione dell’helper.
- RF: eventi DFS che causano cambi di canale; CCI elevata dovuta a un cattivo riutilizzo delle frequenze; interferenti non Wi-Fi—utilizzare l’analisi dello spettro.
- Throughput: numero eccessivo di SSID, channel bonding in aree dense o tunneling centrale su collegamenti vincolati.
- Infrastruttura: membro del LAG del WLC non funzionante—assicurarsi che almeno un collegamento nel bundle rimanga attivo per far passare il traffico dei client.

Scenario pratico

Le cliniche ACME Health si stanno espandendo da 10 a 25 sedi e segnalano voce a scatti su Wi-Fi, client “appiccicosi” (sticky clients) sulla banda a 2,4 GHz e frequenti fallimenti di autenticazione nelle cliniche remote con backhaul su collegamenti WAN a bassa larghezza di banda.

Approccio:

Riprogettare i percorsi dati degli AP per le sedi remote utilizzando lo switching locale FlexConnect.

Motivazione: il tunneling centrale stava saturando le WAN a bassa velocità con i dati dei client. FlexConnect mantiene la policy e l’autenticazione centralizzate, mantenendo al contempo i dati a livello locale, impedendo al traffico voce e guest di consumare la scarsa larghezza di banda della WAN.

Riprogettare l’RF con preferenza per i 5 GHz e canali da 20 MHz ovunque.

Motivazione: la banda a 5 GHz offre molti canali non sovrapposti e minori interferenze. La configurazione di canali da 20 MHz massimizza il riutilizzo e riduce la contesa sullo stesso canale (co-channel contention), un aspetto critico per la voce. Abilitare il Band Select per indirizzare i client dual-band verso i 5 GHz.

Implementare RRM con pianificazione della potenza vincolata e del riutilizzo; ridurre gli SSID per banda a quattro o meno.

Motivazione: RRM assegnerà dinamicamente canali e potenza in base al carico dei client e al rumore, ma limitare i livelli di potenza mantiene le celle coerenti per un roaming prevedibile. Un minor numero di SSID riduce l’overhead dei beacon, migliorando l’airtime per le chiamate.

Abilitare il roaming veloce (802.11k/v/r) e impostare le soglie di roaming.

Motivazione: i dispositivi voce devono effettuare il roaming rapidamente. I neighbor report e la fast BSS transition riducono i tempi di handoff; le soglie di roaming prevengono il comportamento “appiccicoso” (sticky behavior) attivando le decisioni di roaming prima che la qualità del segnale si degradi.

Rafforzare la sicurezza con WPA2-Enterprise o WPA3-Enterprise e RADIUS, oltre all’assegnazione dinamica delle VLAN per il personale rispetto ai collaboratori esterni; isolare gli ospiti (guest).

Motivazione: 802.1X fornisce chiavi per sessione e un’autenticazione forte, mentre l’assegnazione di VLAN e l’isolamento dei client segmentano il traffico. L’SSID guest viene mappato su un’uscita Internet locale con limiti di velocità (rate limits) per proteggere le WLAN aziendali.

Convalidare i servizi AAA e di sincronizzazione oraria; correggere i problemi relativi a EAP e ai certificati.

Motivazione: i fallimenti di autenticazione derivano spesso dalla raggiungibilità di RADIUS, da mancate corrispondenze della shared secret o da disallineamenti dell’orologio (clock skew) che compromettono EAP-TLS. Assicurare la presenza di NTP su WLC/AP e server di identità, e verificare gli elenchi dei server RADIUS e le chiavi.

Applicare la QoS wireless con WMM e CAC; allineare la QoS cablata.

Motivazione: dare priorità ai frame voce nell’etere (in the air) e rispettare i valori DSCP lungo i percorsi di switch/router preserva la qualità della chiamata end-to-end. Il CAC limita le chiamate simultanee per radio per evitare la sovrascrizione (oversubscription).

Condurre una convalida in loco e un’analisi dello spettro.

Motivazione: misurare SNR, utilizzo del canale, tassi di ritrasmissione e tempi di roaming con dispositivi reali (handset). Utilizzare un analizzatore di spettro per localizzare interferenti non Wi-Fi e modificare i piani dei canali o mitigare le fonti di interferenza.

Garantire l’alta disponibilità (high availability) del WLC e la resilienza del LAG negli hub.

Motivazione: i controller forniscono un’orchestrazione centralizzata; le coppie in SSO riducono i tempi di inattività. Con il LAG abilitato, il traffico dei client continua anche se tutti i collegamenti fisici tranne uno si guastano, prevenendo le interruzioni delle chiamate vocali durante guasti parziali dei collegamenti.

Implementare monitoraggio e avvisi per eventi DFS, join degli AP, fallimenti AAA e KPI della voce.

Motivazione: il rilevamento precoce di cambiamenti RF, anomalie di autenticazione o superamento delle soglie di capacità consente una risoluzione proattiva prima che gli utenti subiscano un degrado del servizio.

← Servizi IP · Tutti i domini · Sicurezza di Rete e Controllo degli Accessi →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

Supera l'esame →