Cisco 300-410: Indirizzamento Avanzato IPv4 e IPv6 — Guida allo studio

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

Fa parte della Cisco CCNP Enterprise 300-410 ENARSI — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

L’indirizzamento avanzato IPv4 e IPv6 è alla base di un routing stabile, un forwarding prevedibile, un’aggregazione scalabile e un comportamento sicuro del primo hop. Questa sezione spiega come vengono selezionati i prefissi, come i piani di indirizzamento scalano attraverso la summarization, come funzionano l’indirizzamento IPv6 e il Neighbor Discovery, cosa considerare per il dual-stack e la migrazione, e come verificare il forwarding. Evidenzia inoltre le modalità di guasto comuni e i compromessi, in modo che la progettazione e le operazioni possano convergere verso risultati affidabili.

Selezione delle rotte IPv4 e pianificazione scalabile degli indirizzi

• Longest prefix match (LPM): I router preferiscono sempre la rotta più specifica. Una rotta host /32 ha la precedenza su una /24, che a sua volta ha la precedenza su una /16, indipendentemente dal protocollo. Implicazione di progettazione: assicurarsi che esistano rotte specifiche dove l’ingegneria del traffico (traffic engineering) richiede precisione; altrimenti, la summarization potrebbe nascondere cambiamenti di raggiungibilità e causare percorsi non ottimali o black hole.
• Administrative distance (AD): Quando più sorgenti forniscono la stessa lunghezza di prefisso, vince la rotta con l’AD più basso (ad esempio, per impostazione predefinita: connected < static < eBGP < IGP < iBGP). Progettare con intenzione:
  • Usare rotte statiche flottanti (AD più alto) come fallback controllati dietro una rotta dinamica primaria.
  • Evitare sovrascritture involontarie; una rotta statica con AD basso può sopprimere silenziosamente un percorso appreso tramite IGP.
• Progettazione di rotte statiche:
  • Next-hop vs interfaccia in uscita: ip route 192.0.2.0 255.255.255.0 198.51.100.1 esegue una risoluzione ricorsiva ed è resiliente ai cambiamenti L2. ip route 192.0.2.0 255.255.255.0 GigabitEthernet0/0 può innescare ARP per pacchetto su segmenti multiaccesso e può inoltrare in modo errato se esistono più next-hop.
  • Guasti del link: Monitorare l’interfaccia o oggetti IP SLA per ritirare le rotte statiche di default durante le interruzioni a monte (upstream).
  • Protezione dalla summarization: Installare una rotta di scarto verso null0 che corrisponda alla rotta aggregata per prevenire loop quando mancano le rotte specifiche.
    • Esempio: ip route 10.16.0.0 255.255.0.0 Null0 250
• Variable-length subnet masks (VLSM): Allocare sottoreti dimensionate in base alla necessità. I vantaggi includono un utilizzo più elevato e un minor numero di prefissi se abbinati a una gerarchia. I rischi includono la frammentazione che ostacola la summarization.
• Summarization delle rotte:
  • Aggregare le rotte ai confini del livello di distribuzione o di core per limitare i domini di guasto e ridurre lo stato del control-plane.
  • I confini devono essere allineati su limiti binari (nibble) per mantenere l’aggregazione man mano che la rete cresce.
  • Compromesso: Le rotte aggregate possono nascondere il ritiro di rotte più specifiche, portando a black hole. Contrastare tramite:
    • Far trapelare (leak) le rotte specifiche critiche (ad es. per il traffic-engineering) e monitorare la raggiungibilità.
    • Usare eccezioni accurate basate sul longest-match o annunci condizionali legati a sonde di raggiungibilità.
• Scalabilità e sovrapposizione del piano di indirizzamento:
  • Allocazione gerarchica: riservare blocchi per sito/regione/ruolo. Prevenire indirizzamenti secondari e ad hoc che compromettono la summarization.
  • Evitare la sovrapposizione mantenendo un’unica fonte di verità (single source of truth) per le allocazioni e pre-riservando spazio per la crescita all’interno di ogni blocco.
  • La separazione di DMZ/Guest/Servizi semplifica le policy e riduce il raggio d’impatto (blast radius).

Tipi di indirizzi IPv6 e progettazione del piano

• Link-local (FE80::/10): Autoconfigurato, obbligatorio su ogni interfaccia, usato per il ND e per i next-hop di routing su un link. Non è instradabile; può essere l’unico indirizzo funzionante per le adiacenze di underlay. Nota operativa: Quando si utilizza un next-hop link-local in rotte statiche, è necessario specificare l’interfaccia in uscita.
• Global unicast (2000::/3): Instradabile su Internet; allocare gerarchicamente (ad esempio, /48 per sito, /64 per LAN). Preferire confini allineati al nibble (/48, /56, /60, /64) per semplificare le ACL e la summarization.
• Multicast (FF00::/8): Usato dal ND (solicited-node multicast), dai protocolli di routing e dai servizi. Assicurarsi che MLD e il control-plane policing tengano conto di questi gruppi in domini L2 densi.
• Anycast: Stesso indirizzo configurato su più nodi; il traffico viene consegnato all’istanza più vicina tramite il routing. Comunemente usato per gateway di primo hop e DNS ricorsivi. Modalità di guasto: Operativamente indistinguibile dall’unicast—documentare le posizioni e monitorare la raggiungibilità, altrimenti si rischia di fare troubleshooting sul nodo sbagliato.
• Unique local (FC00::/7): Non instradabile su Internet, univoco internamente. Utile per servizi interni e come identificatori stabili quando ci si aspetta una rinumerazione da parte del provider. Usare NPTv6 solo se è necessario preservare l’indirizzamento degli host attraverso i cambi di provider; comprendere che NPTv6 preserva la lunghezza del prefisso ma non la trasparenza dell’indirizzo end-to-end.
• Interface identifiers: Preferire metodi IID stabili e casuali (RFC 7217) rispetto a EUI-64 per ridurre l’esposizione della privacy. Per server e infrastruttura, usare IID numerati per semplificare OAM e ACL.

Neighbor Discovery IPv6, ICMPv6 e autoconfigurazione

• ICMPv6 è fondamentale per il control-plane:
  • I messaggi Router Solicitation (RS) e Router Advertisement (RA) gestiscono l’apprendimento del gateway predefinito e la determinazione on-link.
  • I messaggi Neighbor Solicitation (NS) e Neighbor Advertisement (NA) sostituiscono ARP; la raggiungibilità e il DAD dipendono da essi.
  • I messaggi di Redirect forniscono l’ottimizzazione del percorso del primo hop; considerare la loro disabilitazione nei segmenti sicuri.
• Duplicate Address Detection (DAD): Viene eseguito prima che un indirizzo diventi valido. Modalità di fallimento: VM o host con comportamenti anomali potrebbero rifiutare (NAK) indirizzi validi; registrare i fallimenti del DAD e mettere in quarantena i trasgressori tramite port-security o ND inspection.
• SLAAC vs DHCPv6:
  • SLAAC: Gli host formano gli indirizzi a partire dagli RA; il gateway predefinito proviene dall’RA. Vantaggi: nessuna dipendenza da un server, operatività semplice. Limitazioni: controllo centralizzato limitato; le opzioni DNS per gli host richiedono RDNSS negli RA o DHCPv6.
  • DHCPv6 stateless: Integra SLAAC con parametri (DNS, dominio), ma non con indirizzi. Flag RA: O=1, M=0.
  • DHCPv6 stateful: Il server assegna indirizzi e opzioni. Flag RA: M=1 (O può essere 0 o 1). Utilizzare dove sono richiesti audit e prenotazioni (server, dispositivi regolamentati).
• Progettazione del relay-agent:
  • Posizionare i server DHCPv6 centralmente; implementare il relay sui gateway L3 con ipv6 dhcp relay destination <server-address> [interface].
  • Assicurarsi che i relay seguano il percorso più breve verso i server e che le ACL dell’infrastruttura permettano UDP 546/547 e ICMPv6.
  • Modalità di fallimento: Il routing asimmetrico impedisce alla risposta (Reply) di raggiungere il relay; prefissi sovrapposti o tempeste di RA (RA storm) causano un ricambio continuo degli indirizzi (address churn); assicurarsi che solo i router designati emettano RA sui segmenti di accesso controllando i ruoli dei dispositivi.

Routing IPv6, sicurezza del primo hop, dual-stack e troubleshooting

• Rotte statiche IPv6:
  • Default: ipv6 route ::/0 GigabitEthernet0/0 fe80::1 (il next-hop link-local richiede l’interfaccia).
  • Next-hop ricorsivo con global unicast: ipv6 route 2001:db8:10::/48 2001:db8:ffff::1
  • Tracciare la raggiungibilità upstream con l’object tracking per ritirare le rotte di default quando il percorso del provider fallisce.
• Routing basato sull’origine (source-specific):
  • Le RIB classiche sono basate sulla destinazione; implementare l’inoltro basato sull’origine (source-aware) con IPv6 PBR o selezione VRF.
  • Esempio (IPv6 PBR):
    • ipv6 access-list SRC-SITEA permit ipv6 host 2001:db8:100::/64 any
    • route-map V6-SADR permit 10 match ipv6 address SRC-SITEA set ipv6 next-hop 2001:db8:1::1
    • interface GigabitEthernet0/1 ipv6 policy route-map V6-SADR
  • Nota: Il policy-based routing modifica l’inoltro senza alterare la tabella di routing. Testare attentamente la gestione dei guasti; alcune varianti di set default next-hop inoltrano il traffico anche se il next-hop non è risolto.
• Compromessi tra dual-stack, traduzione e migrazione:
  • Dual-stack: Esegue IPv4 e IPv6 in modo nativo. Pro: parità di protocollo, complessità di traduzione minima. Contro: raddoppia la scala del control-plane; le policy di sicurezza devono coprire entrambe le famiglie di protocolli.
  • Traduzione: NAT64/DNS64 permette ai client solo IPv6 di raggiungere server IPv4. Pro: accelera i livelli di accesso solo IPv6. Contro: non funziona con indirizzi IPv4 letterali, può avere un impatto sulle applicazioni che usano IP letterali o ALG.
  • Tunneling: Utile per domini limitati o quando l’underlay non supporta IPv6. Pro: abilitazione rapida. Contro: complessità di MTU/PMTUD, opacità operativa, overhead di incapsulamento aggiuntivo.
  • Guida alla migrazione: Preferire il dual-stack nel core e nella distribuzione; considerare l’accesso solo IPv6 con NAT64 per nuovi segmenti greenfield.
• Sicurezza del primo hop IPv6:
  • RA Guard: Blocca i RA (Router Advertisement) non autorizzati sulle porte di accesso; considerare attendibili solo gli uplink verso i router legittimi. Assicurarsi che la piattaforma supporti RA Guard con la consapevolezza degli extension-header per evitare bypass.
  • DHCPv6 Guard: Blocca i messaggi del server su porte non attendibili; considerare attendibili solo gli uplink verso server o relay DHCPv6 legittimi.
  • ND inspection: Apprende e protegge i binding per gli indirizzi SLAAC e DHCPv6, aiutando a prevenire lo spoofing ND e l’esaurimento della cache dei neighbor. Coordinare con la port-security per evitare falsi positivi durante il churn degli host.
• Verifica dell’indirizzamento e troubleshooting della ricerca delle rotte:
  • Convalidare l’indirizzamento dell’interfaccia e ND:
    • show ipv6 interface brief
    • show ipv6 neighbors
  • Verificare RIB/FIB per VRF:
    • show ip route vrf NAME
    • show ipv6 route vrf NAME
    • show ip cef exact-route SRCIP DSTIP
    • show ipv6 cef exact-route SRCv6 DSTv6
  • Confermare lo stato di RA/DHCPv6:
    • show ipv6 routers
    • show ipv6 dhcp interface
  • Test dei pacchetti con indirizzo sorgente esplicito:
    • ping ipv6 DESTINATION source INTERFACE
  • Errori comuni:
    • Il prefisso più lungo (longest prefix) sovrascrive sommari inattesi; verificare la presenza di rotte /32 o /128 propagate per errore (leaked).
    • Le rotte statiche che puntano a un’interfaccia non attiva rimangono finché il tracking non le rimuove.
    • In IPv6, non specificare un’interfaccia con un next-hop link-local risulta in una rotta non risolta.
    • Policy RA Guard/DHCPv6 Guard posizionate in modo errato possono bloccare messaggi di controllo legittimi; contrassegnare le porte dell’infrastruttura come attendibili (trusted).

Scenario Pratico

Contoso Manufacturing sta implementando IPv6 in due campus mantenendo i servizi IPv4. Richiedono un indirizzamento scalabile, un comportamento sicuro del primo hop, doppi uplink per ogni campus e una policy per indirizzare il traffico proveniente da VLAN specifiche verso ISP preferenziali.

1. Allocare blocchi IPv6 gerarchici

• Assegnare 2001:db8:100::/48 al Campus A e 2001:db8:200::/48 al Campus B. Suddividere ogni /48 in /56 per edificio e /64 per VLAN.
• Motivazione: I confini allineati ai nibble (nibble-aligned) consentono una sumarizzazione pulita a livello di distribuzione e core dei campus, semplificando le ACL e gli annunci delle rotte.

2. Implementare il dual-stack nel core e nella distribuzione

• Mantenere IPv4 e IPv6 sui link routed; OSPFv3 per IPv6 e OSPFv2 per IPv4, annunciando i sommari /48 tra i campus.
• Motivazione: L’inoltro nativo evita l’overhead dei tunnel e facilita il troubleshooting, consentendo al contempo un’abilitazione graduale di IPv6 sull’edge.

3. Usare SLAAC con DHCPv6 stateless per le VLAN utente; DHCPv6 stateful per i server

• Abilitare i RA con O=1, M=0 sulle SVI delle VLAN utente; eseguire DHCPv6 per le opzioni DNS e di dominio. Usare M=1 sulle VLAN dei server per assegnare indirizzi centralmente con prenotazioni.
• Motivazione: Gli utenti necessitano di agilità con un overhead operativo minimo; i server necessitano di un indirizzamento deterministico e verificabile.

4. Mettere in sicurezza il primo hop

• Applicare RA Guard e DHCPv6 Guard a tutte le porte di accesso; considerare attendibili solo gli uplink verso gli switch di distribuzione. Abilitare ND inspection sulle VLAN di accesso.
• Motivazione: Blocca i RA e i server DHCPv6 non autorizzati (rogue) che possono dirottare i gateway di default o avvelenare le cache dei neighbor; ND inspection costruisce binding legittimi per l’enforcement.

5. Configurare un routing di default IPv6 resiliente con next-hop link-local

• Sul core di ogni campus, installare due rotte di default tracciate:
  • ipv6 route ::/0 GigabitEthernet0/0 fe80::ISP1 track 10
  • ipv6 route ::/0 GigabitEthernet0/1 fe80::ISP2 5
• Motivazione: I next-hop link-local richiedono la specifica dell’interfaccia e rimangono stabili anche in caso di rinumerazione da parte del provider. Il tracking assicura un failover rapido al percorso secondario con una distanza amministrativa o metrica leggermente superiore.

6. Implementare l’indirizzamento di uscita (egress steering) basato sull’origine usando IPv6 PBR

• Sulle VLAN utente nell’Edificio A1, indirizzare il traffico verso ISP1; nell’Edificio A2, indirizzare verso ISP2:
  • route-map V6-STEER-A1 permit 10 match ipv6 address prefix-list A1-SOURCES set ipv6 next-hop 2001:db8:ISP1::1
  • route-map V6-STEER-A2 permit 10 match ipv6 address prefix-list A2-SOURCES set ipv6 next-hop 2001:db8:ISP2::1
  • Applicare le policy alle interfacce SVI corrispondenti.
• Motivazione: Le RIB standard prendono decisioni basate sulla destinazione; il PBR sovrascrive selettivamente l’inoltro senza modificare la tabella di routing globale. Questo permette di ottenere risultati simili a SADR per specifici blocchi di origine.

7. Summarizzare e proteggere con rotte di scarto (discard routes)

• Annunciare 2001:db8:100::/48 dal Campus A e installare ipv6 route 2001:db8:100::/48 Null0 250.
• Motivazione: Le sumarizzazioni riducono il churn del control-plane; la rotta di scarto previene i loop nel caso in cui una rotta più specifica venga ritirata inaspettatamente.

8. Verifica e operazioni continue

• Confermare il comportamento di RA e DHCPv6:
  • show ipv6 routers
  • show ipv6 dhcp interface
• Convalidare le tabelle dei neighbor e i binding:
  • show ipv6 neighbors
  • Comandi show di ND inspection specifici per la piattaforma
• Testare l’indirizzamento e la raggiungibilità:
  • ping ipv6 2001:db8:: target con la sorgente impostata sulle SVI delle VLAN A1 e A2
  • show ipv6 cef exact-route SRCv6 DSTv6 per verificare le decisioni del PBR
• Motivazione: I test con sorgente esplicita dimostrano l’apprendimento del gateway di default e la selezione del percorso PBR, mentre le ricerche CEF confermano il percorso di inoltro effettivo a line rate. Il monitoraggio continuo rileva precocemente le anomalie di RA/DHCP.

Tutti i domini · Progettazione →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →