Cisco 300-410: Servizi di Rete, Resilienza e Operazioni — Guida allo studio

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

Fa parte della Cisco CCNP Enterprise 300-410 ENARSI — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

Questa sezione tratta gli elementi operativi fondamentali che mantengono le reti instradate disponibili, debuggabili e sicure: ridondanza del primo hop, sondaggio attivo del percorso e rilevamento rapido dei guasti, funzioni del piano di servizio (DHCP relay, NTP, DNS, telemetria), AAA per l’amministrazione sicura, automazione guidata dagli eventi, meccanismi di sicurezza per la configurazione e un ciclo di vita operativo per il monitoraggio e la risoluzione dei problemi. Vengono evidenziate le scelte di progettazione, le interazioni del piano di controllo e le modalità di guasto comuni per consentire operazioni resilienti su larga scala.

Ridondanza del Primo Hop e Rilevamento Rapido dei Guasti

I protocolli di ridondanza del primo hop (FHRP) forniscono un default gateway stabile nei segmenti LAN.

• HSRP: Utilizza un IP virtuale con un MAC virtuale 0000.0c07.acXX. Priorità 0–255, la più alta vince. La preemption è disabilitata di default; abilitare la preempt per riprendere il ruolo attivo quando il router a priorità più alta si ripristina. Il tracciamento dell’interfaccia e degli oggetti (object tracking) sottrae valore alla priorità per forzare il failover in caso di guasti parziali (ad esempio, perdita dell’uplink WAN).
• VRRP: Utilizza un MAC virtuale 0000.5e00.01XX. Il proprietario dell’IP virtuale è master di default. La preemption è di fatto attiva di default (a differenza di HSRP). Tracciare oggetti tramite estensioni della CLI per declassare il master in caso di guasti.
• GLBP: Distribuisce il carico del default gateway degli host tra gli Active Virtual Forwarder (AVF), coordinati da un AVG che utilizza MAC virtuali per ogni AVF (0007.b4XX.XX). La ponderazione (weighting) e il tracciamento rimuovono un AVF quando il suo stato di salute si degrada; attenzione che una ponderazione mal configurata può causare oscillazioni in condizioni di instabilità (flapping).

Note di progettazione:

• Abilitare la preemption con un ritardo per evitare instabilità (churn) durante brevi periodi di malfunzionamento.
• Allineare i timer hello/hold di FHRP con le aspettative di rilevamento a monte per evitare buchi neri (black hole) transitori.
• Tracciare la raggiungibilità a monte con IP SLA, non solo lo stato dell’interfaccia, per rilevare guasti silenti oltre il dominio L2/L1.

Esempio di HSRP con object tracking:

• interface Vlan10 standby 10 ip 10.10.10.1 standby 10 priority 110 standby 10 preempt delay minimum 30 standby 10 track 1 decrement 30
• track 1 ip sla 10 reachability
• ip sla 10 icmp-echo 198.51.100.1 source-interface GigabitEthernet0/0 frequency 5
• ip sla schedule 10 life forever start-time now

Il Bidirectional Forwarding Detection (BFD) accelera il rilevamento dei guasti del percorso indipendentemente dai protocolli di routing.

• Modalità: Asincrona con echo opzionale; single-hop (per IGP, eBGP su connessioni dirette) e multi-hop (per iBGP). Usare la modalità echo dove è presente l’offload hardware; altrimenti, mantenere i timer conservativi.
• Timer tipici: 50 ms per trasmissione/ricezione, moltiplicatore di 150 ms, scelti in base alle capacità dell’hardware. Valori troppo aggressivi possono causare falsi positivi e un elevato utilizzo della CPU.
• Interazione con il routing:
  • OSPF: bfd sulle interfacce; l’interruzione della relazione di vicinanza (neighbor) segue lo stato down di BFD, portando a una convergenza inferiore a 200 ms quando i throttle di SPF sono ottimizzati.
  • EIGRP: bfd per interfaccia o in modalità ’named’; l’adiacenza si resetta rapidamente in caso di guasto BFD; assicurarsi che i K-value e gli ASN corrispondano per poter formare l’adiacenza.
  • BGP: il comando neighbor fall-over bfd richiede la configurazione su entrambi i lati; per iBGP multi-hop, configurare BFD multi-hop.
• Modalità di guasto: Disallineamenti dell’MTU in OSPF bloccano i neighbor allo stato ExStart/Exchange; correggere l’MTU dell’interfaccia per abilitare lo scambio dei DBD. Evitare BFD su percorsi asimmetrici o con NAT; BFD multi-hop non attraversa il NAT in modo affidabile.

IP SLA, Object Tracking e Comportamento Condizionale del Piano di Controllo

IP SLA genera sonde sintetiche per valutare la raggiungibilità e le prestazioni (ICMP echo, UDP jitter, TCP connect, HTTP, DNS). Gli oggetti tracciati (track objects) legano i risultati di SLA alle decisioni di routing e FHRP.

Pattern comuni:

• Tracciamento di rotta statica: ip route 0.0.0.0 0.0.0.0 203.0.113.1 track 10 per ritirare una rotta di default quando la sonda verso il target di health check dell’ISP fallisce.
• Tracciamento HSRP/GLBP: ridurre la priorità/ponderazione per forzare il failover del gateway quando la raggiungibilità a monte si degrada.
• Il policy-based routing con set ip next-hop verify-availability utilizza il tracciamento per deviare il traffico solo quando il next-hop è verificato come attivo.

Comportamento condizionale di BGP:

• Preferire l’ISP con latenza inferiore quando entrambi sono attivi aumentando il LOCAL_PREF in ingresso dal peer preferito. LOCAL_PREF è l’attributo corretto per influenzare la selezione del percorso in uscita a livello di intera rete.
• Evitare “buchi neri” (black hole) nelle route-map. Quando si imposta selettivamente la local-preference, includere un’istruzione permit finale per consentire il passaggio di tutte le altre rotte:
  • route-map SETLP permit 10 match ip address prefix-list PRIMARY-PFX set local-preference 200
  • route-map SETLP permit 20 Senza permit 20, le rotte non corrispondenti vengono negate e la sessione appare attiva ma non installa alcun prefisso.
• Annuncio condizionale: neighbor X advertise-map BACKUP exist-map PRIMARY fa sì che BACKUP venga annunciato solo quando PRIMARY non esiste più. Validare l’esistenza della rotta rispetto alla RIB corretta (AFI/SAFI) e prestare attenzione ai tempi durante eventi di instabilità (flap).

RPF/uRPF e tracciamento:

• La validazione della sorgente con ip verify unicast source reachable-via rx è la modalità “strict” e può scartare traffico valido durante ricerche transitorie nella FIB. Per prevenire la perdita di pacchetti quando una ricerca di rotta fallisce temporaneamente, usare ip verify unicast source reachable-via any (modalità “loose”) e integrare con eccezioni ACL dove necessario.

Servizi di Rete e Amministrazione Sicura

Servizi principali:

• Relay DHCP: ip helper-address su una SVI di Livello 3 inoltra i broadcast BOOTP/DHCP come unicast. L’inserimento dell’Opzione 82 abilita policy per singolo circuito; assicurarsi che il server consideri attendibili le informazioni dell’agente di relay. Nelle VRF, usare ip helper-address vrf NOME e verificare il routing di ritorno.
• NTP: Implementare server ridondati e autenticati; preferire NTPv4 con chiavi di autenticazione; evitare l’asimmetria client/server che introduce cambiamenti di orario repentini (step changes). Verificare la stabilità dell’orologio prima di abilitare operazioni PKI.
• DNS: ip name-server con resolver multipli; abilitare DNS guard per la sicurezza. Per flussi sensibili alla latenza, considerare l’uso di resolver di caching locali on-site.
• SNMP: Usare SNMPv3 con authPriv; limitare le view e gli indirizzi di origine. Preservare gli indici delle interfacce tra i riavvii con snmp-server ifindex persist per mantenere stabili le mappature di monitoraggio dopo modifiche hardware o di line card.
• Syslog: Impostare facility e severity appropriate; inviare a collector ridondati tramite TCP o TLS, se supportato. Allineare le aspettative del parser per i dati strutturati; includere numeri di sequenza e timestamp con fuso orario/UTC.
• NetFlow/IPFIX e telemetria model-driven: Esportare verso i collector usando v9/IPFIX; applicare il campionamento (sampling) su interfacce ad alto throughput. Per lo streaming quasi in tempo reale, usare la telemetria model-driven di tipo dial-out (gRPC/gNMI sulle piattaforme che la supportano) con codifica scalabile. Bilanciare la granularità con la capacità del collector.

Protezione del control-plane:

• CoPP: Applicare la service-policy sotto il control-plane, non sulle interfacce dati. Spostare la policy dall’input dell’interfaccia al control-plane assicura che il policing della CPU sia applicato correttamente ed evita cadute di traffico utente non intenzionali.
• Autenticazione MPLS/LDP: Usare MD5 (TCP-AO dove disponibile) sulle sessioni LDP per prevenire l’inserimento di LSR non autorizzati (rogue). Allo stesso modo, proteggere OSPF/EIGRP con l’autenticazione e allineare le aree/ASN e i K-value.

AAA e amministrazione sicura:

• Usare TACACS+ per l’autorizzazione dei comandi e l’accounting; RADIUS per l’accesso alla rete e l’autenticazione al login; implementare entrambi con alta disponibilità e ridondanza a livello di rete.

• Liste di metodi (method lists) con fallback locale:

undefined

undefined

undefined

Se un gruppo di server è stato creato con il tipo di protocollo errato, correggerlo (

undefined

) e collegare il server radius definito per nome (

undefined

).

• Limitare l’accesso di gestione con ACL per-VTY, solo SSH, exec-timeout e viste CLI basate sui ruoli (role-based). Archiviare in modo sicuro le shared secret di SNMP, RADIUS e TACACS+. Per IPv6, implementare RA Guard e ND inspection; ND inspection apprende e protegge i binding SLAAC a Livello 2 per prevenire lo spoofing.

VRF e spostamento di interfacce:

• Cambiare la VRF su un’interfaccia cancella l’indirizzamento IP. Eseguire la sequenza corretta:

undefined

undefined

undefined

undefined

Ciclo di Vita di Operazioni, Monitoraggio e Risoluzione dei Problemi

Misure di sicurezza per la configurazione:

• Archiviare le configurazioni su storage remoto (archive, path, time-period). Usare

undefined

per ripristinare un checkpoint funzionante; validare il delta di

undefined

su piattaforme che supportano configurazioni candidate. Coordinare con le finestre di manutenzione e l’accesso out-of-band (OOB). Mantenere le variabili di avvio sincronizzate con le immagini; verificare gli store PKI dopo gli aggiornamenti.

Controllo delle modifiche e ripristino:

• Pre-modifica: mappatura delle dipendenze, criteri di fallimento e piano di ripristino (backout plan). Durante la modifica: rollout graduale (staged rollout), controlli di integrità (health checks) e conferma della telemetria. Post-modifica: snapshot dello stato finale, aggiornamento della documentazione e chiusura delle eccezioni di monitoraggio.
• Ripristino rapido: metodi di ricaricamento a caldo (warm reload), ISSU dove supportato e rollback strutturato con finestre di tempo basate sul rischio (ad esempio,

undefined

pianificato in X minuti annullato in caso di successo).

Baseline di monitoraggio e allarmi:

• Baseline: percentili di utilizzo dei link, perdita/latenza/jitter per classe, CPU del control-plane, conteggio delle adiacenze, errori di interfaccia, instabilità delle rotte (route churn), stabilità delle sessioni BFD e volume dei syslog.
• Soglie: soglie statiche per limiti rigidi (CPU > 85%), dinamiche per la deviazione (3 volte la deviazione standard su 15 min). Progettare allarmi multi-segnale per ridurre il rumore (ad esempio, instabilità della sessione BFD più picco di CRC più interfaccia down).
• Analisi della causa radice (RCA): correlare dati allineati nel tempo: modifiche alla topologia, tabelle di routing, spostamenti di flusso e log. Etichettare gli eventi causali (taglio della fibra) e i sintomi dipendenti (ritiro dei prefissi).

Risoluzione dei problemi a più livelli e validazione del percorso dei pacchetti:

• Iniziare dal sintomo dell’utente; verificare L1/L2 (errori, MTU), poi la raggiungibilità L3 (ping con flag DF, traceroute), poi il control-plane (neighbor, LSDB/adiacenze), infine il data-plane (adiacenza CEF, NetFlow, EPC se disponibile).
• Blocchi noti:
  • I virtual link OSPF richiedono una transit area normale; le aree NSSA/stub manterranno il virtual link in stato down.
  • Un processo OSPF bloccato in stato ExStart indica spesso un disallineamento della MTU.
  • L’adiacenza EIGRP fallisce con ASN o K-value non corrispondenti.
  • Loop di redistribuzione: etichettare le rotte durante la redistribuzione e filtrarle al rientro. Esempio: negare il tag 100 quando si redistribuisce nuovamente in OSPF.
• Validare l’intento BGP: controllare LOCAL_PREF, AS_PATH e gli stati di annuncio condizionale. Confermare che la logica di

undefined

/

undefined

sia allineata con la presenza effettiva nella RIB.

Resilienza operativa e miglioramento post-incidente:

• Costruire una difesa a più livelli (defense-in-depth): gateway FHRP dual-homed, IGP/BGP supportati da BFD, tracking basato su IP SLA, CoPP e AAA con fallback locale. Testare regolarmente i runbook di failover e ripristino.
• Post-incidente: condurre analisi post-mortem senza colpe (blameless postmortems), documentare le tempistiche, identificare le cause primarie e quelle contribuenti, implementare azioni correttive (protezioni sulla configurazione, sonde migliorate, soglie aggiustate) e misurare i risultati in esercitazioni future.

Scenario Pratico

Acme Health gestisce due uplink WAN per sito: un ISP-A a bassa latenza e un ISP-B satellitare ad alta latenza per il backup. HSRP fornisce ridondanza del gateway sulle VLAN utente. Durante un’interruzione precedente, il traffico è passato su ISP-B ma non è tornato su ISP-A al momento del ripristino, e gli allarmi di monitoraggio hanno avuto un picco a causa delle modifiche degli indici di interfaccia dopo un aggiornamento dello chassis.

Approccio:

1. Stabilizzare il comportamento del primo hop con preemption e tracking.

• Configurare HSRP con

undefined

e tracking tramite IP SLA di un target per verificare lo stato di ISP-A. Motivazione:

undefined

assicura che il gateway a priorità più alta riprenda il ruolo attivo dopo il ripristino; il tracking basato su SLA rileva la raggiungibilità upstream, non solo il carrier del link, prevenendo i black hole.

2. Preferire ISP-A per il traffico in uscita (egress) con BGP LOCAL_PREF e annunciare il backup in modo condizionale.

• Applicare una route-map in ingresso (inbound) sul neighbor ISP-A per impostare un LOCAL_PREF più alto su prefissi designati; includere un

undefined

finale per evitare di sopprimere rotte non correlate. Usare

undefined

verso peer selezionati. Motivazione: LOCAL_PREF indirizza in modo deterministico il traffico in uscita quando entrambi gli ISP sono attivi; il

undefined

finale evita la perdita involontaria di rotte; l’annuncio condizionale annuncia le rotte di backup solo quando quelle primarie vengono ritirate.

3. Accelerare il rilevamento dei guasti con BFD associato a IGP e BGP.

• Abilitare BFD sulle interfacce OSPF/EIGRP e sui neighbor BGP, usando timer di 50/150 ms dove supportato. Motivazione: il rilevamento sub-secondo riduce drasticamente il tempo di convergenza; timer coerenti riducono il failover asimmetrico. Verificare che BFD multi-hop sia usato per iBGP ed evitare percorsi che attraversano NAT.

4. Rafforzare i piani di controllo e gestione (control e management plane).

• Spostare CoPP dall’associazione all’interfaccia a una service-policy sul control-plane. Abilitare SNMPv3 e

undefined

. Proteggere le sessioni LDP con MD5 dove viene utilizzato MPLS. Motivazione: CoPP protegge la CPU solo sotto il control-plane;

undefined

persistente preserva la continuità del monitoraggio; l’autenticazione LDP contrasta gli LSR non autorizzati (rogue LSR).

5. Garantire AAA con fallback resiliente per l’accesso remoto.

• Definire correttamente un gruppo di server RADIUS e associare il server per nome; creare una lista di metodi di login con fallback locale e applicarla alle VTY. Motivazione: un raggruppamento corretto assicura che il dispositivo interroghi effettivamente RADIUS; il fallback locale preserva l’accesso durante le interruzioni di RADIUS/ISE.

6. Validare l’igiene del routing e la validazione multicast/sorgente.

• Per i punti di redistribuzione, etichettare le rotte e filtrare il loro rientro per evitare loop. Dove è richiesto uRPF, usare

undefined

(loose mode) sui bordi WAN con routing complesso per prevenire la perdita di pacchetti durante fallimenti transitori di lookup. Motivazione: il tagging previene i feedback; uRPF in modalità loose bilancia la sicurezza con la stabilità operativa.

7. Strumentare e automatizzare per un rilevamento e un ripristino rapidi.

• Creare baseline di latenza e perdita per ogni link; impostare allarmi basati sulla deviazione. Inviare telemetria in streaming per le sessioni BFD e lo stato HSRP. Implementare un applet EEM con un pattern

undefined

per attivarsi al cambio di stato di HSRP e catturare automaticamente gli output dei comandi di diagnostica (

undefined

). Motivazione: le baseline riducono il rumore degli allarmi; la telemetria in streaming permette una correlazione rapida; EEM cattura dati forensi al momento esatto del guasto.

8. Pianificare il rollback e testare il ripristino.

• Usare

undefined

e

undefined

per preparare un’immagine e una configurazione di ripristino (backout). Pianificare una finestra di manutenzione per simulare il failover e il failback di ISP-A, verificando la ri-acquisizione del ruolo attivo (re-preemption) di HSRP, il comportamento di BGP LOCAL_PREF e gli annunci condizionali. Motivazione: i test controllati validano il nuovo design;

undefined

fornisce una via di fuga deterministica.

Mettendo in sequenza il controllo del gateway, la policy BGP, il rilevamento rapido e il rafforzamento della gestione — e strumentando con telemetria ed EEM — Acme Health risolve il problema del failover “appiccicoso” (stickiness), previene l’interruzione del monitoraggio dovuta al cambio degli indici e riduce in modo misurabile il tempo medio di ripristino (MTTR) per gli incidenti WAN.

← VPN · Tutti i domini

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →