Cisco 300-415: Sicurezza, Segmentazione e Concatenamento dei servizi — Guida allo studio

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

Fa parte della Cisco SD-WAN 300-415 ENSDWI — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

Cisco SD-WAN fornisce un framework completo di sicurezza e segmentazione in linea con i principi Zero Trust, consentendo al contempo l’inserimento di servizi scalabili e l’accesso sicuro a Internet. Le policy di sicurezza e la segmentazione sono definite a livello centrale, distribuite tramite il control plane (OMP) e applicate in modo coerente sui router WAN Edge. Questa sezione spiega come progettare e gestire la segmentazione basata su VPN, posizionare e concatenare i servizi di sicurezza, proteggere il control plane e l’accesso amministrativo, e raccogliere telemetria di sicurezza significativa senza degradare le prestazioni delle applicazioni critiche.

Fondamenti di Segmentazione e Policy

Segmentazione basata su VPN

• Ogni tenant o dominio di sicurezza è isolato nella propria VPN SD-WAN (VRF). La raggiungibilità del control plane verso i controller utilizza la VPN 0, mentre la gestione utilizza la VPN 512; le VPN lato servizio (per utenti, voce, OT, PCI, guest) trasportano il traffico del data plane.
• Lo spazio di indirizzamento sovrapposto è pienamente supportato da tabelle di routing per-VPN. Filiali o tenant con 10.0.0.0/8 possono coesistere, poiché OMP trasporta rotte con scope VPN, TLOC e rotte di servizio in modo distinto.
• La comunicazione tra VPN avviene solo tramite route leaking esplicito o policy; ciò impone il principio del privilegio minimo (least privilege).

Progettazione con spazio di indirizzamento sovrapposto

• È preferibile evitare il NAT all’interno della WAN quando la segmentazione è sufficiente. Se due VPN con indirizzi sovrapposti devono interoperare, utilizzare:
  • Policy di controllo centralizzata per far trapelare (leak) prefissi specifici tra VPN con prefix-list e route-map precise.
  • NAT in un sito di rendezvous se è richiesta la traduzione (ad esempio, per la migrazione di IP legacy verso un servizio consolidato).
• Modalità di guasto e compromessi:
  • Un route leaking errato o troppo ampio vanifica la segmentazione e può creare buchi neri (black hole); testare sempre la route-policy con l’anteprima delle rotte OMP (verifica delle rotte OMP, TLOC e di servizio).
  • Il NAT all’interno dell’overlay può infrangere le aspettative delle applicazioni e complicare la risoluzione dei problemi; utilizzarlo come ultima risorsa.

Gerarchia e applicazione delle policy

• I controller vSmart distribuiscono informazioni su rotte e policy utilizzando OMP e distribuiscono anche informazioni sulle chiavi crittografiche ai WAN Edge per formare tunnel IPsec sicuri. Le policy centralizzate definiscono il routing application-aware, l’appartenenza alle VPN e l’inserimento di servizi attraverso l’intera fabric.
• Le policy locali (ad esempio, un’ACL per-dispositivo per un circuito specifico) vengono applicate sul WAN Edge. Utilizzare una data policy locale quando è richiesta una classificazione specifica per dispositivo o circuito.
• Le data policy sono utilizzate per instradare (steer), accettare o scartare (drop) il traffico dati tra VPN e per reindirizzarlo dalle reti private a quelle degli ISP quando necessario.
• Allineamento con Zero Trust:
  • Default-deny tra le VPN; allow esplicito solo per i flussi richiesti.
  • Controlli basati su identità e applicazione per la segmentazione est-ovest (east-west) utilizzando le zone e le policy discusse di seguito.

Controlli di Sicurezza e Posizionamento dell’Ispezione

Zone-Based Firewall (ZBFW)

• Costruire zone di sicurezza per ogni VPN; una VPN può appartenere a una sola zona per prevenire l’applicazione ambigua delle policy.
• Creare coppie di zone (zone-pair) e policy per permettere, ispezionare o scartare il traffico. Utilizzare il matching L3/L4/L7 per imporre il principio del privilegio minimo sui flussi tra zone.
• Posizionamento dell’ispezione:
  • Filiale (Branch): Applicare la segmentazione e l’ispezione stateful vicino all’utente; ideale per il local breakout e per la prevenzione del movimento laterale contenuto nel sito.
  • Hub/colocation: Utilizzare per il traffico che transita tra domini o che richiede servizi avanzati; minimizzare la latenza di hairpin regionalizzando gli hub.
• Modalità di guasto e compromessi:
  • L’ispezione stateful richiede flussi simmetrici; il routing asimmetrico o le differenze di ECMP tra i percorsi possono causare la caduta delle sessioni. Utilizzare una policy centralizzata per garantire la simmetria del percorso per i flussi ispezionati.
  • Il throughput e la latenza sono influenzati dall’ispezione approfondita (deep inspection); classificare il traffico di eccezione (ad esempio, voce/video) per bypassare la deep inspection, pur continuando ad applicare le ACL.

Prevenzione delle intrusioni, filtraggio URL e sicurezza avanzata

• Sui WAN Edge con IOS XE SD-WAN, le funzionalità di Unified Threat Defense forniscono IPS, filtraggio URL e reputazione malware. Mantenere le firme aggiornate e impostare il fail-open o il fail-closed in base alla tolleranza al rischio aziendale.
• Per il traffico con un uso intensivo di TLS, considerare il decrypt offload presso un hub o un secure web gateway. Se la decrittazione non è possibile, fare affidamento su SNI, JA3, reputazione IP e analisi comportamentale.
• Compromessi:
  • Il filtraggio IPS/URL introduce latenza e consumo di CPU; utilizzare una policy application-aware per ispezionare solo le categorie ad alto rischio, consentendo alle applicazioni aziendali affidabili di percorrere percorsi veloci (fast path).
  • Garantire una chiara policy di bypass per le applicazioni critiche nel caso in cui un motore IPS non sia disponibile, per evitare un’interruzione (documentare se il fail-open è accettabile).

Orchestrazione delle policy di ispezione sicura

• vSmart distribuisce policy di sicurezza centralizzate che reindirizzano il traffico da filiale a filiale (branch-to-branch) o da filiale a DC (branch-to-DC) attraverso un servizio di rete (firewall, IPS). Questo è l’inserimento di servizi (service insertion): abbinare i flussi, impostare l’azione per farli passare attraverso un servizio nominato e applicarla alle VPN/siti di destinazione.
• Convalidare la disponibilità delle rotte di servizio tramite le rotte di servizio OMP e monitorarne lo stato di salute; definire il comportamento di fallback (pass/drop) in caso di guasto del servizio.

Concatenamento dei servizi (Service Chaining), accesso diretto a Internet e breakout avanzato

Pattern di concatenamento dei servizi

• Firewall/IDS/IPS fisici o virtuali inline possono essere concatenati nell’hub o nelle filiali (branch). Nell’hub, configurare l’indirizzo del firewall di servizio sul vEdge/WAN Edge rivolto verso il servizio per registrarlo come nodo di servizio (service node).
• Per garantire scalabilità e agilità, utilizzare Cloud onRamp for Colocation per instradare il traffico dalle filiali verso hub di servizi regionalizzati che ospitano funzioni di rete e sicurezza concatenate con accesso a bassa latenza. I router delle filiali analizzano localmente e instradano il traffico idoneo verso queste funzioni vicine per ottimizzare i costi e l’esperienza utente.
• Opzionalmente, è possibile inserire in serie funzioni aggiuntive come DLP o CASB. Definire health-check e SLA in modo che il routing application-aware selezioni solo i percorsi e le catene che soddisfano i requisiti di performance.

Considerazioni di progettazione

• Scegliere il concatenamento dei servizi centrale (central service chaining) quando sono necessarie una postura di sicurezza e un’ispezione dei contenuti coerenti, accettando però una latenza aggiuntiva/hairpin.
• Scegliere il concatenamento dei servizi nelle filiali (branch service chaining) quando è richiesta una latenza ultra-bassa o per garantire l’applicazione delle policy durante i brownout della WAN.
• Pianificare la ridondanza: annunciare più nodi di servizio come route di servizio OMP e utilizzare le policy per dare preferenza a un nodo primario regionale con failover su un secondario.

Breakout sicuro verso Internet e DIA

• Il breakout locale verso Internet riduce il backhaul e migliora le performance delle applicazioni SaaS. Utilizzare una data policy per instradare i flussi diretti a Internet verso il percorso DIA.
• Il NAT è configurato sull’interfaccia in uscita nella VPN 0 per l’accesso diretto a Internet; assicurarsi che le ACL consentano i flussi in uscita e di ritorno.
• Combinare il DIA con ZBFW, sicurezza a livello DNS (DNS-layer security) e filtraggio URL (URL filtering). Valutare l’uso di Cloud onRamp for SaaS per misurare la qualità del percorso verso specifiche applicazioni SaaS e selezionare un percorso ottimale per ogni applicazione.
• Modalità di guasto e compromessi:
  • Un NAT configurato in modo errato o route predefinite sovrapposte nella VPN 0 possono interrompere le connessioni di controllo (DTLS/TLS) verso i controller; isolare le regole NAT del DIA dal traffico dei controller e convalidare i requisiti PnP/ZTP (DHCP, DNS).
  • Lo split tunneling può entrare in conflitto con i mandati di conformità; applicare un breakout per singola applicazione con auditing e DLP quando richiesto.

← Policy centralizzate e Ingegneria del traffico · Tutti i domini · Qualità del Servizio e Servizi Multicast →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →