Cisco 300-415: Configurazione dei WAN Edge e Gestione dei template — Guida allo studio

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

Fa parte della Cisco SD-WAN 300-415 ENSDWI — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

Cisco SD-WAN Manager (precedentemente vManage) centralizza le operazioni di intent, configurazione, conformità e ciclo di vita per i dispositivi WAN Edge, mentre vBond Orchestrator gestisce l’onboarding dei dispositivi e i controller vSmart eseguono il control plane dell’overlay utilizzando OMP. Nelle architetture di produzione, la configurazione basata su template è lo strumento principale per garantire correttezza e ripetibilità su centinaia o migliaia di WAN Edge, consentendo al contempo valori specifici per dispositivo ed eccezioni sicure. Questa sezione spiega i costrutti dei template, il flusso di lavoro del ciclo di vita, le funzioni chiave dei feature template, il confronto tra i moderni configuration group e i device template legacy, la gestione della conformità e del drift, l’uso delle API, la gestione delle immagini software e le misure di sicurezza (guardrail) per le modifiche utilizzate per operare la fabric Cisco SD-WAN su larga scala.

Costrutti dei Template e Riutilizzo

• Feature template
  • Intent atomico per un dominio funzionale come System, VPN, VPN Interface, Tunnel (TLOC/Transport), OMP, BGP/OSPF, QoS, NAT/ACL, Sicurezza (zone, identità, IPS/URL), SNMP, Syslog, NTP, App-hosting, Cellulare/LTE.
  • Ogni campo può essere impostato su un valore fisso o su una variabile specifica del dispositivo, consentendo un ampio riutilizzo.
• Device template (modello legacy)
  • Un composito di feature template associato a un dispositivo. L’associazione di un dispositivo richiede la fornitura di tutte le variabili specifiche del dispositivo (ad esempio, system IP, site ID, hostname, indirizzi delle interfacce).
  • Pro: netta separazione delle responsabilità (separation of concerns); facile riutilizzo di feature template maturi. Contro: push dell’intera configurazione del dispositivo per piccole modifiche; proliferazione di molti device template con l’accumularsi delle eccezioni.
• Configuration group (modello moderno)
  • Un pacchetto di configurazione gerarchico che si mappa strettamente sull’albero di configurazione del dispositivo e supporta lo scoping delle variabili e gli aggiornamenti parziali per sezione.
  • Pro: meno costrutti da gestire, deployment mirati a livello di sezione, gestione delle eccezioni più semplice, visualizzazione più facile della configurazione effettiva. Contro: richiede versioni recenti di SD-WAN Manager; i team abituati ai device template potrebbero aver bisogno di un piano di migrazione.
• Variabili e valori specifici del dispositivo
  • Utilizzare le variabili per l’identità (system IP, site ID), l’indirizzamento dell’underlay (interfacce VPN 0), le estensioni di loopback/TLOC e gli identificatori legati all’inventario (seriale, chassis).
  • Vincolare i tipi di variabile (IP, intero, enumerazione) e usare valori predefiniti dove sicuro. Le modalità di fallimento della validazione includono variabili mancanti, tipi non corrispondenti o valori che entrano in conflitto con campi univoci a livello globale (ad esempio, system IP duplicato).
• Strategia di riutilizzo
  • Creare un piccolo set di feature template “golden” per ogni ruolo di dispositivo (branch, small branch, hub, DC, cloud edge) e per ogni tipo di trasporto (MPLS, banda larga, LTE).
  • Parametrizzare i valori specifici di ogni sito tramite variabili. Suddividere i template per isolare le funzionalità soggette a frequenti modifiche (QoS, Sicurezza, NAT) da quelle statiche (System, OMP) per minimizzare il raggio d’impatto (blast radius) durante le modifiche.

Ciclo di Vita, Conformità e Flusso di Lavoro di Deployment

• Progettazione e creazione (authoring)
  • Definire i feature template o i configuration group; contrassegnare i campi specifici del dispositivo come variabili.
  • Importare o verificare l’inventario dei dispositivi, i certificati e il nome dell’organizzazione in SD-WAN Manager. vManage archivia le configurazioni dei dispositivi e gli inventari dei certificati associati.
• Associazione e validazione
  • Associare i dispositivi a un device template o a un configuration group; popolare i valori delle variabili (l’importazione tramite CSV o API è comune su larga scala).
  • Utilizzare l’anteprima della configurazione per confrontare la configurazione candidata renderizzata con gli standard previsti. La validazione rileva configurazioni sovrapposte (ad esempio, un’interfaccia definita due volte) o valori fuori intervallo.
• Flusso di lavoro di deployment
  • SD-WAN Manager compila la configurazione candidata e utilizza NETCONF per distribuirla ai WAN Edge. Durante l’onboarding iniziale, i template System e VPN 0 assicurano la formazione delle connessioni di controllo: i WAN Edge stabiliscono connessioni DTLS/TLS verso vSmart e, una volta che le policy e i TLOC sono scambiati tramite OMP, si formano i tunnel IPsec verso altri WAN Edge. vBond orchestra lo scambio di connettività iniziale.
  • Lo stato di staging può essere utilizzato per consentire le connessioni di controllo senza i tunnel del data-plane, per una preparazione controllata prima di andare in produzione (go-live).
• Conformità e drift
  • I controlli di conformità confrontano la configurazione desiderata (renderizzata dal template) con quella in esecuzione (running configuration) e segnalano il drift causato da modifiche fuori banda (out-of-band) o da commit falliti/parziali.
  • Le opzioni di remediation includono il re-push della configurazione desiderata, la riconciliazione delle eccezioni autorizzate nei template o l’avvio di un rollback.
• Rollback
  • SD-WAN Manager archivia le versioni della configurazione con ID di processo (job ID). Il rollback si effettua ri-associando una versione precedente del template o utilizzando l’archivio delle configurazioni per ripristinare l’ultimo set funzionante noto (known-good). I rollback sono atomici per sezione quando si utilizzano i configuration group, riducendo il rischio.

Funzioni dei Template, Eccezioni e Override Sicuri

• Template di sistema
  • Identità (hostname, system IP, site ID), nome dell’organizzazione, indirizzi dei controller, logging, NTP, AAA.
  • Modalità di fallimento: system IP/site ID duplicati, nome dell’organizzazione errato o indirizzi dei controller non corretti impediscono la formazione del control-plane. In scenari con un vBond raggiungibile pubblicamente sull’interfaccia WAN, viene utilizzata l’opzione vBond “locale” per preferire l’indirizzo instradabile del dispositivo durante la discovery.
• Template VPN
  • Trasporti underlay della VPN 0 per controllo/dati; VPN di servizio per la segmentazione del traffico utente. Includere impostazioni di routing (statico, BGP/OSPF), NAT, DHCP e DNS secondo necessità.
  • Modalità di fallimento: interfaccia assegnata alla VPN sbagliata, NAT overload mancante o conflitti DHCP che causano problemi di raggiungibilità. Ricorda che la VPN 0 trasporta il traffico di controllo.
• Template di interfaccia e tunnel (TLOC)
  • Interfacce fisiche/logiche, colori, incapsulamenti (IPsec o GRE), estensioni TLOC e timer BFD/hello.
  • Un TLOC è definito in modo univoco da incapsulamento, colore e system IP. Combinazioni conflittuali di colore/incapsulamento tra i trasporti possono isolare il traffico o produrre percorsi asimmetrici.
• Template OMP
  • Impostazioni di peer verso vSmart, tipi di rotte (OMP, BGP, connesse, statiche), advertisement/redistribuzione, timer, graceful restart e preparazione per l’inserimento di servizi nell’overlay.
  • Una redistribuzione troppo ampia può causare la perdita (leak) di rotte tra le VPN o nell’underlay; limitare attentamente con le policy.
• Template di sicurezza
  • Firewall basato su zone, IDS/IPS, URL filtering, AMP, regole VPN-aware. L’ordine delle operazioni è importante; confermare la precedenza e i deny impliciti.
  • Prestare attenzione alla compatibilità delle versioni delle feature; alcune funzionalità di sicurezza richiedono release specifiche di IOS XE SD-WAN.
• Template CLI add-on ed eccezioni sicure
  • Utilizzare i CLI add-on per fornire comandi non ancora modellati nei feature template, preferibilmente in aree operativamente sicure: telemetria, oggetti SNMP, banner, specifiche di logging, modifiche all’app-hosting o parametri hardware della piattaforma che non si sovrappongono alle sezioni gestite dai template.
  • Evitare CLI add-on che modificano l’identità (system, site ID), OMP, l’indirizzamento delle interfacce, il trasporto della VPN 0 o i parametri IPsec/TLOC già gestiti dai template; una configurazione sovrapposta potrebbe essere rimossa al successivo push del template o causare fallimenti del commit.

Esempio di CLI add-on (IOS XE SD-WAN) per la telemetria operativa che non si sovrappone ai template:

logging buffered 100000 warnings
service timestamps debug datetime msec
snmp-server contact NOC noc@example.local
snmp-server location DC1-Rack12

API, gestione delle immagini e guardrail per le modifiche

• API NETCONF e REST
  • SD-WAN Manager programma i dispositivi tramite NETCONF/YANG. In northbound, le sue API REST (/dataservice) supportano operazioni CRUD sui template, popolamento delle variabili, associazione, validazione, deployment, operazioni sulle immagini software e tracciamento dei job.
  • Best practice: utilizzare workflow idempotenti, catturare i token CSRF e i cookie di sessione, rispettare i rate limit delle API e considerare gli ID dei job come fonte di verità per i risultati del deployment.
• Immagini software e aggiornamenti dei dispositivi
  • Caricare le immagini software nel repository di SD-WAN Manager; fissare (pin) le versioni desiderate per ruolo, sito o gruppo di configurazione. Le piattaforme hardware supportate includono le immagini Cisco IOS XE SD-WAN sulle famiglie ISR 4000 e ASR 1000, così come i WAN Edge virtuali per IaaS.
  • Rollout controllato: implementare aggiornamenti basati su “ring” (branch canary, poi coorti per ID sito o tag), con pre-check (risorse, raggiungibilità del controller, validità del certificato) e post-check (adiacenze OMP, stato dei tunnel dati).
  • Utilizzare finestre di manutenzione e pianificazione automatizzata. Per i siti critici, preparare uno stato “staged” o un riavvio “graceful” (controllato) dove appropriato per minimizzare l’interruzione. Validare che le connessioni di controllo verso vSmart siano ripristinate prima di procedere al ring successivo.
  • Piani di rollback: conservare l’immagine precedente, confermare i trigger di auto-rollback e disporre di un accesso out-of-band per dispositivo per scenari “break-glass” (di emergenza).
• Guardrail di automazione e gestione delegata delle modifiche
  • L’RBAC in SD-WAN Manager separa le responsabilità: “author” per i feature template, “approver” per i deployment, “operator” per le azioni di day-2 (assegnazione di immagini, aggiornamento di variabili). Limitare chi può dissociare i template o effettuare il push di add-on CLI.
  • I workflow di approvazione e il modello bozza/pubblicazione (draft/publish) dei gruppi di configurazione consentono la peer review e deployment incrementali e limitati a sezioni specifiche (section-scoped).
  • Imporre convenzioni di denominazione/versioning, taggare i dispositivi per ruolo/sito/trasporto per un targeting coerente e richiedere un’anteprima della configurazione (config preview) più controlli di verifica dello stato (health verification gates) prima di un rollout di massa.

Scenario pratico

Acme Health Services pianifica di standardizzare 600 WAN Edge di filiale utilizzando una configurazione basata su template, introducendo al contempo un nuovo stack di sicurezza e preparandosi per un aggiornamento software graduale. I siti esistenti presentano variazioni CLI ad hoc che hanno creato “drift” (deriva) e comportamenti incoerenti.

Approccio:

1. Modellare i ruoli e costruire un “intent” riutilizzabile

   • Creare “golden feature template” per System, OMP, VPN 0 Transport, Service VPN e Security, parametrizzati con variabili specifiche del dispositivo per indirizzo IP di sistema, ID del sito, indirizzamento delle interfacce e ASN BGP. Razionale: isola gli invarianti di alto valore (identità, control-plane) dai dati specifici del sito, massimizzando il riutilizzo e riducendo le superfici di errore.

2. Migrare ai gruppi di configurazione per modifiche “section-scoped”

   • Costruire un gruppo di configurazione per ruolo (Branch-Standard, Branch-Small, Hub), importando i feature template esistenti e definendo gli scope delle variabili. Razionale: abilita deployment parziali (ad esempio, aggiornando solo le sezioni di Security) senza toccare System/OMP, riducendo il rischio e i tempi di push.

3. Normalizzare le variabili dei dispositivi e rimediare al “drift”

   • Importare in massa il CSV delle variabili dall’inventario, quindi eseguire un controllo di conformità (compliance) per rilevare il “drift”. Per i comandi ad hoc approvati (logging/SNMP), catturarli in un add-on CLI associato al gruppo di configurazione; per le sovrapposizioni non sicure (VPN 0, OMP), rimuoverle dai dispositivi e affidarsi ai template. Razionale: codifica le eccezioni in modo sicuro ed elimina la configurazione sovrapposta che verrebbe eliminata (“pruned”) dai push futuri.

4. Validare con l’anteprima della configurazione e l’associazione “canary”

   • Utilizzare l’anteprima della configurazione (config preview) su tre siti “canary” diversi, confermare gli indirizzi delle interfacce renderizzati, il NAT della VPN 0, le impostazioni OMP e le policy di sicurezza. Associare il gruppo di configurazione a tali dispositivi e monitorare le connessioni di controllo (DTLS/TLS verso vSmart) e i tunnel dati (IPsec verso i peer). Razionale: rilevamento precoce di difetti nei template o nelle variabili prima di scalare.

5. Applicare controlli delegati sulle modifiche

   • Assegnare ruoli RBAC: Template Author (creazione/modifica di template), Deploy Approver (pubblicazione/associazione), Operations (solo aggiornamento variabili). Richiedere l’approvazione per i job di pubblicazione e associazione. Razionale: previene modifiche ampie non autorizzate e garantisce la peer review.

6. Introdurre il nuovo stack di sicurezza in modo incrementale

   • Nel gruppo di configurazione, aggiornare solo la sezione Security per i siti “canary” e pubblicare/associare tale sezione. Validare il traffico con i contatori di “hit” delle policy (policy hit counters) e la visibilità delle applicazioni (application visibility) prima di espandere. Razionale: la modifica “section-scoped” minimizza l’impatto collaterale, abilitando al contempo un’iterazione rapida.

7. Preparare (stage) le immagini software ed eseguire un aggiornamento basato su “ring”

   • Caricare l’immagine IOS XE SD-WAN di destinazione, assegnarla al gruppo di configurazione Branch-Standard e definire i “ring” di aggiornamento: 5 siti “canary”, 50 siti, poi le coorti rimanenti per ID sito. Abilitare pre-check e post-check; pianificare durante le finestre di manutenzione. Razionale: un rollout controllato con “health gate” (controlli di stato) riduce il rischio su 600 siti.

8. Monitorare la conformità e preparare i rollback

   • Dopo ogni “ring”, verificare la conformità e il “drift”, assicurarsi che lo scambio di rotte OMP sia stabile e che le policy di sicurezza siano applicate. Mantenere l’immagine precedente come fallback e conservare l’ultima versione della configurazione funzionante (known-good) contrassegnata per un rapido rollback. Razionale: percorso di ripristino rapido in caso di comportamento inatteso.

Unificando l’“intent” nei gruppi di configurazione, vincolando i valori specifici del dispositivo tramite variabili e utilizzando gli add-on CLI solo per le eccezioni sicure, Acme Health Services ottiene un comportamento coerente dei WAN Edge. La visibilità sulla conformità, le operazioni su larga scala (at-scale) guidate da API e il rollout delle immagini basato su “ring” forniscono una gestione delle modifiche prevedibile e a basso rischio, preservando al contempo la flessibilità per le esigenze specifiche del sito.

← OMP · Tutti i domini · Tunnel del piano dati →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →