Cisco 350-401: Architettura e Progettazione di Reti Enterprise — Guida allo studio

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Fa parte della Cisco CCNP Enterprise 350-401 ENCOR — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Alta Disponibilità, Ridondanza e Progettazione dei Domini di Guasto

Principi di progettazione:

• Pattern di ridondanza: Ridondanza dei dispositivi (doppi supervisor, stack di switch, StackWise Virtual), ridondanza dei link (port-channel) e ridondanza dei percorsi (ECMP). Il Link Management Protocol di StackWise Virtual rifiuta l’inoltro del traffico su link unidirezionali, prevenendo aggregati “half-up”.
• Convergenza rapida: Bidirectional Forwarding Detection (BFD), timer IGP ottimizzati, NSF/SSO su piattaforme compatibili e domini di guasto limitati (sommarizzazione gerarchica). Preferire link routed punto-punto per una riconvergenza deterministica.
• Confini dei domini di guasto: Contenere l’impatto isolando le VLAN di accesso per piano/edificio, utilizzando la segmentazione basata su VRF e posizionando i servizi condivisi dietro punti di route-leaking dedicati (fusion). Utilizzare domini di manutenzione allineati alla criticità del business.

FHRP e gateway di default:

• Utilizzare VRRPv3 quando sono richieste interoperabilità dual-stack e multivendor. I gateway anycast in una fabric possono sostituire gli FHRP, preservando la ridondanza del primo hop con coerenza a livello di fabric.

Esempio di VRRPv3 per IPv4/IPv6 su una SVI di distribuzione: interface Vlan20 ip address 10.20.0.2 255.255.255.0 vrrp 20 address-family ipv4 address 10.20.0.1 ! ipv6 address 2001:db8:20::2/64 vrrp 20 address-family ipv6 address 2001:db8:20::1

Compromessi:

• Stack e MLAG in modalità attivo/attivo massimizzano l’utilizzo ma aggiungono complessità alle operazioni e all’isolamento dei guasti.
• La sommarizzazione riduce il churn del control-plane ma può mascherare la perdita di raggiungibilità; usare con cautela le sommarizzazioni non contigue.
• Domini di guasto più ampi minimizzano i costi hardware ma aumentano il “blast radius”; dimensionare correttamente i domini in base alla criticità dell’applicazione.

Cloud, Virtualizzazione e Erogazione dei Servizi

Architetture enterprise:

• On-premises: Pieno controllo della progettazione fisica e logica; servizi sensibili alla latenza; tipicamente campus a tre livelli e segmentazione abilitata da fabric.
• Cloud: I modelli IaaS/PaaS/SaaS spostano i confini operativi. Il provider gestisce l’underlay fisico; il cliente progetta gli overlay, il routing e la sicurezza nelle reti virtuali.
• Ibrido (Hybrid): Interconnettere in modo sicuro on-prem e cloud tramite IPsec/GRE, direct connect o SD-WAN. Normalizzare le policy e la segmentazione tra i siti.
• Multi-cloud: Connettività e sicurezza coerenti tra più provider. Router cloud/appliance virtuali o SD-WAN agiscono come transito con policy unificate.

WAN basata su controller:

• Cisco SD-WAN utilizza vSmart per gestire il control plane e OMP tra i router edge, vManage come singolo piano di gestione (single plane of management) e vBond per l’orchestrazione. L’intento centralizzato guida la coerenza di routing, segmentazione e sicurezza. Le policy sono distribuite; il data-plane è diretto tra i siti.

Virtualizzazione:

• Gli hypervisor (KVM/ESXi/Hyper-V) ospitano switch virtuali che forniscono connettività di Livello 2 tra le VM. La connettività di Livello 2 controllata si ottiene utilizzando il vSwitch fornito dall’hypervisor o un soft switch basato su VM. I vantaggi includono la riduzione di spazio rack, alimentazione e raffreddamento, e un provisioning rapido.
• Modalità di guasto: Domini di Livello 2 estesi e traffico ARP/ND possono causare amplificazione dei broadcast, specialmente con VM “loquaci” (chatty). Mitigare con sottoreti più piccole, soppressione dell’ARP negli overlay e un robusto policing del control-plane.
• Container: Workload leggeri con networking overlay (es. VXLAN/Geneve tramite CNI). Pianificare per endpoint effimeri, flussi est-ovest (east-west) e service mesh; applicare la microsegmentazione a livello di host, vSwitch e fabric.
• Modelli di erogazione dei servizi:
  • IaaS: Il cliente gestisce il sistema operativo guest, il networking all’interno di VPC/VNet e i controlli di sicurezza.
  • PaaS: Controllo di rete limitato; focus su connettività sicura, endpoint privati e traffico in uscita (egress) basato su policy.
  • SaaS: Ottimizzare DNS, latenza e accesso sicuro; i local breakout SD-WAN e le integrazioni CASB/SASE sono comuni.

SD-Access e connettività esterna:

• I border node connettono le fabric alle reti esterne. I fusion router eseguono il route leaking tra reti virtuali e servizi condivisi per preservare la segmentazione, abilitando al contempo l’accesso necessario.

Compromessi di progettazione, pianificazione della capacità, documentazione e ciclo di vita

Compromessi tra scalabilità, resilienza, prestazioni e costo:

• Scalabilità: Un maggior numero di overlay, VRF e policy richiede più TCAM/CPU; pianificare l’hardware di conseguenza. L’ECMP scala le prestazioni ma aumenta la complessità del troubleshooting.
• Resilienza: Doppie fabric e percorsi diversificati riducono il rischio ma aumentano i costi. Decidere MTTD/MTTR accettabili e allineare la profondità della ridondanza.
• Prestazioni: I core a bassa latenza evitano l’elaborazione delle service-policy; spostare ACL/QoS verso gli edge. I servizi condivisi possono richiedere percorsi a banda larga o caching.
• Costo: I rapporti di oversubscription (es. 4:1 a livello di access, 2:1 a livello di distribution) bilanciano budget e throughput; validare rispetto ai pattern di traffico effettivi.

Pianificazione della capacità e analisi del flusso di traffico:

• Misurare prima di dimensionare: Usare NetFlow/IPFIX, sFlow, campionamento SPAN e telemetria del controller. Analizzare la banda al 95° percentile, pps, conteggio dei flussi e microburst.
• Margine (Headroom): Riservare il 20–30% di capacità per assorbire picchi, manutenzione e crescita.
• QoS sulla WAN: Il traffic shaping mitiga la congestione mettendo in buffer e in coda i pacchetti al di sopra della velocità impegnata. Usare QoS gerarchico per dare priorità al traffico voce e di controllo, riducendo il jitter e la perdita legata alla larghezza di banda.
• Esempio di policy di shaping per la WAN:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

Documentazione, modelli di topologia e validazione:

• High-level design (HLD): Topologia logica, domini di guasto, routing, sicurezza e strategia di segmentazione.
• Low-level design (LLD): Piani IP/VLAN, parametri di underlay/overlay, QoS, ruoli dei dispositivi e template. Mantenere una fonte di verità (source of truth) per l’automazione.
• Modelli di topologia: A strati (core/distribution/access), ruoli della fabric (edge/border/control-plane) e punti di inserimento dei servizi (firewall, proxy, telemetria).
• Validazione: Emulare in laboratorio underlay/overlay; eseguire simulazioni di percorso e di guasto; verificare la scalabilità (rotte, endpoint, policy) rispetto ai limiti della piattaforma; eseguire prove a secco (dry-run) delle modifiche e test di rollback. Validare continuamente con strumenti di assurance che confrontano l’intento con lo stato effettivo.

Design basato su controller e guidato dall’intento (intent-driven):

• Definire i risultati desiderati (segmentazione, SLA, postura di sicurezza). I controller traducono l’intento in configurazioni dei dispositivi e ne validano la conformità tramite telemetria. L’assurance a ciclo chiuso evidenzia deviazioni (drift) e anomalie da correggere. Identity Services Engine (ISE) si integra con SD-Access per autorizzare i client cablati/wireless in base all’identità e alla postura.

Ciclo di vita: dai requisiti alle operazioni:

• Raccolta dei requisiti: Driver di business, conformità, applicazioni, SLA, crescita.
• Traduzione in architettura: Scegliere livelli, fabric, controller e modello di sicurezza.
• Design di dettaglio: Indirizzamento, routing, QoS, segmentazione, selezione di dispositivi/piattaforme.
• Costruzione e validazione: Staging, provisioning automatizzato, test di baseline, esercitazioni di guasto.
• Operatività e ottimizzazione: Monitoraggio, gestione della capacità, reporting degli SLO, risposta agli incidenti e revisioni periodiche del design. Iterare le policy di intento in base ai risultati dell’assurance.

Scenario pratico

Northwind Manufacturing sta consolidando due campus obsoleti ed estendendo i carichi di lavoro in due cloud pubblici. Obiettivi: comprimere i domini Layer 2 legacy, abilitare la segmentazione basata sull’identità, fornire prestazioni WAN deterministiche e garantire un accesso trasparente ai servizi condivisi.

Approccio:

1. Adottare un campus routed a tre livelli con accesso fabric-ready

• Motivazione: L’accesso routed elimina le dipendenze da spanning-tree e riduce i domini di guasto. Gli uplink Layer 3 punto-punto verso la distribution abilitano l’ECMP e una convergenza rapida. Mantenere il core leggero (feature-light) garantisce prestazioni prevedibili.

2. Implementare SD-Access per la segmentazione basata sull’identità

• Motivazione: I nodi edge della fabric forniscono gateway anycast e applicano policy basate su gruppi. Un nodo di control-plane mantiene le mappature degli endpoint tramite LISP, e l’overlay (VXLAN) distribuisce segmenti L2/L3 logici attraverso il campus con policy coerenti per l’accesso cablato e wireless. ISE decide se un client cablato è autorizzato ad accedere quando si connette a uno switch edge.

3. Connettere la fabric ai servizi condivisi tramite nodi border e fusion

• Motivazione: I nodi border si interfacciano con domini routed esterni. Un fusion router propaga (leaks) in modo pulito le rotte tra le reti virtuali degli utenti e i servizi condivisi (DNS/AD/stampa), preservando la segmentazione e abilitando al contempo un accesso controllato.

4. Implementare SD-WAN per interconnettere sedi e cloud

• Motivazione: Cisco SD-WAN fornisce un intento centralizzato. vSmart gestisce il control plane usando OMP; vManage offre il singolo piano di gestione. Le policy instradano il traffico verso SaaS e tra le sedi, abilitando breakout internet locali con sicurezza e selezione deterministica del percorso.

5. Dimensionare correttamente (right-size) la ridondanza e i domini di guasto

• Motivazione: Coppie di switch di distribution doppi per edificio e switch di access impilati (stacked) limitano il raggio d’impatto (blast radius). StackWise Virtual fornisce ridondanza a livello di chassis; il suo LMP rifiuta l’inoltro su link unidirezionali, prevenendo guasti asimmetrici. La sumarizzazione a livello di distribution riduce il churn del control-plane preservando una visibilità accurata dei guasti.

6. Progettare (engineer) la QoS per la WAN e l’edge del campus

• Motivazione: Lo shaping sui link WAN mette in buffer i pacchetti che superano la velocità impegnata per mitigare la congestione. Il priority queuing per voce/video riduce il jitter in eccesso; WRED sulle classi di default evita il tail drop per i flussi elastici. Il marking viene applicato a livello di access per mantenere i trust boundary (confini di fiducia).

7. Pianificare la capacità con dati di traffico empirici

• Motivazione: Raccogliere dati da NetFlow/IPFIX e telemetria del controller per profilare l’utilizzo al 95° percentile, pps e i top talker. Dimensionare gli uplink e i circuiti WAN con un margine del 30%, validare l’hashing ECMP per gli elephant flow e garantire la scalabilità della TCAM per VRF e policy.

8. Validare e automatizzare le operazioni

• Motivazione: Costruire HLD/LLD, usare una fonte di verità per generare le configurazioni ed eseguire lo staging dell’implementazione in un laboratorio che rispecchi underlay/overlay. Eseguire esercitazioni di guasto (perdita di link, nodo, controller), verificare gli obiettivi di riconvergenza e definire una baseline per latenza/jitter. Post-implementazione, usare l’assurance per rilevare deviazioni (drift) dall’intento e alimentare il miglioramento continuo nel processo di change management.

Questo design soddisfa gli obiettivi di Northwind limitando i domini di guasto, applicando policy basate sull’identità end-to-end, garantendo prestazioni WAN prevedibili e abilitando l’espansione multi-cloud con governance e operazioni coerenti.

Tutti i domini · Switching e Segmentazione Campus di Livello 2 →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →