Cisco 350-401: Switching e Segmentazione Campus di Livello 2 — Guida allo studio

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Fa parte della Cisco CCNP Enterprise 350-401 ENCOR — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

Lo switching e la segmentazione di Layer 2 in un campus forniscono l’isolamento del dominio di broadcast, l’inoltro deterministico e le misure di salvaguardia operative necessarie per una LAN aziendale scalabile e resiliente. Questa sezione spiega come gli switch Ethernet apprendono e inoltrano, come le VLAN e i trunk segmentano il traffico, come viene abilitato il routing inter-VLAN su switch multilayer, come le varianti di Spanning Tree controllano le topologie con loop, come aggregare i link in sicurezza, come gestire la propagazione delle VLAN e come rafforzare il Layer 2 contro attacchi e guasti comuni. Si conclude con una guida alla validazione e uno scenario pratico.

Fondamenti di Switching Ethernet e Segmentazione VLAN

Gli switch Ethernet inoltrano i frame in base agli indirizzi MAC di destinazione e segmentano il traffico con le VLAN.

• Apprendimento e inoltro dei MAC

  • Quando uno switch riceve un frame, apprende il MAC di origine e l’interfaccia di ingresso nella tabella CAM (degli indirizzi MAC). Le voci scadono (tipicamente dopo 300 secondi) se non vengono aggiornate.
  • La ricerca della destinazione determina l’azione:
    • Unicast noto: inoltro alla singola interfaccia di uscita presente nella tabella CAM.
    • Frame unicast sconosciuti, broadcast e molti multicast: flood su tutte le porte della VLAN tranne quella di ingresso.
  • Il filtraggio avviene quando la destinazione corrisponde alla stessa porta della sorgente (nessun inoltro), o tramite policy come storm control, port security o private VLAN (se utilizzate).

• Modalità di guasto e compromessi

  • L’esaurimento della CAM (ad es. attacchi di MAC flooding) forza un eccessivo flooding di unicast sconosciuti; proteggere con port security e control-plane policing.
  • Il MAC flapping (stesso MAC appreso su più porte) indica spesso loop fisici, coppie HA cablate in modo errato o condizioni di split-brain in vPC/VSS.

• VLAN e accesso

  • Una VLAN definisce un dominio di broadcast di Layer 2; le porte di accesso gestiscono una singola VLAN non taggata per l’endpoint collegato.
  • VLAN voce: una porta di accesso può gestire una VLAN voce 802.1Q taggata per un telefono IP e una VLAN dati non taggata per un PC collegato dietro al telefono. CDP/LLDP pubblicizzano la VLAN voce al telefono. Impostare il trust CoS sulla porta solo se la QoS è implementata end-to-end.

  Esempio (accesso più voce):

undefined

• Trunk e VLAN native

  • I trunk 802.1Q trasportano più VLAN tra gli switch. Ogni trunk ha una lista di VLAN consentite; limitarla al set minimo necessario.
  • Di default, la VLAN nativa viene inviata non taggata su 802.1Q. Utilizzare una VLAN nativa dedicata e non utilizzata e, se supportato, taggare la VLAN nativa per prevenire il VLAN hopping e per evitare che discrepanze creino anomalie nel control-plane.
  • Modalità di guasto: discrepanze nella VLAN nativa attivano errori PVID di spanning-tree e possono causare il blackhole del traffico di controllo; trunk eccessivamente permissivi propagano VLAN non desiderate attraverso il campus.

• Multicast di Layer 2

  • Senza controllo, il multicast viene propagato in flood all’interno della VLAN. L’IGMP snooping limita l’inoltro apprendendo le porte dei ricevitori dai join e leave IGMP. Se non è presente alcun router multicast nella VLAN, abilitare un querier IGMP snooping per mantenere lo stato del gruppo.

  Esempio:

undefined

Routing Inter-VLAN e Progettazione di Switch Multilayer

Il routing inter-VLAN viene eseguito su switch multilayer utilizzando le SVI (una per ogni VLAN instradata). L’inoltro hardware (CEF) utilizza la FIB e la tabella di adiacenza per prestazioni a line-rate, evitando il process switching che richiede un uso intensivo della CPU.

• Implementazione delle SVI

  • Creare una SVI per ogni VLAN utente e posizionarvi il gateway di primo hop. Riepilogare a livello di distribution dove possibile. Utilizzare l’object tracking per gateway ridondanti (HSRP/VRRP) e ACL/QoS coerenti sulla SVI.
  • Allineare i confini di Layer 2 e Layer 3: i design ad accesso instradato utilizzano link di Layer 3 dall’accesso alla distribution, riducendo i domini di guasto di Layer 2 e semplificando la convergenza, pur preservando la segmentazione con le SVI a livello di distribution.

• Ridondanza del gateway e convergenza

  • Progettare la ridondanza del primo hop insieme al posizionamento del root di spanning-tree in modo che il gateway attivo sia topologicamente il più vicino agli host. HSRP/VRRP sono comuni; GLBP o la virtualizzazione dello chassis (VSS/StackWise Virtual) consentono l’utilizzo del gateway in modalità attivo-attivo.
  • Modalità di guasto: un disallineamento tra il root STP e il gateway attivo causa percorsi di traffico non ottimali e ritardi di convergenza; ACL asimmetriche sulle SVI provocano raggiungibilità unidirezionale.

• Guida operativa

  • Utilizzare una numerazione e un indirizzamento IP coerenti per le SVI e tenere traccia del relay DHCP (ip helper-address) per ogni VLAN. Monitorare le tabelle ARP/ND e la CPU del control-plane per rilevare anomalie durante gli eventi.

Spanning Tree e Protezione dai Loop

Lo Spanning Tree Protocol previene i loop di Livello 2 pur consentendo la ridondanza fisica.

• Scelta del protocollo

  • 802.1D PVST+: istanze per-VLAN, convergenza più lenta.
  • 802.1w Rapid PVST+: istanze per-VLAN con convergenza rapida tramite meccanismi di proposal/agreement e sync.
  • 802.1s MST: mappa molte VLAN su poche istanze di spanning-tree, scalando meglio in ambienti di grandi dimensioni. Tutti gli switch in una region devono avere corrispondenza di nome, revisione e mappatura VLAN-istanza; le mancate corrispondenze creano confini (boundaries) ed eseguono PVST+ sulle VLAN di bordo (edge).

• Elezione del root e ruoli delle porte

  • Il root bridge viene scelto in base al bridge ID più basso (priorità + MAC). Impostare intenzionalmente le priorità per posizionare i root primario e secondario a livello di distribution.
  • Ruoli RSTP: root, designated, alternate e backup. Stati: discarding, learning, forwarding. Operare i link di edge come point-to-point per una sincronizzazione più rapida.

  Esempio (rapid PVST+ con root deterministici):

undefined

undefined

undefined

• Protezione di edge e topologia

  • PortFast: porta immediatamente le porte di edge allo stato di forwarding; non abilitare mai sulle interconnessioni tra switch.
  • BPDU Guard: mette in stato di err-disable una porta PortFast alla ricezione di una qualsiasi BPDU; abbinare a PortFast per bloccare loop accidentali causati da switch non gestiti.
  • Root Guard: impedisce a una porta designated di diventare root bloccando le BPDU superiori; utilizzare sugli uplink del livello di accesso (access-layer) rivolti verso gli switch downstream per proteggere il posizionamento del root.
  • Loop Guard: impedisce alle porte non-designated di passare allo stato di forwarding se le BPDU smettono di arrivare (tipico sui link unidirezionali); integrare con UDLD in modalità aggressive per i link ottici.
  • Bridge Assurance (sulle piattaforme supportate): assicura che le BPDU siano presenti bidirezionalmente sui link point-to-point di core/distribution, prevenendo guasti silenti.

• Modalità di guasto

  • I link unidirezionali possono forzare le porte alternate allo stato di forwarding e creare loop; Loop Guard e UDLD mitigano questo problema.
  • Il BPDU Filter su porte non di edge sopprime le BPDU e può causare loop catastrofici; evitare se non per casi d’uso specifici e validati.

Aggregazione di Link, VTP e Operazioni sui Trunk

• Fondamenti di EtherChannel

  • Raggruppa link paralleli in un Port-Channel, visto da STP come un’unica interfaccia logica (le decisioni di blocco si applicano all’intero bundle). I vantaggi includono una maggiore larghezza di banda aggregata e un ripristino più rapido.
  • Negoziazione: LACP (active/passive, IEEE 802.1AX) o PAgP (desirable/auto, proprietario Cisco). La modalità ‘on’ forza il raggruppamento senza negoziazione e rischia di creare loop se l’abbinamento è errato — da evitare tra switch.
  • Coerenza dei membri: velocità/duplex, VLAN consentite, VLAN nativa, impostazioni STP e modalità del channel-group devono corrispondere. Usare LACP min-links per mantenere il bundle inattivo finché non è presente un numero minimo di membri.
  • Bilanciamento del carico: hashing per-flow basato su MAC/IP/porta di origine/destinazione; scegliere un metodo che corrisponda ai pattern di traffico dominanti. Ricordare che l’hashing è per-switch e per-direzione; la simmetria non è garantita.

  Esempio (trunk LACP):

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• Concetti di VTP e pruning

  • VTP distribuisce le definizioni delle VLAN. Modalità: server, client, transparent e off (dipendente dalla piattaforma). La versione 3 aggiunge un’autenticazione migliore e ruoli di server primario.
  • Rischi: un dispositivo con un numero di revisione della configurazione più alto può sovrascrivere il dominio e causare la perdita di VLAN. La best practice è la modalità transparent o off, con elenchi espliciti di VLAN consentite sul trunk.
  • Il VTP pruning conserva la larghezza di banda del trunk impedendo il flooding di VLAN non utilizzate; tuttavia, si basa su uno stato VTP accurato ed è inferiore al pruning esplicito tramite “allowed VLAN”.
  • Risoluzione dei problemi di mismatch del trunk: verificare l’incapsulamento (802.1Q), l’elenco delle VLAN consentite e la VLAN nativa; le negoziazioni DTP auto/desired possono creare sorprese — usare switchport mode trunk e switchport nonegotiate per la stabilità.

  Esempio (trunk sicuro con pruning esplicito):

undefined

undefined

undefined

undefined

undefined

Sicurezza di Livello 2, Multicast e Validazione Operativa

• Port security

  • Limita gli indirizzi MAC per porta di accesso; lo sticky learning preserva i MAC appresi nella running config. Azioni in caso di violazione: protect, restrict o shutdown. Aumentare il massimo per le porte voce+dati. Impostare una scadenza (aging) per i MAC sticky durante gli spostamenti per ridurre i ticket operativi.

• DHCP snooping e ARP inspection

  • Il DHCP snooping costruisce una tabella di binding (IP/MAC/VLAN/interfaccia) e blocca le offerte DHCP non attendibili. Impostare come attendibili (trust) gli uplink verso i server legittimi e applicare un rate-limit ai client. Rendere persistenti i binding tra i riavvii, se supportato.
  • Il Dynamic ARP Inspection utilizza i binding dello snooping per verificare i pacchetti ARP, prevenendo lo spoofing. Impostare come attendibili gli uplink; aggiungere ACL ARP per i dispositivi con indirizzi statici. Validare MAC/IP di origine, dove disponibile, per fermare tentativi di man-in-the-middle.

  Esempio:

undefined

• Operazioni di IGMP snooping

  • In presenza di un router multicast, le porte mrouter vengono apprese automaticamente dagli hello PIM o possono essere configurate staticamente. In assenza di un router, abilitare un querier di snooping per ogni VLAN per evitare il flooding.
  • Prestare attenzione ai blackhole dello stato dei gruppi se lo snooping è abilitato ma i report vengono filtrati da ACL o dallo storm control.

• Validazione e risoluzione dei loop

  • Baseline:
    • show mac address-table dynamic per localizzare gli host e rilevare il flapping.
    • show spanning-tree vlan X per confermare root, ruoli e timer; verificare la presenza di stati incoerenti.
    • show etherchannel summary per lo stato dei membri; verificare il comportamento dell’hashing e di min-links durante i guasti.
    • show interfaces trunk per la correttezza delle VLAN consentite/native; controllare i log per disallineamenti PVID/native.
    • show vtp status per assicurarsi della modalità sicura e della versione prevista.
    • show ip dhcp snooping binding e show ip arp inspection statistics per validare le pipeline di sicurezza.
  • Indicatori di loop: picchi improvvisi di CPU, tempeste di broadcast/multicast, flap di MAC tra le porte, stato errdisable a causa di BPDU Guard. Usare SPAN per il campionamento dei pacchetti e abilitare lo storm-control per limitare l’impatto mentre si rimedia.
  • Cause principali comuni: switch non gestiti collegati a due porte di accesso, uplink con PortFast abilitato, disallineamenti della native VLAN, fibra unidirezionale, configurazione errata di EtherChannel (“on” vs negoziato).

Scenario di un Problema Pratico

Northwind Manufacturing riscontra tempeste di broadcast intermittenti e cali di qualità della voce dopo aver aggiunto due nuovi armadi di accesso. L’ambiente utilizza SVI a livello di distribuzione, Rapid PVST+ e telefonia IP con telefoni collegati in cascata ai PC.

1. Definire e sfoltire l’ambito delle VLAN

   • Configurare esplicitamente le VLAN consentite sui trunk e spostare la native VLAN su un ID non utilizzato (999), applicando il tagging al traffico nativo se supportato.
   • Motivazione: limita i domini di broadcast ai link previsti ed elimina i disallineamenti della native VLAN che amplificano i loop e le anomalie del control-plane.

2. Allineare i root dello spanning-tree con i gateway

   • Impostare gli switch di distribuzione come root STP primari/secondari per le VLAN utente e voce; verificare i tipi di link point-to-point.
   • Motivazione: assicura il percorso di Layer 2 più breve verso i default gateway attivi, riduce il tempo di convergenza e stabilizza i flussi di traffico.

3. Rinforzare le porte di edge

   • Abilitare PortFast e BPDU Guard su tutte le porte rivolte all’accesso; impostare la port security con MAC sticky e un massimo di tre sulle porte voce/dati.
   • Motivazione: accelera l’attivazione degli endpoint, previene loop accidentali causati da dispositivi non gestiti e mitiga l’esaurimento della CAM o il MAC-spoofing.

4. Rimediare alla coerenza di EtherChannel

   • Convertire tutti i bundle tra switch in LACP (active su entrambi i lati), impostare min-links 2 per gli uplink di distribuzione e assicurarsi che le VLAN/native corrispondano sui membri e sul Port-Channel.
   • Motivazione: l’aggregazione negoziata impedisce che link paralleli accidentali inoltrino il traffico in modo indipendente; min-links preserva la capacità simmetrica e un hashing prevedibile durante i guasti.

5. Abilitare DHCP snooping e DAI

   • Impostare come attendibili solo gli uplink verso i server DHCP legittimi; abilitare i rate limit DHCP sulle porte di accesso; abilitare l’ARP inspection utilizzando la tabella di snooping; aggiungere ACL ARP per i server statici.
   • Motivazione: blocca i server DHCP non autorizzati (rogue) che reindirizzano il traffico e previene attacchi man-in-the-middle basati su ARP che degraderebbero la voce e i dati.

6. Ottimizzare le porte di accesso per la fonia

   • Configurare switchport voice vlan per tutte le porte dei telefoni; abilitare il trust CoS con Auto-QoS se disponibile; aumentare il massimo della port-security per coprire i MAC di telefono, PC e softphone.
   • Motivazione: garantisce la corretta separazione delle VLAN e la conservazione dei marcatori QoS, migliorando direttamente le prestazioni di MOS e jitter.

7. Limitare il multicast con IGMP snooping

   • Verificare che esista una SVI con PIM abilitato per ogni VLAN con ricevitori multicast; dove non è presente un router, abilitare un querier di IGMP snooping; contrassegnare gli uplink di distribuzione come porte mrouter se necessario.
   • Motivazione: previene il flooding multicast non necessario che può innescare sintomi di broadcast storm e consumare risorse CPU dei telefoni.

8. Validare e testare il failover

   • Eseguire show spanning

← Architettura e Progettazione di Reti Enterprise · Tutti i domini · Routing Unicast e Controllo delle Route →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →