Cisco 350-401: Virtualizzazione di Rete, Overlay e Tecnologie Fabric — Guida allo studio

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Fa parte della Cisco CCNP Enterprise 350-401 ENCOR — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

LISP e Fabric Cisco SD-Access

Fondamenti di LISP:

• EID: endpoint ID, tipicamente l’indirizzo IP dell’host all’interno di una rete virtuale.
• RLOC: routing locator, l’indirizzo raggiungibile nell’underlay dell’xTR (edge tunnel router o VTEP).
• Map-Server/Map-Resolver: database centralizzato e punto di interrogazione. Gli ETR registrano le mappature EID-RLOC; gli ITR eseguono query per risolvere le mappature.
• Raggiungibilità del locator: le RLOC-probe monitorano l’attività (liveliness) degli xTR; SMR (solicit-map-request) attiva gli aggiornamenti della cache in caso di mobilità.
• Modalità di guasto: map-cache obsoleta (stale) che causa percorsi non ottimali; irraggiungibilità di MS/MR che blocca nuovi flussi; NAT tra xTR che nasconde gli RLOC—pianificare la trasparenza degli RLOC o il NAT traversal.

Cisco SD-Access applica LISP per il control plane del campus e VXLAN per il data plane:

• Ruoli della fabric:
  • Edge node: connette gli endpoint cablati e incapsula il traffico in VXLAN.
  • Border node: connette la fabric a reti L3 esterne o ad altre fabric; esegue l’handoff per VRF e per policy.
  • Control plane node: ospita LISP MS/MR, mantenendo le associazioni (binding) tra endpoint ed edge.
  • Wireless: gli AP fanno parte dell’overlay; un fabric wireless controller gestisce CAPWAP, RRM e l’integrazione con la fabric. Il roaming tra edge switch utilizza procedure inter-xTR.
• Policy e segmentazione:
  • Le reti virtuali (Virtual Network) sono mappate su VRF per la macro-segmentazione.
  • La micro-segmentazione utilizza Scalable Group Tag (SGT) con l’applicazione di SGACL sugli edge della fabric.
  • Identity Services Engine determina l’accesso durante l’onboarding (802.1X/MAB/webauth), quindi assegna VN e SGT, abilitando policy coerenti indipendentemente dalla posizione.
• Border e fusion:
  • I border node forniscono handoff di Livello 3 per ogni VRF; un fusion router propaga (leaks) le rotte tra le VRF degli utenti e i servizi condivisi utilizzando policy VRF-Lite o MP-BGP.
  • Policy di fusion configurate in modo errato possono causare routing asimmetrico o accesso eccessivamente permissivo—validare la propagazione delle rotte (route leaking) e l’intento delle SGACL.
• Note operative:
  • Utilizzare una MTU della fabric di 9100 per accomodare gli header VXLAN e di policy.
  • La rete di overlay fornisce servizi logici L2 e L3; la soppressione di ARP/ND riduce il rumore di fondo (noise).
  • Gli AP wireless della fabric operano in modalità fabric e si connettono direttamente agli edge switch.

Verifiche di esempio: show lisp session show lisp eid-table vrf TENANT_A show fabric edge neighbors show ip vrf

Operazioni, Networking dell’Hypervisor, Risoluzione dei Problemi e Migrazione

Switch virtuale e networking dell’hypervisor:

• I costrutti vSwitch (gruppi di porte, teaming degli uplink, tagging VLAN) collegano i carichi di lavoro agli switch ToR fisici. Assicurare una mappatura VLAN-VNI coerente quando gli hypervisor agiscono come VTEP.
• I VTEP software negli hypervisor (ad es., basati su OVS) estendono gli overlay ai carichi di lavoro; gli offload hardware (checksum VXLAN/TSO) migliorano le prestazioni.
• SR-IOV o il bypass accelerato della NIC possono limitare la visibilità e l’applicazione delle policy; assicurarsi che la telemetria e i controlli di sicurezza rimangano efficaci, o terminare i flussi SR-IOV su nodi consapevoli delle policy.
• LAG/LACP dagli hypervisor ai ToR devono essere configurati in modo uniforme; la coerenza della MTU tra domini virtuali e fisici è obbligatoria.

Flusso di lavoro per la risoluzione dei problemi dell’overlay:

1. Verifica dell’underlay

• Assicurare la raggiungibilità IP e l’ECMP tra i loopback. Validare la MTU:

undefined

• Controllare la stabilità di IGP/BGP, la ricorsione delle rotte e la CPU sui processi di routing.

2. Adiacenza e stato del tunnel

• VXLAN: verificare i peer NVE e l’appartenenza alla VNI; confermare la raggiungibilità UDP 4789 e il TTL.
• LISP: controllare la registrazione xTR a MS/MR e le voci della map-cache; assicurarsi che il RLOC-probe abbia successo.

3. Rotte del control-plane

• EVPN: confermare le sessioni BGP e i tipi di rotta (2, 3, 5) per VNI/VRF; validare che i route-target siano allineati con il progetto.

undefined

• Ispezionare le tabelle di soppressione ARP/ND e i numeri di sequenza di mobilità.

4. Identità e policy dell’endpoint

• Confermare l’autenticazione/autorizzazione del client con ISE. Verificare l’assegnazione SGT e i contatori SGACL per rilevare i drop dovuti alle policy.

5. Validazione del data-plane

• Usare ping estesi tra VNI/VRF. Eseguire catture all’ingresso/uscita del VTEP per confermare l’incapsulamento e il decapsulamento. Controllare i contatori ACL hardware e i policer.

6. Isolamento dei guasti comuni

• Blackhole all’interno di una VNI: rotta host di Tipo 2 mancante o voce obsoleta—cancellare selettivamente le rotte EVPN o svuotare ARP/ND sul VTEP interessato.
• Flooding eccessivo: discrepanza IMET/replicazione—verificare le rotte di Tipo 3 e le liste di replicazione.
• Problemi di mobilità: MAC/IP dell’anycast-gateway incoerente—standardizzare il MAC virtuale della SVI e verificare che FHRP non sia attivo su nessun VTEP.

Strategie di migrazione da VLAN ad architetture fabric:

• Preparare l’underlay: passare a un accesso routed o a una topologia spine–leaf. Eliminare i loop L2 e le dipendenze da STP ove possibile.
• Introdurre VRF e anycast gateway: migrare le SVI da HSRP/VRRP di distribuzione agli anycast gateway della fabric. Durante la transizione, usare la ridondanza del primo hop solo sui segmenti legacy; non eseguire FHRP sulle SVI dei gateway della fabric.
• Abilitazione graduale delle VNI: mappare le VLAN esistenti alle VNI, quindi abilitare L3VNI per ogni VRF. Iniziare con segmenti a basso rischio (Guest), poi con quelli critici (Prod).
• Progettazione di border e fusion: definire interconnessioni Layer 3 per VRF, implementare un fusion router per far trapelare le rotte tra le VRF utente e i servizi condivisi usando policy di import/export esplicite.
• Cutover del wireless: convertire gli AP in modalità fabric e collegarli agli switch di edge; assicurarsi che il controller wireless sia integrato con il control-plane della fabric. Il roaming tra gli edge utilizza le procedure inter-xTR in modo trasparente.
• Onboarding basato prima sulla policy: integrare ISE fin dall’inizio per l’assegnazione di VN/SGT basata sull’identità per evitare rilavorazioni.
• Coesistenza e rollback: mantenere percorsi paralleli con demarcazioni chiaramente definite. Validare MTU, QoS e monitoraggio end-to-end prima di espandere l’ambito.

Scenario di Problema Pratico

Contoso Health sta consolidando gli ospedali su una fabric di campus programmabile, mantenendo una rigida separazione dei domini Clinical, Guest e IoT e preservando la connettività ai servizi condivisi (EHR, DNS, Internet).

1. Costruire un underlay routed con ECMP e MTU 9100

• Motivazione: Un semplice underlay IP con loopback coerenti e jumbo MTU fornisce raggiungibilità prevedibile ed entropia per l’hashing VXLAN, garantendo alta disponibilità e margine per l’incapsulamento.

2. Definire le VRF e mapparle alle reti virtuali

• Motivazione: Creare le VRF Clinical, Guest e IoT. Questa macro-segmentazione impone l’isolamento del traffico all’interno del campus e si allinea ai requisiti di conformità.

3. Implementare i nodi del control-plane della fabric e i nodi di edge

• Motivazione: I nodi del control-plane ospitano LISP MS/MR per la mappatura endpoint-to-edge. I nodi di edge collegano gli utenti cablati ed eseguono l’incapsulamento/decapsulamento VXLAN, fornendo anycast gateway per sottorete in modo che gli endpoint possano spostarsi senza cambiare gateway.

4. Integrare ISE per l’onboarding basato sull’identità

• Motivazione: ISE valuta i client cablati e wireless tramite 802.1X/MAB e assegna VN e scalable group tag. Ciò consente una policy uniforme indipendentemente dalla posizione e dal tipo di dispositivo, con l’applicazione di SGACL sugli edge.

5. Abilitare VXLAN con EVPN sull’aggregazione del data center e sui core del campus

• Motivazione: EVPN distribuisce le rotte di Tipo 2, 3 e 5 per la raggiungibilità di host e prefissi, abilitando la soppressione ARP/ND e il routing/bridging integrato. Ciò riduce il traffico BUM e accelera la convergenza per le applicazioni cliniche.

6. Attivare i nodi di border con un fusion router per i servizi condivisi

• Motivazione: I nodi di border si connettono per-VRF al core/edge Internet. Un fusion router fa trapelare rotte selezionate tra Clinical/IoT e la VRF Shared-Services utilizzando import/export espliciti e SGACL, prevenendo un’eccessiva esposizione dei sistemi clinici.

7. Migrare le VLAN alle VNI in fasi

• Motivazione: Mappare le VLAN esistenti alle VNI e spostare le sottoreti sugli anycast gateway della fabric in modo incrementale. Ciò limita il raggio d’impatto e consente la validazione della raggiungibilità e della policy di ogni segmento prima di procedere.

8. Convertire gli AP in modalità fabric e collegarli direttamente agli switch di edge

• Motivazione: Gli AP in modalità fabric diventano partecipanti dell’overlay, estendendo le VNI ai client wireless. Il controller wireless continua a gestire RRM e mobilità; il roaming inter-xTR preserva la continuità della sessione tra gli edge.

9. Validare lo stato di salute del control-plane e del data-plane

• Motivazione: Verificare le registrazioni LISP, i tipi di rotta EVPN per VNI/VRF e i peering NVE. Testare con ping con DF-bit vicino a 8972 byte per garantire la sufficienza della MTU. Confermare i contatori SGACL per assicurare la micro-segmentazione prevista.

10. Stabilire runbook operativi e piani di rollback

• Motivazione: Documentare la risoluzione dei problemi secondo l’approccio “prima l’underlay, poi l’overlay”, includendo comandi per controllare le map-cache, le rotte EVPN e i peer VXLAN. Mantenere percorsi di coesistenza e demarcazioni chiare per consentire un rapido rollback se necessario.

← Infrastruttura Wireless e Mobilità · Tutti i domini · Connettività WAN →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →