Cisco 350-401: Infrastruttura Wireless e Mobilità — Guida allo studio

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Fa parte della Cisco CCNP Enterprise 350-401 ENCOR — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.

Panoramica

Il wireless aziendale connette utenti, dispositivi e IoT su larga scala, preservando al contempo sicurezza, prestazioni e visibilità operativa. Progettarlo e gestirlo correttamente richiede la comprensione di architetture, comportamento dei piani di controllo e dati (control/data-plane), ingegneria RF, onboarding e segmentazione, meccanismi di mobilità, QoS per applicazioni in tempo reale e un ciclo di vita disciplinato. Questa sezione fornisce le logiche di progettazione, le linee guida operative e le modalità di guasto comuni per le moderne implementazioni Cisco-centriche, incluse le soluzioni wireless tradizionali basate su controller, quelle gestite dal cloud e quelle abilitate per il fabric.

Architetture, Ruoli e Piani di Controllo/Dati

Le architetture wireless si differenziano per dove risiedono il controllo e le policy e per come viene gestito il traffico:

AP Autonomi: Ogni AP prende tutte le decisioni e gestisce il bridging del traffico localmente. Pro: semplice per siti molto piccoli, nessuna dipendenza da un controller. Contro: scarsa scalabilità, policy e visibilità frammentate, coordinamento RF manuale, roaming veloce limitato. Modalità di guasto: configurazioni incoerenti, sovrapposizione di canali, lenta adozione delle funzionalità di sicurezza.
Basata su controller (WLC on-prem): Gli AP eseguono un modello split-MAC e formano tunnel CAPWAP verso un Wireless LAN Controller. Il WLC centralizza le funzioni del piano di controllo (join degli AP, configurazione, gestione 802.11, RRM) e può commutare i dati centralmente (central switching, ovvero inoltrare il traffico utente tramite tunnel al WLC) o localmente all’edge (local switching con FlexConnect). Pro: scalabilità, policy coerenti, roaming veloce, RRM. Compromessi: è necessario il dimensionamento e l’alta disponibilità (HA) del WLC; il central switching aggiunge latenza e rischio di hairpinning.
Gestita dal cloud: Gli AP o i gateway wireless sono gestiti da un controller in cloud; i dati possono rimanere locali o attraversare i gateway del cloud a seconda del progetto. Pro: operazioni semplificate, facile gestione multi-sito. Compromessi: dipendenza da Internet per la gestione; è necessario chiarire da dove esce il traffico dati.
Controller integrati (Embedded): Una funzione di controller ospitata all’interno di un AP o di uno switch (ad esempio, l’embedded wireless controller sugli AP Catalyst). Pro: autonomia delle filiali, minor numero di appliance. Compromessi: limiti di scalabilità e funzionalità rispetto ai WLC completi, allineamento del codice e delle capacità tra i vari siti.

Ruoli di WLC e AP

WLC: Controllo centrale delle policy e dell’RF; mantiene il database degli AP; esegue il Radio Resource Management (RRM) per calcolare canale/potenza; termina il controllo CAPWAP; può terminare i dati quando si usa il central switching; applica le policy di QoS, ACL e AAA.
AP: Gestisce le radio, trasmette i beacon degli SSID, gestisce il MAC 802.11 in modalità split-MAC (le funzioni critiche in termini di tempo sono sull’AP), converte i frame 802.11 in 802.3 per l’inoltro. Nel wireless SD-Access, i fabric AP fanno parte dell’overlay e sono tipicamente in modalità locale e connessi direttamente a un fabric edge.

CAPWAP, controllo vs dati

Percorso di controllo (Control path): Il controllo CAPWAP da AP a WLC è sempre presente. Assicurarsi che l’MTU sia sufficiente per CAPWAP + IPsec se utilizzato; i black hole di PMTU possono causare instabilità degli AP.
Opzioni per il percorso dati (Data path):
- Central switching: I frame degli utenti vengono inoltrati tramite tunnel al WLC, poi sottoposti a bridging/routing. Semplifica la segmentazione ma può aggiungere latenza e colli di bottiglia.
- Local switching (FlexConnect): I dati escono localmente dalla porta dello switch dell’AP; le policy vengono inviate centralmente. Utile per le filiali. Richiede un’attenta coerenza delle VLAN e una progettazione accurata di DHCP/ACL.
- SSID abilitato per il fabric (SD-Access): L’AP converte i frame 802.11 in 802.3 e li incapsula in VXLAN verso il fabric edge; la policy e la segmentazione end-to-end viaggiano nell’overlay.

Guasti di join comuni e mitigazioni

Certificato dell’AP o orario non corrispondenti: Usare NTP per WLC e AP; verificare la fiducia dei MIC/SSC; evitare l’ispezione approfondita (deep inspection) che interrompe DTLS.
Dominio normativo non corrispondente: Allineare i codici paese e i canali consentiti.
Raggiungibilità CAPWAP: Permettere UDP/5246–5247, assicurare il NAT traversal se applicabile e validare jumbo/MTU.

Fondamenti RF e Costrutti WLAN

Bande e canali

2.4 GHz: Tre canali da 20 MHz non sovrapposti (1, 6, 11). Lunga portata, alta interferenza (Bluetooth, microonde). Limitare o disabilitare in progetti ad alta densità e sensibili alle prestazioni.
5 GHz: Molti canali da 20 MHz nelle bande UNII-1/2/2e/3/4 con considerazioni DFS. Preferita per capacità e VoWLAN. Gli eventi DFS possono innescare cambi di canale: monitorare i falsi positivi e l’adiacenza a radar.
6 GHz (Wi‑Fi 6E): Ampio spettro contiguo; 20/40/80/160 MHz senza client legacy. WPA3 e Protected Management Frames (PMF) sono obbligatori. L’Automated Frequency Coordination può essere applicata all’esterno.

Compromessi sull’ampiezza del canale

20 MHz: Massima concorrenza e riutilizzo; la scelta migliore in ambienti aziendali ad alta densità.
40/80/160 MHz: Throughput di picco per client più elevato ma meno canali unici; rischioso in alta densità; può esacerbare la contesa sullo stesso canale (co-channel contention).

Potenza e TPC

Mantenere la potenza di trasmissione dell’AP vicina a quella del client per evitare “sticky client”; consentire a RRM TPC di ridurre la potenza dove le celle si sovrappongono. Una potenza eccessiva aumenta la contesa e i problemi di “hidden node”.

Tipi di interferenza

Interferenza co-canale (Co-channel interference): Troppo pochi canali unici o celle con potenza eccessiva.
Interferenza su canali adiacenti (Adjacent-channel interference): Ampiezza sovrapposta o canali non allineati.
Interferenti non-802.11: Bluetooth, DECT, microonde, telecamere. Usare l’analisi dello spettro/equivalenti di CleanAir per localizzarli e mitigarli.

Profili SSID, BSSID e WLAN

L’SSID è il nome della rete; ogni SSID per radio genera un BSSID univoco. Troppi SSID aumentano il beacon/overhead; puntare a 4–6 o meno.
Il profilo WLAN lega l’SSID a un profilo di sicurezza, QoS e policy. Mappare a VLAN/VRF o alla segmentazione dell’overlay (ad esempio, SGT) a seconda dell’architettura.

Sequenza di onboarding del client

Discovery/scansione → Autenticazione/associazione → Gestione delle chiavi (4-way handshake o SAE) → DHCP/DNS → captive portal/CoA se per ospiti.
Errori comuni: la disabilitazione dei data rate bassi può bloccare i client legacy; un guasto di DHCP o DNS appare come un guasto della WLAN; la randomizzazione del MAC può influire su NAC/profiling.

Mobilità, QoS, Progettazione, Monitoraggio e Ciclo di Vita

Roaming e gruppi di mobilità

Roaming intra-controller: Veloce e trasparente quando tutti gli AP condividono lo stesso WLC e gruppo di mobilità; il caching opportunistico di PMK/OKC e lo standard 802.11r riducono il tempo di ri-autenticazione.
Roaming inter-controller: Richiede gruppi di mobilità affinché i WLC condividano il contesto del client; un roam può essere di L2 (stessa sottorete) o L3 (sottorete diversa) con tunnel di mobilità che mantengono la continuità dell’IP.
802.11k/v/r: k fornisce report sui vicini, v assiste la transizione BSS, r accelera lo stabilimento della chiave (FT over-the-air/over-the-DS). Abilitare per la voce in tempo reale solo se la base di client lo supporta; un supporto misto può portare a fallimenti di associazione.
Wireless SD-Access: Gli AP fanno parte dell’overlay del fabric; il traffico utente è incapsulato in VXLAN verso gli edge del fabric. I roam tra AP su diversi switch di accesso rimangono fluidi tramite il piano di controllo del fabric.

QoS wireless e app in tempo reale

Categorie di accesso WMM: Voice, Video, Best Effort, Background. Mappare DSCP a UP in modo appropriato; marcare l’upstream e preservare le marcature su CAPWAP/VXLAN.
Call Admission Control (TSPEC/ACM): Previene la sovrasottoscrizione della categoria di accesso (AC) voce; abilitare sugli SSID che trasportano voce e sintonizzare per cella AP.
Ottimizzazione del multicast: Convertire in unicast o usare i miglioramenti di 802.11ac/ax; evitare velocità di base basse che forzano un multicast lento.
Funzionalità Wi‑Fi 6/6E: OFDMA migliora la latenza schedulando unità di risorsa; BSS Coloring riduce la contesa nel riutilizzo spaziale; sintonizzare il target wake time per il risparmio energetico dei dispositivi IoT.

Posizionamento degli AP, copertura e capacità

Obiettivi di copertura: Per i dati, minimo −67 dBm con SNR ≥25 dB; per la voce, spesso −65 dBm e perdita di pacchetti <1%. Sovrapposizione del 15–20% ai bordi della cella su 5 GHz; evitare buchi di copertura in vani scala/ascensori.
Pianificazione della capacità: Dimensionare per il numero di client e l’airtime delle applicazioni, non solo per l’RSSI. Preferire canali a 20 MHz, disabilitare o limitare la banda a 2.4 GHz in spazi densi e impostare le velocità di base minime a 12–24 Mbps per ridurre l’airtime dei beacon garantendo al contempo la compatibilità.
Antenne: Selezionare pattern che si adattino all’ambiente; usare antenne direzionali per corridoi/magazzini; adeguare l’EIRP ai limiti normativi.
Site survey: Modellazione predittiva per la progettazione iniziale; validazione pre-deployment; survey attivi/post-deployment per verificare le prestazioni reali. Rieseguire il survey dopo modifiche al layout o all’inventario.

Monitoraggio e risoluzione dei problemi wireless

Telemetria: Inviare le metriche di WLC/AP al proprio NMS; abilitare syslog; usare piattaforme di assurance per l’analisi del percorso del client (associazione, autenticazione, DHCP, DNS).
Analisi dello spettro: Identificare interferenze non-802.11 ed eventi DFS; tracciare i duty cycle.
Triage per client:
- Associazione/autenticazione: Controllare le impostazioni di sicurezza, PMF, compatibilità 802.11r e la fiducia dei certificati (per EAP-TLS).
- Livello IP: Opzioni DHCP, esaurimento dello scope, relay helper e raggiungibilità DNS.
- Mobilità: Client “sticky” (appiccicosi) a causa di asimmetria di potenza; validare le liste di vicini 802.11k/v; eccessive modifiche RRM che interrompono le sessioni.
- Percorso dati: MTU e frammentazione CAPWAP/VXLAN; ACL o firewall che bloccano RADIUS/CoA o il controllo della mobilità.
Modalità di guasto comuni: troppi SSID che causano un elevato airtime dei beacon; cambi di canale DFS che interrompono chiamate in tempo reale; timeout di RADIUS dovuti a routing asimmetrico; reindirizzamento del portale guest bloccato dall’intercettazione HTTPS.

Gestione sicura del ciclo di vita del wireless

Governance delle immagini e delle configurazioni: Standardizzare il codice di WLC/AP; usare aggiornamenti degli AP scaglionati e continui (rolling); mantenere l’HA del controller N+1.
Certificati e PKI: Automatizzare l’iscrizione 802.1X EAP-TLS con SCEP/EST; monitorare le scadenze; proteggere le cifrature CAPWAP/DTLS; ruotare i segreti RADIUS.
Igiene delle policy: Rivedere regolarmente gli SSID, disabilitare quelli non utilizzati, ruotare le PSK o migrare a MPSK/EAP-TLS; verificare le policy dACL/SGT; minimizzare le regole di eccezione.
Igiene dell’RRM: Vincolare gli intervalli di DCA/TPC; bloccare canali/potenza dove necessario (auditorium ad alta densità); definire una baseline RF e confrontarla dopo le modifiche.
Backup e test: Pianificare backup della configurazione; test con client sintetici per l’onboarding e il captive portal; chaos testing per il failover del controller e la mobilità dell’anchor.

Scenario pratico

Contoso Financial sta migrando la sua sede centrale di 12 piani a Wi-Fi 6E, consolidando quattro SSID legacy, abilitando l’accesso basato su certificati e supportando la voce su softphone e il video per i trader con interruzioni minime. Il campus cablato è un fabric SD-Access; il traffico guest deve uscire da una DMZ e l’azienda riscontra frequenti problemi di join degli AP durante le finestre di manutenzione.

Approccio

Razionalizzare gli SSID e definire i profili WLAN

Creare tre SSID: CORP (802.1X EAP‑TLS), GUEST (aperto con autenticazione web) e IOT (MPSK).
Motivazione: Meno SSID riducono l’overhead di airtime; modalità di sicurezza distinte si mappano a policy chiare. WPA3/PMF su CORP e IOT migliora la resilienza; GUEST usa un captive portal per facilità d’uso.

Implementare 802.1X basato su certificati con RADIUS resiliente

Integrare il WLC con nodi ISE ridondanti; imporre EAP‑TLS; abilitare CoA e policy dinamiche (override di SGT e VLAN).
Motivazione: EAP‑TLS elimina i segreti condivisi e supporta la segmentazione per utente. CoA permette modifiche di ruolo post-autenticazione (ad esempio, per conformità di postura).

Abilitare SSID fabric-enabled per CORP e IOT; ancorare GUEST a un WLC nella DMZ

Taggare gli AP come fabric AP; mappare gli SSID a reti virtuali/SGT; assicurare VXLAN verso gli edge del fabric. Configurare anchor di mobilità per GUEST verso una coppia di WLC nella DMZ.
Motivazione: Il fabric preserva le policy end-to-end senza la proliferazione delle VLAN (VLAN sprawl); l’ancoraggio isola il traffico guest e semplifica l’uscita verso Internet e la conformità.

Progettare l’RF con 6 GHz primario, 5 GHz secondario e 2.4 GHz minimo

Usare canali a 20 MHz in aree ufficio dense; limitare a 40 MHz solo in zone a bassa densità; disabilitare 2.4 GHz eccetto in aree relax e aree IoT. Vincolare il DCA a canali non-DFS dove il radar è prevalente; impostare il TPC per corrispondere alla potenza tipica dei client (14–17 dBm EIRP).
Motivazione: Massimizza la concorrenza e minimizza la contesa; evita interruzioni di chiamata dovute a DFS; la simmetria di potenza riduce i client “sticky”.

Preparare un roaming veloce e affidabile per le app voce e di trading

Abilitare 802.11k/v globalmente e 802.11r su CORP dopo aver validato la compatibilità dei client; sintonizzare le soglie della lista dei vicini; abilitare il CAC per la voce con TSPEC.
Motivazione: Il roaming assistito riduce la latenza di handoff; il CAC previene la sovrasottoscrizione dell’airtime che degraderebbe il MOS.

Rafforzare il join degli AP e la resilienza del controller

Verificare NTP e la fiducia dei certificati; aumentare l’MTU di CAPWAP se necessario; permettere CAPWAP/DTLS attraverso i firewall; implementare WLC N+1 con bilanciamento del carico per il join degli AP e HA SSO.
Motivazione: Tempo e fiducia sono blocchi comuni per il join; un’HA adeguata previene disconnessioni di massa degli AP (flap) durante la manutenzione.

Eseguire un site survey e una validazione per fasi

Progettazione predittiva seguita da survey attivi piano per piano; bloccare canali/potenza nelle sale trading; impostare le velocità di base minime a 12–24 Mbps; misurare SNR, MCS e latenza sotto carico.
Motivazione: Valida le condizioni RF reali; riduce l’instabilità (churn) dell’RRM in zone critiche; impone baseline di performance.

Implementare QoS end-to-end

Mappare DSCP-a-UP e preservare le marcature in CAPWAP/VXLAN; abilitare il CAC per la voce; convertire i flussi video multicast in unicast dove fattibile.
Motivazione: Assicura priorità coerente e latenza/jitter limitati per le app in tempo reale.

Monitorare e iterare usando strumenti di assurance e di analisi dello spettro

Inviare la telemetria da WLC/AP; creare dashboard per le fasi di onboarding dei client; generare allarmi per eventi DFS e modifiche RRM; usare l’analisi dello spettro per localizzare le fonti di interferenza.
Motivazione: Accorcia il tempo medio per l’assoluzione (MTTI) e identifica rapidamente i colli di bottiglia RF o AAA.

Istituzionalizzare pratiche di ciclo di vita sicure

Standardizzare su un codice WLC/AP testato; pianificare aggiornamenti continui (rolling) degli AP; ruotare le PSK su IOT trimestralmente; monitorare le scadenze dei certificati; revisioni trimestrali delle policy/RRM.
Motivazione: Previene la deriva (drift), riduce l’esposizione e sostiene le performance man mano che l’ambiente evolve.

← Servizi IP · Tutti i domini · Virtualizzazione di Rete →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →