Cisco 350-401: WAN、VPN、SD-WAN接続 — 学習ガイド

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

こちらの一部です： Cisco CCNP Enterprise 350-401 ENCOR — 学習ガイド. 検証済みの解答で練習： Cisco試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

エンタープライズWANの設計では、異種のアンダーレイとオーバーレイにまたがって、到達可能性、パフォーマンス、コスト、セキュリティのバランスを取ります。最新のアーキテクチャでは、プライベートトランスポート（MPLS、メトロイーサネット）とパブリックブロードバンドや携帯電話網を組み合わせ、暗号化されたオーバーレイ（IPsec、DMVPN、Cisco SD-WAN）を使用して、トランスポートへの非依存性、セグメンテーション、アプリケーションを意識したパス選択を実現します。堅牢な運用には、エンドツーエンドでのQoSとセキュリティを維持しつつ、継続的な測定（損失、レイテンシ、ジッター）、ブラウンアウト検出、高速なフェイルオーバーが必要です。

WANトランスポートとプロバイダー接続

企業はリスクを軽減しコストを最適化するために、一般的に複数のWANトランスポートを組み合わせます。

MPLS L3VPN: 予測可能なレイテンシ/ジッター、キャリアによるQoS、定義されたSLA。ネイティブなエニー・ツー・エニー接続。トレードオフとして、より高い経常コスト、長いプロビジョニング期間、キャリア管理のルーティング、単一プロバイダードメインへの依存が挙げられます。ラストマイルの多様性を確認し、共有障害ドメインを避けるために、異なるPEまたはPOPにデュアルホーム接続します。
メトロイーサネット (E-LAN/E-LINE): 大都市圏や地域内での広帯域、低レイテンシ。データセンター相互接続や地域のハブに有用です。オーバーレイカプセル化のためのMTUサポートや、プロバイダーとの接続点におけるQoSマーキングの挙動を考慮します。
インターネットDIA/ブロードバンド: 経済的で、どこでも利用でき、スケーラブル。QoS保証はなく、パフォーマンスのばらつきやDSCPが削除される可能性があります。オーバーレイ暗号化とブラウンアウト検出が必要です。VPNのためのCGNおよびNATとの互換性を検証し、よりシンプルなオンボーディングのためにパブリック/静的IPを推奨します。
LTE/5G: 迅速な導入が可能で、アウトオブバンドまたは第3のWANとして利用。レイテンシとジッターは変動し、データ上限やRFの輻輳が一般的な制約です。バックアップとして、または重要なアウトオブバンド管理のために配置します。
専用線 (DWDM, leased TDM/Ethernet circuits): 確定的で、分離されているためセキュア。柔軟性に乏しく、ビットあたりのコストが高く、ネイティブなエニー・ツー・エニー接続がありません。

複数のレイヤーでトランスポートの多様性を設計します。

物理: 別々の配管、電源、および境界点の場所。
プロバイダー: 異なるキャリアと上流のAS。
テクノロジー: MPLS、DIA、ブロードバンド、携帯電話網を混在させる。
ルーティング: 独立したコントロールプレーン（異なるPEへのeBGP、アンダーレイから独立したオーバーレイコントロール）。

主要な障害モードと緩和策：

ラストマイルの切断またはプロバイダーのメンテナンス: ラストマイルの二重化とオーバーレイによる迅速な再ルーティング。
カプセル化のオーバーヘッドによるMTU/フラグメンテーションのブラックホール: パスMTUディスカバリーとMSSクランピングを設定。
ISPによるDSCPの再マーキング: WANエッジで再マーキングし、オーバーレイ内のトンネルごとのQoSに依存。
CGNATによるインバウンドトンネルの切断: コントローラー支援のオンボーディングまたはアウトバウンドで開始されるトンネルを使用。

VPNとトンネリングの基礎

GREは、オーバーレイの到達可能性のためにシンプルなL3/L2カプセル化を提供しますが、暗号化や完全性はありません。機密性のためにIPsecと組み合わせて使用されることがよくあります。GREキープアライブは片方向の障害を検出し、MTUオーバーヘッドはチューニングが必要です。

IPsecはレイヤー3でデータを保護します。主要な要素は次のとおりです。

コントロールプレーンの鍵交換とSAネゴシエーションのためのIKEv2。Dead Peer DetectionとNAT-Tを備えています。
AES-GCMまたはAES-CBCと完全性を備えたESP。前方秘匿性を確保するためのPFS。
セキュリティとCPUオーバーヘッドのバランスを取った再鍵生成タイマー。

例：IOS XEでのGRE over IPsec（省略版）

undefined

DMVPNは、マルチポイントGREとNHRPを介してスケールを追加し、スポーク間のトンネルをオンデマンドで有効にします。動的ルーティング（EIGRP、OSPF、BGP）はオーバーレイ上で実行されます。トレードオフ：

長所: 柔軟なスポークメッシュ、ハブでの転送量の削減、シンプルなプロビジョニング。
リスク: NHRPデータベースのチャーン、ハブのボトルネック、ヘッドエンドの暗号化/CPUサイジング、階層型ポリシーを使用しない限りトンネルごとのQoS粒度が制限されること。トラブルシューティングはshow dmvpn、show ip nhrp、およびcrypto SA stateで行います。

セグメンテーション:

レガシー: VRF-LiteとMPLS L3VPNがトラフィックドメインを分離します。
オーバーレイ: SD-WANの「VPN」はセグメントごとに仮想化されたルーティングインスタンスを表し、WANエッジのVRFにマッピングされます。これにより、トランスポートに依存しないテナントおよびサービスの分離が提供されます。

Cisco SD-WANのアーキテクチャと運用

Cisco SD-WANは各プレーンを分離します。

vManage: 設定、監視、ライフサイクル運用のための単一の管理プレーン。
vBond: WAN Edgeを認証し、初期の到達可能性を提供し、NATトラバーサルのためのSTUNサーバーとして機能できるオーケストレーター。
vSmart: セキュアなコントロール接続を確立し、OMPを実行してルート、TLOC属性、ポリシーを配布し、トンネル確立のためのセキュリティ情報を伝達するコントロールプレーンの頭脳。

WAN Edge（vEdge/Catalyst SD-WAN）デバイスは、任意のアンダーレイ（MPLS、インターネット、LTE）上でデータプレーンのIPsecトンネルを構築します。コントロールプレーンはコントローラーへのDTLS/TLSを使用し、データプレーンはBFDベースのパフォーマンスプローブを備えたIPsecを使用します。主要な概念：

TLOC: システムIP、カラー（アンダーレイのタイプ/意図）、カプセル化のタプル。カラーにより、ポリシーでトランスポートを優先または制限できます。
OMPルート: プレフィックスの到達可能性。TLOCルート: トランスポートの隣接関係。サービスルート: サービス挿入。
セグメンテーション: SD-WAN VPNは、ファブリック全体で分離されたルーティングドメインを提供します。

オンボーディングとセキュリティ:

証明書ベースのID（SUDIまたはコントローラー発行）、時刻同期、vBondへの到達可能性を備えたZTP。
vBond STUNとNAT-TによるNAT処理。時刻のずれ、証明書の有効期限切れ、到達不能なコントローラーは、一般的なオンボーディングの障害点です。

トンネルトランスポート:

ポリシーに基づき、WAN Edge間でフルメッシュまたはパーシャルメッシュのセキュアなトンネルを構築。
TLOCごと/VPNごとに、BFDが設定可能な間隔と乗数で損失、レイテンシ、ジッターを監視し、ブラックアウトとブラウンアウトを検出します。

ポリシー、パフォーマンス、耐障害性

ポリシーレイヤー:

集中管理コントロールポリシー: OMP アドバタイズメントとハブ/スポークトポロジーに影響を与えます (例: ルートフィルタリング、TLOC プリファレンス)。
集中管理データポリシー: ファブリック全体で、VPN ごとおよびトラフィッククラスごと (IP フィールドに一致) の転送動作を定義します。
ローカルポリシー: 個々の WAN Edge でのインターフェイスレベルの QoS、ACL、およびシェーピング。

アプリケーションアウェアルーティング (AAR) は、SLA クラスと BFD で測定されたパス特性を使用して、アプリケーションまたはトラフィッククラスごとにパスを選択します:

SLA クラス: 許容可能な損失、片道遅延、ジッターのしきい値、およびプローブ頻度を定義します。複数のクラスで、アプリの階層 (音声、トランザクション、ベストエフォート) を反映できます。
パス選択: ポリシーごとに候補となる TLOC を評価し、準拠しているパスを優先します。準拠するパスがない場合、フォールバックには、ポリシーに基づいて、利用可能な最良のパス、ローカルブレイクアウト、またはドロップが含まれます。ヒステリシスおよびホールドダウンタイマーにより、フラッピングが防止されます。
フローピニング: 確立されたセッションのパスの一貫性を維持します。新しいフローはパスの選択を再評価します。

サービス品質 (QoS):

アンダーレイ CIR へのトンネルごとのシェーピング、キューイングのための階層型ポリシー (音声用の LLQ、AF クラス)、およびプロバイダーエッジでのポリサー認識。
IPsec を越えた DSCP の維持がサポートされています。意図を維持するために、暗号化の前に必要に応じて再マーキングします。
インターネットトランスポートでは、トランジットでの QoS が保証されないことを理解した上で、QoS をローカルで処理します (egress シェーピング、優先順位付け)。

セキュリティとセグメンテーション:

VPN ごとの ZBFW、URL フィルタリング、IDS/IPS、および TLS プロキシを WAN エッジに挿入できます。
セキュアインターネットブレイクアウト (DIA) は、セキュリティポリシーを適用しながら SaaS/インターネットトラフィックをローカルにオフロードします。残りのトラフィックはオーバーレイを介してハブまたは DC に向かいます。

耐障害性:

ECMP またはポリシーで優先されるプライマリ/セカンダリを使用して、複数のカラー (例: mpls と biz-internet) をアクティブ/アクティブで使用します。
障害発生時にのみ使用されるように、より高い TLOC コスト/プリファレンスを持つ LTE などのバックアップトランスポート。
TLOC 拡張は、サイト内のあるデバイスから別のデバイスへのトランスポートをブリッジし、回線が異なるルーターで終端する場合の生存性を高めます。
異なる DC にあるリージョナルハブのペアが、コントロール/データの冗長性を確保します。ロールごと (vManage、vBond、vSmart) のデュアルコントローラークラスターがサイト間に分散されます。

ブラウンアウト検出:

BFD から派生したメトリクスは、完全な障害が発生する前に劣化を特定します。ポリシーは、機密性の高いトラフィック (音声、VDI) のみを劣化したリンクから迂回させ、バルクフローはそのままにすることで、帯域幅を維持できます。

運用とトラブルシューティング

運用上の検証では、アンダーレイの到達可能性、オーバーレイの制御、およびデータプレーンのパフォーマンスに焦点を当てます。

アンダーレイ：IPアドレッシング、NATの動作、MTUを検証します。DFビットを設定し、サイズを変えながらpingを使用し、traceroute、レガシー設計ではip slaトラッキングを使用します。LTEの場合は、信号品質とキャリアのCGNATを確認します。
SD-WAN制御：show control connectionsで、vBond、vSmart、vManageへのDTLS/TLSセッションを検証します。時刻同期と証明書が有効である必要があります。
OMP：show omp peersとshow omp routesで、ルートとTLOCの交換を確認し、コントロールポリシーの影響を分析します。
データプレーン：show bfd sessionsでBFDセッションと損失/遅延/ジッターの統計情報を確認し、app-routeのSLAコンプライアンスと関連付けます。WANインターフェースでのパケットキャプチャは、DSCPとIPsecカプセル化の検証に役立ちます。
ポリシー：中央集中/ローカルポリシーのマッチ条件とアクションを検査し、DPIによるアプリ識別と、必要に応じたポートベース分類へのフォールバックを確認します。
QoS：show policy-map interfaceで、キューのドロップとシェーピングレートを確認し、シェーピングで暗号化のオーバーヘッドを考慮してテールドロップを回避するようにします。
レガシーVPN：show crypto ikev2 sa、show crypto ipsec sa、show dmvpn、およびNHRPテーブルでトンネルの状態を確認します。一般的な問題には、フェーズ1/フェーズ2の不一致、NAT-Tがネゴシエートされない、PMTUDの失敗などがあります。

障害復旧：

コントローラーの冗長性とデバイスのリホーミングポリシーを確保し、コントローラーサイトの喪失をテストします。
制御された障害テストで、ブラウンアウト時のステアリングと復帰を検証します。
vManageから設定のロールバックチェックポイントと段階的なデプロイメントを実装します。

実践的な問題シナリオ

Northstar Retail社は、単一プロバイダーのMPLS WANを、200の支店でDIAブロードバンドとMPLSを使用したデュアルトランスポートSD-WANに置き換え、LTEを第3のバックアップとしています。目標は、音声およびPOSトランザクションのSLAを維持し、SaaS向けのセキュアなインターネットブレイクアウトを可能にし、移行リスクを最小限に抑えることです。

アプローチ：

SD-WANコントロールプレーンの構築

2つのデータセンターに冗長化されたvManage、vSmart、vBondをデプロイします。理由：vManageは管理機能を提供し、vSmartはOMPとポリシー配信によるコントロールプレーンを提供し、vBondはオンボーディングとNATトラバーサルをオーケストレーションします。地理的な冗長性により、コントロールプレーンの生存性が確保されます。

アンダーレイとサイトの多様性の準備

DIAを、そして可能であれば異なるキャリアのMPLSまたはMetroEを契約し、重要なサイトにはLTEを追加します。別々の分界点と電源パスを設定します。理由：多様なプロバイダーとラストマイルにより、相関性のある障害が減少し、LTEは地域的な障害発生時の第3の到達可能性を確保します。

ZTPと証明書によるWAN Edgeのオンボーディング

vBondを利用したオンボーディングを使用し、NTPによる正確な時刻を確保し、コントローラー検出のためにアウトバウンドのUDP/TCPを許可します。理由：証明書ベースのIDとvBondのSTUN機能により、NATの障壁を乗り越え、セキュアな制御チャネルを確立します。

セグメンテーションとサービスの定義

Corp（VPN 10）、Voice（VPN 20）、Guest（VPN 30）、PCI（VPN 40）用のSD-WAN VPNを作成します。GuestおよびCorpのDIAにZBFWとURLフィルタリングをサービス挿入します。理由：VPNごとの分離は、コンプライアンスとセキュリティの目標を満たし、サービスチェイニングはセグメントごとのセキュリティを強制します。

SLAクラスとアプリケーションアウェアルーティングの確立

SLA-Voice（厳しい損失/遅延/ジッター）、SLA-Transact（中程度のしきい値）、SLA-BE（ベストエフォート）を作成します。DPIを使用して音声/SIP/RTPおよびPOSゲートウェイのアプリをマッチさせます。ポリシーは、準拠している場合はVoiceとPOSにMPLSを優先し、そうでなければDIAに誘導します。バルク/SaaSはDIAを優先します。理由：BFDによるSLA準拠により、コストパスを最適化しつつ、ブラウンアウトを回避できます。

トランスポートごとのQoSとシェーピングの設定

音声用のLLQ、POSおよびインタラクティブトラフィック用のAFキューを備えた階層型QoSを適用し、プロバイダーのCIRからIPsecオーバーヘッドを差し引いた値にシェーピングします。暗号化の前にDSCPを保持します。理由：テールドロップを防ぎ、遅延に敏感なアプリの優先度を確保し、フラグメンテーションを回避します。

セキュアなインターネットブレイクアウトの有効化

SaaSおよびWebトラフィックについては、ZBFW、DNSセキュリティ、URLフィルタリングを使用してローカルDIAを実行し、不明または機密性の高い宛先はDCハブに送って検査します。理由：ポリシー制御とコンプライアンスを維持しながら、SaaSへの遅延を削減します。

耐障害性とフェイルオーバーポリシーの実装

BEトラフィックにはDIAとMPLS間でアクティブ/アクティブのECMPを使用します。Voice/POSが正常時にMPLSを選択するようにTLOCプリファレンスを設定します。LTEはフェイルオーバー専用として低いプリファレンスを設定します。フラッピングを防ぐためにヒステリシスタイマーを追加します。理由：ブラウンアウト中の制御された優先度と安定性。LTEは緊急時用に確保されます。

MTUとMSSの検証、そしてパイロット展開

WAN EdgeでトンネルのMTU/MSSを設定し、両方のトランスポートでPMTUDを検証します。10支店でパイロット展開し、制御された損失/遅延を注入してパスのステアリングと復帰を確認します。理由：フラグメンテーションのブラックホールを回避し、スケールアウト前に運用動作を確認します。

ロールバックを伴う段階的な移行

共存期間中、レガシーMPLS CPEとWAN Edgeの両方からOMP経由でサイトのサブネットをアドバタイズします。デフォルトルートとBGPメトリックを調整してトラフィックを切り替えます。レガシーのメトリックを復元することで、切り戻し計画を維持します。理由：確定的なロールバックが可能な、無停止での移行。

監視とトラブルシューティングの運用化

vManageのダッシュボードで、BFDメトリック、SLAコンプライアンス、アプリのパスを監視します。詳細なチェックにはshow control connections、show omp routes、show bfd sessionsを使用します。SLAクラスに合わせたアラートしきい値を設定します。理由：ブラウンアウトの早期検出と迅速な根本原因の切り分け。

堅牢化と定期的なテスト

証明書をローテーションし、コントローラーのフェイルオーバーをテストし、四半期ごとに障害テストを実行します。理由：セキュリティ体制を維持し、ネットワークの進化に伴い、フェイルオーバーとブラウンアウトへの対応が有効であり続けることを検証します。

← ネットワーク仮想化、オーバーレイ、ファブリック技術 · すべてのドメイン · エンタープライズセキュリティとアイデンティティサービス →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

試験に合格する →