Cisco 300-410: Geavanceerde IPv4- en IPv6-adressering — Studiegids
Onderdeel van de Cisco CCNP Enterprise 300-410 ENARSI — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.
Overzicht
Geavanceerde IPv4- en IPv6-adressering vormt de basis voor stabiele routing, voorspelbare forwarding, schaalbare aggregatie en veilig first-hop-gedrag. Dit hoofdstuk legt uit hoe prefixes worden geselecteerd, hoe adresseringsplannen schalen door middel van summarisatie, hoe IPv6-adressering en Neighbor Discovery werken, waar je rekening mee moet houden bij dual-stack en migratie, en hoe je forwarding kunt verifiëren. Het belicht ook veelvoorkomende faalscenario’s en afwegingen, zodat ontwerp en beheer kunnen leiden tot betrouwbare resultaten.
IPv4-routeselectie en schaalbare adresplanning
- Longest prefix match (LPM): Routers geven altijd de voorkeur aan de meest specifieke route. Een /32 host-route heeft voorrang op een /24, die weer voorrang heeft op een /16, ongeacht het protocol. Implicatie voor het ontwerp: zorg voor specifieke routes waar traffic engineering precisie vereist; anders kan summarisatie wijzigingen in bereikbaarheid verbergen en suboptimale paden of black holes veroorzaken.
- Administrative distance (AD): Wanneer meerdere bronnen dezelfde prefixlengte aanbieden, wint de route met de laagste AD (standaard bijvoorbeeld: connected < static < eBGP < IGP < iBGP). Ontwerp met een doel:
- Gebruik floating statics (hogere AD) als gecontroleerde fallbacks achter een primaire dynamische route.
- Vermijd onbedoelde overschrijvingen; een static met een lage AD kan stilzwijgend een via IGP geleerd pad onderdrukken.
- Ontwerp van statische routes:
- Next-hop versus uitgaande interface: ip route 192.0.2.0 255.255.255.0 198.51.100.1 voert recursieve resolutie uit en is bestand tegen L2-wijzigingen. ip route 192.0.2.0 255.255.255.0 GigabitEthernet0/0 kan per-packet ARP activeren op multiaccess-segmenten en kan verkeer verkeerd doorsturen als er meerdere next-hops bestaan.
- Linkstoringen: Gebruik tracking van interfaces of IP SLA-objecten om statische default routes in te trekken tijdens upstream-storingen.
- Bescherming bij summarisatie: Installeer een discard route naar null0 die overeenkomt met de summary om loops te voorkomen wanneer specifieke routes ontbreken.
- Voorbeeld: ip route 10.16.0.0 255.255.0.0 Null0 250
- Variabele subnetmaskers (VLSM): Wijs subnets toe op basis van de benodigde grootte. Voordelen zijn een hogere benuttingsgraad en minder prefixes, mits gekoppeld aan hiërarchie. Risico’s omvatten fragmentatie die summarisatie belemmert.
- Routesamenvatting (summarization):
- Vat routes samen op de grenzen van de distributie- of core-laag om ‘failure domains’ te beperken en de state van de control-plane te verkleinen.
- Grenzen moeten uitgelijnd zijn op binaire (nibble) grenzen om aggregatie te kunnen handhaven naarmate het netwerk groeit.
- Afweging: Samenvattingen kunnen het intrekken van specifiekere routes verbergen, wat leidt tot black holes. Ga dit tegen via:
- Lek kritieke specifieke routes (bijv. voor traffic-engineering) en monitor de bereikbaarheid.
- Gebruik nauwkeurige ’longest-match’-uitzonderingen of conditionele ‘advertisement’ gekoppeld aan bereikbaarheidstests.
- Schaalbaarheid en overlap van het adresplan:
- Hiërarchische toewijzing: reserveer blokken per site/regio/rol. Voorkom secundaire en ad-hocadressering die summarisatie doorbreekt.
- Vermijd overlap door een ‘single source of truth’ te hanteren voor toewijzingen en door groei binnen elk blok vooraf te reserveren.
- Scheiding van DMZ/Guest/Services vereenvoudigt het beleid en verkleint de ‘blast radius’.
IPv6-adrestypes en planontwerp
- Link-local (FE80::/10): Automatisch geconfigureerd, verplicht op elke interface, gebruikt voor ND en voor routing next-hops op een link. Niet routeerbaar; kan het enige functionele adres zijn voor underlay-adjacencies. Operationele opmerking: Bij het gebruik van een link-local next-hop in statische routes moet je de uitgaande interface specificeren.
- Global unicast (2000::/3): Routeerbaar op het internet; wijs hiërarchisch toe (bijvoorbeeld /48 per site, /64 per LAN). Geef de voorkeur aan op nibbles uitgelijnde grenzen (/48, /56, /60, /64) om ACL’s en summarisatie te vereenvoudigen.
- Multicast (FF00::/8): Gebruikt door ND (solicited-node multicast), routeringsprotocollen en services. Zorg ervoor dat MLD en control-plane policing rekening houden met deze groepen in drukke L2-domeinen.
- Anycast: Hetzelfde adres geconfigureerd op meerdere nodes; verkeer wordt door routing afgeleverd bij de dichtstbijzijnde instantie. Vaak gebruikt voor first-hop gateways en recursieve DNS. Faalmodus: Operationeel niet te onderscheiden van unicast—documenteer locaties en monitor de bereikbaarheid, anders los je mogelijk problemen op de verkeerde node op.
- Unique local (FC00::/7): Niet-routeerbaar op internet, intern uniek. Nuttig voor interne services en als stabiele identifiers wanneer je hernummering door de provider verwacht. Gebruik NPTv6 alleen als je host-adressering moet behouden bij providerwijzigingen; begrijp dat NPTv6 de prefixlengte behoudt, maar niet de end-to-end adrestransparantie.
- Interface identifiers: Geef de voorkeur aan stabiele, willekeurige IID-methoden (RFC 7217) boven EUI-64 om privacyrisico’s te verminderen. Gebruik voor servers en infrastructuur genummerde IID’s om OAM en ACL’s te vereenvoudigen.
IPv6 Neighbor Discovery, ICMPv6 en autoconfiguratie
- ICMPv6 is cruciaal voor de control-plane:
- Router Solicitation (RS) en Router Advertisement (RA) sturen het leren van de default gateway en on-link bepaling aan.
- Neighbor Solicitation (NS) en Neighbor Advertisement (NA) vervangen ARP; bereikbaarheid en DAD zijn hiervan afhankelijk.
- Redirects zorgen voor optimalisatie van het first-hop pad; overweeg deze uit te schakelen in beveiligde segmenten.
- Duplicate Address Detection (DAD): Wordt uitgevoerd voordat een adres geldig wordt. Foutmodus: VM’s of zich misdragende hosts kunnen geldige adressen NAK’en (afkeuren); log DAD-fouten en plaats boosdoeners in quarantaine via port-security of ND-inspectie.
- SLAAC vs DHCPv6:
- SLAAC: Hosts vormen adressen op basis van RA’s; de default gateway komt uit de RA. Voordelen: geen afhankelijkheid van een server, eenvoudig beheer. Beperkingen: beperkte centrale controle; DNS-opties voor de host vereisen RA RDNSS of DHCPv6.
- Stateless DHCPv6: Vult SLAAC aan met parameters (DNS, domein), niet met adressen. RA-flags: O=1, M=0.
- Stateful DHCPv6: De server wijst adressen en opties toe. RA-flags: M=1 (O kan 0 of 1 zijn). Gebruik waar auditing en reserveringen vereist zijn (servers, gereguleerde apparaten).
- Ontwerp van relay-agents:
- Plaats DHCPv6-servers centraal; implementeer een relay op L3-gateways met
undefined
.
- Zorg ervoor dat relays het kortste pad naar de servers volgen en dat infrastructuur-ACL’s UDP 546/547 en ICMPv6 toestaan.
- Foutmodi: Asymmetrische routing voorkomt dat de Reply de relay bereikt; overlappende prefixes of RA-storms veroorzaken adresverloop (‘churn’); zorg ervoor dat alleen de bedoelde routers RA’s uitzenden op toegangssegmenten door apparaatrollen te beheren.
IPv6-routing, first-hop-beveiliging, dual-stack en probleemoplossing
- Statische IPv6-routes:
- Default:
undefined
(link-local next-hop vereist een interface).
- Recursieve next-hop met global unicast:
undefined
- Volg de bereikbaarheid van de upstream met object tracking om de default routes in te trekken wanneer het pad van de provider uitvalt.
- Bron-specifieke routing:
- Klassieke RIB’s zijn op bestemming gebaseerd; implementeer source-aware forwarding met IPv6 PBR of VRF-selectie.
Voorbeeld (IPv6 PBR):
undefined
-
undefined
undefined
undefined
-
undefined
undefined
- Let op: Policy-based routing wijzigt de forwarding zonder de routeringstabel aan te passen. Test de afhandeling van storingen zorgvuldig; sommige ‘set default next-hop’-varianten sturen verkeer door, zelfs als de next-hop niet is opgelost.
- Afwegingen tussen dual-stack, translatie en migratie:
- Dual-stack: Draait IPv4 en IPv6 native. Voordelen: protocolpariteit, minimale complexiteit van translatie. Nadelen: verdubbelt de schaal van het control-plane; beveiligingsbeleid moet beide families dekken.
- Translatie: NAT64/DNS64 stelt IPv6-only clients in staat om IPv4-servers te bereiken. Voordelen: versnelt IPv6-only access-lagen. Nadelen: verbreekt letterlijke IPv4-adressen, kan applicaties beïnvloeden die IP-literals of ALG’s gebruiken.
- Tunneling: Goed voor beperkte domeinen of wanneer de onderlaag geen IPv6 heeft. Voordelen: snelle activering. Nadelen: complexiteit van MTU/PMTUD, operationele ondoorzichtigheid, extra overhead door inkapseling.
- Migratieadvies: Geef de voorkeur aan dual-stack in de core en distributie; overweeg IPv6-only access met NAT64 voor nieuwe greenfield-segmenten.
- IPv6 first-hop-beveiliging:
- RA Guard: Blokkeert ongeautoriseerde RA’s op access-poorten; vertrouw alleen uplinks naar legitieme routers. Zorg ervoor dat het platform RA Guard ondersteunt met kennis van extension-headers om bypass te voorkomen.
- DHCPv6 Guard: Blokkeert serverberichten op niet-vertrouwde poorten; vertrouw alleen uplinks naar legitieme DHCPv6-servers of -relays.
- ND inspection: Leert en beveiligt bindings voor SLAAC- en DHCPv6-adressen, wat helpt om ND-spoofing en uitputting van de neighbor cache te voorkomen. Coördineer met port-security om valse positieven tijdens host-wisselingen te vermijden.
- Verificatie van adressering en probleemoplossing bij route lookups:
Valideer interface-adressering en ND:
undefined
-
undefined
Verifieer RIB/FIB per VRF:
undefined
-
undefined
-
undefined
-
undefined
Bevestig de status van RA/DHCPv6:
undefined
-
undefined
Pakkettests met expliciet bronadres:
undefined
- Veelvoorkomende valkuilen:
- Longest prefix heeft voorrang op onverwachte samenvattingen; controleer op gelekte /32- of /128-routes.
- Statische routes die naar een down-interface wijzen, blijven bestaan totdat tracking ze verwijdert.
- Bij IPv6 resulteert het niet specificeren van een interface bij een link-local next-hop in een onopgeloste route.
- Verkeerd geplaatst RA Guard/DHCPv6 Guard-beleid kan legitieme controleberichten blokkeren; markeer infrastructuurpoorten als vertrouwd.
Praktisch Probleemscenario
Contoso Manufacturing rolt IPv6 uit over twee campussen en behoudt tegelijkertijd IPv4-diensten. Ze hebben schaalbare adressering, veilig first-hop-gedrag, dubbele uplinks per campus en beleid nodig om verkeer van specifieke VLAN’s naar voorkeurs-ISP’s te sturen.
- Wijs hiërarchische IPv6-blokken toe
- Wijs 2001:db8:100::/48 toe aan Campus A en 2001:db8:200::/48 aan Campus B. Verdeel elke /48 verder in /56 per gebouw en /64 per VLAN.
- Rationale: Nibble-aligned grenzen maken zuivere samenvatting mogelijk op de distributie- en campus-cores, wat ACL’s en route-advertenties vereenvoudigt.
- Implementeer dual-stack in de core en distributie
- Behoud IPv4 en IPv6 op gerouteerde links; OSPFv3 voor IPv6 en OSPFv2 voor IPv4, waarbij /48-samenvattingen tussen campussen worden geadverteerd.
- Rationale: Native forwarding vermijdt tunnel-overhead en vergemakkelijkt probleemoplossing, terwijl geleidelijke activering van IPv6 aan de edge mogelijk wordt.
- Gebruik SLAAC met stateless DHCPv6 voor gebruikers-VLAN’s; stateful DHCPv6 voor servers
- Activeer RA’s met O=1, M=0 op de SVI van gebruikers-VLAN’s; gebruik DHCPv6 voor DNS- en domeinopties. Gebruik M=1 op server-VLAN’s om adressen centraal toe te wijzen met reserveringen.
- Rationale: Gebruikers hebben flexibiliteit nodig met minimale operationele overhead; servers vereisen deterministische adressering en auditeerbaarheid.
- Beveilig de first hop
- Pas RA Guard en DHCPv6 Guard toe op alle access-poorten; vertrouw alleen uplinks naar distributie-switches. Activeer ND inspection op access-VLAN’s.
- Rationale: Blokkeert malafide RA’s en DHCPv6-servers die default gateways kunnen kapen of neighbor caches kunnen vergiftigen; ND inspection bouwt legitieme bindings op voor handhaving.
- Configureer veerkrachtige IPv6 default routing met link-local next-hops
Installeer op elke campus-core twee getrackte default routes:
undefined
undefined
- Rationale: Link-local next-hops vereisen specificatie van de interface en blijven stabiel bij hernummering door de provider. Tracking zorgt voor een snelle failover naar de secundaire route met een iets hogere administrative distance of metric.
- Implementeer bron-specifieke egress-sturing met IPv6 PBR
Stuur op gebruikers-VLAN’s in Gebouw A1 het verkeer naar ISP1; in Gebouw A2, stuur het naar ISP2:
undefined
undefined
undefined
undefined
undefined
undefined
- Pas het beleid toe op de corresponderende SVI-interfaces.
- Rationale: Standaard RIB’s nemen beslissingen op basis van de bestemming; PBR overschrijft selectief de forwarding zonder de globale routeringstabel te wijzigen. Dit bereikt SADR-achtige resultaten voor specifieke bronblokken.
- Vat samen en bescherm met discard-routes
- Adverteer 2001:db8:100::/48 vanaf Campus A en installeer
undefined
.
- Rationale: Samenvattingen verminderen de churn in het control-plane; de discard-route voorkomt lussen als een meer specifieke route onverwacht wordt ingetrokken.
- Verificatie en doorlopende operaties
Bevestig het gedrag van RA en DHCPv6:
undefined
undefined
Valideer neighbor-tabellen en bindings:
undefined
- ND inspection show-commando’s per platform
Test sturing en bereikbaarheid:
undefined
undefined
om PBR-beslissingen te verifiëren
- Rationale: Testen met een expliciete bron bewijst het leren van de default gateway en de PBR-padselectie, terwijl CEF-lookups het daadwerkelijke forwarding-pad op lijnsnelheid bevestigen. Continue monitoring detecteert RA/DHCP-anomalieën vroegtijdig.
Alle domeinen · OSPF-ontwerp →
Oefen deze vragen → · Getimede oefening op ExamRoll.io →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
Slaag voor je examen →