Cisco 300-410: Quality of Service en control-plane-beveiliging — Studiegids

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNP Enterprise 300-410 ENARSI — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

QoS op Tunnels en WAN-verbindingen

Tunnels en encryptie verbergen de binnenste headers en wijzigen de MTU, wat de classificatie en fragmentatie beïnvloedt.

• GRE/DMVPN en IPsec

  • Zonder speciale behandeling ziet classificatie alleen de buitenste headers. Gebruik qos pre-classify op tunnelinterfaces zodat het apparaat classificeert op basis van de binnenste 5-tuple en DSCP vóór inkapseling/encryptie.
  • Behoud of kopieer DSCP naar de buitenste header om het QoS-gedrag van het netwerk tijdens de transit te handhaven.
  • Pas MTU en MSS aan om fragmentatie en PMTUD-fouten te voorkomen; voor IPsec kan fragmentatie na encryptie (fragmentation after-encryption) vereist zijn op bepaalde platforms en bij bepaalde providers.

• Per-tunnel QoS en hiërarchisch ontwerp

  • Pas op mGRE/DMVPN hiërarchische QoS toe (shaping per tunnel, vervolgens LLQ/CBWFQ per klasse) om een eerlijke verdeling tussen de spokes te garanderen.
  • Wanneer providercircuits een CIR afdwingen met strikte policers, shape dan op of net onder de CIR om ’tail drops’ door de provider te voorkomen.

Voorbeeld (DMVPN hub/spoke QoS op tunnel): interface Tunnel30 ip address 10.0.30.1 255.255.255.0 tunnel mode gre multipoint qos pre-classify ip mtu 1400 ip tcp adjust-mss 1360 service-policy output PM-WAN-PARENT ! crypto ipsec transform-set TS esp-aes 256 esp-sha-hmac crypto ipsec profile DMVPN-PROFILE set transform-set TS ! ! Platform-afhankelijk: crypto ipsec fragmentation after-encryption

Veelvoorkomende valkuilen en oplossingen:

• Het ontbreken van qos pre-classify zorgt ervoor dat al het verkeer na encryptie in de class-default terechtkomt, waardoor real-time flows worden benadeeld.
• Een onjuiste MTU/MSS veroorzaakt ‘blackholing’ van grote segmenten en onvoorspelbare applicatieprestaties; valideer de path MTU end-to-end.
• Het toepassen van complexe policies op ’line rate’ op softwaretunnels kan de CPU zwaar belasten; geef waar mogelijk de voorkeur aan hardware-offload.

Control-Plane Protection (CoPP/CPPr) en Operationele Validatie

CoPP beschermt de CPU van de router door controle- en beheerverkeer in het control-plane-pad te classificeren en te rate-limiten. CPPr voegt fijnere granulariteit toe met behulp van host-, transit- en CEF-exception-subinterfaces.

• Basisprincipes van CoPP

  • Koppel policies aan het control-plane, niet aan data-interfaces.
  • Veelvoorkomende ondersteunde match-types zijn ip dscp, ip precedence en access-group. Gebruik het log-sleutelwoord niet op ACL-entries waarnaar CoPP verwijst.
  • Scheid kritieke routeringsprotocollen (BGP, OSPF, RSVP/LDP waar van toepassing) van best-effort beheer (HTTP) en bulk controleverkeer (NetFlow-exports naar de CPU in uitzonderingsgevallen). Voorzie ruime CIR’s voor kritieke protocollen.

• Details van CPPr

  • control-plane host regelt verkeer dat op de router eindigt (bijv. SSH, SNMP, routeringssessies).
  • control-plane transit verwerkt uitzonderingsverkeer dat vanuit de hardware wordt ‘gepunt’ (bijv. TTL-exceeded, MTU-exceeded).
  • control-plane cef-exception beheert CEF-gerelateerde ‘punts’.
  • Pas verschillende policies toe per subinterface om nevenschade te voorkomen wanneer één klasse zich misdraagt.

• Voorbeeld van CoPP met uitsluitingen en correcte koppeling:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

! ! Zorg ervoor dat de policy op het control-plane staat, en niet op data-interfaces:

undefined

undefined

undefined

Opmerkingen:

• Te agressief rate-limiten van BGP kan leiden tot gemiste keepalives, sessie-resets en route-churn. Als u toch moet policen, stel dan een voldoende hoge CIR in en overweeg exceed-action transmit om drops tijdens pieken te voorkomen.

• Sluit specifieke vertrouwde beheerbronnen uit door ACL deny-regels te gebruiken vóór de permit-regel; pas de ACL toe als een match onder de relevante klasse.

• Aanvullingen op het Management-plane

  • IPv6 RA Guard blokkeert ongeautoriseerde Router Advertisements op L2-poorten, maar kan geen bescherming bieden wanneer RA getunneld is; handhaaf dit op de tunnel-eindpunten of gebruik waar mogelijk authenticatie.
  • IPv6 Source Guard gebruikt de binding table om alleen geldige bronadressen toe te staan; het dropt verkeer van onbekende/niet-toegewezen IPv6-bronnen op access-poorten, wat CPU-gebonden uitzonderingsverkeer vermindert.
  • Device hardening (uitschakelen van ongebruikte services, gebruik van ACL’s op vty, beperken van SNMP-communities) vermindert de blootstelling van het control-plane.

• Validatie en counters

  • Gebruik show policy-map interface <int> en show policy-map control-plane om pakkettellingen, drops en police-acties te verifiëren. Voer show policy-map control-plane als eerste uit wanneer CPU-gebonden symptomen optreden (bijv. trage SSH, haperende SNMP).
  • Op hardware-forwarding platformen, correleer dit met show platform hardware qfp active statistics drop of gelijkwaardige ASIC-counters voor WRED/tail drops.
  • Controleer voor wachtrijen de wachtrijdiepte (queue depths), tail/WRED drops en priority queue policing met show policy-map interface en show queueing interface.
  • Let op symptomen bij applicaties:
    • Voice jitter, packet loss of haperende audio duidt op een te kleine LLQ of een verkeerde trust boundary.
    • Trage of verbrekende SSH-verbindingen maar normale pings kunnen wijzen op CoPP policing van beheerverkeer.
    • Haperende SNMP correleert met drops in de management-klasse of CEF exception ‘punts’ die limieten overschrijden.
    • Een ineenstorting van de TCP-doorvoer onder belasting met toenemende WRED-drops is verwacht; bij uitsluitend tail drop, let op gesynchroniseerde ‘sawtooth’-flows.

Praktijkscenario

Acme Engineering beheert een DMVPN single-hub netwerk over internet-breedband met IPsec+mGRE. Gebruikers melden haperende VoIP naar het hoofdkantoor, haperende SNMP-polling van branch-routers en trage of verbrekende SSH-verbindingen naar de hub tijdens piekuren.

1. Stel trust boundaries in en remarkeer verkeer aan de edge

• Rationale: Alleen telefoons en vertrouwde uplinks mogen EF/CS3 instellen; al het andere access-verkeer wordt geremarkeerd naar BE. Dit voorkomt misbruik van prioriteit dat real-time klassen zou kunnen uithongeren.

2. Implementeer hiërarchische QoS op de DMVPN-tunnel

• Rationale: Pas een parent shaper toe op de tunnel met de gemeten snelheid van de provider (bijv. 20 Mbps) om upstream policing te vermijden. Gebruik onder de parent LLQ voor EF-voice, bandbreedteklassen voor video en kritieke data, WRED voor TCP-dominante klassen en fair-queue voor de default-klasse. Dit lokaliseert congestiebeheer voordat de provider pakketten dropt.

3. Activeer qos pre-classify en pas MTU/MSS aan

• Rationale: qos pre-classify zorgt ervoor dat de policy overeenkomt met de binnenste IP/poort/DSCP vóór GRE/IPsec-encapsulatie. ip mtu 1400 en ip tcp adjust-mss 1360 voorkomen fragmentatie/blackholing door de encapsulatie-overhead. Fragmentatie na encryptie (after-encryption fragmentation) wordt ingesteld om rekening te houden met het gedrag van de provider.

4. Verwijder CoPP die op de interface is toegepast en koppel deze aan het control-plane

• Rationale: CoPP moet de CPU beschermen, ongeacht de ingress-interface. Ontkoppel elke input service-policy van fysieke interfaces en pas PM-COPP toe op het control-plane om ‘gepunt’ en op de host beëindigd verkeer centraal te beheren.

5. Creëer afzonderlijke CoPP-klassen met veilige CIR’s; sluit vertrouwde bronnen uit

• Rationale: Plaats BGP in zijn eigen klasse met een CIR die voldoende is voor keepalives en bursts; configureer conform/exceed transmit om sessie-resets te voorkomen. Police HTTP/HTTPS met lage rates om webbeheer naar de CPU te beperken. Voor Telnet/SSH-uitzonderingen, weiger vertrouwde beheer-IP’s in de ACL zodat de policy hen niet rate-limiet, terwijl alle andere bronnen wel worden gecontroleerd.

6. Valideer en itereer op basis van counters en symptomen

• Rationale: Gebruik show policy-map control-plane om te bevestigen dat management-drops overeenkomen met de waargenomen SSH/SNMP-problemen; pas de CIR’s aan totdat de drops stoppen. Gebruik show policy-map interface Tunnel30 om het LLQ-gebruik te verifiëren en te zorgen dat er geen priority overflow policing optreedt bij normaal belvolume. Monitor WRED en tail drops in kritieke klassen; als de spraakkwaliteit slecht blijft zonder LLQ-drops, verhoog dan het LLQ-percentage licht; als er wel drops optreden, dimensioneer de LLQ en parent shaper dan nauwkeuriger op basis van de codec en bandbreedte.

Door een correcte trust boundary af te dwingen, te shapen vóór de bottleneck, te classificeren vóór encapsulatie en het control-plane te beschermen met correct gedefinieerde CoPP/CPPr-policies, herstelt Acme Engineering de spraakkwaliteit en stabiliseert het de beheerstoegang zonder de algehele doorvoer op te offeren.

← Multicast-routing en distributie · Alle domeinen · VPN →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →