Cisco 300-410: Netwerkdiensten, veerkracht en beheer — Studiegids

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNP Enterprise 300-410 ENARSI — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Dit gedeelte behandelt de operationele bouwstenen die gerouteerde netwerken beschikbaar, debugbaar en veilig houden: first-hop redundantie, actieve pad-probing en snelle storingsdetectie, service-plane functies (DHCP relay, NTP, DNS, telemetrie), AAA voor veilig beheer, event-driven automatisering, configuratie-vangnetten en een operationele levenscyclus voor monitoring en troubleshooting. Ontwerpkeuzes, control-plane interacties en veelvoorkomende storingsmodi worden benadrukt om veerkrachtige operaties op schaal mogelijk te maken.

First-Hop Redundantie en Snelle Storingsdetectie

First-hop redundancy protocols (FHRP’s) bieden een stabiele default gateway in LAN-segmenten.

• HSRP: Gebruikt een virtueel IP met een virtueel MAC-adres 0000.0c07.acXX. Prioriteit 0–255, hoger wint. Preemption is standaard uitgeschakeld; schakel preempt in om de actieve rol terug te nemen wanneer de router met hogere prioriteit herstelt. Interface- en object-tracking verlagen de prioriteit om een failover af te dwingen bij gedeeltelijke storingen (bijvoorbeeld verlies van de WAN-uplink).
• VRRP: Gebruikt het virtuele MAC-adres 0000.5e00.01XX. De eigenaar van het virtuele IP is standaard de master. Preemption is in feite standaard ingeschakeld (in tegenstelling tot HSRP). Track objecten via CLI-extensies om de master te degraderen bij storingen.
• GLBP: Verdeelt de default-gateway-load van hosts over Active Virtual Forwarders (AVF’s), gecoördineerd door een AVG met virtuele MAC-adressen per AVF (0007.b4XX.XX). Weighting en tracking verwijderen een AVF wanneer de ‘health’ verslechtert; pas op dat verkeerd ingestelde weighting oscillatie kan veroorzaken bij ‘flapping’ condities.

Ontwerpoverwegingen:

• Schakel preemption in met een vertraging om ‘churn’ te voorkomen tijdens korte instabiliteit.
• Lijn de FHRP hello/hold-timers uit met de detectieverwachtingen van de upstream-kant om tijdelijke ‘black holes’ te vermijden.
• Track de upstream-bereikbaarheid met IP SLA, niet alleen de interfacestatus, om stille storingen buiten het L2/L1-domein te detecteren.

Voorbeeld van HSRP met object tracking:

• interface Vlan10 standby 10 ip 10.10.10.1 standby 10 priority 110 standby 10 preempt delay minimum 30 standby 10 track 1 decrement 30
• track 1 ip sla 10 reachability
• ip sla 10 icmp-echo 198.51.100.1 source-interface GigabitEthernet0/0 frequency 5
• ip sla schedule 10 life forever start-time now

Bidirectional Forwarding Detection (BFD) versnelt de detectie van padstoringen, onafhankelijk van routeringsprotocollen.

• Modi: Asynchroon met optionele echo; single-hop (IGP’s, eBGP op direct verbonden verbindingen) en multi-hop (iBGP). Gebruik echo waar hardware-offload beschikbaar is; houd anders de timers conservatief.
• Typische timers: 50 ms zenden/ontvangen, 150 ms multiplier, gekozen om aan te sluiten bij de hardwarecapaciteiten. Te agressieve instellingen kunnen valse positieven en hoge CPU-belasting veroorzaken.
• Interactie met routering:
  • OSPF: bfd op interfaces; het verbreken van de neighbor-relatie volgt de BFD down-status, wat leidt tot convergentie onder de 200 ms wanneer de SPF-throttles zijn afgestemd.
  • EIGRP: bfd per-interface of in ’named mode’; de adjacency wordt snel gereset bij een BFD-storing; zorg ervoor dat de K-waarden/ASN’s overeenkomen om überhaupt een adjacency te vormen.
  • BGP: neighbor fall-over bfd vereist configuratie aan beide kanten; configureer voor multi-hop iBGP ook multi-hop BFD.
• Storingsmodi: MTU-mismatches in OSPF laten neighbors vastlopen in ExStart/Exchange; corrigeer de interface-MTU om DBD-uitwisseling mogelijk te maken. Vermijd BFD over asymmetrische of NAT-paden; multi-hop BFD zal niet betrouwbaar over NAT werken.

IP SLA, Object Tracking en Conditioneel Control-Plane Gedrag

IP SLA genereert synthetische probes om bereikbaarheid en prestaties te meten (ICMP echo, UDP jitter, TCP connect, HTTP, DNS). Track-objecten koppelen SLA-resultaten aan beslissingen van routering en FHRP.

Veelvoorkomende patronen:

• Static route tracking: ip route 0.0.0.0 0.0.0.0 203.0.113.1 track 10 om een default route in te trekken wanneer de probe naar het health-doel van de ISP mislukt.
• HSRP/GLBP tracking: verlaag de prioriteit/weight om een gateway-failover af te dwingen wanneer de upstream-bereikbaarheid verslechtert.
• Policy-based routing met set ip next-hop verify-availability gebruikt tracking om verkeer alleen te sturen wanneer de beschikbaarheid is geverifieerd.

Conditioneel BGP-gedrag:

• Geef de voorkeur aan een ISP met lagere vertraging wanneer beide actief zijn door de LOCAL_PREF te verhogen op inkomend verkeer van de voorkeurspeer. LOCAL_PREF is het juiste attribuut om de uitgaande padselectie voor het hele netwerk te beïnvloeden.
• Vermijd ‘black holes’ in route-maps. Wanneer u local-preference selectief instelt, voeg dan een laatste ‘permit’ toe om alle andere routes door te laten:
  • route-map SETLP permit 10 match ip address prefix-list PRIMARY-PFX set local-preference 200
  • route-map SETLP permit 20 Zonder ‘permit 20’ worden niet-overeenkomende routes geweigerd en lijkt de sessie actief, maar worden er geen prefixes geïnstalleerd.
• Conditionele advertisement: neighbor X advertise-map BACKUP exist-map PRIMARY zorgt ervoor dat BACKUP alleen wordt geadverteerd wanneer PRIMARY niet meer bestaat. Valideer het bestaan van de route tegen de juiste RIB (AFI/SAFI) en let op de timing tijdens ‘flap’-gebeurtenissen.

RPF/uRPF en tracking:

• Bronvalidatie met ip verify unicast source reachable-via rx is de ‘strict mode’ en kan geldig verkeer weggooien tijdens tijdelijke FIB-lookups. Om drops te voorkomen wanneer een route-lookup tijdelijk mislukt, gebruik ip verify unicast source reachable-via any (’loose mode’) en vul dit waar nodig aan met ACL-uitzonderingen.

Netwerkdiensten en Veilig Beheer

Kerndiensten:

• DHCP-relay: ip helper-address op een L3 SVI stuurt BOOTP/DHCP-broadcasts door als unicasts. Het invoegen van Option 82 maakt beleid per circuit mogelijk; zorg ervoor dat de server de relay-agentinformatie vertrouwt. Gebruik in VRF’s ip helper-address vrf NAAM en verifieer de retour-routing.
• NTP: Implementeer redundante, geauthenticeerde servers; geef de voorkeur aan NTPv4 met authenticatiesleutels; vermijd client/server-asymmetrie die stapsgewijze veranderingen (‘step changes’) introduceert. Controleer de klokstabiliteit voordat PKI-operaties worden ingeschakeld.
• DNS: ip name-server met meerdere resolvers; schakel DNS guard in voor beveiliging. Overweeg voor latentiegevoelige verkeersstromen lokale caching resolvers op locatie.
• SNMP: Gebruik SNMPv3 met authPriv; beperk views en bronadressen. Behoud interface-indexen na herladen met snmp-server ifindex persist om monitoring-mappings stabiel te houden na hardware- of line card-wijzigingen.
• Syslog: Stel de juiste facility en severity in; stuur naar redundante collectors via TCP of TLS indien ondersteund. Stem de verwachtingen van de parser af op gestructureerde data; voeg volgnummers en tijdstempels met tijdzone/UTC toe.
• NetFlow/IPFIX en model-driven telemetry: Exporteer naar collectors met v9/IPFIX; pas sampling toe op interfaces met hoge doorvoer. Gebruik voor near-real-time streaming dial-out model-driven telemetry (gRPC/gNMI op platformen die dit ondersteunen) met schaalbare encoding. Breng de granulariteit in evenwicht met de capaciteit van de collector.

Control-plane-beveiliging:

• CoPP: Pas service-policy toe onder de control-plane, niet op data-interfaces. Het verplaatsen van de policy van interface-input naar de control-plane zorgt voor correcte CPU-policing en voorkomt onbedoelde drops van gebruikersverkeer.
• MPLS/LDP-authenticatie: Gebruik MD5 (TCP-AO waar beschikbaar) op LDP-sessies om de invoeging van ongeautoriseerde LSR’s (‘rogue LSR insertion’) te voorkomen. Beveilig op dezelfde manier OSPF/EIGRP met authenticatie en stem areas/ASN’s en K-waarden op elkaar af.

AAA en veilig beheer:

• Gebruik TACACS+ voor command-autorisatie en accounting; RADIUS voor netwerktoegang en login-authenticatie; implementeer beide met hoge beschikbaarheid en netwerkgebaseerde redundantie.

• Method lists met lokale fallback:

undefined

undefined

undefined

Als een servergroep met het verkeerde protocoltype is aangemaakt, corrigeer dit dan (aaa group server radius …) en koppel de gedefinieerde radius-server op naam (server name ISE1).

• Beperk beheerstoegang met per-VTY ACL’s, alleen SSH, exec-timeouts en op rollen gebaseerde CLI-views. Sla de ‘shared secrets’ van SNMP, RADIUS en TACACS+ veilig op. Implementeer voor IPv6 RA Guard en ND inspection; ND inspection leert en beveiligt SLAAC-bindings op Layer 2 om spoofing te voorkomen.

VRF- en interface-verplaatsingen:

• Het wijzigen van de VRF op een interface wist de IP-adressering. Voer de stappen in de juiste volgorde uit:

undefined

undefined

undefined

undefined

Levenscyclus van Operations, Monitoring en Troubleshooting

Veiligheidsnetten voor configuratie:

• Archiveer configuraties naar externe opslag (archive, path, time-period). Gebruik configure replace om terug te keren naar een bekend, goed werkend controlepunt; valideer commit replace delta op platformen die kandidaatconfiguraties ondersteunen. Coördineer met onderhoudsvensters en out-of-band (OOB) toegang. Houd opstartvariabelen gesynchroniseerd met images; verifieer PKI-opslagplaatsen na upgrades.

Wijzigingsbeheer en herstel:

• Vóór de wijziging: afhankelijkheden in kaart brengen, faalcriteria en een terugdraaiplan. Tijdens de wijziging: gefaseerde uitrol, health checks en bevestiging via telemetrie. Na de wijziging: maak een snapshot van de eindstatus, werk de documentatie bij en sluit monitoring-uitzonderingen.
• Snel herstel: warm reload-methoden, ISSU waar ondersteund, en een gestructureerde rollback met risicobewuste timervensters (bijvoorbeeld, een geplande reload in X minutes die bij succes wordt geannuleerd).

Monitoring-baselines en alarmering:

• Baselines: percentielen voor linkgebruik, verlies/latentie/jitter per klasse, control-plane CPU, aantal adjacencies, interfacefouten, route-churn, stabiliteit van BFD-sessies en syslog-volume.
• Drempelwaarden: statische drempels voor harde limieten (CPU > 85%), dynamische voor afwijkingen (3× standaarddeviatie over 15 min). Ontwerp waarschuwingen op basis van meerdere signalen om ruis te verminderen (bijvoorbeeld, BFD-sessie ‘flaps’ plus een CRC-piek plus interface down).
• Analyse van de hoofdoorzaak (RCA): correleer data die in de tijd is uitgelijnd—topologiewijzigingen, routeringstabellen, verschuivingen in dataverkeer en logs. Tag oorzakelijke gebeurtenissen (glasvezelbreuk) en afhankelijke symptomen (intrekkingen van prefixes).

Gelaagde troubleshooting en validatie van het pakketpad:

• Begin bij het symptoom van de gebruiker; verifieer L1/L2 (fouten, MTU), dan L3-bereikbaarheid (ping with DF set, traceroute), dan de control-plane (neighbors, LSDB/adjacencies), en dan de data-plane (CEF adjacency, NetFlow, EPC indien beschikbaar).
• Bekende blokkades:
  • OSPF virtuele links vereisen een normale transit area; NSSA/stub zal de virtuele link down houden.
  • OSPF die vastzit in ExStart duidt vaak op een MTU-mismatch.
  • EIGRP adjacency mislukt bij niet-overeenkomende ASN’s of K-waarden.
  • Redistributielussen: tag routes bij redistributie en filter bij herintroductie. Voorbeeld: weiger tag 100 bij redistributie terug naar OSPF.
• Valideer de BGP-intentie: controleer LOCAL_PREF, AS_PATH en de status van conditionele advertisement. Bevestig dat de advertise-map/exist-map-logica overeenkomt met de daadwerkelijke aanwezigheid in de RIB.

Operationele veerkracht en verbetering na incidenten:

• Bouw een gelaagde verdediging (defense-in-depth): dual-homed FHRP-gateways, IGP/BGP ondersteund door BFD, tracking aangestuurd door IP SLA, CoPP en AAA met lokale fallback. Test regelmatig failover- en herstel-runbooks.
• Na het incident: voer schuldvrije postmortems uit, documenteer tijdlijnen, identificeer primaire en bijdragende oorzaken, implementeer corrigerende maatregelen (configuratiebewakers, verbeterde probes, aangepaste drempelwaarden) en meet de resultaten in latere oefeningen.

Praktisch Probleemscenario

Acme Health gebruikt twee WAN-uplinks per site: een lage-latentie ISP-A en een hoge-latentie satelliet ISP-B als back-up. HSRP zorgt voor gateway-redundantie op de gebruikers-VLAN’s. Tijdens een eerdere storing faalde het verkeer over naar ISP-B, maar keerde het niet terug naar ISP-A na herstel. Bovendien piekten de monitoring-alarmen door wijzigingen in de interface-index na een chassis-upgrade.

Aanpak:

1. Stabiliseer het first-hop-gedrag met preemption en tracking.

• Configureer HSRP met preempt delay en IP SLA-tracking van een health target bij ISP-A. Rationale: preempt zorgt ervoor dat de gateway met de hogere prioriteit de actieve rol terugneemt na herstel; SLA-gebaseerde tracking detecteert upstream-bereikbaarheid, niet alleen de link carrier, en voorkomt zo black holes.

2. Geef voorkeur aan ISP-A voor uitgaand verkeer met BGP LOCAL_PREF, en adverteer de back-up conditioneel.

• Pas een inbound route-map toe op de ISP-A neighbor om een hogere LOCAL_PREF in te stellen op aangewezen prefixes; voeg een definitieve permit toe om het onderdrukken van niet-gerelateerde routes te voorkomen. Gebruik neighbor advertise-map BACKUP exist-map PRIMARY richting geselecteerde peers. Rationale: LOCAL_PREF stuurt uitgaand verkeer deterministisch wanneer beide ISP’s actief zijn; de definitieve permit voorkomt onbedoelde route drops; conditionele advertisement kondigt back-ups alleen aan wanneer de primaire routes zijn ingetrokken.

3. Versnel faaldetectie met BFD gekoppeld aan IGP en BGP.

• Activeer BFD op OSPF/EIGRP-interfaces en BGP-neighbors, met timers van 50/150 ms waar ondersteund. Rationale: sub-seconde detectie verkort de convergentietijd drastisch; consistente timers verminderen asymmetrische failover. Valideer dat multi-hop BFD wordt gebruikt voor iBGP en vermijd paden die via NAT lopen.

4. Verhard de control- en management-planes.

• Verplaats CoPP van een interface-koppeling naar een control-plane service-policy. Activeer SNMPv3 en snmp-server ifindex persist. Beveilig LDP-sessies met MD5 waar MPLS wordt gebruikt. Rationale: CoPP beschermt de CPU alleen onder de control-plane; een persistente ifIndex behoudt de continuïteit van de monitoring; LDP-authenticatie weert kwaadwillende LSR’s.

5. Zorg voor AAA met veerkrachtige fallback voor externe toegang.

• Definieer een RADIUS-servergroep correct en koppel de server op naam; creëer een login-methodelijst met lokale fallback en pas deze toe op de VTY. Rationale: correcte groepering zorgt ervoor dat het apparaat daadwerkelijk RADIUS bevraagt; lokale fallback behoudt toegang tijdens RADIUS/ISE-storingen.

6. Valideer routeringshygiëne en multicast/bronvalidatie.

• Tag routes bij redistributiepunten en filter herintroductie om lussen te voorkomen. Waar uRPF vereist is, gebruik reachable-via any (loose mode) op WAN-edges met complexe routering om drops tijdens tijdelijke opzoekfouten te voorkomen. Rationale: tagging voorkomt feedback; loose uRPF balanceert beveiliging met operationele stabiliteit.

7. Instrumenteer en automatiseer voor snelle detectie en omkering.

• Maak baselines van latentie en verlies per link; stel op afwijking gebaseerde alerts in. Stream telemetrie voor BFD-sessies en HSRP-status. Implementeer een EEM-applet met een event syslog pattern om te triggeren op een HSRP-statuswijziging en automatisch show techs vast te leggen. Rationale: baselines verminderen alert-ruis; streaming telemetrie maakt snelle correlatie mogelijk; EEM legt forensische data vast op het moment van de storing.

8. Plan de rollback en test het herstel.

• Gebruik archive en configure replace om een backout-image en -configuratie voor te bereiden. Plan een onderhoudsvenster om een failover en failback van ISP-A te simuleren, waarbij HSRP re-preemption, het BGP LOCAL_PREF-gedrag en conditionele advertisements worden geverifieerd. Rationale: gecontroleerde tests valideren het nieuwe ontwerp; configure replace biedt een deterministische ontsnappingsroute.

Door het opvolgen van gateway-beheer, BGP-beleid, snelle detectie en verharding van het beheer—en door instrumentatie met telemetrie en EEM—lost Acme Health het ‘plakken’ van de failover op, voorkomt het verstoring van de monitoring door index-churn en vermindert het meetbaar de mean-time-to-recovery voor WAN-incidenten.

← VPN · Alle domeinen

Oefen deze vragen → · Getimede oefening op ExamRoll.io →