Cisco 300-415: WAN Edge-configuratie en Templatebeheer — Studiegids

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

Onderdeel van de Cisco SD-WAN 300-415 ENSDWI — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Cisco SD-WAN Manager (voorheen vManage) centraliseert intent, configuratie, compliance en lifecycle-operaties voor WAN Edge-apparaten, terwijl vBond Orchestrator de onboarding van apparaten bemiddelt en vSmart-controllers het overlay-controleplane beheren met behulp van OMP. In productieontwerpen is template-gestuurde configuratie het belangrijkste hulpmiddel om correctheid en herhaalbaarheid te garanderen voor honderden of duizenden WAN Edges, terwijl apparaatspecifieke waarden en veilige uitzonderingen mogelijk blijven. Dit gedeelte legt de template-constructies, de lifecycle-workflow, de belangrijkste functies van feature templates, moderne configuration groups versus verouderde device templates, de omgang met compliance en drift, API-gebruik, software image management en de ‘change guardrails’ uit die worden gebruikt om de Cisco SD-WAN-fabric op grote schaal te beheren.

Template-constructies en hergebruik

• Feature templates
  • Atomische intent voor een functioneel domein zoals System, VPN, VPN Interface, Tunnels (TLOC/Transport), OMP, BGP/OSPF, QoS, NAT/ACL, Security (zones, identities, IPS/URL), SNMP, Syslog, NTP, App-hosting, Cellular/LTE.
  • Elk veld kan worden ingesteld op een vaste waarde of op een apparaatspecifieke variabele, wat breed hergebruik mogelijk maakt.
• Device templates (verouderd model)
  • Een samenstelling van feature templates die aan een apparaat is gekoppeld. Het koppelen van een apparaat vereist het opgeven van alle apparaatspecifieke variabelen (bijvoorbeeld system IP, site ID, hostname, interface-adressen).
  • Voordelen: sterke ‘separation of concerns’; eenvoudig hergebruik van volwassen feature templates. Nadelen: pushes van het volledige apparaat voor kleine wijzigingen; wildgroei van veel device templates naarmate uitzonderingen zich opstapelen.
• Configuration groups (modern model)
  • Een hiërarchisch configuratiepakket dat nauw aansluit bij de configuratiestructuur van het apparaat en scoping van variabelen en gedeeltelijke updates per sectie ondersteunt.
  • Voordelen: minder constructies om te beheren, gerichte implementaties op sectieniveau, eenvoudigere afhandeling van uitzonderingen, makkelijkere visualisatie van de effectieve configuratie. Nadelen: vereist recente SD-WAN Manager-releases; teams die gewend zijn aan device templates hebben mogelijk een migratieplan nodig.
• Variabelen en apparaatspecifieke waarden
  • Gebruik variabelen voor identiteit (system IP, site ID), underlay-adressering (VPN 0-interfaces), loopbacks/TLOC-extensies en identificatoren die aan de inventaris zijn gekoppeld (serieel, chassis).
  • Beperk variabeletypes (IP, integer, enumeration) en gebruik waar mogelijk veilige standaardwaarden. Foutmodi bij validatie omvatten ontbrekende variabelen, type-mismatches of waarden die conflicteren met wereldwijd unieke velden (bijvoorbeeld een gedupliceerd system IP).
• Hergebruikstrategie
  • Creëer een kleine set ‘golden’ feature templates per apparaatrol (branch, small branch, hub, DC, cloud edge) en per transport (MPLS, breedband, LTE).
  • Parametriseer per-site waarden via variabelen. Splits templates om features met veel wijzigingen (QoS, Security, NAT) te isoleren van statische features (System, OMP) om de ‘blast radius’ bij een wijziging te minimaliseren.

Lifecycle, compliance en deployment-workflow

• Ontwerp en creatie
  • Definieer feature templates of configuration groups; markeer apparaatspecifieke velden als variabelen.
  • Importeer of verifieer de apparaatinventaris, certificaten en organisatienaam in SD-WAN Manager. vManage slaat apparaatconfiguraties en de bijbehorende certificaatinventarissen op.
• Koppeling en validatie
  • Koppel apparaten aan een device template of configuration group; vul de variabele waarden in (CSV-import of API is gebruikelijk op grote schaal).
  • Gebruik de configuratiepreview om de gegenereerde kandidaatconfiguratie te vergelijken met de beoogde standaarden. Validatie detecteert overlappende configuratie (bijvoorbeeld een interface die tweemaal is gedefinieerd) of waarden buiten het toegestane bereik.
• Deployment-workflow
  • SD-WAN Manager compileert de kandidaatconfiguratie en gebruikt NETCONF om deze aan de WAN Edge te leveren. Bij de initiële onboarding zorgen System- en VPN 0-templates ervoor dat controleverbindingen worden gevormd: WAN Edges zetten DTLS/TLS op naar vSmart en, zodra policies en TLOCs via OMP zijn uitgewisseld, worden IPsec-tunnels naar andere WAN Edges gevormd. vBond orkestreert de initiële uitwisseling van connectiviteit.
  • De ‘staging’-status kan worden gebruikt om controleverbindingen toe te staan zonder data-plane-tunnels, voor een gecontroleerde voorbereiding voordat men live gaat.
• Compliance en drift
  • Compliance-controles vergelijken de gewenste (door de template gegenereerde) configuratie met de actieve configuratie en signaleren ‘drift’ als gevolg van ‘out-of-band’-wijzigingen of mislukte/gedeeltelijke commits.
  • Herstelopties omvatten het opnieuw pushen van de gewenste configuratie, het verwerken van geautoriseerde uitzonderingen in de templates, of het initiëren van een rollback.
• Rollback
  • SD-WAN Manager archiveert configuratieversies met job-ID’s. Voer een rollback uit door een eerdere templateversie opnieuw te koppelen of door het configuratiearchief te gebruiken om de laatst bekende goede set te herstellen. Rollbacks zijn atomisch per sectie bij gebruik van configuration groups, wat het risico verkleint.

Templatefuncties, uitzonderingen en veilige overrides

• Systeemtemplate
  • Identiteit (hostnaam, systeem-IP, site-ID), organisatienaam, controlleradressen, logging, NTP, AAA.
  • Foutscenario’s: een dubbel systeem-IP/site-ID, een verkeerde organisatienaam of incorrecte controlleradressen verhinderen de vorming van het control-plane. In scenario’s met een publiek bereikbare vBond op de WAN-interface wordt de ’local’ vBond-optie gebruikt om tijdens de discovery de voorkeur te geven aan het routeerbare adres van het apparaat.
• VPN-templates
  • VPN 0 onderlaagtransporten voor control/data; service-VPN’s voor segmentatie van gebruikersverkeer. Voeg indien nodig routing (statisch, BGP/OSPF), NAT-, DHCP- en DNS-instellingen toe.
  • Foutscenario’s: een interface die aan de verkeerde VPN is toegewezen, ontbrekende NAT-overload of DHCP-conflicten die bereikbaarheidsproblemen veroorzaken. Onthoud dat VPN 0 het control-verkeer vervoert.
• Interface- en tunnel (TLOC)-templates
  • Fysieke/logische interfaces, colors, encapsulaties (IPsec of GRE), TLOC-extensies en BFD/hello-timers.
  • Een TLOC wordt uniek gedefinieerd door encapsulatie, color en systeem-IP. Conflicterende combinaties van color/encapsulatie over verschillende transporten kunnen verkeer vastzetten of asymmetrische paden veroorzaken.
• OMP-template
  • Peer-instellingen naar vSmart, routetypes (OMP, BGP, connected, static), advertisement/redistribution, timers, graceful restart en voorbereiding voor overlay service insertion.
  • Te ruime redistribution kan routes lekken tussen VPN’s of naar de onderlaag; beperk dit zorgvuldig met policies.
• Security-templates
  • Zone-gebaseerde firewall, IDS/IPS, URL-filtering, AMP, VPN-bewuste regels. De volgorde van uitvoering is belangrijk; controleer de prioriteit en impliciete ‘denies’.
  • Let op de compatibiliteit van feature-versies; sommige beveiligingsfuncties vereisen specifieke IOS XE SD-WAN-releases.
• CLI add-on templates en veilige uitzonderingen
  • Gebruik CLI add-ons om commando’s te leveren die nog niet in feature-templates zijn gemodelleerd, bij voorkeur in operationeel veilige gebieden: telemetrie, SNMP-objecten, banners, specifieke logging, app-hosting aanpassingen of platform hardware-tunables die niet overlappen met door templates beheerde secties.
  • Vermijd CLI add-ons die de identiteit (systeem, site-ID), OMP, interface-adressering, VPN 0-transport of IPsec/TLOC-parameters aanpassen die al door templates worden beheerd; overlappende configuratie kan worden verwijderd bij de volgende template-push of commit-fouten veroorzaken.

Voorbeeld van een CLI add-on (IOS XE SD-WAN) voor operationele telemetrie die niet overlapt met templates:

logging buffered 100000 warnings
service timestamps debug datetime msec
snmp-server contact NOC noc@example.local
snmp-server location DC1-Rack12

API’s, Imagebeheer en Kaders voor Wijzigingsbeheer

• NETCONF en REST API
  • SD-WAN Manager programmeert apparaten via NETCONF/YANG. Aan de northbound-kant ondersteunen de REST API’s (/dataservice) CRUD-operaties voor templates, het vullen van variabelen, koppeling, validatie, implementatie, software-image-operaties en het volgen van taken (jobs).
  • Best practices: gebruik idempotente workflows, vang CSRF-tokens en sessiecookies af, respecteer API rate limits en behandel job-ID’s als uw ‘source of truth’ voor de resultaten van implementaties.
• Software-images en apparaatupgrades
  • Upload software-images naar de SD-WAN Manager repository; pin de gewenste versies per rol, site of configuratiegroep. Ondersteunde hardwareplatforms omvatten Cisco IOS XE SD-WAN-images op de ISR 4000- en ASR 1000-families, evenals virtuele WAN Edges voor IaaS.
  • Gecontroleerde uitrol: implementeer ring-gebaseerde upgrades (eerst canary-branches, dan cohorten per site-ID of tag), met pre-checks (resources, bereikbaarheid van de controller, certificaatgeldigheid) en post-checks (OMP-adjacencies, status van de datatunnel).
  • Gebruik onderhoudsvensters en geautomatiseerde planning. Bereid voor kritieke sites een ‘staged state’ of een ‘graceful restart’ voor waar nodig om verstoring te minimaliseren. Valideer dat de controleverbindingen met vSmart zijn hersteld voordat u doorgaat naar de volgende ring.
  • Rollback-plannen: bewaar de vorige image, bevestig de triggers voor automatische rollback en zorg voor out-of-band toegang per apparaat voor break-glass-scenario’s.
• Kaders voor automatisering en gedelegeerd wijzigingsbeheer
  • RBAC in SD-WAN Manager scheidt taken: auteurs voor feature-templates, goedkeurders voor implementaties, operators voor day-2-acties (toewijzen van images, bijwerken van variabelen). Beperk wie templates kan loskoppelen of CLI-add-ons kan pushen.
  • Goedkeuringsworkflows en het concept/publiceer-model van configuratiegroepen maken peer review en incrementele, sectie-specifieke implementaties mogelijk.
  • Dwing naamgevings- en versieconventies af, tag apparaten op basis van rol/site/transport voor consistente targeting, en vereis een configuratievoorbeeld plus gezondheidsverificatiepoorten vóór een massale uitrol.

Praktijkscenario

Acme Health Services is van plan om 600 branch WAN Edges te standaardiseren met behulp van template-gestuurde configuratie, terwijl ze een nieuwe security-stack introduceren en een gefaseerde software-upgrade voorbereiden. De bestaande sites hebben ad-hoc CLI-variaties die voor drift en inconsistent gedrag hebben gezorgd.

Aanpak:

1. Modelleer rollen en bouw een herbruikbare intentie

   • Creëer ‘golden’ feature-templates voor Systeem, OMP, VPN 0 Transport, Service VPN’s en Security, geparameteriseerd met apparaatspecifieke variabelen voor systeem-IP, site-ID, interface-adressering en BGP ASN’s. Rationale: isoleert waardevolle invarianten (identiteit, control-plane) van sitespecifieke data, wat hergebruik maximaliseert en het foutoppervlak verkleint.

2. Migreer naar configuratiegroepen voor sectie-specifieke wijzigingen

   • Bouw een configuratiegroep per rol (Branch-Standard, Branch-Small, Hub), importeer bestaande feature-templates en definieer de scope van variabelen. Rationale: maakt gedeeltelijke implementaties mogelijk (bijvoorbeeld alleen de Security-secties bijwerken) zonder Systeem/OMP aan te raken, wat het risico en de push-tijden vermindert.

3. Normaliseer apparaatvariabelen en herstel drift

   • Importeer variabelen in bulk via een CSV-bestand uit de inventaris en voer vervolgens een compliance-check uit om drift te detecteren. Voor goedgekeurde ad-hoc commando’s (logging/SNMP), leg deze vast in een CLI-add-on die aan de configuratiegroep is gekoppeld; voor onveilige overlappingen (VPN 0, OMP), verwijder deze van de apparaten en vertrouw op de templates. Rationale: legt uitzonderingen veilig vast in code en elimineert overlappende configuratie die door toekomstige pushes zou worden verwijderd.

4. Valideer met configuratievoorbeeld en canary-koppeling

   • Gebruik het configuratievoorbeeld op drie diverse canary-sites, controleer de gerenderde interface-adressen, VPN 0 NAT, OMP-instellingen en Security-beleidsregels. Koppel de configuratiegroep aan die apparaten en monitor de controleverbindingen (DTLS/TLS naar vSmart) en datatunnels (IPsec naar peers). Rationale: vroegtijdige detectie van defecten in templates of variabelen voordat er wordt opgeschaald.

5. Dwing gedelegeerd wijzigingsbeheer af

   • Wijs RBAC-rollen toe: Template Authors (templates aanmaken/wijzigen), Deploy Approvers (publiceren/koppelen), Operations (alleen variabelen bijwerken). Vereis goedkeuring voor publicatie- en koppelingstaken. Rationale: voorkomt ongeautoriseerde, grootschalige wijzigingen en waarborgt peer review.

6. Introduceer de nieuwe security-stack stapsgewijs

   • Werk in de configuratiegroep alleen de Security-sectie bij voor de canary-sites en publiceer/koppel die sectie. Valideer het verkeer met ‘policy hit counters’ en ‘application visibility’ voordat u verder uitbreidt. Rationale: een sectie-specifieke wijziging minimaliseert nevenschade en maakt snelle iteratie mogelijk.

7. Bereid software-images voor en voer een ring-gebaseerde upgrade uit

   • Upload de doel-image van IOS XE SD-WAN, wijs deze toe aan de Branch-Standard configuratiegroep en definieer upgrade-ringen: 5 canary-sites, 50 sites, en vervolgens de resterende cohorten per site-ID. Schakel pre-checks en post-checks in; plan de upgrade tijdens onderhoudsvensters. Rationale: een gecontroleerde uitrol met gezondheidspoorten vermindert het risico over 600 sites.

8. Monitor compliance en bereid rollbacks voor

   • Verifieer na elke ring de compliance en drift, zorg ervoor dat de OMP-route-uitwisseling stabiel is en dat het security-beleid wordt gehandhaafd. Bewaar de vorige image als fallback en markeer de laatst bekende goede configuratieversie voor een snelle rollback. Rationale: een snel herstelpad als er onverwacht gedrag optreedt.

Door de intentie te verenigen in configuratiegroepen, apparaatspecifieke waarden te beperken via variabelen en CLI-add-ons alleen te gebruiken voor veilige uitzonderingen, bereikt Acme Health Services consistent gedrag van de WAN Edge. Zichtbaarheid van compliance, API-gestuurde operaties op schaal en een ring-gebaseerde image-uitrol zorgen voor voorspelbaar wijzigingsbeheer met een laag risico, terwijl de flexibiliteit voor sitespecifieke behoeften behouden blijft.

← OMP · Alle domeinen · Data Plane Tunnels →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →