Cisco 350-401: Network Assurance, Operations en Troubleshooting — Studiegids

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNP Enterprise 350-401 ENCOR — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Netwerkborging, -operaties en -troubleshooting combineren proactieve observeerbaarheid met gedisciplineerde incidentrespons om bedrijfsnetwerken betrouwbaar, veilig en performant te houden. Effectieve praktijk omvat FCAPS-beheer, telemetrieontwerp, door de controller gestuurde inzichten, gestructureerde probleemisolatie van Laag 1 tot Laag 7, validatie van hoge beschikbaarheid en een rigoureuze software- en change-levenscyclus. Het doel is niet alleen om fouten te detecteren en te herstellen, maar ook om serviceresultaten te meten aan de hand van expliciete doelstellingen, de eliminatie van de hoofdoorzaak (root-cause) te bevorderen en de capaciteit en gebruikerservaring continu te optimaliseren.

FCAPS en Monitoringstrategie

FCAPS definieert een compleet operationeel model:

• Fault management (Foutbeheer): Snelle detectie, correlatie, triage en herstel van gebeurtenissen voordat gebruikers het merken. Geef prioriteit aan statussignalen die impact op bedrijfsservices aangeven, niet alleen de up/down-status van een apparaat.
• Configuration management (Configuratiebeheer): Versiebeheer, ‘golden templates’, compliancecontroles, intent-validatie en geautomatiseerde ‘drift’-detectie. Back-ups en herstelpunten zijn verplichte vangrails voor de snelheid van wijzigingen.
• Accounting management (Verantwoordingsbeheer): Inzicht in wie welke resources wanneer heeft gebruikt. Gebruik flow-records en controller-logs voor chargeback/showback en om afwijkingen te detecteren (bijv. onverwachte ’east-west’-pieken).
• Performance management (Prestatiebeheer): Continue meting van latency, loss, jitter, doorvoersnelheid en client-onboardingtijd ten opzichte van basislijnen en service-level objectives (SLO’s). Voorspel risico’s op verzadiging.
• Security management (Beveiligingsbeheer): Centraliseer identiteit, autorisatie, encryptiestatus en telemetrie voor dreigingsdetectie. Integreer met NAC, segmentatie en controller-analytics.

Monitoringsystemen en dashboards

• Architectuur van een gelaagde stack: apparaatstatus (hardware, interfaces), control-plane-status (routing, CAPWAP, overlays), data-plane-status (wachtrijen, drops, flows) en statistieken over de gebruikerservaring.
• Rolgeoriënteerde weergaven: NOC-dashboards voor real-time status en SLO-status, engineering-weergaven voor diepgaande diagnostiek en managementweergaven voor trends en risico’s.
• Basislijnen en SLO’s: Stel basislijnen per site en per segment vast; gebruik dynamische drempelwaarden die zich aanpassen aan dag- en nachtcycli. Definieer SLO’s zoals ‘95e percentiel WAN-latency < 60 ms’ of ‘Wi-Fi client-onboarding < 7 seconden’.
• Alert-ontwerp: Geef de voorkeur aan alerts met symptoom+context (bijv. ‘WAN VPN 10 loss>2% en jitter>30 ms gedurende 5 min’) boven een storm van onbewerkte traps. Gebruik ‘rate-of-change’, persistentievensters en correlatie van meerdere signalen. Onderdruk alerts tijdens goedgekeurde onderhoudsvensters.

Afwegingen en faalmodi

• Te veel alerts veroorzaakt alert-moeheid; te weinig alerts verbergt sluimerende storingen. Kalibreer drempelwaarden met behulp van reële basislijnen.
• Gecentraliseerde collectors kunnen knelpunten worden; schaal horizontaal en beveilig met TLS en op rollen gebaseerde toegang.
• In gevirtualiseerde domeinen kunnen grote L2-footprints en workloads die afhankelijk zijn van broadcasts ‘storms’ versterken; segmenteer en snoei broadcastdomeinen en geef de voorkeur aan ‘routed access’.

Telemetrie, Logs en Verkeersinzicht

Belangrijke databronnen voor borging

• Syslog: Door mensen leesbare gebeurtenissenstroom met ernstniveaus. Stuur door naar gecentraliseerde collectors; normaliseer en correleer. Cruciaal voor beveiliging, routing-adjacencies, HA-status en problemen met WLC/AP-joins.
• SNMP: Poll counters (bijv. interfacefouten, queue drops) en ontvang traps/informs. Gebruik SNMPv3 voor authenticatie/privacy. Polling-intervallen moeten afgestemd zijn op de behoefte aan een bijna real-time weergave versus de belasting van de collector.
• NetFlow/IPFIX: Metadata per flow voor wie/wat/waar. Maakt capaciteitsplanning, SLO-verificatie en anomaliedetectie mogelijk. Exporteer vanaf de distributie/edge en WAN CPE.
• Streaming telemetrie: Model-driven, push-gebaseerd (bijv. gNMI op IOS-XE). Schaalt beter dan SNMP voor statistieken met hoge kardinaliteit; lage latency voor wachtrij-, CPU- en RF-statistieken.
• Packet capture: SPAN/RSPAN/ERSPAN of inline taps wanneer het signaal onduidelijk is. Beperk captures in de tijd; filter met ACL’s om ruis te verminderen.

Korte voorbeelden

• NetFlow (IOS-XE):

undefined

• Model-Driven Telemetry (IOS-XE):

undefined

Draadloze en controller-gestuurde signalen

• RRM wordt uitgevoerd op de wireless controller; verwerk RRM-gebeurtenissen en RF-statistieken (kanaalgebruik, ’noise floor’, client-retries) voor het afstemmen van dekking/capaciteit.
• CAPWAP discovery: Gebruik DHCP-optie 43 of ‘ip helper’. Voor Cisco WLC, codeer optie 43 correct (bijv. hex F104.AC10.3205 voor 172.16.50.5). Mobility Express kan lokale controllerfuncties bieden in kleine vestigingen.

Inzicht in overlay en segmentatie

• SD-Access: Het overlay-netwerk zorgt voor logische L2/L3-segmentatie. VNID/VNI handhaven de isolatie; de ‘fabric border node’ verbindt de fabric met externe netwerken.
• VXLAN: Kapselt L2-frames in IP/UDP voor L3-transport; VNI’s segmenteren L2/L3-verkeer. Monitor de bereikbaarheid van de VTEP en de status van de underlay.
• Multicast: In PIM-SM is de RP doorgaans alleen nodig om nieuwe sessies te starten; zorg voor RP-bereikbaarheid en MSDP/Anycast-RP waar van toepassing.

QoS en SLA-verificatie

• Classificatie gebruikt doorgaans het IP TOS/DSCP-veld; verifieer ‘remarking’ en wachtrijgedrag met behulp van telemetrie van egress-interfaces. Volg loss/jitter per klasse om SLO-compliance aan te tonen.

Gestructureerde Probleemoplossing en Laag 1–7 Isolatie

Methodologie

1. Definieer het probleem en het impactdomein; kwantificeer symptomen ten opzichte van de baseline.
2. Vorm hypotheses die de symptomen verklaren met minimale aannames.
3. Selecteer tests die hypotheses snel falsificeren met de minste inbreuk.
4. Verander één variabele tegelijk; bevestig de oplossing en monitor op regressie.
5. Documenteer de hoofdoorzaak (root cause) en preventieve acties.

Aanwijzingen per laag

• Laag 1: Optisch vermogen, bekabeling, PoE-budgetten, unidirectionele links. In StackWise Virtual weigert LMP unidirectionele forwarding—onderzoek niet-overeenkomende optics of glasvezelpolariteit.
• Laag 2: Aanwezigheid van VLAN/VXLAN, STP-status, MTU, MAC-flaps. VXLAN VNI/VNID-mismatches manifesteren zich als geïsoleerde segmenten met normale bereikbaarheid van de underlay.
• Laag 3: Subnetting, VRF/route-leak-beleid, HSRP/GLBP/VSS gateway-gedrag, ECMP-asymmetrie. Een mismatch tussen het virtuele IP van HSRP en de peer-configuratie verhindert een correcte gateway-werking; lijn het virtuele IP uit. GLBP of een VSS-paar stelt alle VLAN-hosts in staat om tegelijkertijd actieve gateways te gebruiken.
• Laag 4–7: ACL/NAT, TCP MSS/PMTUD, DNS/DHCP, applicatie-handshake, QoS-drops. Valideer het behoud van DSCP end-to-end. Bevestig voor multicast de RP/Join-status.
• Specificaties van het control plane:
  • OSPF-adjacencies mislukken door niet-overeenkomende area, timers, netwerktypes of een IP-mismatch op point-to-point links.
  • BGP-sessies met MD5 geconfigureerd moeten overeenkomende wachtwoorden en peer-groups aan beide kanten hebben; “invalid MD5 digest” duidt op een mismatch of een wijziging tijdens de transit.
  • SD-WAN VPN’s definiëren segmentatie; databeleid stuurt flows op basis van velden en VPN ID’s. vManage levert het centrale management plane—controleer de bedoelde versus de gerealiseerde staat.
• Draadloze onboarding: Valideer SSID-beveiliging (bijv. WPA2/AES met 802.1X voor toegang door medewerkers), DHCP/DNS, RRM-kanaal/vermogen en CAPWAP-controle. Formatteringsfouten in Option 43 zijn veelvoorkomende blokkades voor het join-proces.

Testselectie en afwegingen

• Geef eerst de voorkeur aan telemetrie en gerichte pings/traces; escaleer naar packet capture als er meerdere hypotheses overblijven.
• Gebruik 360-graden-stijl geschiedenissen van apparaten en clients om in tijd uitgelijnde veranderingen (bijv. een software-upgrade of een RRM-kanaalwijziging) te correleren met het begin van de symptomen.

Hoge beschikbaarheid, levenscyclus en continue verbetering

Validatie van hoge beschikbaarheid

• Campus core: Gebruik redundante Layer 3 point-to-point links tussen core-apparaten voor deterministische, snelle convergentie. Valideer IGP-timers, BFD en equal-cost paden.
• Supervisor SSO: Vereist statussynchronisatie; koppel met NSF om ononderbroken L3-forwarding te behouden tijdens een failover. Test de failover onder belasting en waarborg de continuïteit van FHRP/adjacency.
• First-hop redundancy: Valideer HSRP/GLBP-timers, preemption en de consistentie van virtuele IP’s tussen peers.
• SD-Access borders: Test de externe bereikbaarheid en fabric advertisement/translation op border nodes; verifieer policy-based segmentatie over grenzen heen.

Onderhoud en change management

• Voor de wijziging: Definieer een MOP (Method of Procedure) met doelstellingen, een backout-plan, succescriteria en een monitoringplan. Laat een peer-review uitvoeren en plan de wijziging binnen een onderhoudsvenster.
• Uitvoering: Bevries niet-gerelateerde wijzigingen. Implementeer in kleine ‘blast radii’ met checkpoints. Onderdruk tijdelijk niet-actionable alerts.
• Na de wijziging: Voer post-checks uit ten opzichte van baselines en SLO’s gedurende ten minste één bedrijfscyclus; schakel alerts weer in en bevestig de signaalkwaliteit.

Levenscyclus van software-images

• Onderhoud ‘golden images’ per platform, met cryptografische validatie. Stage deze in een lab of pilot-ring; leg functionele en prestatiebaselines vast.
• Upgrades: Geef de voorkeur aan ISSU/SSO-bewuste methoden waar ondersteund; plan anders ‘rolling upgrades’ die het verkeer via redundante peers laten doorstromen.
• Rollback: Bewaar ’last-known-good’ images en configuratie-snapshots; verifieer boot-variabelen en ROMMON-herstelpaden.
• Back-ups: Automatiseer configuratieback-ups bij elke ‘commit’; sla ze op met versiebeheer en ‘change diffs’. Gebruik compliance-controles om afwijkingen (‘drift’) te signaleren.

Root-cause analyse en verbetering na incidenten

• RCA: Stel een tijdlijn op basis van gecorreleerde telemetrie, commits en controller-logs; identificeer de initiële fout en bijdragende factoren.
• Documentatie: Leg de impact, MTTR, indicatoren, testartefacten en permanente corrigerende acties vast. Deel dit breed.
• Verbetering: Zet fixes om in beleid of automatisering (bijv. compliance-regels, templates). Voeg nieuwe detectoren toe als het signaal voorheen onzichtbaar was.

Operationele statistieken en capaciteitsprognoses

• Gezondheid: Beschikbaarheid, ‘mean time to detect/repair’ (MTTD/MTTR), ‘change failure rate’, alert-betrouwbaarheid.
• Prestaties: Class-based loss/jitter, percentielen van wachtrijdiepte, RF retry rates, client onboarding-tijd.
• Capaciteit: Percentielen van interfacegebruik, ‘flow concurrency’, TCAM-verbruik, CPU/geheugen-headroom, AP airtime-gebruik.
• Prognoses: Gebruik NetFlow/IPFIX en telemetrietrends om te voorspellen wanneer limieten van links, RF-cellen of de control-plane-schaal zullen worden overschreden. Plan upgrades of beleidswijzigingen voordat SLO’s verslechteren.

Controller-gestuurde assurance

• Cisco DNA Center verzamelt inzichten van apparaten en clients (‘path trace’, 360-graden weergaven) en correleert RF-, switching-, routing- en identiteitsgegevens. Het valideert de intentie versus de status, signaleert misconfiguraties en ondersteunt proactieve herstelacties.
• In SD-WAN biedt vManage beheer via één enkel dashboard (‘single-pane management’), SLO-tracking voor ‘application-aware routing’ en audits voor beleidsconformiteit.

Praktijkscenario

Contoso Retail beheert een three-tier campus met SD-Access voor segmentatie en een gecentraliseerde draadloze controller. Gebruikers melden met tussenpozen problemen met de spraakkwaliteit en af en toe mislukte Wi-Fi onboarding in twee gebouwen.

Aanpak

1. Definieer scope en SLO’s

   • Identificeer de getroffen diensten: VoIP in VPN 10 (spraaksegment) en de SLO voor Wi-Fi onboarding-tijd (<7 seconden).
   • Rationale: Duidelijke SLO’s maken gerichte signaalselectie en een ‘pass/fail’ acceptatietest voor de oplossing mogelijk.

2. Correleer telemetrie en gebeurtenissen

   • Controleer DNA Center Assurance: ‘Voice path health’, client 360-tijdlijnen en device 360 voor de distributie-switches.
   • Haal streaming telemetrie op voor class-based drops en RF-statistieken; bevraag NetFlow/IPFIX voor de DSCP EF-paden van de spraakstromen.
   • Rationale: Tijd-gesynchroniseerde correlatie uit meerdere bronnen vermindert giswerk en brengt de eerste afwijking aan het licht.

3. Valideer de Layer 1–3 underlay en HA

   • Voer een ‘path trace’ uit tussen spraak-eindpunten; verifieer redundante L3 P2P core-links en IGP/BFD-timers voor snelle failover.
   • Controleer de StackWise Virtual-status en LMP-logs op ‘unidirectional link rejections’ op het distributiepaar.
   • Rationale: Subtiele unidirectionele fouten of trage convergentie kunnen zich manifesteren als tijdelijke spraakproblemen.

4. Verifieer first-hop en QoS-beleid

   • Inspecteer HSRP/GLBP voor het spraak-VLAN; bevestig de consistentie van het virtuele IP en preemption. Valideer DSCP EF ‘remarking’ en de conformiteit van het wachtrijbeleid op egress-interfaces.
   • Rationale: Een verkeerd uitgelijnde gateway of onjuist toegepaste QoS veroorzaakt jitter, verlies en asymmetrische routering voor real-time verkeer.

5. Analyseer draadloze onboarding

   • Onderzoek WLC-logs op RRM-wijzigingen en de stabiliteit van AP-joins. Bevestig de DHCP option 43-codering voor externe AP VLAN’s en zorg ervoor dat ‘ip helper-address’ is geconfigureerd.
   • Valideer de beveiligingsstatus van het SSID (WPA2/AES met 802.1X) en de authenticatielatentie in de controller- en identiteitslogs.
   • Rationale: Onjuiste opmaak van option 43 en overmatige RRM-kanaal/vermogenswijzigingen verlengen de onboarding en verhogen het aantal retries.

6. Inspecteer de SD-Access overlay en borders

   • Verifieer VNID-mappings voor VPN 10 en de ‘advertisements’ van de fabric border node naar externe diensten (call controllers).
   • Rationale: Mismatches in VNI/VNID of problemen met border-translation isoleren spraak-eindpunten ondanks een gezonde underlay.

7. Voer gerichte tests uit

   • Plaats synthetische spraak-probes die loss/jitter meten; maak een korte ERSPAN-capture van een egress-interface die EF-wachtrij-drops tijdens pieken laat zien.
   • Rationale: Objectief bewijs koppelt symptomen aan specifieke interfaces en wachtrijen.

8. Herstel en valideer

   • Vervang een verdacht glasvezelpaar dat door LMP is gemarkeerd; lijn het virtuele IP van HSRP uit met de gedocumenteerde standaard; verkort de RRM-wijzigingsintervallen; corrigeer DHCP option 43 naar hex op de betreffende scopes.
   • Pas QoS-templates opnieuw toe en zorg voor minimale bandbreedte voor EF en dat WRED is uitgeschakeld voor EF.
   • Rationale: Pakt de hoofdoorzaken aan en dwingt best practices af voor real-time verkeer.

9. Monitoring na de wijziging en RCA

   • Volg de spraak-SLO’s en onboarding-tijd gedurende een volledige werkdag. Documenteer de hoofdoorzaak (unidirectionele link die micro-convergentie veroorzaakt, HSRP VIP-drift, onjuist geformatteerde option 43) en preventieve maatregelen (glasvezelcertificering, configuratie-compliance-controles, DHCP-scope-linting).
   • Rationale: Bevestigt duurzaam herstel en verankert de leerpunten in beleid en automatisering.

← Automatisering · Alle domeinen

Oefen deze vragen → · Getimede oefening op ExamRoll.io →