Cisco 350-401: Campus Layer 2 Switching en Segmentatie — Studiegids

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNP Enterprise 350-401 ENCOR — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Campus Layer 2-switching en -segmentatie bieden de isolatie van broadcastdomeinen, het deterministisch doorsturen en de operationele waarborgen die nodig zijn voor een schaalbaar, veerkrachtig bedrijfs-LAN. Dit gedeelte legt uit hoe Ethernet-switches leren en doorsturen, hoe VLAN’s en trunks verkeer segmenteren, hoe inter-VLAN-routing wordt ingeschakeld op multilayer-switches, hoe Spanning Tree-varianten geluste topologieën beheren, hoe links veilig kunnen worden geaggregeerd, hoe VLAN-propagatie kan worden beheerd en hoe Layer 2 kan worden versterkt tegen veelvoorkomende aanvallen en storingen. Het sluit af met richtlijnen voor validatie en een praktisch scenario.

Grondbeginselen van Ethernet-switching en VLAN-segmentatie

Ethernet-switches sturen frames door op basis van het MAC-adres van de bestemming en segmenteren verkeer met VLAN’s.

• MAC-learning en -forwarding

  • Wanneer een switch een frame ontvangt, leert het de bron-MAC en de ingress-interface en slaat deze op in de CAM-tabel (MAC-adrestabel). Items verouderen (meestal na 300 seconden) als ze niet worden vernieuwd.
  • De lookup van de bestemming bepaalt de actie:
    • Bekende unicast: doorsturen naar de enkele egress-interface in de CAM-tabel.
    • Onbekende unicast-, broadcast- en veel multicast-frames: flooden naar alle poorten in het VLAN, behalve de ingress-poort.
  • Filtering vindt plaats wanneer de bestemming overeenkomt met dezelfde poort als de bron (geen forwarding), of door beleidsregels zoals storm control, port security of private VLAN’s (indien gebruikt).

• Storingsmodi en afwegingen

  • CAM-uitputting (bv. MAC-flooding-aanvallen) veroorzaakt overmatige flooding van onbekende unicasts; bescherm dit met port security en control-plane policing.
  • MAC-flapping (dezelfde MAC wordt op meerdere poorten geleerd) duidt vaak op fysieke lussen, verkeerd bekabelde HA-paren of vPC/VSS split-brain-condities.

• VLAN’s en access

  • Een VLAN definieert een Layer 2-broadcastdomein; access-poorten dragen een enkel, untagged VLAN voor het aangesloten eindpunt.
  • Voice VLAN’s: een access-poort kan een getagd 802.1Q voice VLAN dragen voor een IP-telefoon en een untagged data-VLAN voor een pc achter de telefoon. CDP/LLDP adverteren het voice VLAN aan de telefoon. Vertrouw CoS op de poort alleen als QoS end-to-end is geïmplementeerd.

  Voorbeeld (access plus voice): interface Gi1/0/10 switchport mode access switchport access vlan 20 switchport voice vlan 200 mls qos trust cos spanning-tree portfast spanning-tree bpduguard enable switchport port-security maximum 3 switchport port-security mac-address sticky switchport port-security violation restrict

• Trunks en native VLAN’s

  • 802.1Q-trunks transporteren meerdere VLAN’s tussen switches. Elke trunk heeft een lijst met toegestane VLAN’s; beperk deze tot de minimaal benodigde set.
  • Het native VLAN wordt standaard untagged verzonden op 802.1Q. Gebruik een ongebruikt, dedicated native VLAN en tag het native VLAN indien ondersteund om VLAN-hopping en mismatches te voorkomen die anomalieën in het control plane kunnen veroorzaken.
  • Storingsmodi: mismatches van het native VLAN veroorzaken spanning-tree PVID-fouten en kunnen control-verkeer blackholen; te permissieve trunks propageren onbedoelde VLAN’s door de hele campus.

• Layer 2-multicast

  • Zonder controle wordt multicast geflood binnen het VLAN. IGMP snooping beperkt het doorsturen door ontvangerpoorten te leren van IGMP joins en leaves. Als er geen multicast-router aanwezig is in het VLAN, schakel dan een IGMP snooping querier in om de group state te onderhouden.

  Voorbeeld: ip igmp snooping ip igmp snooping vlan 20 querier 10.20.0.1

Inter-VLAN-routing en multilayer-switchontwerp

Inter-VLAN-routing wordt uitgevoerd op multilayer-switches met behulp van SVI’s (één per gerouteerd VLAN). Hardware-forwarding (CEF) gebruikt de FIB en de adjacency-tabel voor line-rate prestaties, waardoor CPU-intensieve process switching wordt vermeden.

• SVI-implementatie

  • Maak een SVI voor elk gebruikers-VLAN en plaats daar de first-hop gateway. Vat waar mogelijk samen op de distributielaag. Gebruik object tracking voor redundante gateways (HSRP/VRRP) en consistente ACL/QoS op de SVI.
  • Lijn Layer 2- en Layer 3-grenzen op elkaar uit: ‘routed access’-ontwerpen gebruiken Layer 3-links van access naar distributie, waardoor Layer 2-storingsdomeinen kleiner worden en convergentie eenvoudiger wordt, terwijl segmentatie behouden blijft met SVI’s op de distributielaag.

• Gateway-redundantie en convergentie

  • Ontwerp first-hop-redundantie samen met de plaatsing van de spanning-tree root, zodat de actieve gateway topologisch het dichtst bij de hosts staat. HSRP/VRRP zijn gebruikelijk; GLBP of chassisvirtualisatie (VSS/StackWise Virtual) maken active-active gateway-gebruik mogelijk.
  • Storingsmodi: een niet-uitgelijnde STP-root en actieve gateway veroorzaken suboptimale verkeerspaden en convergentievertragingen; asymmetrische ACL’s op SVI’s resulteren in eenzijdige bereikbaarheid.

• Operationele richtlijnen

  • Gebruik consistente SVI-nummering en IP-adressering, en houd de DHCP-relay (ip helper-address) per VLAN bij. Monitor ARP/ND-tabellen en de control-plane CPU op afwijkingen tijdens incidenten.

Spanning Tree en Loop-beveiliging

Spanning Tree Protocol voorkomt Layer 2-loops en maakt tegelijkertijd fysieke redundantie mogelijk.

• Protocolkeuzes

  • 802.1D PVST+: per-VLAN instances, tragere convergentie.
  • 802.1w Rapid PVST+: per-VLAN instances met snelle convergentie via proposal/agreement en sync.
  • 802.1s MST: mapt vele VLAN’s naar een paar spanning-tree instances, wat beter schaalt in grote omgevingen. Alle switches in een regio moeten overeenkomen qua naam, revisie en VLAN-naar-instance mapping; mismatches creëren grenzen en voeren PVST+ uit op edge-VLAN’s.

• Root-electie en poortrollen

  • De root bridge wordt gekozen op basis van de laagste bridge ID (prioriteit + MAC). Stel prioriteiten bewust in om de primaire en secundaire roots op de distributielaag te plaatsen.
  • RSTP-rollen: root, designated, alternate en backup. Statussen: discarding, learning, forwarding. Configureer edge-links als point-to-point voor snellere sync.

  Voorbeeld (rapid PVST+ met deterministische roots): spanning-tree mode rapid-pvst spanning-tree vlan 10,20,200 priority 4096 spanning-tree vlan 10,20,200 root secondary

• Edge- en topologiebeveiliging

  • PortFast: zet edge-poorten onmiddellijk in de forwarding-status; schakel dit nooit in op switch-interconnecties.
  • BPDU Guard: zet een PortFast-poort in err-disabled status bij ontvangst van een BPDU; combineer met PortFast om onbedoelde loops via onbeheerde switches te stoppen.
  • Root Guard: voorkomt dat een designated poort een root wordt door superieure BPDU’s te blokkeren; gebruik dit op uplinks van de access-laag die naar downstream switches wijzen om de plaatsing van de root te beschermen.
  • Loop Guard: voorkomt dat niet-designated poorten naar de forwarding-status gaan als er geen BPDU’s meer binnenkomen (typisch bij unidirectionele links); vul aan met UDLD aggressive voor glasvezelverbindingen.
  • Bridge Assurance (op ondersteunde platforms): zorgt ervoor dat BPDU’s bidirectioneel aanwezig zijn op point-to-point links in de core/distributielaag, wat ‘silent failures’ voorkomt.

• Faalscenario’s

  • Unidirectionele links kunnen alternate poorten naar de forwarding-status dwingen en loops creëren; Loop Guard en UDLD beperken dit risico.
  • BPDU Filter op niet-edge poorten onderdrukt BPDU’s en kan catastrofale loops veroorzaken; vermijd dit, behalve voor specifieke, gevalideerde use cases.

Link Aggregation, VTP en Trunk-operaties

• Basisprincipes van EtherChannel

  • Bundelt parallelle links in een Port-Channel die door STP als één logische interface wordt gezien (blokkeringsbeslissingen zijn van toepassing op de bundel). Voordelen zijn onder meer een hogere geaggregeerde bandbreedte en sneller herstel.
  • Negotiatie: LACP (active/passive, IEEE 802.1AX) of PAgP (desirable/auto, Cisco proprietary). ‘Mode on’ forceert bundeling zonder negotiatie en riskeert loops bij een mismatch—vermijd dit tussen switches.
  • Consistentie van members: snelheid/duplex, toegestane VLAN’s, native VLAN, STP-instellingen en channel-group mode moeten overeenkomen. Gebruik LACP min-links om de bundel down te houden totdat een minimumaantal members aanwezig is.
  • Load balancing: per-flow hashing op basis van source/destination MAC/IP/poort; kies een methode die past bij de dominante verkeerspatronen. Onthoud dat hashing per switch en per richting gebeurt; symmetrie is niet gegarandeerd.

  Voorbeeld (LACP-trunk): interface range Gi1/1-2 channel-group 1 mode active switchport mode trunk switchport trunk allowed vlan 10,20,200 switchport trunk native vlan 999 interface Port-channel1 switchport mode trunk spanning-tree link-type point-to-point

• VTP-concepten en pruning

  • VTP distribueert VLAN-definities. Modi: server, client, transparent en off (platformafhankelijk). Versie 3 voegt betere authenticatie en primaire serverrollen toe.
  • Risico’s: een apparaat met een hoger configuratierevisienummer kan het domein overschrijven en VLAN-verlies veroorzaken. Best practice is de modus transparent of off, met expliciete ‘allowed VLAN’-lijsten op trunks.
  • VTP pruning bespaart bandbreedte op trunks door te voorkomen dat ongebruikte VLAN’s worden geflood; het is echter afhankelijk van een correcte VTP-status en is inferieur aan expliciete ‘allowed VLAN’-pruning.
  • Troubleshooting van trunk-mismatches: verifieer encapsulatie (802.1Q), de ‘allowed VLAN’-lijst en de native VLAN; DTP auto/desired-negotiaties kunnen voor verrassingen zorgen—gebruik switchport mode trunk en switchport nonegotiate voor stabiliteit.

  Voorbeeld (beveiligde trunk met expliciete pruning): interface Gi1/0/48 switchport mode trunk switchport trunk allowed vlan 10,20,200 switchport trunk native vlan 999 switchport nonegotiate

Layer 2-beveiliging, Multicast en Operationele Validatie

• Port security

  • Beperkt het aantal MAC-adressen per access-poort; ‘sticky learning’ bewaart geleerde MAC’s in de running-config. Acties bij overtreding: protect, restrict of shutdown. Verhoog het maximum voor voice+data-poorten. Laat sticky MAC’s verouderen bij verplaatsingen om het aantal operationele tickets te verminderen.

• DHCP snooping en ARP inspection

  • DHCP snooping bouwt een binding-tabel (IP/MAC/VLAN/interface) en blokkeert niet-vertrouwde DHCP-offers. Vertrouw uplinks naar legitieme servers en pas rate-limiting toe op clients. Maak bindings persistent over herstarts heen, indien ondersteund.
  • Dynamic ARP Inspection gebruikt de snooping-bindings om ARP-pakketten te verifiëren, wat spoofing voorkomt. Vertrouw uplinks; voeg ARP ACL’s toe voor apparaten met statische adressen. Valideer bron-MAC/IP waar beschikbaar om man-in-the-middle-aanvallen te stoppen.

  Voorbeeld:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• IGMP snooping-operaties

  • Als er een multicast-router aanwezig is, worden mrouter-poorten automatisch geleerd via PIM-hello’s of kunnen ze statisch worden geconfigureerd. Zonder router, activeer een snooping querier per VLAN om flooding te voorkomen.
  • Let op group-state blackholes als snooping is ingeschakeld maar reports worden gefilterd door ACL’s of storm control.

• Validatie en troubleshooting van loops

  • Baseline:

undefined

om hosts te lokaliseren en ‘flapping’ te detecteren. -

undefined

om de root, rollen en timers te bevestigen; controleer op inconsistente statussen. -

undefined

voor de status van de members; verifieer hashing en min-links-gedrag tijdens storingen. -

undefined

voor correctheid van toegestane/native VLAN’s; controleer logs op PVID/native mismatches. -

undefined

om de veilige modus en de verwachte versie te garanderen. -

undefined

en

undefined

om de beveiligingspipelines te valideren.

• Indicatoren van een loop: plotselinge CPU-pieken, broadcast/multicast-storms, MAC-flaps tussen poorten, errdisable door BPDU Guard. Gebruik SPAN voor packet sampling en activeer storm-control om de impact te beperken terwijl je het probleem oplost.
• Veelvoorkomende oorzaken: onbeheerde switches aangesloten op twee access-poorten, PortFast ingeschakeld op uplinks, native VLAN-mismatches, unidirectionele glasvezel, EtherChannel-misconfiguratie (‘on’ versus onderhandeld).

Praktijkscenario

Northwind Manufacturing ervaart met tussenpozen broadcast-storms en een slechte spraakkwaliteit na het toevoegen van twee nieuwe access closets. De omgeving gebruikt SVI’s op de distributielaag, Rapid PVST+ en IP-telefonie waarbij telefoons in serie (‘daisy-chained’) zijn geschakeld met pc’s.

1. Definieer en snoei de VLAN-scope

   • Configureer expliciet toegestane VLAN’s op trunks en verplaats het native VLAN naar een ongebruikt ID (999), en tag het native VLAN indien ondersteund.
   • Rationale: beperkt broadcast-domeinen tot de bedoelde links en elimineert native mismatches die loops en control-plane-anomalieën versterken.

2. Lijn spanning-tree roots uit met gateways

   • Stel distributie-switches in als primaire/secundaire STP-roots voor gebruikers- en voice-VLAN’s; verifieer point-to-point linktypes.
   • Rationale: zorgt voor het kortste Layer 2-pad naar actieve default gateways, vermindert convergentietijd en stabiliseert verkeersstromen.

3. Verhard de edge-poorten

   • Activeer PortFast en BPDU Guard op alle poorten die naar access-apparatuur wijzen; stel port security in met sticky MAC’s en een maximum van drie op voice/data-poorten.
   • Rationale: versnelt de opstart van endpoints, voorkomt onbedoelde loops via onbeheerde apparaten en beperkt CAM-uitputting of MAC-spoofing.

4. Herstel de EtherChannel-consistentie

   • Converteer alle inter-switch bundels naar LACP (active aan beide zijden), stel min-links 2 in voor distributie-uplinks en zorg ervoor dat VLAN/natives overeenkomen op de members en de Port-Channel.
   • Rationale: onderhandelde aggregatie voorkomt dat accidentele parallelle links onafhankelijk van elkaar gaan forwarden; min-links behoudt symmetrische capaciteit en voorspelbare hashing tijdens storingen.

5. Activeer DHCP snooping en DAI

   • Vertrouw alleen uplinks naar legitieme DHCP-servers; activeer DHCP rate limits op access-poorten; activeer ARP inspection met behulp van de snooping-tabel; voeg ARP ACL’s toe voor statische servers.
   • Rationale: blokkeert malafide DHCP-servers die verkeer omleiden en voorkomt ARP-gebaseerde man-in-the-middle-aanvallen die de spraak- en datakwaliteit zouden aantasten.

6. Optimaliseer de voice access-poorten

   • Configureer

undefined

voor alle telefoonpoorten; activeer CoS trust met Auto-QoS indien beschikbaar; verhoog het maximum van port-security om de MAC’s van de telefoon, pc en softphone te dekken.

• Rationale: garandeert correcte VLAN-scheiding en behoud van QoS-markering, wat de MOS- en jitter-prestaties direct verbetert.

7. Beperk multicast met IGMP snooping

   • Verifieer dat er een PIM-enabled SVI bestaat voor elk VLAN met multicast-ontvangers; waar geen router aanwezig is, activeer een IGMP snooping querier; markeer distributie-uplinks als mrouter-poorten indien nodig.
   • Rationale: voorkomt onnodige multicast-flooding die symptomen van een broadcast-storm kan veroorzaken en CPU-resources van telefoons kan verbruiken.

8. Valideer en test failover

   • Voer

undefined

,

undefined

,

undefined

uit en onderzoek syslog op PVID/native mismatch of BPDU Guard-events. Trek een member-link van elke Port-Channel los en bevestig dat er geen topologieverandering optreedt die spraakpakketverlies veroorzaakt.

• Rationale: proactieve validatie bewijst deterministische convergentie en legt verborgen asymmetrieën bloot voordat ze gebruikers beïnvloeden.

9. Detecteer en voorkom unidirectionele storingen

   • Activeer UDLD aggressive op glasvezel-uplinks en Loop Guard op non-designated poorten; activeer Bridge Assurance op de interconnecties van de distributielaag.
   • Rationale: vangt eenrichtingsverbindingsproblemen op die anders alternate-port forwarding en loops zouden veroorzaken.

10. Operationaliseer de monitoring

    • Voeg alerts toe voor MAC-flapping, STP-topologieveranderingen die drempels overschrijden, DHCP snooping-overtredingen en anomalieën in het aantal IGMP-groepen.
    • Rationale: ’early-warning’-telemetrie verkort de ‘mean time to detect’ en voorkomt dat kleine bedradingsfouten escaleren tot campusbrede storingen.

← Enterprise Netwerkarchitectuur en Ontwerp · Alle domeinen · Unicast Routing en Routecontrole →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →