Cisco 350-401: Netwerkvirtualisatie, Overlays en Fabric-technologieën — Studiegids

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNP Enterprise 350-401 ENCOR — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Moderne bedrijfsnetwerken maken gebruik van virtualisatie en fabric-overlays om services te schalen, segmenteren en automatiseren over campus-, datacenter- en WAN-domeinen. Een IP-gerouteerde underlay zorgt voor bereikbaarheid en entropie voor ECMP, terwijl de overlay tenant-isolatie, mobiliteit en policy levert. De scheiding van het control plane ontkoppelt endpoint-detectie en routedistributie van dataforwarding, wat snelle convergentie, consistente beveiliging en deterministische operaties mogelijk maakt. Dit hoofdstuk onderzoekt de bouwstenen—VRF’s, VXLAN, EVPN, LISP en Cisco SD-Access—samen met ontwerpafwegingen, operationele praktijken en migratiepatronen vanuit traditionele, op VLAN gebaseerde netwerken.

Underlays, Overlays en Encapsulatie

Een underlay is de fysieke of logische IP-transportfabric. De doelen zijn eenvoudige, snelle en hoogbeschikbare connectiviteit met behulp van equal-cost multipath. Ontwerprichtlijnen:

• Gerouteerde access- en spine-leaf-ontwerpen minimaliseren L2-storingsdomeinen, vermijden STP en versnellen de convergentie.
• Gebruik consistente loopback-adressering voor control-plane-adjacencies en VTEP-bron-IP’s.
• Voorzie MTU-headroom voor overlay-encapsulatie (voor SD-Access wordt 9100 aanbevolen).

De overlay levert logische netwerken (L2- en L3-segmenten) die onafhankelijk zijn van de underlay-topologie. Voordelen zijn onder meer tenant-isolatie, any-to-any-connectiviteit en mobiliteit zonder hernummering van subnets. Overlays vereisen:

• Encapsulatie (bijv. VXLAN over UDP 4789) om virtuele identifiers te transporteren en segmenten uit te breiden.
• Een control plane om endpoint-naar-tunnel-koppelingen te distribueren (bijv. BGP EVPN of LISP).

Scheiding van het control plane ruilt de verspreiding van state in voor schaalbaarheid:

• Zonder een toegewijd control plane verbruikt flood-and-learn bandbreedte en kan kritieke state onvoorspelbaar verouderen.
• Met EVPN of LISP wordt state nauwkeurig gesignaleerd, wat de belasting door broadcast, unknown unicast en multicast (BUM) verlaagt en functies zoals ARP/ND-suppression mogelijk maakt.

Afwegingen bij encapsulatie:

• VXLAN over UDP: alomtegenwoordige ECMP, ondersteuning voor NIC-offload; vereist een verhoging van de underlay-MTU en dat hashing rekening houdt met de buitenste headers.
• GRE/NVGRE: eenvoudigere header maar zwakkere entropie voor ECMP en minder hardware-offload.
• Op MPLS gebaseerde overlays: volwassen QoS en OAM; vereist een MPLS-geschikte infrastructuur en operationele expertise.

Veelvoorkomende faalmodi:

• MTU-mismatch die leidt tot ‘silent drops’ van ingekapselde frames—valideer met pings met de DF-bit, gedimensioneerd voor de overlay-headroom.
• Asymmetrische underlay-routing waardoor stateful firewalls retourverkeer weggooien—plaats policy aan de randen van de overlay of zorg voor symmetrie.
• Hash-polarisatie op underlay-links—activeer per-flow hashing op de buitenste headers en verifieer de ECMP-paden.

Segmentatie en VXLAN/EVPN

VRF’s en schaalbare segmentatie:

• VRF-instances creëren onafhankelijke routingtabellen, waardoor tenants, bedrijfsdomeinen of omgevingen (Prod/Dev/Guest) worden geïsoleerd.
• Combineer VRF’s (macro-segmentatie) met micro-segmentatie (bijv. scalable group tags en policy) voor least-privilege-toegang over VRF’s en segmenten heen.

VXLAN-componenten:

• VTEP: edge-apparaat dat VXLAN inkapselt/uitkapselt. Hardware-VTEP’s (switches/routers) en software-VTEP’s (hypervisors) beëindigen logische segmenten aan de rand van de fabric.
• VNI: 24-bit identifier die een segment mapt. Gebruik L2 VNI’s voor gebrugde segmenten en een L3VNI gekoppeld aan een VRF voor gerouteerde bereikbaarheid door de hele fabric.
• BUM-afhandeling: flood-and-learn kan multicast in de underlay of head-end-replicatie gebruiken. Leren via het control plane met EVPN elimineert het meeste ‘flooding’ door selectieve advertisement en ARP/ND-suppression.

BGP EVPN-concepten voor VXLAN:

• Routetypes:
  • Type 2 (MAC/IP): adverteert de host-MAC en optioneel het IP-adres, wat geïntegreerd bridgen en routen (IRB) en ARP/ND-suppression mogelijk maakt.
  • Type 3 (IMET): signaleert inclusive multicast/ingress-replicatie voor BUM.
  • Type 5 (IP Prefix): transporteert IP-prefixen per VRF/L3VNI, wat inter-subnet-routing mogelijk maakt zonder host-specifieke Type 2-routes.
• Anycast-gateway: identieke SVI IP/MAC op alle VTEP’s; hosts behouden dezelfde default gateway wanneer ze verplaatsen.
• Route targets: import/export per VRF en per VNI regelt de tenant-isolatie en het selectief ’leaken’ van routes.
• Convergentie en mobiliteit: volgnummers op Type 2 detecteren mobiliteit; verouderde entries worden snel onderdrukt.

Belangrijke afwegingen en faalmodi:

• Puur flood-and-learn is eenvoudig maar ‘praatgraag’; EVPN voegt complexiteit toe, maar schaalt beter en vermindert BUM-verkeer.
• Verkeerd geconfigureerde route targets veroorzaken blackholes of verkeerslekkage—standaardiseer beleidstemplates.
• Detectie van dubbele MAC-adressen kan endpoints in quarantaine plaatsen als een hypervisor MAC-spoofing uitvoert; pas drempelwaarden aan voor VDI of geclusterde services.
• Ontbrekende Type 3-routes of niet-overeenkomende replicatie-instellingen leiden tot verweesde BUM-frames—valideer IMET-entries en replicatielijsten.

Minimale voorbeelden (NX-OS-stijl): vrf context TENANT_A vni 100100 rd auto address-family ipv4 unicast route-target import 65000:100100 route-target export 65000:100100

interface nve1 source-interface loopback1 host-reachability protocol bgp member vni 10010 ingress-replication protocol bgp

router bgp 65000 address-family l2vpn evpn neighbor 10.10.10.10 remote-as 65000 neighbor 10.10.10.10 update-source loopback0

LISP en Cisco SD-Access Fabrics

LISP-fundamentals:

• EID: endpoint ID, doorgaans het host-IP-adres binnen een virtueel netwerk.
• RLOC: routing locator, het via de underlay bereikbare adres van de xTR (edge tunnel router of VTEP).
• Map-Server/Map-Resolver: gecentraliseerde database en querypunt. ETR’s registreren EID-naar-RLOC-mappings; ITR’s voeren query’s uit om mappings op te lossen.
• Locator-bereikbaarheid: RLOC-probes monitoren de status van xTR’s; SMR (solicit-map-request) triggert cache-updates bij mobiliteit.
• Foutmodi: een verouderde map-cache die suboptimale paden veroorzaakt; onbereikbaarheid van MS/MR die nieuwe flows blokkeert; NAT tussen xTR’s die RLOC’s verbergt—plan voor RLOC-transparantie of NAT traversal.

Cisco SD-Access past LISP toe voor het campus control plane en VXLAN voor het data plane:

• Fabric-rollen:
  • Edge node: verbindt bedrade endpoints en kapselt verkeer in VXLAN.
  • Border node: verbindt de fabric met externe L3-netwerken of andere fabrics; voert handoff uit per VRF en policy.
  • Control plane node: host de LISP MS/MR en onderhoudt de endpoint-naar-edge-bindingen.
  • Wireless: AP’s maken deel uit van de overlay; een fabric wireless controller handelt CAPWAP, RRM en de fabric-integratie af. Roaming tussen edge switches maakt gebruik van inter-xTR-procedures.
• Policy en segmentatie:
  • Virtuele netwerken worden gemapt naar VRF’s voor macro-segmentatie.
  • Micro-segmentatie maakt gebruik van scalable group tags met SGACL-handhaving aan de randen van de fabric.
  • Identity Services Engine bepaalt de toegang bij onboarding (802.1X/MAB/webauth), en geeft vervolgens VN- en SGT-toewijzingen uit, wat een consistent beleid mogelijk maakt, ongeacht de locatie.
• Border en fusion:
  • Border nodes verzorgen Layer 3-handoff per VRF; een fusion router lekt routes tussen gebruikers-VRF’s en shared services met behulp van VRF-Lite of MP-BGP-policy.
  • Foutief geconfigureerde fusion-policies kunnen asymmetrische routing of te permissieve toegang veroorzaken—valideer het lekken van routes en de intentie van de SGACL.
• Operationele opmerkingen:
  • Gebruik een fabric-MTU van 9100 om de VXLAN- en policy-headers te accommoderen.
  • Het overlay-netwerk levert logische L2- en L3-services; ARP/ND-suppression vermindert ruis.
  • Wireless fabric-AP’s werken in fabric-modus en maken rechtstreeks verbinding met edge switches.

Voorbeeldcontroles: show lisp session show lisp eid-table vrf TENANT_A show fabric edge neighbors show ip vrf

Operaties, Hypervisor-netwerken, Probleemoplossing en Migratie

Virtuele switch en hypervisor-netwerken:

• vSwitch-constructies (poortgroepen, uplink teaming, VLAN-tagging) koppelen workloads aan fysieke ToR-switches. Zorg voor een consistente VLAN-naar-VNI-mapping wanneer hypervisors als VTEP’s fungeren.
• Software-VTEP’s in hypervisors (bijv. gebaseerd op OVS) breiden overlays uit naar workloads; hardware-offloads (VXLAN-checksum/TSO) verbeteren de prestaties.
• SR-IOV of versnelde NIC-bypass kan de zichtbaarheid en beleidshandhaving beperken; zorg ervoor dat telemetrie en beveiligingscontroles effectief blijven, of beëindig SR-IOV-flows op beleidsbewuste nodes.
• LAG/LACP van hypervisors naar ToR moet uniform geconfigureerd zijn; MTU-consistentie tussen virtuele en fysieke domeinen is verplicht.

Workflow voor probleemoplossing van de overlay:

1. Verificatie van de underlay

• Zorg voor IP-bereikbaarheid en ECMP tussen loopbacks. Valideer de MTU: ping 192.0.2.10 size 8972 df-bit
• Controleer de stabiliteit van IGP/BGP, route-recursie en CPU-gebruik van routeringsprocessen.

2. Tunnel-adjacencies en -status

• VXLAN: verifieer NVE-peers en VNI-lidmaatschap; bevestig de bereikbaarheid van UDP 4789 en de TTL.
• LISP: controleer de xTR-registratie bij de MS/MR en de map-cache-items; zorg ervoor dat de RLOC-probe succesvol is.

3. Control-plane-routes

• EVPN: bevestig BGP-sessies en routetypes (2, 3, 5) per VNI/VRF; valideer dat de route-targets overeenkomen met het ontwerp. show bgp l2vpn evpn route-type 2
• Inspecteer de ARP/ND-suppression-tabellen en de mobiliteitssequencenummers.

4. Endpoint-identiteit en -beleid

• Bevestig clientauthenticatie/-autorisatie met ISE. Verifieer de SGT-toewijzing en SGACL-tellers om beleidsdrops te detecteren.

5. Data-plane-validatie

• Gebruik uitgebreide pings tussen VNI’s/VRF’s. Maak captures op de VTEP-ingress/egress om inkapseling en decapsulatie te bevestigen. Controleer de hardware-ACL-tellers en policers.

6. Isolatie van veelvoorkomende fouten

• Blackhole binnen een VNI: ontbrekende Type 2-hostroute of verouderde entry—wis selectieve EVPN-routes of flush ARP/ND op de betreffende VTEP.
• Overmatige flooding: IMET/replicatie-mismatch—controleer Type 3-routes en replicatielijsten.
• Mobiliteitsproblemen: inconsistente anycast-gateway MAC/IP—standaardiseer de virtuele MAC van de SVI en verifieer dat FHRP op geen enkele VTEP actief is.

Migratiestrategieën van VLAN’s naar fabric-architecturen:

• Bereid de underlay voor: stap over op routed access of spine-leaf. Elimineer waar mogelijk L2-loops en afhankelijkheden van STP.
• Introduceer VRF’s en anycast gateways: migreer SVI’s van HSRP/VRRP op de distributielaag naar fabric anycast gateways. Gebruik tijdens de overgang first-hop redundancy alleen op legacy-segmenten; draai geen FHRP op de SVI’s van de fabric gateway.
• Gefaseerde VNI-activering: map bestaande VLAN’s naar VNI’s en activeer vervolgens L3VNI per VRF. Begin met segmenten met een laag risico (Guest), daarna de kritieke (Prod).
• Border- en fusion-ontwerp: definieer per-VRF Layer 3-handoffs, implementeer een fusion router om routes te ’leaken’ tussen gebruikers-VRF’s en gedeelde diensten met behulp van expliciet import/export-beleid.
• Draadloze overstap: converteer AP’s naar fabric-modus en verbind ze met edge-switches; zorg ervoor dat de wireless controller is geïntegreerd met het control plane van de fabric. Roaming tussen edges maakt naadloos gebruik van inter-xTR-procedures.
• Policy-first onboarding: integreer ISE vroegtijdig voor identiteitsgebaseerde VN/SGT-toewijzing om herbewerking te voorkomen.
• Co-existentie en rollback: onderhoud parallelle paden met duidelijk gedefinieerde demarcaties. Valideer MTU, QoS en monitoring end-to-end voordat de scope wordt uitgebreid.

Praktisch Probleemscenario

Contoso Health consolideert ziekenhuizen op een programmeerbare campus fabric, met behoud van strikte scheiding tussen de domeinen Clinical, Guest en IoT en connectiviteit met gedeelde diensten (EHR, DNS, internet).

1. Bouw een gerouteerde underlay met ECMP en een MTU van 9100

• Rationale: Een eenvoudige IP-underlay met consistente loopbacks en jumbo MTU biedt voorspelbare bereikbaarheid en entropie voor VXLAN-hashing, wat zorgt voor hoge beschikbaarheid en ruimte voor inkapseling.

2. Definieer VRF’s en map deze naar virtuele netwerken

• Rationale: Maak de VRF’s Clinical, Guest en IoT aan. Deze macro-segmentatie dwingt verkeersisolatie af binnen de campus en is in lijn met compliance-eisen.

3. Implementeer fabric control plane nodes en edge nodes

• Rationale: Control plane nodes hosten LISP MS/MR voor endpoint-naar-edge-mapping. Edge nodes verbinden bekabelde gebruikers en doen de encap/decap van VXLAN. Ze bieden anycast gateways per subnet, zodat endpoints kunnen roamen zonder van gateway te veranderen.

4. Integreer ISE voor identiteitsgebaseerde onboarding

• Rationale: ISE evalueert bekabelde en draadloze clients via 802.1X/MAB en wijst VN- en scalable group tags toe. Dit maakt een uniform beleid mogelijk, ongeacht locatie en apparaattype, met SGACL-handhaving op de edges.

5. Activeer VXLAN met EVPN op de datacenter-aggregatie en campus-cores

• Rationale: EVPN distribueert Type 2-, 3- en 5-routes voor de bereikbaarheid van hosts en prefixes, wat ARP/ND-suppression en geïntegreerde routing/bridging mogelijk maakt. Dit vermindert BUM-verkeer en versnelt de convergentie voor klinische applicaties.

6. Zet border nodes op met een fusion router voor gedeelde diensten

• Rationale: Border nodes verbinden per-VRF met de core/internet-edge. Een fusion router ’leakt’ selectieve routes tussen Clinical/IoT en de Shared-Services VRF met behulp van expliciete import/export en SGACL’s, wat overmatige blootstelling van klinische systemen voorkomt.

7. Migreer VLAN’s naar VNI’s in fasen

• Rationale: Map bestaande VLAN’s naar VNI’s en zet subnets stapsgewijs over naar de fabric anycast gateways. Dit beperkt de ‘blast radius’ en maakt validatie van de bereikbaarheid en het beleid van elk segment mogelijk voordat verder wordt gegaan.

8. Converteer AP’s naar fabric-modus en sluit ze direct aan op edge-switches

• Rationale: AP’s in fabric-modus worden deelnemers aan de overlay en breiden VNI’s uit naar draadloze clients. De wireless controller blijft RRM en mobiliteit beheren; inter-xTR-roaming behoudt de sessiecontinuïteit tussen edges.

9. Valideer de gezondheid van het control plane en data plane

• Rationale: Verifieer LISP-registraties, EVPN-routetypes per VNI/VRF en NVE-peerings. Test met DF-bit pings van rond de 8972 bytes om te verzekeren dat de MTU voldoende is. Bevestig de SGACL-tellers om de beoogde microsegmentatie te waarborgen.

10. Stel operationele draaiboeken en rollback-plannen op

• Rationale: Documenteer de ’eerst de underlay, dan de overlay’-probleemoplossing, inclusief commando’s om map-caches, EVPN-routes en VXLAN-peers te controleren. Onderhoud co-existentiepaden en duidelijke demarcaties om een snelle rollback mogelijk te maken indien nodig.

← Draadloze Infrastructuur en Mobiliteit · Alle domeinen · WAN- →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →