Cisco 350-401: WAN-, VPN- en SD-WAN-connectiviteit — Studiegids

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNP Enterprise 350-401 ENCOR — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Het ontwerp van een enterprise WAN balanceert bereikbaarheid, prestaties, kosten en beveiliging over heterogene underlays en overlays. Moderne architecturen combineren private transporten (MPLS, Metro Ethernet) met publiek breedband en mobiele netwerken, en gebruiken versleutelde overlays (IPsec, DMVPN, Cisco SD-WAN) om transportonafhankelijkheid, segmentatie en applicatiebewuste padselectie te realiseren. Robuuste operaties vereisen continue metingen (packet loss, latency, jitter), brownout-detectie en snelle failover, met behoud van end-to-end QoS en beveiliging.

WAN-transport en Providerconnectiviteit

Bedrijven combineren vaak meerdere WAN-transporten om risico’s te beperken en kosten te optimaliseren:

• MPLS L3VPN: Voorspelbare latency/jitter met carrier QoS en gedefinieerde SLA’s. Native any-to-any connectiviteit. Nadelen zijn onder meer hogere terugkerende kosten, langere provisioningtijd, door de carrier beheerde routing en afhankelijkheid van één providerdomein. Verifieer de diversiteit van de ’last mile’; maak gebruik van dual-homing naar verschillende PE’s of POP’s om gedeelde storingsdomeinen te vermijden.
• Metro Ethernet (E-LAN/E-LINE): Hoge bandbreedte, lage latency binnen grootstedelijke of regionale gebieden; nuttig voor datacenterinterconnectie en regionale hubs. Houd rekening met MTU-ondersteuning voor overlay-encapsulatie en het gedrag van QoS-markering bij de provider-overdracht.
• Internet DIA/breedband: Voordelig, alomtegenwoordig en schaalbaar. Geen QoS-garanties; prestatievariaties en mogelijke verwijdering van DSCP-markeringen. Vereist overlay-encryptie en brownout-detectie. Valideer de compatibiliteit van CGN en NAT voor VPN’s; geef de voorkeur aan publieke/statische IP-adressen voor een eenvoudigere onboarding.
• LTE/5G: Snelle implementatie en geschikt als out-of-band of tertiair WAN. Variabele latency en jitter; datalimieten en RF-congestie zijn veelvoorkomende beperkingen. Positioneer als back-up of voor kritisch out-of-band beheer.
• Private lijnen (DWDM, gehuurde TDM/Ethernet-circuits): Deterministisch en veilig door isolatie. Beperkte flexibiliteit, hogere kosten per bit en het ontbreken van inherente any-to-any connectiviteit.

Ontwerp voor transportdiversiteit op meerdere lagen:

• Fysiek: Gescheiden leidingen, stroomvoorziening en demarcatielocaties.
• Provider: Verschillende carriers en upstream AS’en.
• Technologie: Mix van MPLS, DIA, breedband en mobiel.
• Routing: Onafhankelijke control planes (eBGP naar verschillende PE’s, overlay control onafhankelijk van de underlay).

Belangrijkste storingsmodi en mitigaties:

• Onderbreking van de ’last mile’ of provideronderhoud: Dubbele ’last mile’ en snelle rerouting met overlays.
• MTU/fragmentatie-blackholes door encapsulatie-overhead: Configureer path MTU discovery en MSS clamping.
• Hermarkering van DSCP door ISP’s: Hermarkeer aan de WAN-edge; vertrouw op per-tunnel QoS in de overlay.
• CGNAT dat inkomende tunnels verbreekt: Gebruik controller-ondersteunde onboarding of uitgaand geïnitieerde tunnels.

Basisprincipes van VPN en Tunneling

GRE biedt eenvoudige L3/L2-encapsulatie voor overlay-bereikbaarheid, maar geen encryptie of integriteit. Het wordt vaak gecombineerd met IPsec voor vertrouwelijkheid. GRE-keepalives detecteren eenrichtingsfouten; MTU-overhead vereist afstemming.

IPsec beveiligt data op Laag 3. Kernelementen:

• IKEv2 voor sleuteluitwisseling in de control plane en SA-onderhandeling, met Dead Peer Detection en NAT-T.
• ESP met AES-GCM of AES-CBC plus integriteit; PFS om ‘forward secrecy’ te garanderen.
• Re-key timers gebalanceerd voor beveiliging en CPU-overhead.

Voorbeeld: GRE over IPsec op IOS XE (verkort)

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

DMVPN voegt schaalbaarheid toe via multipoint GRE en NHRP, wat on-demand spoke-to-spoke tunnels mogelijk maakt. Dynamische routing (EIGRP, OSPF, BGP) draait over de overlay. Afwegingen:

• Sterke punten: Elastische spoke-meshing, minder forwarding op de hub, eenvoudigere provisioning.
• Risico’s: ‘Churn’ in de NHRP-database, knelpunten op de hub, dimensionering van crypto/CPU op de headend, beperkte QoS-granulariteit per tunnel tenzij hiërarchische policies worden gebruikt. Probleemoplossing met show dmvpn, show ip nhrp en de status van crypto SA.

Segmentatie:

• Legacy: VRF-Lite en MPLS L3VPN’s isoleren verkeersdomeinen.
• Overlays: SD-WAN ‘VPN’s’ vertegenwoordigen gevirtualiseerde routing-instanties per segment; worden gemapt naar VRF’s op de WAN-edge. Dit zorgt voor tenant- en service-isolatie zonder afhankelijkheid van het transport.

Cisco SD-WAN Architectuur en Werking

Cisco SD-WAN scheidt de verschillende ‘planes’:

• vManage: Eén management plane voor configuratie, monitoring en lifecycle-operaties.
• vBond: Orchestrator die WAN Edges authenticeert, initiële bereikbaarheid biedt en kan fungeren als een STUN-server voor NAT-traversal.
• vSmart: Het brein van de control plane dat beveiligde controleverbindingen opzet, OMP draait om routes, TLOC-attributen en policies te distribueren, en beveiligingsinformatie verspreidt voor het opzetten van tunnels.

WAN Edge (vEdge/Catalyst SD-WAN) apparaten bouwen data-plane IPsec-tunnels over elke underlay (MPLS, Internet, LTE). De control plane gebruikt DTLS/TLS naar de controllers; de data plane gebruikt IPsec met op BFD gebaseerde performance-probes. Kernconcepten:

• TLOC: Een tuple van systeem-IP, ‘color’ (type/intentie van de underlay) en encapsulatie. ‘Colors’ maken het mogelijk om via policy transporten te prefereren of te beperken.
• OMP-routes: Prefix-bereikbaarheid; TLOC-routes: transport-adjacency; Service-routes: service-insertion.
• Segmentatie: SD-WAN VPN’s bieden geïsoleerde routingdomeinen over de gehele fabric.

Onboarding en beveiliging:

• ZTP met op certificaten gebaseerde identiteit (SUDI of door de controller uitgegeven), tijdsynchronisatie en bereikbaarheid van vBond.
• NAT-afhandeling met vBond STUN en NAT-T. Tijdverschil (’time skew’), verlopen certificaten en onbereikbare controllers zijn veelvoorkomende storingspunten bij onboarding.

Tunneltransport:

• Full-mesh of partial-mesh beveiligde tunnels tussen WAN Edges, afhankelijk van de policy.
• Per-TLOC/per-VPN BFD monitort packet loss, latency en jitter met configureerbare intervallen en multipliers om blackouts en brownouts te detecteren.

Beleid, Prestaties en Veerkracht

Beleidslagen:

• Gecentraliseerd control policy: Beïnvloedt OMP-advertenties en hub/spoke-topologie (bijv. routefiltering, TLOC-voorkeur).
• Gecentraliseerd data policy: Definieert forwarding-gedrag per VPN en per verkeersklasse (op basis van IP-velden) over de hele fabric.
• Lokaal policy: QoS op interfaceniveau, ACL’s en shaping op een individuele WAN Edge.

Application-aware routing (AAR) gebruikt SLA-klassen en door BFD gemeten padkenmerken om een pad te selecteren per applicatie of verkeersklasse:

• SLA-klasse definieert acceptabele drempelwaarden voor verlies, one-way latency en jitter, en de probe-frequentie. Meerdere klassen kunnen app-niveaus weerspiegelen (voice, transactioneel, best effort).
• Padselectie evalueert kandidaat-TLOC’s per policy, met een voorkeur voor paden die voldoen. Als geen enkel pad voldoet, zijn de fallbacks onder andere het best beschikbare pad, local breakout of drop—aangestuurd door de policy. Hysterese en hold-down timers voorkomen ‘flapping’.
• Flow pinning zorgt voor padconsistentie voor bestaande sessies; nieuwe flows her-evalueren de padkeuze.

Quality of Service:

• Per-tunnel shaping naar de CIR van de underlay, hiërarchische policies voor queueing (LLQ voor voice, AF-klassen) en policer-awareness op provider edges.
• Behoud van DSCP over IPsec wordt ondersteund; markeer indien nodig opnieuw vóór encryptie om de intentie te behouden.
• Behandel QoS op internettransports lokaal (egress shaping, prioritering), wetende dat QoS in transit niet gegarandeerd is.

Beveiliging en segmentatie:

• Per-VPN ZBFW, URL-filtering, IDS/IPS en TLS-proxy kunnen worden ingevoegd op de WAN edge.
• Secure internet breakout (DIA) leidt SaaS/internetverkeer lokaal af terwijl het beveiligingsbeleid wordt gehandhaafd; het overige verkeer volgt de overlay naar hubs of DC’s.

Veerkracht:

• Actief/actief gebruik van meerdere ‘colors’ (bijv. mpls en biz-internet) met ECMP of een door policy bepaalde primaire/secundaire voorkeur.
• Back-uptransports zoals LTE met een hogere TLOC-cost/voorkeur om alleen bij een storing te worden ingeschakeld.
• TLOC extension overbrugt transport van het ene apparaat naar het andere op een locatie, wat de overlevingskans verhoogt wanneer circuits op verschillende routers eindigen.
• Regionale hub-paren in verschillende DC’s zorgen voor redundantie van control- en data-planes; dual-controller clusters per rol (vManage, vBond, vSmart) verdeeld over locaties.

Brownout-detectie:

• Door BFD afgeleide statistieken identificeren degradatie vóór een volledige storing. Policies kunnen alleen gevoelig verkeer (voice, VDI) wegleiden van een verslechterde link, terwijl bulk-flows erop blijven om bandbreedte te besparen.

← Netwerkvirtualisatie · Alle domeinen · Enterprise Security en Identiteitsservices →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →