Cisco 350-401: Draadloze Infrastructuur en Mobiliteit — Studiegids

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNP Enterprise 350-401 ENCOR — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Enterprise wireless verbindt gebruikers, apparaten en IoT op grote schaal met behoud van beveiliging, prestaties en operationeel inzicht. Een goed ontwerp en beheer vereisen inzicht in architecturen, het gedrag van de control- en data-plane, RF-engineering, onboarding en segmentatie, mobiliteitsmechanismen, QoS voor real-time applicaties en een gedisciplineerde levenscyclus. Dit gedeelte biedt redeneringen voor ontwerp, operationele richtlijnen en veelvoorkomende faalscenario’s voor moderne, op Cisco gerichte implementaties, inclusief traditionele controller-gebaseerde, cloud-beheerde en fabric-enabled wireless.

Architecturen, Rollen en Control/Data Planes

Wireless-architecturen verschillen in waar de controle en het beleid zich bevinden en hoe het verkeer wordt afgehandeld:

Autonome AP’s: Elke AP neemt alle beslissingen en overbrugt het verkeer lokaal. Voordelen: eenvoudig voor zeer kleine locaties, geen afhankelijkheid van een controller. Nadelen: slechte schaalbaarheid, gefragmenteerd beleid/inzicht, handmatige RF-coördinatie, beperkte fast roaming. Faalscenario’s: inconsistente configuraties, kanaaloverlap, trage adoptie van beveiligingsfuncties.
Controller-gebaseerd (on-prem WLC): AP’s draaien een split-MAC-model en vormen CAPWAP-tunnels naar een Wireless LAN Controller. De WLC centraliseert control-plane-functies (AP join, configuratie, 802.11-beheer, RRM) en kan data centraal switchen (gebruikersverkeer tunnelen naar de WLC) of lokaal switchen aan de edge (FlexConnect). Voordelen: schaalbaarheid, consistent beleid, fast roaming, RRM. Afwegingen: WLC-sizing en HA vereist; centraal switchen voegt latency en risico op ‘hairpinning’ toe.
Cloud-beheerd: AP’s of wireless gateways worden beheerd door een cloud-controller; data kan lokaal blijven of via cloud-gateways lopen, afhankelijk van het ontwerp. Voordelen: vereenvoudigde operations, eenvoudig beheer van meerdere locaties. Afwegingen: afhankelijkheid van internet voor beheer; wees duidelijk over waar data het netwerk verlaat (egress).
Embedded controllers: Een controllerfunctie die gehost wordt binnen een AP of switch (bijvoorbeeld, embedded wireless controller op Catalyst AP’s). Voordelen: autonomie voor filialen, minder apparaten. Afwegingen: limieten aan schaal/functies vergeleken met volledige WLC’s, afstemming van code en capaciteiten tussen locaties.

Rollen van WLC en AP

WLC: Centraal beleid en RF-controle; onderhoudt de AP-database; voert Radio Resource Management (RRM) uit om kanaal/vermogen te berekenen; termineert CAPWAP-controle; kan data termineren bij gebruik van central switching; handhaaft QoS-, ACL- en AAA-beleid.
AP: Voert radio’s uit, zendt SSIDs uit (beacons), handelt 802.11 MAC af in split-MAC (tijdkritische functies op de AP), converteert 802.11-frames naar 802.3 voor doorsturen. In SD-Access wireless maken fabric AP’s deel uit van de overlay en staan ze doorgaans in local mode en zijn ze direct verbonden met een fabric edge.

CAPWAP, control vs. data

Controlepad: Het CAPWAP-controlepad van AP naar WLC is altijd aanwezig. Zorg ervoor dat de MTU groot genoeg is voor CAPWAP + IPsec indien gebruikt; PMTU black holes kunnen instabiliteit van AP’s veroorzaken.
Opties voor het datapad:
- Central switching: Gebruikersframes worden getunneld naar de WLC en vervolgens gebridged/gerouteerd. Vereenvoudigt segmentatie, maar kan latency en knelpunten toevoegen.
- Local switching (FlexConnect): Data verlaat het netwerk lokaal via de switchpoort van de AP; beleid wordt centraal gepusht. Nuttig voor filialen. Vereist een zorgvuldig ontwerp voor VLAN-consistentie en DHCP/ACL’s.
- Fabric-enabled SSID (SD-Access): AP converteert 802.11 naar 802.3 en kapselt het in VXLAN richting de fabric edge; end-to-end beleid en segmentatie worden meegenomen in de overlay.

Veelvoorkomende ‘join’-fouten en oplossingen

Mismatch in AP-certificaat of tijd: Gebruik NTP voor WLC en AP’s; verifieer MIC/SSC-vertrouwen; vermijd ‘deep inspection’ die DTLS verbreekt.
Mismatch in regelgevend domein: Stem landcodes en toegestane kanalen op elkaar af.
CAPWAP-bereikbaarheid: Sta UDP/5246–5247 toe, zorg voor NAT-traversal indien van toepassing, en valideer jumbo/MTU.

RF-basisprincipes en WLAN-constructies

Banden en kanalen

2.4 GHz: Drie niet-overlappende 20 MHz-kanalen (1, 6, 11). Groot bereik, veel interferentie (Bluetooth, magnetrons). Beperk of schakel uit in dichtbezette, prestatiegevoelige ontwerpen.
5 GHz: Veel 20 MHz-kanalen verspreid over UNII-1/2/2e/3/4 met DFS-overwegingen. Voorkeur voor capaciteit en VoWLAN. DFS-events kunnen kanaalwijzigingen veroorzaken—monitor op valse positieven en nabijheid van radar.
6 GHz (Wi‑Fi 6E): Groot aaneengesloten spectrum; 20/40/80/160 MHz zonder legacy clients. WPA3 en Protected Management Frames (PMF) zijn verplicht. Automated Frequency Coordination kan van toepassing zijn buitenshuis.

Afwegingen kanaalbreedte

20 MHz: Hoogste gelijktijdigheid en hergebruik; het beste in dichtbezette enterprise-omgevingen.
40/80/160 MHz: Hogere piekdoorvoer per client maar minder unieke kanalen; riskant in omgevingen met hoge dichtheid; kan co-channel contention verergeren.

Vermogen en TPC

Houd het zendvermogen van de AP dicht bij het vermogen van de client om ‘sticky clients’ te vermijden; sta RRM TPC toe om het vermogen te verlagen waar cellen overlappen. Overmatig vermogen verhoogt contention en ‘hidden node’-problemen.

Soorten interferentie

Co-channel interference: Te weinig unieke kanalen of cellen met te hoog vermogen.
Adjacent-channel interference: Overlappende breedte of niet-uitgelijnde kanalen.
Niet-802.11-stoorsignalen: Bluetooth, DECT, magnetrons, camera’s. Gebruik spectrumanalyse/CleanAir-equivalent om te lokaliseren en te mitigeren.

SSID, BSSID en WLAN-profielen

SSID is de netwerknaam; elke SSID per radio creëert een unieke BSSID. Te veel SSIDs verhogen de beacon/overhead; streef naar 4–6 of minder.
Een WLAN-profiel koppelt een SSID aan een beveiligings-, QoS- en beleidsprofiel. Koppel aan VLAN/VRF of aan overlay-segmentatie (bijvoorbeeld SGT’s), afhankelijk van de architectuur.

Onboarding-volgorde van de client

Discovery/scannen → Authenticatie/associatie → Sleutelbeheer (4-way handshake of SAE) → DHCP/DNS → captive portal/CoA indien gast.
Veelvoorkomende valkuilen: uitgeschakelde lage datarates kunnen problemen veroorzaken voor legacy clients; een DHCP- of DNS-storing lijkt op een WLAN-storing; MAC-randomisatie kan NAC/profiling beïnvloeden.

Beveiliging, Segmentatie en Onboarding

WPA2, WPA3 en 802.1X

WPA2-Enterprise: 802.1X met AES-CCMP; volwassen en breed ondersteund.
WPA3-Personal: SAE vervangt PSK om offline woordenboekaanvallen te beperken.
WPA3-Enterprise: 802.1X met PMF vereist; 192-bit modus voor gebruiksscenario’s met hoge zekerheid.
PMF (802.11w): Verplicht voor WPA3; sterk aanbevolen voor WPA2. Mismatches veroorzaken verbindingsfouten—gebruik overgangsmodi oordeelkundig.

RADIUS en beleid

Gebruik redundante RADIUS-servers; activeer session-timeout en Change of Authorization voor beleidswijzigingen na het verbinden; geef de voorkeur aan EAP-TLS voor certificaatgebaseerde identiteit.
Dynamisch beleid: Wijs VLAN, dACL, SGT of QoS per gebruiker toe via RADIUS-attributen; in een fabric, geef de voorkeur aan groepsgebaseerd beleid boven een wildgroei aan VLAN’s.

Gasttoegang en anchoring

Centrale webauthenticatie met een guest anchor WLC in een DMZ isoleert gastverkeer. Clients maken verbinding met een foreign WLC/AP; een mobility-tunnel verankert het verkeer naar de DMZ WLC voor uitgaand verkeer. Faalscenario’s: verlies van bereikbaarheid van de anchor veroorzaakt een storing voor gasten; zorg ervoor dat mobility-groepen correct zijn gedefinieerd en dat NAT/firewall-regels mobility control/data toestaan.

Draadloze segmentatie-opties

VLAN per SSID of dynamische VLAN’s via RADIUS.
VRF en SGT’s voor schaalbare segmentatie; in SD-Access transporteert VXLAN de VN/SGT in de fabric-overlay, waardoor SSID’s worden losgekoppeld van L2-beperkingen.
IoT: Gebruik waar mogelijk MPSK/Identity PSK of EAP-TLS; isoleer met ACL/SGT en rate-limiting.

Korte, nuttige configuratievoorbeelden (Catalyst 9800-syntaxis)

Definieer RADIUS en 802.1X-lijst:

undefined

Maak een 802.1X WLAN aan en koppel beleid:

undefined

Mobiliteit, QoS, Ontwerp, Monitoring en Levenscyclus

Roaming en mobiliteitsgroepen

Intra-controller roaming: Snel en transparant wanneer alle AP’s dezelfde WLC en mobiliteitsgroep delen; opportunistische PMK-caching/OKC en 802.11r verkorten de herauthenticatietijd.
Inter-controller roaming: Vereist mobiliteitsgroepen zodat WLC’s de clientcontext kunnen delen; een roam kan L2 (zelfde subnet) of L3 (ander subnet) zijn, waarbij mobiliteitstunnels de IP-continuïteit behouden.
802.11k/v/r: k levert neighbor reports, v assisteert bij BSS-transitie, r versnelt de sleuteluitwisseling (FT over-the-air/over-the-DS). Schakel dit alleen in voor real-time voice als de client-apparaten dit ondersteunen; gemengde ondersteuning kan leiden tot associatieproblemen.
SD-Access wireless: AP’s maken deel uit van de fabric overlay; gebruikersverkeer wordt met VXLAN ingekapseld richting de fabric edges. Roams tussen AP’s op verschillende access switches blijven naadloos via het fabric control plane.

Draadloze QoS en real-time applicaties

WMM access-categorieën: Voice, Video, Best Effort, Background. Map DSCP correct naar UP; markeer upstream en behoud de markeringen over CAPWAP/VXLAN.
Call Admission Control (TSPEC/ACM): Voorkom overboeking van de voice AC; schakel in op SSID’s die voice-verkeer dragen en stem af per AP-cel.
Multicast-optimalisatie: Converteer naar unicast of gebruik 802.11ac/ax-verbeteringen; vermijd lage basis-rates die trage multicast afdwingen.
Wi‑Fi 6/6E-functies: OFDMA verbetert de latency door resource units in te plannen; BSS Coloring vermindert contentie bij spatial reuse; stem target wake time af voor energiebesparing bij IoT.

AP-plaatsing, dekking en capaciteit

Dekkingsdoelen: Voor data, minimaal −67 dBm met een SNR ≥25 dB; voor voice, vaak −65 dBm en packet loss <1%. Zorg voor 15–20% overlap aan de randen van de cellen op 5 GHz; vermijd dekkingsgaten in trappenhuizen/liften.
Capaciteitsplanning: Dimensioneer op basis van het aantal clients en de airtime van applicaties, niet alleen op RSSI. Geef de voorkeur aan 20 MHz-kanalen, schakel 2.4 GHz uit of beperk het in dichtbezette ruimtes, en stel de minimale basis-rates in op 12–24 Mbps om airtime van beacons te verminderen en tegelijkertijd compatibiliteit te garanderen.
Antennes: Selecteer patronen die passen bij de omgeving; gebruik directionele antennes voor gangpaden/magazijnen; stem de EIRP af op de wettelijke limieten.
Site surveys: Voorspellende modellering voor het initiële ontwerp; validatie vóór de implementatie; actieve/post-deployment surveys om de daadwerkelijke prestaties te verifiëren. Voer opnieuw een survey uit na wijzigingen in de lay-out of inventaris.

Draadloze monitoring en troubleshooting

Telemetrie: Stream WLC/AP-metrics naar uw NMS; schakel syslog in; gebruik assurance-platformen voor client journey-analyses (associatie, authenticatie, DHCP, DNS).
Spectrumanalyse: Identificeer non-802.11-interferentie en DFS-events; volg de duty cycles.
Triage per client:
- Associatie/authenticatie: Controleer beveiligingsinstellingen, PMF, 802.11r-compatibiliteit en certificaatvertrouwen (voor EAP-TLS).
- IP-laag: DHCP-opties, uitputting van de scope, relay helpers en DNS-bereikbaarheid.
- Mobiliteit: ‘Sticky clients’ door asymmetrie in zendvermogen; valideer 802.11k/v neighbor lists; overmatige RRM-wijzigingen die sessies verstoren.
- Datapad: CAPWAP/VXLAN MTU en fragmentatie; ACL’s of firewalls die RADIUS/CoA of mobiliteitscontrole blokkeren.
Veelvoorkomende faalscenario’s: te veel SSID’s die hoge beacon-airtime veroorzaken; DFS-kanaalwijzigingen die real-time gesprekken verbreken; RADIUS-timeouts door asymmetrische routering; redirect naar de gastenportal geblokkeerd door HTTPS-interceptie.

Beveiligd beheer van de draadloze levenscyclus

Beheer van images en configuraties: Standaardiseer WLC/AP-code; gebruik gefaseerde en rolling AP-upgrades; onderhoud N+1 controller HA.
Certificaten en PKI: Automatiseer 802.1X EAP-TLS-enrollment met SCEP/EST; monitor vervaldatums; beveilig CAPWAP/DTLS ciphers; roteer RADIUS secrets.
Policy-hygiëne: Evalueer regelmatig SSID’s, schakel ongebruikte uit, roteer PSK’s of migreer naar MPSK/EAP-TLS; audit dACL/SGT-policies; minimaliseer uitzonderingsregels.
RRM-hygiëne: Beperk DCA/TPC-bereiken; zet kanalen/zendvermogen vast waar nodig (auditoria met hoge dichtheid); maak een baseline van de RF en vergelijk na wijzigingen.
Back-ups en testen: Plan configuratieback-ups in; voer synthetische clienttests uit voor onboarding en de captive portal; doe aan chaos testing voor controller failover en anchor-mobiliteit.

Praktijkscenario

Contoso Financial migreert een hoofdkantoor van 12 verdiepingen naar Wi‑Fi 6E, consolideert vier verouderde SSID’s, schakelt certificaatgebaseerde toegang in en ondersteunt softphone-voice en video voor traders met minimale verstoring. De bekabelde campus is een SD-Access fabric; gastverkeer moet via een DMZ naar buiten, en het bedrijf heeft vaak problemen met het aanmelden van AP’s tijdens onderhoudsvensters.

Aanpak

Rationaliseer SSID’s en definieer WLAN-profielen

Creëer drie SSID’s: CORP (802.1X EAP‑TLS), GUEST (open met web-authenticatie), en IOT (MPSK).
Rationale: Minder SSID’s verminderen de airtime-overhead; afzonderlijke beveiligingsmodi komen overeen met een duidelijk beleid. WPA3/PMF op CORP en IOT verbetert de veerkracht; GUEST gebruikt een captive portal voor gebruiksgemak.

Implementeer certificaatgebaseerde 802.1X met een veerkrachtige RADIUS

Integreer de WLC met redundante ISE-nodes; dwing EAP‑TLS af; schakel CoA en dynamisch beleid (SGT en VLAN override) in.
Rationale: EAP‑TLS elimineert gedeelde secrets en ondersteunt segmentatie per gebruiker. CoA maakt rolwijzigingen na authenticatie mogelijk (bijvoorbeeld, posture compliant).

Schakel fabric-enabled SSID’s in voor CORP en IOT; veranker GUEST aan een DMZ WLC

Tag AP’s als fabric AP’s; map SSID’s naar virtuele netwerken/SGT’s; zorg voor VXLAN richting de fabric edges. Configureer mobility anchors voor GUEST naar een DMZ WLC-paar.
Rationale: Fabric behoudt het beleid end-to-end zonder VLAN-wildgroei; verankering isoleert gastverkeer en vereenvoudigt de internet-egress en compliance.

Ontwerp de RF met 6 GHz als primair, 5 GHz als secundair en minimaal 2.4 GHz

Gebruik 20 MHz-kanalen in dichtbezette kantoorruimtes; beperk tot 40 MHz alleen in zones met lage dichtheid; schakel 2.4 GHz uit, behalve in pauzeruimtes en IoT-gebieden. Beperk DCA tot non-DFS waar radar veel voorkomt; stel TPC in om overeen te komen met het typische clientvermogen (14–17 dBm EIRP).
Rationale: Maximaliseert concurrency en minimaliseert contentie; voorkomt dat gesprekken wegvallen door DFS; symmetrie in zendvermogen vermindert ‘sticky clients’.

Bereid snelle, betrouwbare roaming voor voor voice- en trading-apps

Schakel 802.11k/v globaal in en 802.11r op CORP na validatie van de clientcompatibiliteit; stem de drempels voor de neighbor list af; schakel CAC in voor voice met TSPEC.
Rationale: Geassisteerde roaming vermindert de handoff-latency; CAC voorkomt overboeking van airtime die de MOS zou verslechteren.

Verhard het AP-aanmeldproces en de veerkracht van de controller

Verifieer NTP en certificaatvertrouwen; verhoog de CAPWAP MTU indien nodig; sta CAPWAP/DTLS toe door firewalls; implementeer een N+1 WLC met AP join load-balancing en HA SSO.
Rationale: Tijd en vertrouwen zijn veelvoorkomende blokkades bij het aanmelden; correcte HA voorkomt massale ‘AP flaps’ tijdens onderhoud.

Voer een gefaseerde site survey en validatie uit

Voorspellend ontwerp gevolgd door actieve surveys per verdieping; zet kanalen/zendvermogen vast op de handelsvloeren; stel minimale basis-rates in op 12–24 Mbps; meet SNR, MCS en latency onder belasting.
Rationale: Valideert de daadwerkelijke RF-condities; vermindert RRM-churn in kritieke zones; dwingt prestatiebaselines af.

Implementeer QoS end-to-end

Map DSCP-naar-UP en behoud markeringen in CAPWAP/VXLAN; schakel voice CAC in; converteer multicast-videostreams naar unicast waar mogelijk.
Rationale: Garandeert consistente prioriteit en begrensde latency/jitter voor real-time applicaties.

Monitor en itereer met behulp van assurance- en spectrumtools

Stream telemetrie van WLC/AP’s; creëer dashboards voor de onboarding-fasen van clients; stel alerts in voor DFS-events en RRM-wijzigingen; gebruik spectrumanalyse om stoorzenders te lokaliseren.
Rationale: Verkort de ‘mean time to innocence’ en identificeert snel knelpunten in RF of AAA.

Institutionaliseer veilige levenscycluspraktijken

Standaardiseer op een geteste WLC/AP-code; plan rolling AP-upgrades in; roteer PSK’s op IOT per kwartaal; monitor de vervaldatums van certificaten; voer driemaandelijkse policy/RRM-reviews uit.
Rationale: Voorkomt ‘drift’, vermindert blootstelling en handhaaft de prestaties naarmate de omgeving evolueert.

← IP-services · Alle domeinen · Netwerkvirtualisatie →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

Slaag voor je examen →