Cisco 350-401: Беспроводная инфраструктура и мобильность — Руководство по подготовке

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Часть Cisco CCNP Enterprise 350-401 ENCOR — Руководство по подготовке. Практикуйтесь с проверенными ответами в центре экзаменов Cisco, или пройдите тесты на время на ExamRoll.io.

Обзор

Корпоративные беспроводные сети обеспечивают масштабируемое подключение пользователей, устройств и IoT, сохраняя при этом безопасность, производительность и операционную видимость. Для их грамотного проектирования и эксплуатации необходимо понимать архитектуры, поведение плоскостей управления и данных, основы радиочастотного проектирования, процессы подключения и сегментации, механизмы мобильности, QoS для приложений реального времени и соблюдать строгий жизненный цикл. В этом разделе представлены обоснования проектных решений, руководство по эксплуатации и описание распространенных сбоев для современных развертываний на базе решений Cisco, включая традиционные сети на основе контроллеров, облачно-управляемые сети и беспроводные сети с поддержкой фабрики.

Архитектуры, роли и плоскости управления/данных

Беспроводные архитектуры различаются по тому, где находятся функции управления и политики, и как обрабатывается трафик:

• Автономные ТД: Каждая точка доступа (ТД) принимает все решения и локально коммутирует трафик. Плюсы: простота для очень маленьких объектов, нет зависимости от контроллера. Минусы: плохая масштабируемость, фрагментированные политики/видимость, ручная координация радиочастот, ограниченный быстрый роуминг. Режимы отказа: несогласованные конфигурации, пересечение каналов, медленное внедрение функций безопасности.

• На базе контроллера (локальный WLC): ТД работают по модели разделенного MAC (split-MAC) и формируют туннели CAPWAP к контроллеру беспроводной сети (Wireless LAN Controller). WLC централизует функции плоскости управления (подключение ТД, конфигурация, управление 802.11, RRM) и может либо централизованно коммутировать данные (туннелировать трафик пользователей на WLC), либо коммутировать их локально на периферии (FlexConnect). Плюсы: масштабируемость, согласованность политик, быстрый роуминг, RRM. Компромиссы: требуется подбор производительности и обеспечение высокой доступности (HA) для WLC; централизованная коммутация добавляет задержку и риск возникновения «шпильки» (hairpin).

• Управляемые из облака: ТД или беспроводные шлюзы управляются облачным контроллером; данные могут оставаться локальными или проходить через облачные шлюзы в зависимости от архитектуры. Плюсы: упрощенная эксплуатация, легкое управление множеством объектов. Компромиссы: зависимость от Интернета для управления; необходимо четко понимать, где происходит выход трафика (egress).

• Встроенные контроллеры: Функция контроллера, размещенная внутри ТД или коммутатора (например, встроенный беспроводной контроллер на ТД Catalyst). Плюсы: автономность филиала, меньше устройств. Компромиссы: ограничения по масштабу/функционалу по сравнению с полноценными WLC, необходимость согласования версий ПО и возможностей между объектами.

Роли WLC и ТД

• WLC: Централизованное управление политиками и радиочастотами; ведет базу данных ТД; запускает Radio Resource Management (RRM) для расчета каналов/мощности; терминирует управляющий канал CAPWAP; может терминировать данные при использовании централизованной коммутации; применяет политики QoS, ACL и AAA.
• ТД: Управляет радиомодулями, рассылает маяки (beacons) SSID, обрабатывает 802.11 MAC в режиме split-MAC (критичные ко времени функции выполняются на ТД), преобразует кадры 802.11 в 802.3 для дальнейшей пересылки. В беспроводной сети SD-Access ТД фабрики являются частью оверлейной сети, обычно работают в локальном режиме и напрямую подключены к пограничному узлу фабрики (fabric edge).

CAPWAP, управление и данные

• Канал управления: Канал управления CAPWAP от ТД к WLC присутствует всегда. Убедитесь, что MTU достаточен для CAPWAP + IPsec (если используется); «черные дыры» PMTU могут вызвать нестабильность ТД.
• Варианты плоскости данных:
  • Централизованная коммутация: Кадры пользователей туннелируются на WLC, где затем коммутируются/маршрутизируются. Упрощает сегментацию, но может добавлять задержку и создавать узкие места.
  • Локальная коммутация (FlexConnect): Данные выходят через порт коммутатора ТД локально на объекте; политики применяются централизованно. Полезно для филиалов. Требует тщательного проектирования согласованности VLAN, DHCP и ACL.
  • SSID с поддержкой фабрики (SD-Access): ТД преобразует 802.11 в 802.3 и инкапсулирует в VXLAN в сторону пограничного узла фабрики; сквозные политики и сегментация передаются в оверлейной сети.

Распространенные сбои при подключении ТД и способы их устранения

• Несоответствие сертификата или времени на ТД: Используйте NTP для WLC и ТД; проверьте доверие к MIC/SSC; избегайте глубокой инспекции пакетов (deep inspection), которая может нарушить работу DTLS.
• Несоответствие регуляторного домена: Согласуйте коды стран и разрешенные каналы.
• Доступность CAPWAP: Разрешите UDP/5246–5247, обеспечьте прохождение через NAT, если применимо, и проверьте jumbo/MTU.

Основы радиочастот и конструкции WLAN

Диапазоны и каналы

• 2.4 ГГц: Три непересекающихся канала шириной 20 МГц (1, 6, 11). Большая дальность, высокий уровень помех (Bluetooth, микроволновые печи). Рекомендуется ограничивать или отключать в плотных, чувствительных к производительности средах.
• 5 ГГц: Множество каналов по 20 МГц в диапазонах UNII-1/2/2e/3/4 с учетом требований DFS. Предпочтителен для обеспечения высокой пропускной способности и VoWLAN. События DFS могут вызывать смену канала — отслеживайте ложные срабатывания и близость к радарам.
• 6 ГГц (Wi‑Fi 6E): Большой непрерывный спектр; каналы 20/40/80/160 МГц без устаревших клиентов. Использование WPA3 и Protected Management Frames (PMF) является обязательным. При использовании на улице может потребоваться автоматическая координация частот (Automated Frequency Coordination).

Компромиссы при выборе ширины канала

• 20 МГц: Наивысшая одновременная работа клиентов и повторное использование частот; лучший выбор для плотных корпоративных сред.
• 40/80/160 МГц: Более высокая пиковая пропускная способность на клиента, но меньше уникальных каналов; рискованно в средах с высокой плотностью; может усугубить конкуренцию в общем канале (co-channel contention).

Мощность и TPC

• Поддерживайте мощность передачи ТД близкой к мощности клиента, чтобы избежать «липких» клиентов; позвольте RRM TPC снижать мощность там, где соты пересекаются. Избыточная мощность увеличивает конкуренцию и проблемы скрытого узла.

Типы интерференции

• Внутриканальная интерференция: Слишком мало уникальных каналов или слишком мощные соты.
• Межканальная интерференция: Пересекающаяся ширина или неверно настроенные каналы.
• Источники помех, не относящиеся к 802.11: Bluetooth, DECT, микроволновые печи, камеры. Используйте анализ спектра/аналоги CleanAir для их обнаружения и устранения.

Профили SSID, BSSID и WLAN

• SSID — это имя сети; каждый SSID на каждом радиомодуле создает уникальный BSSID. Слишком много SSID увеличивает служебный трафик (маяки/overhead); стремитесь к 4–6 или меньше.
• Профиль WLAN связывает SSID с профилем безопасности, QoS и политики. Сопоставляется с VLAN/VRF или с сегментацией оверлейной сети (например, SGT) в зависимости от архитектуры.

Последовательность подключения клиента

• Обнаружение/сканирование → Аутентификация/ассоциация → Управление ключами (4-этапное рукопожатие или SAE) → DHCP/DNS → Портал авторизации/CoA (если гостевой доступ).
• Распространенные проблемы: отключенные низкие скорости передачи данных могут нарушить работу устаревших клиентов; сбой DHCP или DNS выглядит как сбой WLAN; рандомизация MAC-адресов может повлиять на NAC/профилирование.

Безопасность, сегментация и подключение

WPA2, WPA3 и 802.1X

• WPA2-Enterprise: 802.1X с AES-CCMP; зрелый и широко поддерживаемый стандарт.
• WPA3-Personal: SAE заменяет PSK для защиты от атак по словарю в офлайн-режиме.
• WPA3-Enterprise: 802.1X с обязательным использованием PMF; 192-битный режим для сценариев с высокими требованиями к безопасности.
• PMF (802.11w): Обязателен для WPA3; настоятельно рекомендуется для WPA2. Несоответствия настроек приводят к сбоям ассоциации — используйте переходные режимы с осторожностью.

RADIUS и политики

• Используйте резервные серверы RADIUS; включите session-timeout и Change of Authorization для изменения политик после подключения; отдавайте предпочтение EAP-TLS для аутентификации на основе сертификатов.
• Динамическая политика: Назначайте VLAN, dACL, SGT или QoS для каждого пользователя через атрибуты RADIUS; в фабрике (fabric) отдавайте предпочтение групповым политикам, а не разрастанию количества VLAN.

Гостевой доступ и anchoring (привязка)

• Централизованная веб-аутентификация с гостевым якорным контроллером (anchor WLC) в DMZ изолирует гостевой трафик. Клиенты ассоциируются с внешним контроллером/точкой доступа (foreign WLC/AP); мобильный туннель привязывает трафик к контроллеру в DMZ для выхода во внешнюю сеть. Сценарии сбоя: потеря доступности якорного контроллера приводит к отказу в обслуживании гостей; убедитесь, что группы мобильности (mobility groups) определены корректно, а правила NAT/межсетевого экрана разрешают управляющий и пользовательский трафик мобильности.

Варианты сегментации беспроводной сети

• VLAN на каждый SSID или динамические VLAN через RADIUS.
• VRF и SGT для масштабируемой сегментации; в SD-Access протокол VXLAN переносит VN/SGT в оверлейной сети фабрики (fabric overlay), отделяя SSID от ограничений L2.
• IoT: По возможности используйте MPSK/Identity PSK или EAP-TLS; изолируйте с помощью ACL/SGT и ограничивайте скорость (rate-limit).

Краткие и полезные примеры конфигурации (синтаксис Catalyst 9800)

Определение сервера RADIUS и списка 802.1X: radius server ISE1 address ipv4 10.10.10.10 auth-port 1812 acct-port 1813 key 0 MySecretKey ! aaa new-model aaa group server radius ISE server name ISE1 ! aaa authentication dot1x DOT1X-LIST group ISE

Создание WLAN 802.1X и привязка политики: wlan CORP 10 CORP security wpa akm dot1x security pmf optional no shutdown ! wireless profile policy CORP-POLICY vlan 20 aaa-override ! wireless tag policy CORP-TAG wlan CORP policy CORP-POLICY

Мобильность, QoS, проектирование, мониторинг и жизненный цикл

Роуминг и группы мобильности

• Роуминг в пределах одного контроллера: быстрый и прозрачный, когда все точки доступа (AP) используют один и тот же WLC и группу мобильности; оппортунистическое кэширование PMK/OKC и 802.11r сокращают время повторной аутентификации.
• Роуминг между контроллерами: требует наличия групп мобильности для обмена контекстом клиента между WLC; роуминг может быть L2 (в той же подсети) или L3 (в разных подсетях) с использованием туннелей мобильности для сохранения IP-адреса.
• 802.11k/v/r: k предоставляет отчеты о соседних точках доступа, v помогает с переходом BSS, r ускоряет установление ключей (FT over-the-air/over-the-DS). Включайте для голосовой связи в реальном времени только если клиентская база это поддерживает; смешанная поддержка может приводить к сбоям ассоциации.
• Беспроводная сеть SD-Access: точки доступа являются частью оверлейной фабрики; пользовательский трафик инкапсулируется в VXLAN в направлении пограничных устройств фабрики. Роуминг между AP на разных коммутаторах доступа остается бесшовным благодаря плоскости управления фабрики.

Беспроводной QoS и приложения реального времени

• Категории доступа WMM: Voice (Голос), Video (Видео), Best Effort (Наилучшее усилие), Background (Фоновый). Правильно сопоставляйте DSCP с UP; маркируйте исходящий трафик и сохраняйте маркировку при передаче через CAPWAP/VXLAN.
• Контроль допуска вызовов (TSPEC/ACM): предотвращает избыточную подписку на голосовую категорию доступа (AC); включайте на SSID, передающих голос, и настраивайте для каждой соты AP.
• Оптимизация многоадресной рассылки: преобразуйте в одноадресную или используйте улучшения 802.11ac/ax; избегайте низких базовых скоростей, которые приводят к медленной многоадресной передаче.
• Функции Wi‑Fi 6/6E: OFDMA улучшает задержку за счет планирования ресурсных единиц; BSS Coloring снижает конкуренцию при пространственном повторном использовании; настраивайте Target Wake Time для экономии энергии устройств IoT.

Размещение AP, покрытие и емкость

• Целевые показатели покрытия: для данных — минимум −67 дБм при SNR ≥25 дБ; для голоса — часто −65 дБм и потеря пакетов <1%. Обеспечьте перекрытие 15–20% на границах сот в диапазоне 5 ГГц; избегайте «дыр» в покрытии на лестничных клетках/в лифтах.
• Планирование емкости: рассчитывайте исходя из количества клиентов и эфирного времени приложений, а не только по RSSI. Предпочитайте каналы шириной 20 МГц, отключайте или ограничивайте диапазон 2,4 ГГц в местах с высокой плотностью клиентов и устанавливайте минимальные базовые скорости на уровне 12–24 Мбит/с, чтобы уменьшить эфирное время маяков, сохраняя при этом совместимость.
• Антенны: выбирайте диаграммы направленности, соответствующие среде; используйте направленные антенны для коридоров/складов; приводите EIRP в соответствие с нормативными ограничениями.
• Радиообследования: предиктивное моделирование для первоначального проектирования; проверка перед развертыванием; активные обследования и обследования после развертывания для проверки реальной производительности. Проводите повторное обследование после изменений в планировке или инвентаре.

Мониторинг и устранение неполадок в беспроводной сети

• Телеметрия: передавайте метрики WLC/AP в вашу NMS; включите syslog; используйте платформы assurance для анализа пути клиента (ассоциация, аутентификация, DHCP, DNS).
• Анализ спектра: выявляйте помехи, не относящиеся к 802.11, и события DFS; отслеживайте рабочие циклы (duty cycles).
• Диагностика по отдельным клиентам:
  • Ассоциация/аутентификация: проверьте настройки безопасности, совместимость с PMF и 802.11r, а также доверие к сертификатам (для EAP-TLS).
  • IP-уровень: опции DHCP, исчерпание пула адресов, вспомогательные relay-агенты и доступность DNS.
  • Мобильность: «липкие» клиенты из-за асимметрии мощности; проверяйте списки соседних точек доступа 802.11k/v; чрезмерные изменения RRM, прерывающие сессии.
  • Путь данных: MTU и фрагментация в CAPWAP/VXLAN; ACL или межсетевые экраны, блокирующие RADIUS/CoA или управление мобильностью.
• Типичные режимы сбоев: слишком много SSID, вызывающих высокое потребление эфирного времени маяками; смена канала из-за DFS, приводящая к обрыву звонков в реальном времени; тайм-ауты RADIUS из-за асимметричной маршрутизации; перенаправление на гостевой портал, заблокированное перехватом HTTPS.

Безопасное управление жизненным циклом беспроводной сети

• Управление образами и конфигурациями: стандартизируйте версии ПО для WLC/AP; используйте поэтапные и скользящие обновления AP; поддерживайте высокую доступность (HA) контроллеров по схеме N+1.
• Сертификаты и PKI: автоматизируйте регистрацию для 802.1X EAP-TLS с помощью SCEP/EST; отслеживайте сроки действия; используйте безопасные шифры для CAPWAP/DTLS; ротируйте секретные ключи RADIUS.
• Гигиена политик: регулярно пересматривайте SSID, отключайте неиспользуемые, ротируйте PSK или переходите на MPSK/EAP-TLS; проводите аудит политик dACL/SGT; минимизируйте правила-исключения.
• Гигиена RRM: ограничивайте диапазоны DCA/TPC; фиксируйте каналы/мощность там, где это необходимо (например, в аудиториях с высокой плотностью); создавайте базовый профиль радиосреды и сравнивайте с ним после изменений.
• Резервное копирование и тестирование: настройте резервное копирование конфигураций по расписанию; проводите синтетические тесты клиентов для проверки подключения и гостевого портала; выполняйте хаос-тестирование для проверки отказоустойчивости контроллера и якорной мобильности.

Практический сценарий

Компания Contoso Financial переводит свою 12-этажную штаб-квартиру на Wi‑Fi 6E, консолидируя четыре устаревших SSID, внедряя доступ на основе сертификатов и обеспечивая поддержку голосовой связи через софтфоны и видео для трейдеров с минимальными перебоями. Проводная кампусная сеть представляет собой фабрику SD-Access; гостевой трафик должен выходить через DMZ, и у компании часто возникают проблемы с подключением AP во время окон обслуживания.

Подход

1. Оптимизировать SSID и определить профили WLAN

• Создать три SSID: CORP (802.1X EAP‑TLS), GUEST (открытый с веб-аутентификацией) и IOT (MPSK).
• Обоснование: меньшее количество SSID сокращает накладные расходы на эфирное время; различные режимы безопасности соответствуют четким политикам. WPA3/PMF на SSID CORP и IOT повышает устойчивость; GUEST использует гостевой портал для простоты использования.

2. Внедрить 802.1X на основе сертификатов с отказоустойчивым RADIUS

• Интегрировать WLC с резервированными узлами ISE; принудительно использовать EAP‑TLS; включить CoA и динамические политики (SGT и переопределение VLAN).
• Обоснование: EAP‑TLS устраняет необходимость в общих секретных ключах и поддерживает сегментацию на уровне пользователей. CoA позволяет изменять роль после аутентификации (например, для соответствия политикам безопасности).

3. Включить SSID с поддержкой фабрики для CORP и IOT; закрепить GUEST за WLC в DMZ

• Пометить AP как точки доступа фабрики; сопоставить SSID с виртуальными сетями/SGT; обеспечить передачу трафика в VXLAN к пограничным устройствам фабрики. Настроить якорные контроллеры мобильности для GUEST на пару WLC в DMZ.
• Обоснование: фабрика сохраняет политики сквозным образом без разрастания VLAN; закрепление изолирует гостевой трафик и упрощает выход в Интернет и соблюдение нормативных требований.

4. Спроектировать радиосреду с 6 ГГц в качестве основного диапазона, 5 ГГц — вторичного и минимальным использованием 2,4 ГГц

• Использовать каналы шириной 20 МГц в офисных зонах с высокой плотностью; ограничивать ширину до 40 МГц только в зонах с низкой плотностью; отключать 2,4 ГГц везде, кроме комнат отдыха и зон IoT. Ограничить DCA каналами, не относящимися к DFS, в местах, где распространены радары; установить TPC в соответствии с типичной мощностью клиента (14–17 дБм EIRP).
• Обоснование: максимизирует одновременную работу клиентов и минимизирует конкуренцию; позволяет избежать обрывов вызовов из-за DFS; симметрия мощности уменьшает количество «липких» клиентов.

5. Подготовить быстрый и надежный роуминг для голосовых и трейдинговых приложений

• Включить 802

← IP-сервисы · Все домены · Виртуализация сетей →

Отработать эти вопросы → · Тесты на время на ExamRoll.io →