Cisco 350-401: 網路保證、維運與故障排除 — 學習指南
屬於 Cisco CCNP Enterprise 350-401 ENCOR — 學習指南. 使用經過驗證的解答練習： Cisco 考試中心, 或參加限時模擬考試： ExamRoll.io.
總覽
網路保證、營運與故障排除結合了主動式可觀測性與嚴謹的事件應變，以維持企業網路的可靠、安全與高效能。有效的實踐涵蓋了 FCAPS 管理、遙測設計、控制器驅動的洞察、從 Layer 1 到 Layer 7 的結構化問題隔離、高可用性驗證，以及嚴格的軟體與變更生命週期。其目標不僅是偵測和修復故障，更要根據明確的目標來衡量服務成果、推動根本原因的消除，並持續優化容量與使用者體驗。
FCAPS 與監控策略
FCAPS 定義了一個完整的營運模型：
- 故障管理 (Fault management)：在使用者察覺前，快速偵測、關聯、分類並修復事件。應優先處理那些顯示對業務服務造成影響的健康度信號，而不僅僅是設備的 up/down 狀態。
- 組態管理 (Configuration management)：版本控制、黃金範本、合規性檢查、意圖驗證以及自動化漂移偵測。備份與還原點是變更速度的強制性防護措施。
- 帳務管理 (Accounting management)：提供誰在何時使用了哪些資源的可視性。利用流量記錄與控制器日誌來推動費用分攤/費用透明化，並偵測異常情況（例如，非預期的東西向流量突增）。
- 效能管理 (Performance management)：根據基準線與服務等級目標 (SLOs)，持續測量延遲、遺失、抖動、吞吐量及用戶端連線時間。預測飽和風險。
- 安全管理 (Security management)：集中化身份、授權、加密狀態及用於威脅偵測的遙測資料。與 NAC、分段及控制器分析功能整合。
監控系統與儀表板
- 架構一個分層堆疊：設備健康度（硬體、介面）、控制平面健康度（路由、CAPWAP、疊加網路）、資料平面健康度（佇列、丟棄、流量）以及使用者體驗指標。
- 角色導向的視圖：NOC 儀表板用於即時健康度與 SLO 狀態，工程師視圖用於深度診斷，而高階主管視圖則用於趨勢與風險分析。
- 基準線與 SLOs：為每個站點與每個區段建立基準線；使用能適應日夜週期的動態閾值。定義 SLOs，例如「95 百分位的 WAN 延遲 < 60 ms」或「Wi-Fi 用戶端連線時間 < 7 秒」。
- 警報設計：優先採用「症狀+情境」的警報（例如，「WAN VPN 10 遺失率>2% 且抖動>30 ms 持續 5 分鐘」），而非原始的 trap 風暴。使用變化率、持續時間窗及多信號關聯。在經核准的維護時段內應抑制警報。
權衡取捨與故障模式
- 過度警報會導致疲勞；警報不足則會隱藏潛伏的故障。應使用真實的基準線來校準閾值。
- 集中式收集器可能成為瓶頸；應進行水平擴展，並使用 TLS 與角色型存取控制來確保安全。
- 在虛擬化網域中，大型的 L2 覆蓋範圍與依賴廣播的工作負載可能會放大風暴；應分段並修剪廣播域，並優先採用路由式存取。
遙測、日誌與流量可視性
用於保證的關鍵資料平面
- Syslog：帶有嚴重性等級且人類可讀的事件串流。轉發至集中式收集器；進行正規化與關聯分析。對於安全性、路由鄰接關係、HA 狀態以及 WLC/AP 加入問題至關重要。
- SNMP：輪詢計數器（例如，介面錯誤、佇列丟棄）並接收 traps/informs。使用 SNMPv3 以確保認證/隱私。輪詢間隔應在近即時視圖的需求與收集器負載之間取得平衡。
- NetFlow/IPFIX：提供關於誰/什麼/在哪裡的每個流量的中繼資料。可用於容量規劃、SLO 驗證與異常偵測。從分佈層/邊緣及 WAN CPE 匯出。
- 串流遙測 (Streaming telemetry)：模型驅動、推送式（例如，IOS-XE 上的 gNMI）。對於高基數指標，其擴展性優於 SNMP；對於佇列、CPU 與 RF 指標，具有低延遲的特性。
- 封包擷取 (Packet capture)：當信號不明確時，使用 SPAN/RSPAN/ERSPAN 或線上分流器。設定擷取的時間範圍；透過 ACLs 進行過濾以減少雜訊。
簡短範例
- NetFlow (IOS-XE)：
undefined
undefined
undefined
undefined
- 模型驅動遙測 (Model-Driven Telemetry) (IOS-XE)：
undefined
undefined
undefined
undefined
無線與控制器驅動的信號
- RRM 在無線控制器上執行；擷取 RRM 事件與 RF 指標（通道利用率、雜訊底層、用戶端重試）以進行覆蓋範圍/容量的調整。
- CAPWAP discovery：使用 DHCP option 43 或 ip helper。對於 Cisco WLC，需正確編碼 option 43（例如，對於 172.16.50.5，使用十六進位的 F104.AC10.3205）。Mobility Express 可在小型分支機構提供本地控制器功能。
疊加網路與分段的可視性
- SD-Access：疊加網路提供邏輯上的 L2/L3 分段。VNID/VNI 維持隔離；fabric 邊界節點將 fabric 連接到外部網路。
- VXLAN：將 L2 框架封裝在 IP/UDP 中以進行 L3 傳輸；VNIs 用於分段 L2/L3 流量。監控 VTEP 的可達性與底層網路的健康度。
- Multicast：在 PIM-SM 中，通常僅在啟動新會話時才需要 RP；需確保 RP 的可達性，並視情況使用 MSDP/Anycast-RP。
QoS 與 SLA 驗證
- 分類通常使用 IP TOS/DSCP 欄位；利用來自出口介面的遙測資料來驗證重新標記與佇列行為。追蹤每個類別的遺失/抖動，以證明符合 SLO。
結構化除錯與第 1-7 層隔離
方法論
- 定義問題與影響範圍；根據基準線量化症狀。
- 以最少的假設建立能夠解釋症狀的假說。
- 選擇能以最少侵入性快速推翻假說的測試。
- 一次只改變一個變數；確認修復並監控是否出現迴歸問題。
- 記錄根本原因與預防措施。
逐層線索
- 第 1 層：光功率、佈線、PoE 預算、單向連結。在 StackWise Virtual 中，LMP 會拒絕單向轉送—請調查光纖模組不匹配或光纖極性問題。
- 第 2 層：VLAN/VXLAN 存在與否、STP 狀態、MTU、MAC flaps。VXLAN VNI/VNID 不匹配會表現為孤立的區段，但其 underlay 仍可正常連通。
- 第 3 層：子網路切分、VRF/路由洩漏策略、HSRP/GLBP/VSS 閘道行為、ECMP 不對稱。HSRP 虛擬 IP 與對等設備設定不匹配會導致閘道無法正常運作；請校準虛擬 IP。GLBP 或 VSS 配對可讓所有 VLAN 主機同時使用作用中的閘道。
- 第 4–7 層：ACL/NAT、TCP MSS/PMTUD、DNS/DHCP、應用程式交握、QoS 丟包。驗證 DSCP 是否在端到端被保留。對於多點傳播 (multicast)，請確認 RP/Join 狀態。
- 控制平面細節：
- OSPF 鄰接關係因 area、計時器、網路類型不匹配，或點對點鏈路上的 IP 不匹配而失敗。
- 設定了 MD5 的 BGP 會話，其密碼和 peer-groups 必須在兩端都匹配；「invalid MD5 digest」訊息表示不匹配或在傳輸過程中被竄改。
- SD-WAN VPN 定義了分段；資料策略根據欄位和 VPN ID 來引導流量。vManage 提供單一管理平面—請檢查預期狀態與實際狀態的差異。
- 無線網路接入：驗證 SSID 安全性（例如，員工存取使用 WPA2/AES 搭配 802.1X）、DHCP/DNS、RRM 頻道/功率，以及 CAPWAP 控制。Option 43 格式錯誤是常見的加入障礙。
測試選擇與權衡
- 優先使用遙測 (telemetry) 和目標性的 pings/traces；當仍有多個假說存在時，再升級到封包擷取。
- 使用設備和客戶端的 360 度全方位歷史記錄，將時間上對齊的變更（例如，軟體升級或 RRM 頻道變更）與症狀的發生建立關聯。
← 自動化、可程式化與 APIs · 所有領域
練習這些題目 → · 在 ExamRoll.io 上限時練習 →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
通過考試 →