Cisco 350-401: IP 服務、Multicast 與服務品質 — 學習指南

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

屬於 Cisco CCNP Enterprise 350-401 ENCOR — 學習指南. 使用經過驗證的解答練習： Cisco 考試中心, 或參加限時模擬考試： ExamRoll.io.

總覽

IP 服務、多點傳播 (multicast) 和 QoS 構成企業網路的營運核心。DHCP、DNS、NTP 和管理遙測等基礎服務為端點和營運人員提供支援；NAT 強制執行定址和安全邊界；QoS 為即時應用程式保留使用者體驗；多點傳播擴展一對多的分發規模；而透過 IP SLA 和物件追蹤進行的主動監控則為彈性形成閉環。本節將解釋每一項的設計和營運理由，並強調其故障模式和權衡取捨。

基礎 IP 服務與遙測

DHCP：集中提供位址和選項，同時確保中繼 (relay) 的規模和正確性。

• 中繼與選項處理：在第一躍點介面上使用 ip helper-address，將用戶端的廣播以單點傳播 (unicast) 方式傳送到 DHCP 伺服器。只包含必要的 UDP helper (例如 67/68 DHCP、53 DNS、69 TFTP、161 SNMP) 以限制雜訊。選項 43 (Option 43) 為 CAPWAP AP 提供 WLC 位址；選項 82 (中繼資訊) 新增電路識別碼，用於基於每個連接埠的策略和保留。謹慎地信任或移除選項 82——存取層交換器通常會插入此選項，而上游設備不應覆寫它。
• 分配模型：動態池，為基礎設施的 MAC 或用戶端 ID 進行保留；靜態綁定，用於關鍵基礎設施；以及短租期，用於高度移動或 VPN 的池。考慮子網路利用率，並使用分割範圍 (split-scope) 或 DHCP 故障轉移 (failover) 來實現彈性。
• 故障排除：首先驗證 L2 連通性和 VLAN，然後是中繼的連通性和 giaddr 的填入情況。在 Cisco IOS 上，謹慎使用 show ip dhcp binding、show ip dhcp server statistics 和 debug ip dhcp server events。常見的故障包括 SVI 上缺少 helper address、選項 82 被防火牆丟棄，或位址池耗盡。

DNS：在靠近使用者的地方部署具備 anycast 能力的備援解析器。為內部服務強制執行 split-horizon 記錄。在靠近用戶端的地方進行快取以減少延遲。透過 DNSSEC 驗證來確保安全，並將遞迴查詢限制在內部子網路。

NTP：時間一致性保護日誌、Kerberos 和憑證。NTPv4 新增了安全擴充功能，並在 LAN 上使用站點本地 (site-local) IPv6 多點傳播進行探索。設計時至少要有兩個上游來源 (公用或企業 stratum-1/2)，並透過內部 stratum-3 伺服器進行分發。優先使用驗證 (對稱金鑰或 NTS)，並避免每個節點都直接向網際網路上的 NTP 進行同步；將基礎設施指向本地的 NTP 伺服器。

管理平面與遙測：

• SNMP：優先使用 SNMPv3 以獲得驗證/隱私；最小化輪詢間隔；按角色對 OID 進行分組。使用 ACL 和控制平面策略 (CoPP) 限制 SNMP，以防止過載和濫用。Traps/informs 應進行速率限制。
• Syslog：在支援的情況下使用可靠的傳輸協定，並傳送到至少兩個收集器。透過 NTP 將嚴重性 (0–7) 標準化並加上時間戳。為關鍵事件 (鏈路抖動、路由變更、安全性) 實作解析。
• NetFlow/IPFIX：僅匯出所需欄位；在高吞吐量鏈路上使用取樣。確保收集器的容量和隱私控制。優先選擇 IPFIX 以獲得廠商中立的擴充性。
• 模型驅動遙測：以固定間隔串流 YANG 模型化的資料 (gNMI/NETCONF dial-in/out)；它比大量 SNMP 輪詢的延遲更低、效率更高。將收集的資料與 SLI/SLO 對齊 (例如，丟棄、佇列深度、CPU、記憶體、路由抖動)。

NAT：靜態、動態、PAT 與驗證

NAT 強制執行位址獨立性、策略，並用於處理重疊 IP 的遷移。選擇能滿足需求的最簡單結構。

• 靜態 NAT：一對一、確定性。用於需要穩定身份的傳入服務、VoIP 閘道器和 IPsec 對等體。權衡：會消耗公用 IP。
• 動態 NAT (池)：多對少映射，為僅限對外的用戶端從一個池中進行短暫選擇。返回路由必須指向 NAT 設備；不對稱會中斷會話。
• PAT (overload)：多對一映射，在單一（或少數）IP 上使用唯一的 TCP/UDP 連接埠。效率極高，但在高連線並發下可能會耗盡連接埠；在高規模的邊緣將 PAT 分散到多個位址上。
• 髮夾彎 (Hairpin) 和雙重 NAT：當內部主機必須透過公用位址存取內部服務，或需要重新映射來源和目的地位址時，就需要此功能。仔細驗證策略和路由匹配。
• 操作順序與 VRF：確保 NAT 在相對於 ACL、ZBFW 和 PBR 的正確階段發生。對於 VRF 設計，應用每個 VRF 的 NAT 規則，並確認返回流量的路由洩漏 (route-leaking)。
• 高可用性：狀態化 NAT (Stateful NAT) 是無縫故障轉移的必要條件；否則，在兩個對等體上使用確定性的靜態 NAT，並搭配第一躍點備援，並接受動態/PAT 流量的會話遺失。
• 驗證與故障排除：使用 show ip nat translations 和 statistics，確認 ACL 上的命中計數器，驗證進出 NAT 外部的路由。謹慎使用 debug；封包擷取通常更安全。注意連接埠耗盡、重疊的池和不對稱路由。

簡短範例： ip access-list standard NAT_INSIDE permit 10.10.0.0 0.0.255.255 ip nat pool PUBLIC 198.51.100.10 198.51.100.14 netmask 255.255.255.248 ip nat inside source list NAT_INSIDE pool PUBLIC overload interface Gig0/0 ip nat inside interface Gig0/1 ip nat outside

QoS：分類、標記、佇列與壅塞管理

端到端的 QoS 能在資源競爭下維持效能；在設計上，信任邊界與轉送行為應在存取層、分佈層、WAN 及資料中心之間保持一致。

• 分類與標記：在邊緣進行分類；只信任有能力的設備。典型的信任邊界是存取交換器連接到 IP 電話的連接埠（信任來自電話的 CoS/DSCP，而非其連接的 PC）以及連接到基礎設施設備的連接埠。當標記遺失時，使用 NBAR 或 ACLs 進行分類。在邊緣重新標記不合規的流量。
• DSCP 與 CoS：語音承載流量使用 DSCP EF (46)，通話信令使用 CS3，互動式視訊使用 AF41，關鍵資料使用 AF31/AF32，清道夫流量使用 CS1。將 DSCP 對應到逐跳行為 (per-hop behaviors) 以及 Trunk 鏈路上的 L2 CoS。
• 佇列與排程：對嚴格優先權流量 (EF) 使用 LLQ，並設定一個受管制的頻寬上限以防止餓死 (starvation)。對保證類別使用 CBWFQ，提供最小頻寬保證。根據不同平台，驗證硬體佇列到 DSCP 的對應關係。
• 整形與管制 (Shaping and policing)：在出口 (egress) 處進行整形，以符合合約的 CIR，從而平滑突發流量（特別是往 WAN 的方向）。在入口 (ingress) 處進行管制，以強制執行租戶或類別的限制；需理解若不謹慎，管制會增加封包遺失和潛在的重新排序風險。
• 壅塞避免：WRED 根據平均佇列深度和 DSCP 提早丟棄封包，以犧牲彈性的大量流量為代價來保護互動式流量。不要在嚴格優先權佇列上啟用 WRED。對於 WRED 無法帶來好處或硬體不支援的類別，仍使用尾端丟棄 (Tail-drop)。
• 語音/視訊 SLA：語音的單向延遲 ≤150 ms，抖動 ≤30 ms，遺失率 ≤1%；互動式視訊對遺失的容忍度稍高，但對延遲變化的敏感度相似。根據編解碼器速率、標頭、VAD 和成長裕度來規劃 EF 頻寬；限制 LLQ 以保護其他類別。對於 TelePresence/互動式視訊，分配 AF41 並在低速鏈路上設定適當的最小頻寬和整形。
• 驗證：使用 show policy-map interface 來確認類別計數器、丟棄計數和整形合規性。監控介面佇列深度和丟棄原因；根據測量到的使用率調整頻寬和閾值，而非根據宣稱的峰值鏈路速率。

LLQ 簡短範例： class-map match-any VOICE match dscp ef class-map match-any VIDEO match dscp af41 policy-map WAN-QOS class VOICE priority percent 10 police rate percent 10 conform-action transmit exceed-action drop class VIDEO bandwidth percent 20 random-detect dscp-based class class-default fair-queue random-detect interface Serial0/0/0 service-policy output WAN-QOS

Multicast：轉送、PIM、RPs 以及跨園區和 WAN 的設計

Multicast 能有效地擴展一對多的流量，並需要與單點傳播 (unicast) 路由緊密結合，以進行反向路徑轉送 (Reverse Path Forwarding, RPF) 檢查。

• IGMP：主機透過 IGMP 加入/離開群組（v2 被廣泛部署，v3 為 SSM 新增了來源過濾功能）。在交換器上啟用 IGMP snooping；確保每個 VLAN 都有一個 IGMP querier，即使該網段上沒有 multicast 路由器，也能維持群組狀態。
• PIM 模式：
  • PIM Sparse Mode (PIM-SM)：拉取模型 (Pull model)；只將流量傳送給感興趣的接收者。RP 是共享樹 (*,G) 的樹根。預設情況下，RP 僅在啟動新會話時需要；一旦流量開始流動，接收者可能會切換到來源樹 (S,G) 以獲得最佳路徑。
  • PIM Source-Specific Multicast (SSM)：沒有 RP；接收者透過 IGMPv3 指定 (S,G)。這簡化了控制平面並降低了多對多 (many-to-many) 的風險。是 IPTV 和來源受嚴格控制的應用的理想選擇。
  • PIM Bidirectional：對於多對多 (many-to-many) 的應用效率很高，狀態需求低且無需來源註冊（例如，金融市場數據），但沒有最短路徑切換機制；設計時需將此納入考量。
• RP 策略：
  • Static RP：適用於小型網域。
  • BSR/Auto-RP：用於動態發現。
  • Anycast-RP 搭配 MSDP：使用單一 anycast 位址在多個 RP 之間共享來源註冊資訊，以提高彈性和本地性。
• RPF 與 SPT 切換：RPF 失敗源於單點傳播路由不對稱或被過濾的前綴；使用 show ip rpf 和 show ip mroute 進行驗證。SPT 閾值決定何時從共享樹切換到來源樹；根據流量大小和核心路徑的對稱性來設定它們。
• 園區網路設計：在路由核心中使用 PIM-SM，在存取邊緣使用帶有 querier 的 IGMP snooping，並在對齊的核心節點上部署 Anycast-RP。在主機支援 IGMPv3 的地方優先使用 SSM；否則，在第一跳路由器上部署 SSM mapping。
• WAN 設計：在 MPLS 上，如果可用，請使用供應商的 mVPN；否則，在 WAN VRF 上運行 PIM，或使用 GRE/DMVPN 進行封裝並在通道內啟用 PIM。確保 RP 在跨網域間的可達性，並確認供應商是否接受 multicast 流量，或規劃覆蓋網路 (overlays)。對於基於 Internet 的分發，優先選擇 SSM 搭配 GRE/IPsec，以避免跨越不受信任網域的 RP 依賴性。

PIM/RP 簡短範例： ip pim rp-address 10.10.10.10 ip pim ssm range 232.0.0.0/8 interface Vlan30 ip pim sparse-mode ip igmp version 3

主動監控、自動化容錯轉移與故障排除

IP SLA 與追蹤功能可自動化修正動作，並即時驗證 SLA。

• IP SLA：使用 ICMP-echo 檢測可達性、UDP jitter 檢測語音/視訊品質、HTTP/TCP connect 檢測應用程式可用性。對於多點傳播 (multicast)，UDP jitter 操作可以測試群組傳送至特定 (S,G) 或 (*,G) 的情況。
• 物件追蹤與觸發器：追蹤 IP SLA 結果、介面狀態或路由。將追蹤與 HSRP/VRRP、靜態路由或 PBR 綁定。使用 EEM applets 執行複雜的序列 (例如：記錄、重新設定、通知)。
• 範例：

undefined

undefined

undefined

undefined

undefined

• 服務可用性監控：結合 SNMP 計數器 (丟棄、錯誤)、QoS 佇列統計資料、用於類別使用率的 NetFlow/IPFIX，以及用於異常關聯的 syslog。時間同步必須嚴格，否則多來源的關聯分析將會失敗。
• 常見的故障模式與權衡取捨：
  • DHCP：Option 82 被防火牆剝離；分割範圍重疊；惡意的 DHCP 伺服器——啟用 DHCP snooping。
  • DNS：非對稱策略或 EDNS0 被封鎖；anycast 故障而未撤回路由會導致黑洞——若使用 anycast，需監控 BGP 健康狀況。
  • NTP：對等迴圈與偽時間源 (false tickers)；未經身份驗證的時間偏移會導致憑證失敗——強制執行身份驗證與合理性閾值。
  • NAT：跨備援邊界的非對稱路由會中斷會話；PAT 連接埠耗盡——擴展池或使用可感知狀態型設備的 ECMP 進行 per-flow hashing。
  • QoS：過度配置的 LLQ 會餓死其他類別；平台上 DSCP 的錯誤對應會導致流量進入非預期的佇列——驗證特定平台的 QoS 對應表。
  • Multicast：因路由過濾器造成的 RPF 失敗；RP 可達性喪失會使新的加入請求停滯；沒有查詢器 (querier) 的 IGMP snooping 會讓成員資格老化過期——在 VLAN 上啟用查詢器或確保有 PIM 路由器存在。
  • 控制平面過載：過多的輪詢或 trap 風暴會破壞路由穩定性——套用 CoPP 與遙測速率限制。

實務問題情境

Acme BioTech 公司必須支援站點對站點的多點傳播視訊訓練、VoIP，以及從兩個備援資料中心存取雲端網際網路。這兩個資料中心透過 MPLS 連接，並有 Internet VPN 作為備援。使用者回報在訓練期間會間歇性地發生視訊凍結，且在容錯轉移事件中偶爾會出現通話品質下降的情況。

解決方法：

1. 在整個環境中標準化並保護時間同步。

• 在所有網路設備上設定 NTPv4，使其與本地的 stratum-2 伺服器同步，並啟用身份驗證。理由：一致的時間可確保 QoS 分析的有效性、關聯 syslog/NetFlow 資料，並防止在容錯轉移期間可能破壞管理 API 的憑證異常。

2. 為基礎設施端點和電話穩定 DHCP 與 DNS。

• 確保在存取層 SVI 上設定 ip helper-address，在存取層啟用 Option 82 插入並在分佈層信任它，並在適用時為電話 TFTP 提供 Option 150。驗證所有 VLAN 都能連上 DNS 解析器。理由：穩定的定址與名稱解析可消除可能連鎖引發 QoS 問題的電話偽性重新註冊及 AP/控制器探索失敗。

3. 實作 QoS，並具備清晰的信任邊界與 WAN 流量整形。

• 信任來自 IP 電話和 TelePresence 端點的標記；將 PC 的標記重設為預設值。為 EF 流量套用 10% 的 LLQ 並加上 policer，為 AF41 的互動式視訊流量套用 20% 的 WRED，並在 WAN 邊界將出口流量整形至 MPLS 的 CIR。理由：在資源競爭下保護語音和互動式視訊，並透過匹配合約速率來防止供應商的 policing 丟包。

4. 為園區網路與 WAN 優化多點傳播。

• 在核心部署 PIM-SM，並使用 MSDP 在兩個資料中心之間實現 Anycast-RP，在存取 VLAN 上啟用 IGMP v3，並對來源已知的訓練串流優先使用 SSM (232/8)。理由：Anycast-RP 可在跨資料中心時維持會話的啟動；SSM 為主要的訓練串流移除了對 RP 的依賴，並簡化了 WAN 的傳輸。

5. 在網際網路邊界驗證 NAT 與路徑對稱性。

• 在 HA 配對上使用 stateful NAT 進行出向 PAT，對入向服務使用確定性的靜態 NAT，並確保 HSRP 與 active 的狀態型對等設備保持一致。理由：防止在容錯轉移期間發生會話遺失和非對稱性，這可能會影響軟體電話到雲端服務的媒體流。

6. 部署 IP SLA 與物件追蹤以自動化網際網路備援的容錯轉移。

• 設定 IP SLA UDP jitter 探測指向雲端 SBC，以及 ICMP 探測指向 MPLS PE；追蹤結果以調整靜態路由或影響 BGP local preference。理由：測量真實的服務品質，而不僅僅是可達性；在使用者注意到品質下降之前觸發受控的容錯轉移。

7. 部署遙測並保護控制平面。

• 透過模型驅動的遙測將佇列深度和丟棄計數器串流至收集器，在 WAN 邊界啟用 NetFlow/IPFIX，並使用 SNMPv3 將 SNMP 存取限制在 NMS 的 IP。套用 CoPP，並為管理流量設定明確的類別。理由：提供可操作的可視性，同時確保控制平面在監控負載下保持穩定。

8. 測試、觀察與調整。

• 執行排程的多點傳播訓練，同時進行合成的 VoIP 通話，並擷取 show policy-map interface、show ip mroute 和佇列丟棄的資訊。根據測量到的使用率和供應商的行為來調整 LLQ 和 AF41 的頻寬。理由：經驗性的調整使 QoS 的分配與真實的流量模式及供應商的 policing 特性相符。

這個順序處理了時鐘穩定性、基礎服務、佇列與速率控制、正確的多點傳播控制平面行為、NAT 對稱性、自動化容錯轉移以及可觀察性——共同在 MPLS 和網際網路路徑上實現一致的語音和視訊效能。

← Unicast 路由與路由控制 · 所有領域 · 無線基礎設施與行動性 →

練習這些題目 → · 在 ExamRoll.io 上限時練習 →