SD-Access: dall’hop-by-hop all’overlay
L’architettura Software-Defined Access (SD-Access) sostituisce il modello di campus tradizionale — basato su VLAN estese, STP, gateway ridondati con HSRP/VRRP e segmentazione statica via VLAN + ACL — con una fabric overlay programmabile. Il piano di controllo usa LISP per mappare endpoint su locatori, il piano dati usa l’incapsulamento VXLAN, e il piano di policy usa Cisco TrustSec (SGT). Il sottostrato fisico (underlay) resta un routing IP puro (tipicamente IS-IS con LAN Automation), mentre l’esperienza dell’utente vive interamente nell’overlay.
La differenza chiave per il design è che l’indirizzamento IP si disaccoppia dalla posizione fisica: lo stesso subnet può esistere ovunque nella fabric grazie all’anycast gateway distribuito (stessa SVI, stesso IP e MAC su tutti gli edge node), abilitando mobilità e policy coerente indipendenti dal punto di attacco.
I fabric role
| Ruolo | Funzione LISP | Descrizione |
|---|---|---|
| Control Plane Node (CPN) | Map-Server / Map-Resolver | Mantiene la Host Tracking Database (HTDB): la mappatura EID → RLOC. Risponde alle query e non è nel data path |
| Edge Node | xTR (ingress/egress TR) | È il layer di accesso: collega gli endpoint, li registra al CPN, applica l’SGT e incapsula/decapsula il VXLAN |
| Border Node | PxTR (PETR/PITR) | Punto di uscita/ingresso verso reti esterne alla fabric (data center, WAN, Internet, shared services) |
| Fabric WLC + AP | integrato nel CPN | Il WLC registra i client wireless nell’HTDB; gli AP in local mode collegati agli edge node fanno da VXLAN tunnel endpoint per il wireless |
Sul wireless integrato un dettaglio critico: il traffico dati wireless non viene tunnelato in CAPWAP fino al WLC (nessun hairpinning), ma viene incapsulato in VXLAN dall’AP verso l’edge node, seguendo lo stesso trattamento di policy del wired. Il WLC gestisce solo il control plane e si integra col CPN.
Cisco DNA Center: controller di automation e assurance
Cisco DNA Center è il cervello dell’architettura, con due funzioni distinte:
- Automation — provisioning della fabric via LAN Automation e Plug-and-Play, gestione di site hierarchy, template e configurazioni tramite NETCONF/RESTCONF. Elimina la configurazione box-by-box.
- Assurance — telemetria continua, health score per client/rete/applicazioni, analisi ML e path trace per il troubleshooting proattivo.
Per il piano di policy, DNA Center non lavora da solo: si integra con Cisco ISE via pxGrid per definire i gruppi (SGT), gestire l’autenticazione e distribuire la segmentazione dinamica. In sede di design, ISE è un componente obbligatorio quando serve micro-segmentazione basata su SGT.
La segmentazione è a due livelli: macro-segmentation tramite Virtual Network (VN), che mappano a VRF e garantiscono isolamento completo; micro-segmentation tramite SGT e SGACL, che regolano il traffico dentro la stessa VN.
Posizionamento dei border node
La scelta del tipo di border è un tema d’esame ricorrente e dipende dai path verso data center e Internet:
- Internal border — si collega a reti note interne all’azienda (data center, shared services come DHCP/DNS, WAN privata). Registra i prefissi specifici conosciuti nell’HTDB del control plane.
- External border — si collega a reti sconosciute/esterne (Internet, provider). Fa da default exit point: usa la default route come “gateway of last resort” e non importa i prefissi esterni nel control plane, evitando di sovraccaricare l’HTDB. Opera come PETR/PITR.
- Anywhere border — combina entrambi i comportamenti su un unico nodo. Si sceglie quando data center e Internet sono raggiungibili tramite lo stesso next-hop/percorso, tipico in siti piccoli o con un unico punto di aggregazione.
Regola di design: se DC e Internet escono da path fisici diversi, si separano internal ed external border; se convergono sullo stesso uplink, l’anywhere border è la scelta corretta.
Trappole tipiche d’esame
- Scenario: il traffico verso Internet deve usare una default route senza registrare i prefissi esterni. → Risposta: configurare un external border (PETR/PITR), non un internal border.
- Scenario: DC e Internet sono raggiunti tramite lo stesso nodo di aggregazione. → Risposta: anywhere border, un solo border che gestisce rotte note e default.
- Scenario: ti chiedono quale nodo mantiene la mappatura endpoint-to-location. → Risposta: il Control Plane Node (LISP Map-Server/Map-Resolver con HTDB), non il border.
- Scenario: serve micro-segmentazione con SGT nella fabric. → Risposta: integrare Cisco ISE con DNA Center via pxGrid; DNA Center da solo non basta.
- Scenario: il wireless deve seguire la stessa policy del wired senza tunnel fino al WLC. → Risposta: fabric wireless con AP in local mode che incapsulano VXLAN verso l’edge node; il WLC resta solo nel control plane.