La diagnostica di rete è la capacità di osservare cosa succede sui device e sui path senza degradarne le prestazioni. In ENCOR il tema ruota attorno a una scelta consapevole dello strumento giusto per lo scenario: uno strumento reattivo di verifica (ping/traceroute), uno di analisi puntuale (debug), oppure uno di monitoring continuo e strutturato (syslog, SNMP, NetFlow, IP SLA).
Verifica reattiva: ping e traceroute
ping sfrutta ICMP echo request/reply e conferma reachability + round-trip time. In IOS l’extended ping permette di variare source interface, size, DF-bit (utile per PMTU discovery) e pattern. traceroute sfrutta il TTL incrementale: manda pacchetti con TTL 1, 2, 3… e raccoglie i Time Exceeded generati hop by hop. Attenzione: un hop che mostra * * * non implica un guasto, spesso è solo un device che non genera ICMP unreachable (rate-limit o policy).
debug e conditional debug
debug fornisce output in tempo reale sui processi, ma è process-switched e ad alto impatto: su un device carico può saturare la CPU. Regole d’oro:
- Usare conditional debug per restringere l’ambito:
debug condition interface,debug ip packet <ACL>, odebug platform conditionsu IOS-XE. - Reindirizzare l’output con
logging bufferedinvece che a console (la console è sincrona e lentissima). - Terminare sempre con
undebug all.
Logging remoto: syslog e severity level
Il logging locale è volatile; per la retention si invia a un syslog server remoto. Il concetto d’esame chiave sono gli 8 severity level, dal più grave al meno grave:
| Livello | Nome | Significato |
|---|---|---|
| 0 | Emergency | Sistema inutilizzabile |
| 1 | Alert | Azione immediata |
| 2 | Critical | Condizione critica |
| 3 | Error | Errore |
| 4 | Warning | Avviso |
| 5 | Notification | Evento normale ma significativo |
| 6 | Informational | Informativo |
| 7 | Debugging | Debug |
Configurando logging trap 5 si inviano i messaggi da 0 a 5 inclusi (tutti quelli con severity numerica ≤ 5). Mnemonica: Every Awesome Cisco Engineer Will Need Ice-cream Daily.
SNMP
SNMP interroga i device tramite OID della MIB. Da conoscere: v1/v2c usano una community string in chiaro (read-only vs read-write); v3 aggiunge autenticazione e cifratura tramite security level (noAuthNoPriv, authNoPriv, authPriv). I trap sono notifiche non confermate, gli inform sono confermati (ritrasmessi finché non arriva l’ack).
NetFlow e Flexible NetFlow
Mentre SNMP dà contatori aggregati, NetFlow analizza il traffico per flusso, identificato dal classico 5-tuple (src/dst IP, src/dst port, protocol) più input interface e ToS. Flexible NetFlow (FNF) è modulare e si costruisce con tre blocchi:
- Flow record: definisce le chiavi (
match) e i valori raccolti (collect). - Flow monitor: lega il record alla cache e lo applica all’interfaccia.
- Flow exporter: invia i dati a un collector (tipicamente UDP).
Port mirroring: SPAN, RSPAN, ERSPAN
Per dare traffico a uno sniffer/IDS si copia il traffico verso una porta di destinazione:
| Tecnologia | Ambito | Trasporto |
|---|---|---|
| SPAN | Locale, stesso switch | Porta di destinazione locale |
| RSPAN | Multi-switch stesso dominio L2 | VLAN RSPAN dedicata |
| ERSPAN | Attraverso rete L3 routed | Incapsulamento GRE su IP |
ERSPAN è l’unico che attraversa boundary L3, perché incapsula la copia in GRE.
IP SLA e object tracking
IP SLA genera probe sintetici (ICMP echo, UDP jitter, HTTP, DNS) per misurare latenza, jitter e reachability. Il suo vero valore in enterprise è l’abbinamento con object tracking: si traccia lo stato di un’operazione IP SLA e si aggancia l’oggetto a una static route (o a HSRP/VRRP). Se il target diventa irraggiungibile, il track va down e la route viene rimossa dalla RIB, attivando un path di backup — un failover deterministico senza routing dinamico.
Trappole tipiche d’esame
- Debug su device in produzione carico → NO. Scenario con CPU alta: la risposta corretta è usare conditional debug (o SNMP/NetFlow), mai
debug all. logging trap 4→ cosa arriva? Arrivano i livelli 0–4 inclusi (Emergency…Warning), non solo il 4. Ricorda: numero più basso = più critico.- Serve mirroring verso un analyzer in un altro sito su rete routed → ERSPAN, non RSPAN (che richiede un dominio L2 contiguo tramite VLAN RSPAN).
- Failover di una default route senza dynamic routing → IP SLA + object tracking sulla static route, non un semplice
ping. - Notifica SNMP garantita/confermata → inform, non trap (i trap sono fire-and-forget).
- traceroute con hop
* * *: spesso ICMP unreachable rate-limited, non necessariamente un guasto sul path.