CCNP ENCC 300-440: guida completa all'esame cloud

Il 300-440 ENCC è l’unico esame del track CCNP Enterprise interamente dedicato al problema di collegare la rete aziendale ai cloud pubblici. Nella documentazione ufficiale più aggiornata Cisco lo intitola Designing and Implementing Secure Cloud Connectivity, mentre le note di rilascio della certificazione usano la forma senza “Secure”: è lo stesso esame, e la sigla ENCC resta il riferimento stabile. Questa guida ricostruisce che cosa l’esame verifica davvero sulla base del blueprint ufficiale, quali competenze servono prima di prenotarlo e dove si colloca rispetto agli altri esami che gli assomigliano.

A chi si rivolge davvero

Il profilo dichiarato è quello del network engineer che progetta, realizza e gestisce connettività verso il cloud. Il profilo reale è più stretto: l’ENCC è pensato per chi ha già in produzione una rete enterprise Cisco e si trova a doverla estendere verso uno o più provider cloud.

In concreto, le persone che lo affrontano con la giusta base sono di solito:

• Network engineer con esperienza operativa su router Cisco IOS XE, che hanno già configurato tunnel site-to-site e sessioni BGP verso terzi
• Chi gestisce una WAN aziendale, tradizionale o SD-WAN, e deve integrarci carichi migrati su AWS, Azure o Google Cloud
• Chi arriva da un ruolo su SD-WAN e vuole formalizzare la parte cloud-facing della soluzione
• Architetti di rete che devono motivare la scelta fra internet, MPLS, colocation e interconnessione dedicata di fronte a requisiti di banda, SLA e conformità

Chi invece non è il destinatario naturale: chi viene dal mondo cloud puro senza background di networking Cisco. L’esame presuppone che la riga di comando IOS XE sia territorio familiare. Un profilo cloud che sappia progettare una VPC ma non abbia mai scritto una crypto map o letto l’output di una tabella BGP arriva impreparato, per quanto solida sia la sua competenza sul provider.

Vale anche l’osservazione opposta: chi ha una lunga esperienza Cisco ma non ha mai aperto una console cloud fatica sui domini di design e di architettura, dove bisogna sapere che cosa offre il provider dall’altra parte del tunnel.

Cosa valida l’esame, area per area

Il blueprint ufficiale, alla versione v1.0, organizza l’esame in cinque domini. Una precisazione utile prima di leggerli: Cisco non pubblica i pesi percentuali dei domini di questo esame. La pagina ufficiale elenca gli argomenti senza attribuire a ciascuno una quota della prova, e l’assenza del dato non va letta come se i cinque domini contassero allo stesso modo: semplicemente, l’informazione non è disponibile. Chi la trova indicata altrove con percentuali precise sta leggendo una stima di terze parti.

Quello che il blueprint dice esplicitamente, invece, è che tipo di prestazione richiede ciascun dominio, perché ogni voce è formulata con un verbo.

Tre domini su cinque, cioè, chiedono di fare qualcosa su un dispositivo o su un output: è questo, più di qualunque percentuale, a dire che tipo di esame è.

1.0 Architecture Models

Il dominio chiede di descrivere i modi in cui una rete aziendale raggiunge il cloud, distinguendo tre famiglie. La connettività via internet verso AWS, Azure e Google Cloud, realizzata con IPsec nativo del provider oppure con la connettività cloud di Cisco Catalyst SD-WAN. La connettività privata, che copre il provider MPLS, il provider di colocation e il cross-connect regionale SDCI. E la connettività verso i servizi SaaS, articolata in accesso diretto a internet, accesso indiretto tramite un Cloud Security Provider, accesso tramite gateway internet centralizzato e connettività dedicata verso il provider SaaS.

È il dominio in cui si perde tempo se lo si studia come elenco di sigle: ciò che conta è saper riconoscere quale modello risponde a quale esigenza.

2.0 Design

Qui si passa dalla descrizione alla raccomandazione. Le domande presentano requisiti di business e tecnici e chiedono di scegliere il modello di connettività adeguato: per alta disponibilità, resilienza, SLA e affidabilità; per requisiti di architettura di rete come banda, QoS, collegamento dedicato o condiviso, multi-homing e necessità di routing; per conformità normativa, con riferimento esplicito a NIST, FedRAMP e ISO. Il dominio si chiude sulle policy di sicurezza cloud dei tre provider, con attenzione al traffico est-ovest interno al provider, al backhaul del traffico internet e alla connettività in ingresso.

3.0 IPsec Cloud Connectivity

Il primo dei due domini di configurazione, ed è puramente implementativo. Si configura connettività sicura via internet GRE/IPsec da un router Cisco IOS XE on-premise verso un endpoint nativo di AWS, Azure o Google Cloud, oppure verso un secure internet gateway. Si configura IPsec fra un IOS XE on-premise e un IOS XE ospitato nel cloud. E si configura il routing su IOS XE per integrarsi con le reti cloud usando BGP e OSPF, inclusi redistribuzione e routing statico.

4.0 SD-WAN Cloud Connectivity

Il secondo dominio di configurazione sposta lo stesso problema sulla soluzione Cisco Catalyst SD-WAN. Copre la configurazione della connettività cloud sicura via internet verso i tre provider o verso un secure internet gateway, la configurazione di Cloud OnRamp verso un provider SaaS, e le policy SD-WAN nord-sud ed est-ovest nelle tre declinazioni di sicurezza, routing e applicazione.

5.0 Operation

L’ultimo dominio non chiede di costruire ma di diagnosticare, ed è la sezione che sorprende chi ha studiato solo le configurazioni. Ricalca punto per punto i due domini precedenti in chiave di troubleshooting: diagnosi della connettività IPsec verso gli endpoint cloud e i secure internet gateway, diagnosi dei problemi di routing BGP e OSPF con redistribuzione e rotte statiche, diagnosi della connettività cloud Catalyst SD-WAN e diagnosi dei problemi di policy SD-WAN sulle stesse tre categorie del dominio 4.0.

I prerequisiti veri

Formalmente non ce ne sono: gli esami Cisco di livello professional si prenotano liberamente, senza certificazioni propedeutiche. I prerequisiti sostanziali, però, sono precisi.

Prima di prenotare bisogna saper fare, senza consultare guide passo-passo:

• Configurare un tunnel IPsec site-to-site su IOS XE, comprese le fasi di negoziazione IKE, le trasformazioni e il binding sull’interfaccia tunnel
• Configurare e leggere una sessione BGP, incluse le adiacenze eBGP verso un peer esterno, l’annuncio dei prefissi e i filtri di base
• Gestire la redistribuzione fra protocolli, tipicamente fra OSPF e BGP, sapendo dove si generano loop e rotte non volute
• Orientarsi nei costrutti di rete dei tre provider: reti virtuali, tabelle di routing, gateway VPN e relative limitazioni
• Muoversi nell’interfaccia di gestione di Cisco Catalyst SD-WAN, sapendo dove si applicano le policy

La base di conoscenza dell’ENCOR è di fatto data per acquisita, anche se l’esame non la richiede formalmente. Se i punti sopra non sono ancora consolidati, il passaggio dal 350-401 ENCOR prima dell’ENCC non è solo l’ordine consigliato: è quello che rende l’ENCC affrontabile.

Come prepararsi

Il punto di partenza è il blueprint ufficiale, letto come lista di verifica e non come indice di un libro. Ogni voce dei domini 3.0, 4.0 e 5.0 è formulata come un’azione (“configure”, “diagnose”): se non si è in grado di eseguirla, quella voce non è coperta.

Cosa serve provare in pratica. Il laboratorio più utile in assoluto è il più semplice: costruire un tunnel IPsec da un IOS XE verso il gateway VPN di un provider cloud reale, farci passare BGP e vedere le rotte comparire da entrambi i lati. Attenzione a un dettaglio di budget: i gateway VPN dei tre provider non rientrano nei rispettivi livelli gratuiti, perché AWS Site-to-Site VPN, Azure VPN Gateway e Cloud VPN di Google si pagano a ore di attivazione più traffico. Il laboratorio costa poco — si accende, si prova e si spegne in una sessione, eventualmente a carico dei crediti di prova iniziali — ma non è a costo zero, e conviene ricordarsi di distruggere le risorse a fine esercizio. Il lato on-premise si costruisce invece senza costi variabili con un ambiente come Cisco CML o EVE-NG. Farlo su almeno due provider diversi è ciò che rende evidente quali dettagli sono generici e quali sono specifici della piattaforma. Per la parte SD-WAN, gli ambienti sandbox Cisco permettono di lavorare su Cisco Catalyst SD-WAN Manager — l’interfaccia che il materiale più datato chiama vManage — senza infrastruttura propria.

Dove si arriva impreparati. Tre punti ricorrono. Il primo è il dominio Design: sembra intuitivo e viene rimandato, ma le domande su conformità normativa e su scelta del modello di connettività richiedono di conoscere i vincoli di NIST, FedRAMP e ISO almeno nei termini in cui influenzano un’architettura di rete. Il secondo è il dominio Operation, che si prepara solo rompendo deliberatamente i propri laboratori e imparando a leggere l’output diagnostico. Il terzo sono i modelli di connettività privata, MPLS, colocation e SDCI, che raramente si incontrano tutti nella stessa esperienza lavorativa e vanno quindi studiati a tavolino.

Per verificare la copertura in condizioni d’esame è disponibile la simulazione gratuita del 300-440, mentre il percorso di studio dedicato all’ENCC segue l’ordine dei domini del blueprint.

Gli errori tipici

• Studiarlo come esame cloud. È un esame Cisco. I provider sono l’estremità remota, e le domande di configurazione riguardano IOS XE e Catalyst SD-WAN.
• Restare sulla teoria. Tre domini su cinque chiedono di configurare o di diagnosticare: senza laboratorio la preparazione è strutturalmente incompleta.
• Trattare Operation come un’appendice di Implementation. Diagnosticare richiede di riconoscere il sintomo, non di ricordare la configurazione corretta.
• Dare per scontata la parte SD-WAN perché “già nota”. Chi arriva dall’ENSDWI conosce la soluzione, ma l’ENCC insiste su Cloud OnRamp verso SaaS e sulle policy nella loro applicazione cloud-facing.
• Ignorare il cambio di nomenclatura. La soluzione è oggi Cisco Catalyst SD-WAN e il controller si chiama Cisco Catalyst SD-WAN Manager; materiale più datato usa la terminologia precedente, e questo genera confusione nella ricerca delle fonti.
• Sottovalutare il routing. BGP e OSPF con redistribuzione compaiono sia nel dominio implementativo sia in quello diagnostico: è il filo conduttore dell’esame.

Dove si colloca nel percorso

L’ENCC è un esame di concentration della CCNP Enterprise. La certificazione si ottiene superando il core 350-401 ENCOR più un esame di concentration a scelta, e l’ENCC è una delle opzioni disponibili: fra le altre ci sono 300-410 ENARSI, 300-415 ENSDWI e 300-445 ENNA. Superare la sola concentration dà diritto alla designazione Cisco Certified Specialist corrispondente, ma non alla CCNP.

L’elenco delle concentration va verificato alla fonte. Cisco riorganizza i track con una certa frequenza: sposta esami da un percorso all’altro, ne cambia il codice, oppure ne annuncia il ritiro con un preavviso di pochi mesi indicando un “last day to test”. Il design wireless, per esempio, non è più una concentration del track Enterprise ed è cambiato anche il codice esame. Per questo qualunque elenco pubblicato altrove — inclusa questa guida — invecchia in fretta: prima di prenotare conviene aprire la pagina ufficiale del track CCNP Enterprise sul sito Cisco e controllare lì quali concentration sono ancora prenotabili.

Cosa viene prima. La CCNA di networking, esame 200-301, come base — da non confondere con la CCNA Cybersecurity, esame 200-201, che appartiene a un percorso diverso — e poi l’ENCOR come core del track. Chi ha già l’ENCOR e lavora su reti ibride trova nell’ENCC la concentration con il ritorno pratico più immediato.

Cosa viene dopo. L’ENCOR è anche l’esame qualificante per il laboratorio CCIE Enterprise Infrastructure, quindi il percorso naturale prosegue lì. Sul piano delle competenze, la prosecuzione più utile dopo l’ENCC è l’approfondimento del lato provider.

Con quali esami si confonde. Tre in particolare. Il 300-415 ENSDWI copre l’intera soluzione SD-WAN e non solo la sua proiezione cloud: chi vuole specializzarsi in SD-WAN sceglie quello, chi deve collegare il cloud sceglie l’ENCC. Il 300-420 ENSLD, oggi alla versione v1.1 del blueprint, ha assorbito temi di connettività cloud, ma resta un esame di progettazione, senza configurazione. L’AZ-700 di Microsoft affronta la stessa connessione dal lato Azure ed è complementare, non alternativo.

Sul piano formale, le certificazioni Cisco professional restano valide tre anni e si rinnovano superando altri esami oppure accumulando crediti attraverso il programma Cisco Continuing Education. Cisco non pubblica una soglia di superamento, quindi qualunque “punteggio minimo” circolante nei forum va trattato come non ufficiale. Il listino Cisco per gli esami di concentration professional, ENCC compreso, è di 300 dollari — i core come l’ENCOR ne costano 400 — ma prezzo e durata vanno verificati sulla pagina ufficiale dell’esame al momento della prenotazione, perché variano per paese, valuta e nel tempo.

Per confrontare l’ENCC con le altre certificazioni disponibili, il catalogo completo raccoglie i percorsi Cisco e Microsoft con i rispettivi livelli.