Il passaggio da un ruolo di supporto infrastrutturale a network engineer è uno dei pochi percorsi IT in cui una sequenza di certificazioni ha davvero senso. Non perché un titolo apra una porta da solo, ma perché le reti hanno una gerarchia tecnica reale: non si progetta un campus senza aver capito cosa fa uno spanning tree.
Questa guida propone una sequenza precisa, spiega la logica dietro l’ordine e corregge due punti su cui quasi tutte le roadmap in circolazione sono imprecise. Soprattutto indica cosa non certificare: un percorso che consiglia di prendere tutto non è un percorso, è un listino.
A chi parla questa guida, e da quali competenze si parte davvero
Il lettore tipo lavora già dentro l’infrastruttura, ma dal lato fisico: stende e certifica cavi, monta rack, sostituisce patch panel e transceiver, collega access point, verifica alimentazione e PoE, apre ticket verso il team di rete quando qualcosa non risponde. Spesso ha accesso in lettura ad apparati Cisco, ma non ha il quadro logico di cosa stia succedendo.
Questa esperienza vale parecchio: chi ha fatto cablaggio conosce i mezzi trasmissivi, i limiti di distanza, cosa si rompe davvero in produzione. È un vantaggio concreto sui fondamentali di rete, dove chi arriva da percorsi solo teorici inciampa. Quello che manca è il piano logico: indirizzamento, VLAN, routing, ridondanza, controllo degli accessi. Il percorso che segue serve a colmare quel divario.
Perché questa sequenza, e le due correzioni necessarie
La sequenza che si trova ovunque è: un esame entry, poi la CCNA 200-301, poi ENCOR 350-401, poi una specializzazione. La logica risponde a tre criteri: prima il vocabolario e i mezzi, poi la competenza operativa completa, infine la profondità architetturale. Due punti però vanno chiariti, perché sbagliarli costa soldi o tempo.
Prima correzione: il CCST non è uno solo. Il livello entry Cisco esiste in due varianti. Il 100-150 è il CCST Networking e valida i concetti di rete di base: come funzionano le reti, dispositivi, mezzi trasmissivi, protocolli, indirizzamento, infrastruttura, troubleshooting e sicurezza di base. Cisco lo indica esplicitamente come primo passo verso la CCNA. Il 100-160 è invece il CCST Cybersecurity, con un perimetro diverso: principi di sicurezza, sicurezza di rete e degli endpoint, valutazione delle vulnerabilità e gestione del rischio, gestione degli incidenti. È il primo passo verso il percorso CyberOps, non verso la CCNA. Per un obiettivo di rete la variante coerente è la prima.
Seconda correzione: ENCOR da solo non è la CCNP. La CCNP non è un esame ma una coppia: un core obbligatorio per traccia più una concentration nella stessa traccia. La specializzazione che nelle roadmap compare come passo facoltativo alla fine è in realtà un requisito, e chi mette a budget un solo esame sottostima il costo della metà esatta.
Tappa zero: il CCST, quando serve e quando no
Il livello entry esiste per chi non ha nulla alle spalle: nessun prerequisito, costo contenuto (circa 125 USD), un solo esame. Ha senso se stai cambiando settore e ti serve un segnale minimo su un curriculum ancora vuoto, o se ti serve una scadenza esterna per studiare con metodo.
Per chi arriva dal cablaggio, però, la risposta onesta è spesso che non serve: il CCST Networking valida esattamente la parte del mestiere che stai già facendo con le mani.
Tappa uno: CCNA 200-301, il vero punto di partenza
La CCNA 200-301 è un esame unico che ha sostituito la costellazione di CCNA specialistici precedenti, ed è la certificazione Cisco più riconosciuta nelle job description di area networking. Copre sei aree: network fundamentals (modello OSI, mezzi, subnetting IPv4 e IPv6), network access (VLAN, trunking, EtherChannel, spanning tree, wireless), IP connectivity (tabelle di routing, OSPF, ridondanza del primo hop), IP services (NAT, DHCP, NTP, syslog, QoS, SSH), security fundamentals (AAA, ACL, port security, VPN, principi zero trust) e automation and programmability (JSON, REST API, reti controller-based).
Sta in questa posizione perché è la prima certificazione che valida un profilo completo invece di un frammento. Un tecnico con la CCNA non è più quello che tira i cavi: è qualcuno che può ricevere un ticket di rete e chiuderlo.
Cosa serve saper fare prima: nulla di formale, non ci sono prerequisiti. Nella pratica serve manualità sulla CLI, e non è negoziabile: la CCNA non si supera leggendo, serve un ambiente su cui configurare, rompere e ripristinare. E serve fare subnetting a mente, senza calcolatrice: è il gate che ferma più candidati. Costo indicativo circa 300 USD, validità 3 anni.
Tappa due: ENCOR 350-401, il core professional
L’ENCOR 350-401 è l’esame core della traccia CCNP Enterprise e copre le tecnologie di rete enterprise in ottica dual stack IPv4 e IPv6, articolato su architettura, virtualizzazione, infrastruttura, network assurance, sicurezza e automazione. Il dominio infrastrutturale è il più corposo e concentra la maggior parte delle domande operative.
Sta qui per due ragioni. La prima è tecnica: ENCOR presuppone tutto quello che la CCNA insegna e lo tratta in scala maggiore, con OSPF multi-area invece che single-area, BGP invece che cenni di BGP, fabric e overlay invece che sola commutazione. La seconda è strategica: è anche l’esame scritto che dà accesso al lab CCIE Enterprise Infrastructure, quindi si studia una volta e vale su due strade.
Cosa serve saper fare prima: aver amministrato reti reali, non solo averle studiate. Le domande distinguono chi ha visto un problema di adiacenza OSPF in produzione da chi ha letto come si risolve.
Tappa tre: la concentration, che non è opzionale
Per ottenere la CCNP Enterprise, dopo ENCOR serve un esame concentration della stessa traccia: fra le altre, ENARSI 300-410 su routing avanzato e troubleshooting, ENSDWI 300-415 su SD-WAN, ENSLD 300-420 su design, ENAUTO 300-435 su automazione, ENCC 300-440 su connettività verso il cloud.
Su questo punto serve una cautela pratica: Cisco riorganizza le concentration più spesso di quanto ci si aspetti, e non sempre con un annuncio in evidenza. L’esame di design wireless, per esempio, non si chiama più ENWLSD 300-425: oggi è WLSD 300-110. Un percorso pianificato sei mesi fa può contenere un codice che non esiste più. Prima di prenotare, controlla sempre l’elenco aggiornato sulla pagina ufficiale della traccia: è l’unica fonte che riflette la situazione del giorno.
Il criterio di scelta non è quale sembra più interessante, ma quale tecnologia tocchi o toccherai nei prossimi dodici mesi: ENARSI se fai troubleshooting di routing complesso, ENSDWI se la tua azienda migra a SD-WAN, ENSLD se il ruolo sta diventando progettuale, ENAUTO se ti sposti verso il NetDevOps.
Quanto tempo richiede realisticamente ciascuna tappa
Nessuno può dirti quante ore ti servono, e chi lo fa sta inventando. Quello che si può descrivere con onestà è la forma della curva.
Il CCST è la tappa breve: qualche settimana di studio costante basta a chi ha già confidenza con l’infrastruttura fisica, perché il livello richiesto è concettuale.
La CCNA è la tappa lunga dell’ingresso, e la variabile che la governa non è il tempo di lettura ma il tempo di laboratorio. Chi ha accesso quotidiano ad apparati comprime moltissimo; chi parte solo da video accumula ore senza costruire la manualità che l’esame misura.
L’ENCOR è la tappa più impegnativa ed è poco comprimibile: il salto non è solo in profondità ma in ampiezza, con interi domini appena accennati al livello associate. Va pianificato su mesi, con almeno un paio d’anni di lavoro reale alle spalle.
La concentration è più corta perché verticale: se la tecnologia la usi al lavoro stai formalizzando, altrimenti stai imparando un prodotto intero da zero e il tempo si dilata.
Gli errori tipici di chi segue questo percorso
Saltare le fondamenta. Prenotare ENCOR senza la base di routing e switching, contando sulla memorizzazione. Funziona di rado, e ogni tentativo fallito costa un esame pieno.
Accumulare fundamentals senza mai passare all’associate. È l’errore speculare e il più diffuso: il livello entry segnala interesse, non capacità operativa, e una sola associate cambia la lettura di un profilo più di tre certificazioni di base sommate.
Studiare senza ambiente. Vale per la CCNA e vale doppio per ENCOR.
Confondere il CCST Cybersecurity con l’ingresso al percorso di rete, certificando un dominio che non stai perseguendo.
Mettere a budget una CCNP come se fosse un esame solo. Sono due, sempre.
Ignorare le scadenze. Ogni certificazione attiva è un rinnovo da pianificare entro tre anni.
Cosa non serve certificare
Se lavori già su apparati Cisco, anche solo in affiancamento, il livello CCST non ti serve: certifica competenze che il tuo ruolo attuale dimostra meglio di un badge.
Se il tuo obiettivo è un ruolo di rete, il CCST Cybersecurity 100-160 non è una tappa del tuo percorso: appartiene a quello che porta al CyberOps Associate 200-201 e al mondo dei SOC.
Non servono più concentration CCNP di quelle che userai. Una specializzazione senza applicazione quotidiana si dimentica prima della scadenza, e nel frattempo va rinnovata.
E se la tua esperienza è già solidamente professional, non serve la CCNA per motivi curriculari: si certifica il livello in cui si lavora, non quello superato anni fa.
Dove porta il percorso e quali sono i bivi
Il profilo che esce da CCNA più CCNP Enterprise è un network engineer a tutti gli effetti: sa progettare e mantenere una rete campus, gestire routing e ridondanza, leggere un problema di performance e intervenire sulla sicurezza dell’infrastruttura.
Da lì si aprono tre direzioni. La prima è l’approfondimento verticale: una seconda concentration nella stessa traccia senza ripetere il core, oppure il lab CCIE Enterprise Infrastructure, di cui ENCOR è già lo scritto. È un traguardo da pianificare su anni.
La seconda è la sicurezza di rete, con il core SCOR 350-701 e le sue concentration su firewall, controllo degli accessi e VPN: il bivio naturale per chi gestisce sempre più segmentazione, policy e accessi invece che sola connettività.
La terza è la rete nel cloud. Routing e sicurezza si trasferiscono quasi integralmente su piattaforme cloud, e una certificazione come AZ-700, dedicata alla progettazione di soluzioni di rete su Azure, si affianca a un profilo Cisco senza sovrapporsi.
Nessuna di queste tappe va presa perché completa un set. Vanno prese quando il ruolo che stai facendo, o quello a cui punti davvero, le rende utili.