Chứng chỉ & Lộ trình họcCertifications & Learning Path
Thuộc bộ kiến thức Network Engineer Roadmap.
Tổng quan
Networking là một trong số ít lĩnh vực IT mà chứng chỉ (certification) vẫn thực sự có giá trị. Khác với lập trình phần mềm — nơi một portfolio các dự án đã ship thường nói lên nhiều điều hơn bất kỳ tấm bằng nào — networking từ lâu bị chi phối bởi các chương trình chứng chỉ của nhà cung cấp (đặc biệt là Cisco), và nhiều tin tuyển dụng vẫn ghi rõ “CCNA required” hoặc “CCNP preferred” như một bộ lọc cứng. Hiểu tại sao điều đó đúng, và một chứng chỉ thực sự đáng giá bao nhiêu so với kinh nghiệm thực chiến, là bước đầu tiên để lập kế hoạch sự nghiệp.
Một chứng chỉ là đại diện (proxy) cho kiến thức, không phải là sự thay thế cho kiến thức. Nó cho nhà tuyển dụng biết: “người này đã thi và, vào ngày hôm đó, có thể trả lời các câu hỏi về subnetting, OSPF, VLAN và ACL.” Điều nó không nói lên là bạn có thể troubleshoot một phiên BGP đang flapping lúc 2 giờ sáng hay không, có thiết kế được một mạng campus có tính chịu lỗi hay không, hay có tự động hóa được cả một dàn switch hay không. Những thứ đó đến từ việc làm thật. Những network engineer dễ được tuyển dụng nhất luôn kết hợp một chứng chỉ uy tín với một khối lượng thực hành có thể chứng minh — một home lab, một GitHub chứa các script automation, và những câu chuyện “chiến trường” từ các sự cố thật.
Ghi chú này trình bày các nhánh chứng chỉ chính (vendor-neutral, Cisco, các vendor khác, cloud, automation), so sánh chúng qua các bảng, sau đó gắn chúng vào một lộ trình học cụ thể ánh xạ vào các topic 01–17 của bộ kiến thức này. Ở đâu một chứng chỉ tương ứng với một kỹ năng, chúng ta sẽ chỉ tới ghi chú nơi bạn thực sự học và luyện tập được — đặc biệt là ./15-tools-and-troubleshooting.md cho lab và simulator, ./11-network-security.md cho security, ./16-cloud-networking.md cho cloud, và ./17-network-automation.md cho automation.
Kiến thức nền tảng
Chứng chỉ vs. kinh nghiệm thực chiến
Hãy xem hai thứ này là bổ trợ cho nhau, không phải cạnh tranh:
| Chứng chỉ mang lại | Kinh nghiệm thực chiến mang lại |
|---|---|
| Một chương trình học có cấu trúc — bạn học cả những chủ đề mà bình thường sẽ bỏ qua | Trực giác — bạn cảm nhận được có gì đó sai trước khi giải thích được |
| Một tín hiệu mà recruiter và bộ lọc keyword của ATS tìm kiếm | Bằng chứng bạn làm việc được dưới áp lực và trong tình huống mơ hồ |
| Một vốn từ vựng chung của cả ngành | Chiều sâu trên đúng thiết bị và topology mà công ty bạn đang chạy |
| Cửa vào một số công việc bắt buộc có chứng chỉ (chính phủ, MSP, đối tác) | Chất liệu portfolio: script, sơ đồ, blog, postmortem sự cố |
Trình tự lành mạnh với đa số mọi người là: học lý thuyết → kiểm chứng bằng một chứng chỉ → củng cố bằng lab → lặp lại ở cấp độ cao hơn. Một chứng chỉ mà không có giờ lab nào phía sau tạo ra kỹ sư “trên giấy” (paper engineer) đơ người trước một CLI thật; ngược lại, giờ lab mà không có việc học có cấu trúc tạo ra kỹ sư với những điểm mù nguy hiểm (họ chỉ biết những gì đã đụng vào, ngoài ra không biết gì). Bạn cần cả hai.
Học networking thực sự như thế nào
Đọc là cần thiết nhưng không hề đủ. Networking là một môn phải làm. Thói quen có đòn bẩy cao nhất là dựng và phá đồ trong lab. Các lựa chọn, từ độ trung thực thấp đến cao:
- Simulator ở mức packet — Cisco Packet Tracer. Miễn phí (với tài khoản Cisco Networking Academy), nhẹ, lý tưởng cho topology mức CCNA, VLAN, routing cơ bản và ACL. Nó mô phỏng hành vi thiết bị nên thiếu một số tính năng nâng cao, nhưng vô đối cho người mới.
- Emulator mạng đầy đủ — GNS3 và EVE-NG. Chúng chạy image thật của vendor (IOS, IOS-XE, NX-OS, Junos, Arista EOS, FortiOS, PAN-OS) dưới dạng VM/container, nên hành vi trung thực. Cài đặt phức tạp hơn, ngốn RAM/CPU. Thiết yếu cho luyện tập mức CCNP/CCIE và lab đa vendor.
- Lab dạng container — Containerlab. Dựng các network operating system dưới dạng container, đấu nối với nhau qua file topology YAML. Nhanh, quản lý được bằng version control, và là lựa chọn tự nhiên để luyện automation (xem ./17-network-automation.md).
- Home lab vật lý — vài con switch/router enterprise cũ mua trên thị trường second-hand cùng một sợi console cable. Không gì dạy bạn về đi dây, nguồn điện, truy cập console out-of-band và cái mùi của một con switch sắp cháy quạt như phần cứng thật. Thừa thãi cho việc thi cử nhưng vô giá cho trực giác.
- Cloud sandbox — tài khoản free-tier trên AWS/Azure/GCP để dựng VPC, subnet, route table và peering (xem ./16-cloud-networking.md). Networking hiện đại ngày càng ảo hóa.
Bộ công cụ chi tiết — Wireshark, ping/traceroute/mtr, tcpdump, iperf, và các emulator ở trên — được trình bày sâu trong ./15-tools-and-troubleshooting.md. Hãy xem ghi chú đó là cẩm nang lab của bạn.
Một nhịp thực hành hữu ích: với mỗi khái niệm bạn đọc, hãy tái hiện nó trong lab, sau đó cố tình phá nó và quan sát lỗi. Cấu hình OSPF, rồi shut một link và xem LSA lan truyền cùng routing table hội tụ lại. Dựng một trunk, rồi cố tình để lệch native VLAN và đọc lỗi CDP. Muscle memory và những khoảnh khắc “à ra thế” từ việc phá đồ chính là nơi việc học thật sự diễn ra.
Phân tầng chứng chỉ
Đa số chương trình của vendor chia sẻ một cái thang chung. Hiểu các tầng giúp bạn so sánh giữa các vendor:
- Foundation / Entry — vendor-neutral hoặc mức nhập môn của vendor. Chứng minh bạn hiểu các khái niệm cốt lõi (OSI, IP, subnetting, cabling). Ví dụ: CompTIA Network+, Cisco CCST.
- Associate — tầng chuyên nghiệp nghiêm túc đầu tiên. Bạn có thể cấu hình và troubleshoot một mạng nhỏ đến vừa. Cột cờ là Cisco CCNA.
- Professional — sâu, thường chuyên biệt (Enterprise, Security, Data Center, Service Provider). Bạn có thể thiết kế và vận hành mạng phức tạp. Ví dụ: Cisco CCNP.
- Expert — tầng cao nhất, trong lịch sử là một kỳ thi lab thực hành nhiều giờ khắc nghiệt. Chứng tỏ sự thành thạo. Ví dụ: Cisco CCIE.
- Architect — hiếm, tập trung vào thiết kế, trên cả expert (ví dụ CCDE / Cisco Certified Architect).
Khái niệm chính
Nền tảng vendor-neutral
Chứng chỉ vendor-neutral dạy khái niệm có thể chuyển sang bất kỳ thiết bị nào. Chúng là điểm khởi đầu lý tưởng vì không khóa bạn vào CLI của một hãng trước khi bạn hiểu nền tảng.
- CompTIA Network+ (N10-009) — nền tảng vendor-neutral kinh điển. Bao gồm networking concepts, hạ tầng/cabling, network operations, security cơ bản và troubleshooting. Nó rộng và nông một cách có chủ đích, và ánh xạ gần như một-đối-một vào các topic 01–06 của bộ kiến thức này. Nhiều nhà tuyển dụng chấp nhận nó thay cho, hoặc trước khi có, CCNA. Không có prerequisite chính thức; CompTIA khuyến nghị khoảng 9–12 tháng kinh nghiệm nhưng không bắt buộc.
- CompTIA Security+ (SY0-701) — nền tảng security vendor-neutral. Không hẳn là chứng chỉ networking, nhưng cực kỳ giá trị vì phần lớn công việc của network engineer là security: ACL, firewall, VPN, segmentation, zero trust (đều nằm trong ./11-network-security.md). Security+ thỏa mãn yêu cầu baseline của DoD 8570/8140 (Mỹ), khiến nó gần như bắt buộc cho nhiều vị trí trong chính phủ và nhà thầu quốc phòng.
- CompTIA A+ — nền tảng phần cứng/OS; đôi khi là bậc thang cho người mới hoàn toàn bước vào IT, dưới Network+.
Nhánh Cisco
Cisco vẫn thống trị networking doanh nghiệp, và các chứng chỉ của hãng được công nhận rộng nhất trong ngành. Năm 2020, Cisco đã cải tổ chương trình: giờ chỉ còn một CCNA duy nhất (không còn CCENT hay các chuyên ngành riêng), và CCNP yêu cầu một exam core cộng một exam concentration.
- CCNA (200-301) — cột cờ tầng associate và là chứng chỉ đơn giá trị nhất cho một network engineer mới. Một exam bao gồm network fundamentals, IP connectivity (routing, OSPF), IP services, security fundamentals, switching (VLAN, STP, EtherChannel), wireless cơ bản, và — đáng chú ý — automation and programmability (REST API, JSON, hiểu biết về Ansible/Puppet/Chef, controller-based networking). Không có prerequisite chính thức. Đây là mục tiêu cho đa số người hoàn thành topic 01–12 của bộ kiến thức này.
- CCNP Enterprise — tầng professional cho routing/switching doanh nghiệp. Yêu cầu exam core 350-401 ENCOR (advanced routing, VPN, infrastructure security, automation, virtualization) cộng một exam concentration (ví dụ 300-410 ENARSI cho advanced routing/services, 300-415 ENSDWI cho SD-WAN, 300-420 ENSLD cho design, 300-425 ENWLSD / 300-430 ENWLSI cho wireless). Đậu ENCOR cũng đóng vai trò là bài written qualifier cho lab CCIE Enterprise.
- CCNP Security, Data Center, Service Provider, Collaboration — cùng cấu trúc (một core + một concentration) cho các mảng khác. CCNP Security (core 350-701 SCOR) đặc biệt liên quan tới network engineer đang chuyển hướng về firewall, VPN và NAC.
- CCIE (Expert) — tầng cao nhất huyền thoại. Yêu cầu đậu một bài written qualifier (chính là core CCNP tương ứng) rồi làm một bài lab thực hành 8 tiếng, nơi bạn thiết kế, triển khai, vận hành và troubleshoot một mạng phức tạp trực tiếp. Các track gồm CCIE Enterprise Infrastructure, CCIE Security, CCIE Data Center, CCIE Service Provider và CCIE Collaboration. Đây là một cuộc dấn thân nghiêm túc, tốn kém, kéo dài nhiều tháng đến nhiều năm và thay đổi đáng kể khả năng thu nhập.
- CCST (Cisco Certified Support Technician) — chứng chỉ mức entry mới hơn (Networking / Cybersecurity), nằm dưới CCNA, hướng tới sinh viên và người chuyển ngành.
- CCDE / Cisco Certified Design Expert và Cisco Certified Architect — các tầng design/architecture ở mức expert và trên expert.
Cái thang chứng chỉ Cisco
| Level | Certification | Exam | Prerequisite |
|---|---|---|---|
| Entry | CCST Networking | CCST | Không |
| Associate | CCNA | 200-301 | Không (khuyến nghị: 1 năm kinh nghiệm) |
| Professional | CCNP Enterprise | 350-401 ENCOR + 1 concentration | Không bắt buộc (khuyến nghị có CCNA) |
| Professional | CCNP Security | 350-701 SCOR + 1 concentration | Không bắt buộc |
| Expert | CCIE Enterprise Infrastructure | ENCOR written + lab 8 tiếng | Đậu bài written qualifier |
| Architect | CCDE / CCArch | Written + practical/board | Kiến thức mức expert |
Lưu ý: chứng chỉ Cisco có thời hạn (thường 3 năm) và được gia hạn bằng thi lại hoặc tín chỉ Continuing Education (CE).
Các vendor khác
Doanh nghiệp ngày càng đa vendor. Biết nhiều hơn Cisco khiến bạn linh hoạt và thường dễ tuyển dụng hơn, đặc biệt trong data center, service provider và các môi trường nặng về security.
- Juniper — mạnh ở service provider và data center. JNCIA-Junos (associate, nhập môn Junos OS), rồi JNCIS (specialist), JNCIP (professional), JNCIE (expert). Nếu sẽ làm với Junos, việc học mô hình cấu hình của nó (candidate config,
commit, cấu trúc phân cấp) song song với Cisco IOS rất giá trị. - Arista — thống trị các data center hiệu năng cao hiện đại; EOS dựa trên Linux và cực kỳ thân thiện với automation. Chương trình ACE (Arista Certified Engineer), các level 1–7+.
- Fortinet — dẫn đầu về firewall/UTM. Chương trình NSE (Network Security Expert) chạy NSE 1–8; các chứng chỉ associate/professional hiện phân nhánh thành FCA/FCP/FCSS (Fortinet Certified Associate/Professional/Solution Specialist). Rất liên quan cho network engineer thiên về security.
- Palo Alto Networks — firewall next-gen cao cấp. PCNSA (associate, network security administrator) và PCNSE (engineer, cột cờ). Rất được săn đón trong các vị trí security.
- Aruba (HPE) — wireless và campus. ACA/ACP/ACX (Aruba Certified Associate/Professional/Expert) qua các mảng Switching, Mobility (wireless) và ClearPass (NAC/security).
- VMware — cho virtual/overlay networking: VCP-NV / VCAP-NV (NSX). Ngày càng liên quan khi data-center networking ảo hóa.
So sánh đa vendor
| Vendor | Entry / Associate | Professional | Expert | Trọng tâm chính |
|---|---|---|---|---|
| CompTIA | Network+, Security+ | — | — | Nền tảng vendor-neutral |
| Cisco | CCNA | CCNP (Enterprise/Security/DC/SP) | CCIE | Routing/switching doanh nghiệp, diện rộng |
| Juniper | JNCIA-Junos | JNCIS / JNCIP | JNCIE | Service provider, data center |
| Arista | ACE-1/2 | ACE mid-tiers | ACE senior | Data center, automation |
| Fortinet | FCA / FCP (NSE 4) | FCSS (NSE 7) | NSE 8 | Firewall / network security |
| Palo Alto | PCNSA | PCNSE | — | Firewall next-gen |
| Aruba (HPE) | ACA | ACP | ACX | Wireless, campus, NAC |
Chứng chỉ cloud networking
Khi workload dịch chuyển lên cloud, “network engineer” ngày càng có nghĩa là thiết kế VPC, transit gateway, kết nối private, DNS và load balancing trên cloud (xem ./16-cloud-networking.md). Chứng chỉ cloud networking là một hướng chuyên môn hóa đang tăng trưởng nhanh và có giá trị cao.
- AWS Certified Advanced Networking – Specialty (ANS-C01) — chứng chỉ cloud-networking sâu nhất trong ba nhà lớn. Bao gồm thiết kế VPC, Transit Gateway, Direct Connect, kết nối hybrid, Route 53, load balancer và network security ở quy mô lớn. Nó đòi hỏi kiến thức AWS trước; nên đậu AWS Certified Solutions Architect – Associate trước là lời khuyên mạnh.
- Microsoft Certified: Azure Network Engineer Associate (AZ-700) — thiết kế và triển khai networking trên Azure: VNet, VPN/ExpressRoute, load balancing, Azure DNS, Private Link và network security. Một credential cloud-networking mức trung vững chắc.
- Google Cloud Professional Cloud Network Engineer — thiết kế, triển khai và quản lý hạ tầng mạng GCP: VPC, Shared VPC, Cloud Interconnect/VPN, Cloud DNS và kết nối hybrid.
- Gợi ý cloud tổng quát — trước hoặc song song với các chuyên môn này, một chứng chỉ cloud mức foundational/associate (AWS Cloud Practitioner / Solutions Architect Associate, Azure Fundamentals AZ-900, hoặc Google Cloud Associate Cloud Engineer) cung cấp bối cảnh nền tảng mà các chứng chỉ networking chuyên biệt mặc định bạn đã có.
Chứng chỉ automation & liên quan DevOps
Network automation không còn là tùy chọn (xem ./17-network-automation.md). Cisco đã xây cả một chương trình xoay quanh nó.
- Cisco Certified DevNet Associate (DEVASC 200-901) — điểm khởi đầu: phát triển và thiết kế phần mềm, hiểu và dùng API, các nền tảng Cisco và phát triển trên đó, deploy/security ứng dụng, infrastructure và automation, và networking fundamentals. Hướng tới kỹ sư viết script chống lại các network API.
- Cisco Certified DevNet Professional / Expert — automation và phát triển nền tảng ở mức sâu hơn, phản chiếu cấu trúc CCNP/CCIE (core + concentration).
- Liên quan, không thuộc networking nhưng giá trị: các credential automation và cloud-native tổng quát như Certified Kubernetes Administrator (CKA), HashiCorp Terraform Associate và các chứng chỉ Ansible của Red Hat làm mạnh hồ sơ của một network engineer thiên về automation. (Xem các mục
kubernetes/vàdevops/trong repo.)
Best Practices
Chọn lộ trình của bạn
Không có một thứ tự đúng duy nhất, nhưng các nguyên tắc sau đúng với đa số mọi người:
- Bắt đầu vendor-neutral nếu bạn còn mới. CompTIA Network+ (và tùy chọn Security+) xây dựng khái niệm mà không khóa vào CLI. Nếu bạn đã nắm vững nền tảng, hãy nhảy thẳng tới CCNA.
- CCNA là chứng chỉ đơn có ROI cao nhất cho một sự nghiệp networking doanh nghiệp. Gần như mọi nhà tuyển dụng đều công nhận nó, và nó buộc bạn đi qua đúng độ rộng của topic 01–12 ở đây.
- Chuyên môn hóa ở tầng professional dựa trên nơi bạn muốn làm: CCNP Enterprise cho routing/switching, CCNP Security hoặc Fortinet/Palo Alto cho security, chứng chỉ cloud chuyên biệt nếu bạn hướng tới môi trường cloud-first.
- Thêm automation sớm, đừng để cuối. Ngay cả CCNA giờ cũng thi programmability. DevNet Associate + luyện Python/Ansible thật khiến bạn nổi bật.
- Khớp chứng chỉ với tin tuyển dụng ở thị trường/khu vực mục tiêu. Tìm các tin thật cho vị trí bạn muốn và đảo ngược ra các chứng chỉ được yêu cầu. Ở một số khu vực/ngành CCNA thống trị; ở nơi khác Fortinet hoặc chứng chỉ cloud lại quan trọng hơn.
Lộ trình học gợi ý (ánh xạ vào bộ kiến thức này)
Phần này gắn các chứng chỉ vào 18 topic ở đây, với một cột mốc thực hành ở mỗi giai đoạn. Hãy làm lab, đừng chỉ đọc.
Giai đoạn 0 — Nền tảng (topic 01–06). Mạng hoạt động ra sao, types/topologies, mô hình OSI/TCP-IP, devices, IP addressing & subnetting, core protocols.
- Chứng chỉ mục tiêu: CompTIA Network+.
- Cột mốc: Trong Packet Tracer, dựng một LAN nhỏ với hai subnet, một router và một switch; cho host ở các subnet khác nhau ping được nhau. Subnet một /24 bằng tay thành sáu subnet dùng được mà không cần máy tính.
Giai đoạn 1 — Routing & switching cốt lõi (topic 07–10). Routing (static, OSPF, BGP cơ bản), switching (VLAN, STP, EtherChannel), redundancy/HA, wireless.
- Chứng chỉ mục tiêu: CCNA (200-301).
- Cột mốc: Trong GNS3/EVE-NG, dựng một area OSPF ba router, thêm inter-VLAN routing trên một switch Layer 3, cấu hình một EtherChannel, và cố tình phá một link để xem quá trình reconvergence.
Giai đoạn 2 — Security & services (topic 11–14). Network security, DNS/DHCP/NAT và services, monitoring/observability, QoS/performance.
- Chứng chỉ mục tiêu: CompTIA Security+ và/hoặc core CCNP Security; chứng chỉ firewall của vendor (PCNSA / Fortinet FCP) nếu thiên về security.
- Cột mốc: Cấu hình ACL và một site-to-site IPsec VPN trong lab; dựng một firewall (VM pfSense/FortiGate) và viết policy rule; bắt và phân tích traffic trong Wireshark (xem ./11-network-security.md và ./15-tools-and-troubleshooting.md).
Giai đoạn 3 — Tools & troubleshooting (topic 15). Wireshark, packet capture, phương pháp troubleshooting có cấu trúc.
- Chứng chỉ mục tiêu: củng cố tất cả những gì ở trên (troubleshooting có mặt trong mọi kỳ thi).
- Cột mốc: Cho một topology lab bị lỗi do người khác dựng (hoặc do bạn tự phá), chẩn đoán nó theo hướng top-down và bottom-up bằng ping/traceroute/show command và packet capture. Viết bản postmortem.
Giai đoạn 4 — Cloud & automation (topic 16–17). Cloud networking (VPC, peering, hybrid), network automation (Python, Ansible, API, IaC).
- Chứng chỉ mục tiêu: AWS Advanced Networking Specialty / Azure AZ-700 / GCP Network Engineer; Cisco DevNet Associate.
- Cột mốc: Dựng một VPC multi-AZ với public/private subnet và một NAT gateway trong tài khoản cloud free-tier; sau đó tự động hóa toàn bộ bằng Terraform và đẩy cấu hình thiết bị bằng Ansible lên một topology Containerlab (xem ./16-cloud-networking.md và ./17-network-automation.md).
Giai đoạn 5 — Expert (topic 18 → sự nghiệp). Chuyên môn hóa sâu.
- Chứng chỉ mục tiêu: CCIE (Enterprise/Security/DC), các concentration CCNP, chứng chỉ cloud pro.
- Cột mốc: Thiết kế một mạng end-to-end có tính chịu lỗi trên giấy (campus + WAN + cloud + security), sau đó dựng càng nhiều càng tốt trong khả năng lab của bạn. Đây là tư duy kiến trúc, không chỉ là cấu hình.
Tóm tắt roadmap chứng chỉ
| Tầng | Vendor-neutral | Cisco | Cloud | Automation |
|---|---|---|---|---|
| Foundation | CompTIA Network+ / Security+ | CCST | Cloud Practitioner / AZ-900 | — |
| Associate | — | CCNA | GCP Associate Cloud Engineer | DevNet Associate |
| Professional | — | CCNP (Enterprise/Security/…) | AWS ANS-C01, AZ-700, GCP Pro Network | DevNet Professional |
| Expert | — | CCIE | — | DevNet Expert |
| Architect | — | CCDE / CCArch | — | — |
Tài nguyên học & thực hành
- Tài liệu chính thức của vendor — Cisco Networking Academy (khóa học miễn phí + Packet Tracer), sách Cisco Press (bộ official cert guide rất xuất sắc), CompTIA CertMaster, Open Learning miễn phí của Juniper, portal đào tạo miễn phí của Fortinet, và documentation của vendor. Docs của vendor là chân lý gốc — hãy đọc, đừng chỉ tin các bản exam cram.
- Nền tảng video/khóa học — các giảng viên độc lập được đánh giá cao (ví dụ Jeremy’s IT Lab cho nội dung CCNA miễn phí, David Bombal, Chris Bryant, INE, CBT Nuggets, Boson). Chọn một khóa chính và học hết thay vì gom nhiều khóa.
- Đề thi thử — Boson ExSim là chuẩn vàng cho Cisco. Đề thi thử cho bạn thấy cách một kỳ thi đặt câu hỏi, đây là một kỹ năng riêng so với việc nắm kiến thức. Đừng bao giờ học thuộc brain-dump: chúng vi phạm chính sách thi và tạo ra paper engineer.
- Lab — Packet Tracer (mới bắt đầu), GNS3/EVE-NG (đa vendor trung thực), Containerlab (automation), cộng thêm một home lab vật lý nếu có điều kiện. Xem ./15-tools-and-troubleshooting.md.
- RFC và tiêu chuẩn — để có chiều sâu thật, hãy đọc nguồn gốc: RFC 791/793 (IP/TCP), RFC 826 (ARP), RFC 2328 (OSPFv2), RFC 4271 (BGP-4), RFC 1918 (private addressing), RFC 8200 (IPv6). Kỳ thi đơn giản hóa; RFC mới là nguồn có thẩm quyền.
- Cộng đồng — r/networking và r/ccna trên Reddit, Cisco Learning Network, Network Engineering Stack Exchange, các forum của vendor, và các meetup networking địa phương. Học ra tiếng (viết blog về những gì mình học, trả lời câu hỏi của người khác) là một trong những cách nhanh nhất để củng cố kiến thức và được chú ý.
- Chính cái roadmap — roadmap.sh/network-engineer là một checklist sống của mọi thứ trải dài từ topic 01–18 ở đây; dùng nó để tìm lỗ hổng.
Những sai lầm thường gặp cần tránh
- Gom chứng chỉ mà không có giờ lab. Một bức tường huy hiệu cộng với một CLI đơ người là hình ảnh tệ. Hãy lab mọi thứ.
- Đuổi theo CCIE quá sớm. Đó là kỳ thi expert; không có nhiều năm nền tảng thì đó là tiền và thời gian đổ sông. Đậu CCNA và có kinh nghiệm thật trước đã.
- Bỏ qua automation. Ngành đã dịch chuyển; một network engineer không biết viết script ngày càng bị giới hạn. Bắt đầu với Python và Ansible sớm (./17-network-automation.md).
- Để chứng chỉ hết hạn. Chứng chỉ Cisco/CompTIA có thời hạn. Lên kế hoạch gia hạn qua tín chỉ CE hoặc thi lại trước hạn.
- Chỉ học để thi. Mục tiêu là năng lực; chứng chỉ là sản phẩm phụ. Tối ưu cho sự thấu hiểu thì kỳ thi tự lo được cho nó.
Tài liệu tham khảo
- roadmap.sh/network-engineer — roadmap mà bộ kiến thức này bám theo
- Tổng quan chứng chỉ Cisco — CCST, CCNA, CCNP, CCIE, DevNet
- CompTIA Network+ và CompTIA Security+
- Juniper Certification Program (JNCP)
- Fortinet NSE / FCP Certification Program và Palo Alto Networks Certifications
- AWS Certified Advanced Networking – Specialty, Azure Network Engineer Associate (AZ-700), và Google Professional Cloud Network Engineer
- Cisco Learning Network và r/networking wiki — cộng đồng học tập
Part of the Network Engineer Roadmap knowledge base.
Overview
Networking is one of the few IT disciplines where certifications still carry real weight. Unlike software development — where a portfolio of shipped projects usually speaks louder than any badge — networking has historically been dominated by vendor certification programs (Cisco above all), and many job descriptions still list “CCNA required” or “CCNP preferred” as hard filters. Understanding why that is true, and how much a certification is actually worth versus hands-on experience, is the first step to planning a career.
A certification is a proxy for knowledge, not a substitute for it. It tells a hiring manager, “this person sat an exam and could, on that day, answer questions about subnetting, OSPF, VLANs, and ACLs.” What it does not tell them is whether you can troubleshoot a flapping BGP session at 2 a.m., design a resilient campus network, or automate a fleet of switches. Those come from doing the work. The most employable network engineers pair a respected certification with a demonstrable body of hands-on practice — a home lab, a GitHub of automation scripts, war stories from real outages.
This note lays out the major certification tracks (vendor-neutral, Cisco, other vendors, cloud, automation), compares them in tables, and then ties them to a concrete learning path that maps onto topics 01–17 of this knowledge base. Wherever a certification maps to a skill, we point you to the note where you can actually learn and practice it — especially ./15-tools-and-troubleshooting.md for labs and simulators, ./11-network-security.md for security, ./16-cloud-networking.md for cloud, and ./17-network-automation.md for automation.
Fundamentals
Certifications vs. hands-on experience
Think of the two as complementary, not competing:
| Certifications give you | Hands-on experience gives you |
|---|---|
| A structured curriculum — you learn topics you’d otherwise skip | Intuition — you feel when something is wrong before you can explain it |
| A signal recruiters and ATS keyword filters look for | Proof you can operate under pressure and ambiguity |
| A common vocabulary shared across the industry | Depth on the specific gear and topologies your employer runs |
| Access to some jobs that gate on them (government, MSPs, partners) | Portfolio material: scripts, diagrams, blog posts, outage postmortems |
The healthy sequence for most people is: learn the theory → validate it with a cert → cement it with a lab → repeat at the next level. A cert with zero lab time behind it produces “paper” engineers who freeze in front of a live CLI; lab time with no structured study produces engineers with dangerous blind spots (they know what they’ve touched and nothing else). You want both.
How to actually learn networking
Reading is necessary but nowhere near sufficient. Networking is a doing discipline. The single highest-leverage habit is to build and break things in a lab. Options, from lowest to highest fidelity:
- Packet-level simulators — Cisco Packet Tracer. Free (with a Cisco Networking Academy account), lightweight, ideal for CCNA-level topologies, VLANs, basic routing, and ACLs. It simulates device behavior, so some advanced features are missing, but it is unbeatable for beginners.
- Full network emulators — GNS3 and EVE-NG. These run real vendor images (IOS, IOS-XE, NX-OS, Junos, Arista EOS, FortiOS, PAN-OS) as VMs/containers, so behavior is faithful. Steeper setup, heavier on RAM/CPU. Essential for CCNP/CCIE-level practice and multi-vendor labs.
- Containerized labs — Containerlab. Spins up network operating systems as containers, wired together via YAML topology files. Fast, version-controllable, and the natural fit for practicing automation (see ./17-network-automation.md).
- A physical home lab — a couple of used enterprise switches/routers off the secondhand market plus a console cable. Nothing teaches cabling, power, out-of-band console access, and the smell of a fan-failing switch like real hardware. Overkill for exams, invaluable for instinct.
- Cloud sandboxes — free-tier accounts on AWS/Azure/GCP to build VPCs, subnets, route tables, and peering (see ./16-cloud-networking.md). Modern networking is increasingly virtual.
The detailed tooling — Wireshark, ping/traceroute/mtr, tcpdump, iperf, the emulators above — is covered in depth in ./15-tools-and-troubleshooting.md. Treat that note as your lab manual.
A practical rhythm: for every concept you read, reproduce it in a lab, then deliberately break it and observe the failure. Configure OSPF, then shut down a link and watch the LSAs propagate and the routing table reconverge. Set up a trunk, then mismatch the native VLAN and read the CDP error. The muscle memory and the “aha” moments from breakage are where real learning happens.
The certification hierarchy
Most vendor programs share a common ladder. Understanding the tiers lets you compare across vendors:
- Foundation / Entry — vendor-neutral or vendor-entry. Proves you understand core concepts (OSI, IP, subnetting, cabling). Examples: CompTIA Network+, Cisco CCST.
- Associate — first serious professional tier. You can configure and troubleshoot a small-to-medium network. The flagship is Cisco CCNA.
- Professional — deep, often specialized (Enterprise, Security, Data Center, Service Provider). You can design and operate complex networks. Example: Cisco CCNP.
- Expert — the top tier, historically a grueling multi-hour hands-on lab exam. Signals mastery. Example: Cisco CCIE.
- Architect — rare, design-focused, above expert (e.g., CCDE / Cisco Certified Architect).
Key Concepts
Vendor-neutral foundations
Vendor-neutral certs teach concepts that transfer to any equipment. They are the ideal starting point because they don’t lock you into one company’s CLI before you understand the fundamentals.
- CompTIA Network+ (N10-009) — the canonical vendor-neutral foundation. Covers networking concepts, infrastructure/cabling, network operations, security basics, and troubleshooting. It is broad and shallow by design, and it maps almost one-to-one onto topics 01–06 of this knowledge base. Many employers accept it in place of, or before, CCNA. No formal prerequisites; CompTIA recommends about 9–12 months of experience but that is not enforced.
- CompTIA Security+ (SY0-701) — the vendor-neutral security foundation. Not a networking cert per se, but hugely valuable because so much of a network engineer’s job is security: ACLs, firewalls, VPNs, segmentation, zero trust (all in ./11-network-security.md). Security+ satisfies U.S. DoD 8570/8140 baseline requirements, which makes it near-mandatory for many government and defense-contractor roles.
- CompTIA A+ — hardware/OS fundamentals; sometimes a stepping stone for people entering IT from scratch, below Network+.
The Cisco track
Cisco still dominates enterprise networking, and its certifications are the most recognized in the field. In 2020 Cisco overhauled the program: there is now a single CCNA (no more separate CCENT or specializations), and CCNP requires one core exam plus one concentration exam.
- CCNA (200-301) — the associate flagship and the most valuable single cert for a new network engineer. One exam covering network fundamentals, IP connectivity (routing, OSPF), IP services, security fundamentals, switching (VLANs, STP, EtherChannel), wireless basics, and — notably — automation and programmability (REST APIs, JSON, Ansible/Puppet/Chef awareness, controller-based networking). No formal prerequisites. This is the target for most people finishing topics 01–12 of this knowledge base.
- CCNP Enterprise — the professional tier for enterprise routing/switching. Requires the core exam 350-401 ENCOR (advanced routing, VPNs, infrastructure security, automation, virtualization) plus one concentration exam (e.g., 300-410 ENARSI for advanced routing/services, 300-415 ENSDWI for SD-WAN, 300-420 ENSLD for design, 300-425 ENWLSD / 300-430 ENWLSI for wireless). Passing ENCOR also serves as the written qualifier for the CCIE Enterprise lab.
- CCNP Security, Data Center, Service Provider, Collaboration — same structure (one core + one concentration) for other domains. CCNP Security (core 350-701 SCOR) is especially relevant to network engineers moving toward firewalls, VPNs, and NAC.
- CCIE (Expert) — the legendary top tier. Requires passing a qualifying written exam (the relevant CCNP core) and then an 8-hour hands-on lab where you design, deploy, operate, and troubleshoot a complex network live. Tracks include CCIE Enterprise Infrastructure, CCIE Security, CCIE Data Center, CCIE Service Provider, and CCIE Collaboration. It is a serious, expensive, months-to-years undertaking that materially changes earning potential.
- CCST (Cisco Certified Support Technician) — a newer entry-level cert (Networking / Cybersecurity) that sits below CCNA, aimed at students and career-changers.
- CCDE / Cisco Certified Design Expert and Cisco Certified Architect — design/architecture tiers at and above expert level.
Cisco certification ladder
| Level | Certification | Exam(s) | Prerequisites |
|---|---|---|---|
| Entry | CCST Networking | CCST | None |
| Associate | CCNA | 200-301 | None (recommended: 1 yr experience) |
| Professional | CCNP Enterprise | 350-401 ENCOR + 1 concentration | None enforced (CCNA recommended) |
| Professional | CCNP Security | 350-701 SCOR + 1 concentration | None enforced |
| Expert | CCIE Enterprise Infrastructure | ENCOR written + 8-hr lab | Pass the written qualifier |
| Architect | CCDE / CCArch | Written + practical/board | Expert-level knowledge |
Note: Cisco certifications expire (typically 3 years) and are renewed by re-examination or Continuing Education (CE) credits.
Other vendors
The enterprise is increasingly multi-vendor. Knowing more than Cisco makes you flexible and often more employable, especially in data centers, service providers, and security-heavy shops.
- Juniper — strong in service provider and data center. JNCIA-Junos (associate, entry to the Junos OS), then JNCIS (specialist), JNCIP (professional), JNCIE (expert). If you’ll work with Junos, learning its config model (candidate config,
commit, hierarchical structure) alongside Cisco IOS is very valuable. - Arista — dominant in modern high-performance data centers; EOS is Linux-based and extremely automation-friendly. ACE (Arista Certified Engineer) program, levels 1–7+.
- Fortinet — a leader in firewalls/UTM. The NSE (Network Security Expert) program runs NSE 1–8; the associate/professional certs now branch into FCA/FCP/FCSS (Fortinet Certified Associate/Professional/Solution Specialist). Highly relevant for security-focused network engineers.
- Palo Alto Networks — premium next-gen firewalls. PCNSA (associate, network security administrator) and PCNSE (engineer, the flagship). Very sought-after in security roles.
- Aruba (HPE) — wireless and campus. ACA/ACP/ACX (Aruba Certified Associate/Professional/Expert) across Switching, Mobility (wireless), and ClearPass (NAC/security).
- VMware — for virtual/overlay networking: VCP-NV / VCAP-NV (NSX). Increasingly relevant as data-center networking virtualizes.
Multi-vendor comparison
| Vendor | Entry / Associate | Professional | Expert | Primary focus |
|---|---|---|---|---|
| CompTIA | Network+, Security+ | — | — | Vendor-neutral fundamentals |
| Cisco | CCNA | CCNP (Enterprise/Security/DC/SP) | CCIE | Enterprise routing/switching, broad |
| Juniper | JNCIA-Junos | JNCIS / JNCIP | JNCIE | Service provider, data center |
| Arista | ACE-1/2 | ACE mid-tiers | ACE senior | Data center, automation |
| Fortinet | FCA / FCP (NSE 4) | FCSS (NSE 7) | NSE 8 | Firewall / network security |
| Palo Alto | PCNSA | PCNSE | — | Next-gen firewall |
| Aruba (HPE) | ACA | ACP | ACX | Wireless, campus, NAC |
Cloud networking certifications
As workloads move to the cloud, “network engineer” increasingly means designing VPCs, transit gateways, private connectivity, DNS, and load balancing in the cloud (see ./16-cloud-networking.md). Cloud networking certs are a fast-growing, high-value specialization.
- AWS Certified Advanced Networking – Specialty (ANS-C01) — the deepest cloud-networking cert of the three majors. Covers VPC design, Transit Gateway, Direct Connect, hybrid connectivity, Route 53, load balancers, and network security at scale. It expects prior AWS knowledge; passing the associate-level AWS Certified Solutions Architect – Associate first is strongly advised.
- Microsoft Certified: Azure Network Engineer Associate (AZ-700) — designs and implements Azure networking: VNets, VPN/ExpressRoute, load balancing, Azure DNS, Private Link, and network security. A solid mid-level cloud-networking credential.
- Google Cloud Professional Cloud Network Engineer — designs, implements, and manages GCP network infrastructure: VPCs, Shared VPC, Cloud Interconnect/VPN, Cloud DNS, and hybrid connectivity.
- General cloud pointer — before or alongside these specialties, a foundational/associate cloud cert (AWS Cloud Practitioner / Solutions Architect Associate, Azure Fundamentals AZ-900, or Google Cloud Associate Cloud Engineer) gives you the platform context the networking specialties assume.
Automation & DevOps-adjacent certifications
Network automation is no longer optional (see ./17-network-automation.md). Cisco built a whole program around it.
- Cisco Certified DevNet Associate (DEVASC 200-901) — the entry point: software development and design, understanding and using APIs, Cisco platforms and development, application deployment/security, infrastructure and automation, and networking fundamentals. Aimed at engineers who script against network APIs.
- Cisco Certified DevNet Professional / Expert — deeper automation and platform development, mirroring the CCNP/CCIE structure (core + concentration).
- Adjacent, non-networking but valuable: general automation and cloud-native credentials such as the Certified Kubernetes Administrator (CKA), HashiCorp Terraform Associate, and Red Hat Ansible certifications strengthen an automation-focused network engineer’s profile. (See the repo’s
kubernetes/anddevops/sections.)
Best Practices
Choosing your path
There is no single correct order, but these principles hold for most people:
- Start vendor-neutral if you’re new. CompTIA Network+ (and optionally Security+) builds concepts without CLI lock-in. If you already grasp the fundamentals, skip straight to CCNA.
- CCNA is the highest-ROI single certification for a career in enterprise networking. Almost every hiring manager recognizes it, and it forces you through the exact breadth in topics 01–12 here.
- Specialize at the professional tier based on where you want to work: CCNP Enterprise for routing/switching, CCNP Security or Fortinet/Palo Alto for security, cloud specialties if you’re headed to a cloud-first shop.
- Add automation early, not last. Even the CCNA now tests programmability. DevNet Associate + real Python/Ansible practice sets you apart.
- Match certs to job postings in your target market/region. Search real listings for the roles you want and reverse-engineer the demanded certs. In some regions/sectors CCNA dominates; in others Fortinet or cloud certs matter more.
A suggested learning path (mapped to this knowledge base)
This ties the certs to the 18 topics here, with a hands-on milestone at each stage. Do the lab, don’t just read.
Stage 0 — Foundations (topics 01–06). How networks work, types/topologies, OSI/TCP-IP models, devices, IP addressing & subnetting, core protocols.
- Cert target: CompTIA Network+.
- Milestone: In Packet Tracer, build a small LAN with two subnets, a router, and a switch; make hosts on different subnets ping each other. Subnet a /24 by hand into six usable subnets without a calculator.
Stage 1 — Routing & switching core (topics 07–10). Routing (static, OSPF, BGP basics), switching (VLANs, STP, EtherChannel), redundancy/HA, wireless.
- Cert target: CCNA (200-301).
- Milestone: In GNS3/EVE-NG, build a three-router OSPF area, add inter-VLAN routing on a Layer 3 switch, configure an EtherChannel, and deliberately break a link to watch reconvergence.
Stage 2 — Security & services (topics 11–14). Network security, DNS/DHCP/NAT and services, monitoring/observability, QoS/performance.
- Cert target: CompTIA Security+ and/or CCNP Security core; vendor firewall cert (PCNSA / Fortinet FCP) if security-focused.
- Milestone: Configure ACLs and a site-to-site IPsec VPN in the lab; stand up a firewall (pfSense/FortiGate VM) and write policy rules; capture and analyze the traffic in Wireshark (see ./11-network-security.md and ./15-tools-and-troubleshooting.md).
Stage 3 — Tools & troubleshooting (topic 15). Wireshark, packet capture, structured troubleshooting methodology.
- Cert target: reinforces all of the above (troubleshooting is on every exam).
- Milestone: Given a broken lab topology someone else built (or one you sabotage), diagnose it top-down and bottom-up using ping/traceroute/show commands and packet capture. Write the postmortem.
Stage 4 — Cloud & automation (topics 16–17). Cloud networking (VPCs, peering, hybrid), network automation (Python, Ansible, APIs, IaC).
- Cert targets: AWS Advanced Networking Specialty / Azure AZ-700 / GCP Network Engineer; Cisco DevNet Associate.
- Milestone: Build a multi-AZ VPC with public/private subnets and a NAT gateway in a free-tier cloud account; then automate the whole thing with Terraform and push device config with Ansible against a Containerlab topology (see ./16-cloud-networking.md and ./17-network-automation.md).
Stage 5 — Expert (topic 18 → career). Deep specialization.
- Cert targets: CCIE (Enterprise/Security/DC), CCNP concentrations, cloud pro certs.
- Milestone: Design an end-to-end resilient network on paper (campus + WAN + cloud + security), then build as much of it as your lab allows. This is architecture thinking, not just configuration.
Certification roadmap summary
| Tier | Vendor-neutral | Cisco | Cloud | Automation |
|---|---|---|---|---|
| Foundation | CompTIA Network+ / Security+ | CCST | Cloud Practitioner / AZ-900 | — |
| Associate | — | CCNA | GCP Associate Cloud Engineer | DevNet Associate |
| Professional | — | CCNP (Enterprise/Security/…) | AWS ANS-C01, AZ-700, GCP Pro Network | DevNet Professional |
| Expert | — | CCIE | — | DevNet Expert |
| Architect | — | CCDE / CCArch | — | — |
Study resources & practice
- Official vendor material — Cisco Networking Academy (free courses + Packet Tracer), Cisco press books (the official cert guides are excellent), CompTIA CertMaster, Juniper’s free Open Learning, Fortinet’s free training portal, and vendor documentation. Vendor docs are the ground truth — read them, don’t just trust exam crams.
- Video/course platforms — well-regarded independent instructors (e.g., Jeremy’s IT Lab for free CCNA content, David Bombal, Chris Bryant, INE, CBT Nuggets, Boson). Pick one primary course and finish it rather than collecting many.
- Practice exams — Boson ExSim is the gold standard for Cisco. Practice tests reveal how an exam asks questions, which is a distinct skill from knowing the material. Never memorize brain-dumps: they are against exam policy and produce paper engineers.
- Labs — Packet Tracer (beginner), GNS3/EVE-NG (faithful multi-vendor), Containerlab (automation), plus a physical home lab if you can. See ./15-tools-and-troubleshooting.md.
- RFCs and standards — for real depth, read the primary sources: RFC 791/793 (IP/TCP), RFC 826 (ARP), RFC 2328 (OSPFv2), RFC 4271 (BGP-4), RFC 1918 (private addressing), RFC 8200 (IPv6). Exams simplify; RFCs are authoritative.
- Communities — r/networking and r/ccna on Reddit, the Cisco Learning Network, Network Engineering Stack Exchange, vendor forums, and local network meetups. Learning out loud (blogging what you study, answering others’ questions) is one of the fastest ways to solidify knowledge and get noticed.
- The roadmap itself — roadmap.sh/network-engineer is a living checklist of everything covered across topics 01–18 here; use it to find gaps.
Common mistakes to avoid
- Collecting certs with no lab time. A wall of badges and a frozen CLI is a bad look. Lab everything.
- Chasing CCIE too early. It’s an expert exam; without years of foundation it’s wasted money and time. Earn CCNA and real experience first.
- Ignoring automation. The field has moved; a network engineer who can’t script is increasingly limited. Start with Python and Ansible early (./17-network-automation.md).
- Letting certs lapse. Cisco/CompTIA certs expire. Plan renewal via CE credits or re-exam before the deadline.
- Studying only for the exam. The goal is competence; the cert is a byproduct. Optimize for understanding and the exam takes care of itself.
References
- roadmap.sh/network-engineer — the roadmap this knowledge base follows
- Cisco Certifications overview — CCST, CCNA, CCNP, CCIE, DevNet
- CompTIA Network+ and CompTIA Security+
- Juniper Certification Program (JNCP)
- Fortinet NSE / FCP Certification Program and Palo Alto Networks Certifications
- AWS Certified Advanced Networking – Specialty, Azure Network Engineer Associate (AZ-700), and Google Professional Cloud Network Engineer
- Cisco Learning Network and r/networking wiki — study communities