CCNA-129 · 理解確認
Extended ACL · 理解確認
試験項目 4.6 · 24問
Extended IPv4 ACLで直接Matchできる組合せとして適切なのはどれか。
B. Source・DestinationだけでProtocolは不可
C. Source・ProtocolだけでDestinationは不可
D. Destination・PortだけでSourceは不可
答えと解説
答え：A
Extended ACLはProtocol、Source、Destination、必要に応じてPortを直接条件にできます。
「10.1.1.0/24からServerへのHTTPSだけ」を1つのACEで識別したい。適するACL Typeはどれか。
B. Extended IPv4 ACL
C. Empty Named ACL
D. Routing Tableだけ
答えと解説
答え：B
この設問では「Extended ACL Match Fields」を判断するため、Source/Destination/Protocol/Portまで必要なのでExtended ACLです。
ACL 110を使い、10.1.1.0/24から192.0.2.10へのHTTPSだけを許可したい。追加するACEとして適切なのはどれか。
B. access-list 110 permit tcp any host 192.0.2.10
C. access-list 110 permit tcp 10.1.1.0 0.0.0.255 host 192.0.2.10 eq 443
D. access-list 110 permit udp 10.1.1.0 0.0.0.255 host 192.0.2.10 eq 443
答えと解説
答え：C
HTTPS要件ではtcp、正しいSource/Destination、Destination Port 443を組み合わせます。
access-list 150 deny udp any host 192.0.2.53 eq 53 は何を拒否するか。
B. 任意Sourceから192.0.2.53のTCP/53
C. ACL Sequence 53だけ
D. 任意Sourceから192.0.2.53のUDP/53へのTraffic
答えと解説
答え：D
この設問では「Numbered Extended ACL Syntax」を判断するため、Destination HostのUDP Port 53を拒否します。
設定例の空欄を埋める。Router(config)# ______ を実行した後、Router(config-ext-nacl)# でTCP/443 ACEを入力したい。適切なCommandはどれか。
B. access-list WEB extended
C. ip access-group extended WEB
D. ip extended-list WEB
答えと解説
答え：A
Named Extended ACL Modeへは ip access-list extended NAME で入ります。
Named Extended ACL WEB配下でHTTPS permitを書く基本形として適切なのはどれか。
B. permit tcp any host 192.0.2.10 eq 443
C. permit standard any 192.0.2.10
D. ip access-group WEB 443
答えと解説
答え：B
この設問では「Named Extended ACL Syntax」を判断するため、Extended ACL Modeではprotocol/source/destination/portを書けます。
Extended ACLのProtocol Fieldで ip を指定する意味として適切なのはどれか。
B. ICMP TrafficだけをProtocol条件として扱う
C. IPv4 Traffic全般をProtocol条件として扱う
D. UDP TrafficだけをProtocol条件として扱う
答えと解説
答え：C
Protocol FieldのipはIPv4 Traffic全般を表します。
TCP/443だけ許可したいのに permit ip any host 192.0.2.10 とした。問題はどれか。
B. Client Source Port 443だけへ限定される
C. SourceとDestinationが自動的に反転する
D. HTTPS以外のIPv4 Trafficまで許可範囲になる
答えと解説
答え：D
ipはTCP/443だけでなく広いIPv4 TrafficへMatchするため要件より広すぎます。
permit tcp any host 192.0.2.10 eq 443 のeq 443が条件にしているものはどれか。
B. Source TCP Port 443
C. ACL ACE Sequence 443
D. Destination UDP Port 443
答えと解説
答え：A
Destination指定の後ろにあるeq 443はDestination TCP Portを条件にします。
Client→Web Server HTTPSを許可するACEでeq 443をServer指定の後ろに置く理由はどれか。
B. Server側Destination Port 443を条件として指定するため
C. Source側Wildcard値443を条件として指定するため
D. ACL識別Number 443を条件として指定するため
答えと解説
答え：B
Server指定後のPort OperatorはDestination Port条件です。
permit tcp any eq 1024 host 192.0.2.10 のeq 1024は何を条件にするか。
B. ACL Number 1024
C. Source TCP Port 1024
D. Wildcard bit 1024
答えと解説
答え：C
この設問では「Source Port Position」を判断するため、Source指定の後ろにあるPort OperatorはSource Portです。
Source Portを誤ってeq 443に固定したため一般ClientのHTTPSが通らない。修正として適切なのはどれか。
B. Source Networkをhost指定へ変更してPort条件を残す
C. eq 443をSource指定の直後へもう一度追加する
D. eq 443をDestination Host指定の後ろへ移動する
答えと解説
答え：D
一般ClientのSource Portは可変なので、443はServer側Destination Portとして指定します。
10.10.10.0/24から203.0.113.10へのHTTPSだけpermitする条件として適切なのはどれか。
B. tcp・Source any・Destination Host・Port any
C. udp・Source 10.10.10.0/24・Destination Host・Port 53
D. ip・Source 10.10.10.0/24・Destination any・Port指定なし
答えと解説
答え：A
HTTPSだけを許可するにはtcp、正しいSource/Destination、Destination Port 443を指定します。
Web Server 203.0.113.10へHTTPSだけ許可しHTTPは拒否したい。permit ACEで指定すべきDestination Portはどれか。
B. TCP 443（HTTPS）
C. UDP 53（DNS）
D. TCP 22（SSH）
答えと解説
答え：B
HTTPSのDestination TCP Portは443です。
特定NetworkからServerへのICMPをpermitするExtended ACLでProtocol Fieldに使うのはどれか。
B. udp
C. icmp
D. ipだけが必須
答えと解説
答え：C
この設問では「ICMP Permit Construction」を判断するため、ICMPを限定するならicmpを使います。
permit icmp 10.1.0.0 0.0.255.255 host 192.0.2.10 の意味として適切なのはどれか。
B. 10.1.0.0/16から任意HostのUDPを許可
C. ICMPを全Sourceから拒否
D. 10.1.0.0/16から192.0.2.10へのICMPを許可する
答えと解説
答え：D
この設問では「ICMP Permit Construction」を判断するため、Source/DestinationとProtocolをそのまま読み取ります。
Client NetworkからDNS Server 192.0.2.53への通常UDP Queryを許可する要件で適切なのはどれか。
B. permit tcp <client-net> host 192.0.2.53 eq 443
C. permit ip host 192.0.2.53 <client-net>
D. permit udp any any eq 443
答えと解説
答え：A
この設問では「UDP DNS Permit Construction」を判断するため、通常のDNS UDP QueryはDestination UDP/53です。
DNS Clientの通常Queryを許可するACEを permit udp any eq 53 host 192.0.2.53 としたがHitしない。最も直接の問題はどれか。
B. eq 53がSource側にありClient Source Portを53へ限定している
C. Protocol udpではDNS Queryを条件にできない
D. Extended ACLではPort Operatorを利用できない
答えと解説
答え：B
Sourceの直後にeq 53を置くとSource Port 53を条件にしてしまいます。通常のClient QueryではDestination Port 53を条件にします。
不要TrafficをNetwork内部へ長く流さず、Source/Destination/Port条件で早期に除外したい。Extended ACLの一般的な配置はどれか。
B. Egress Directionへ必ず固定する
C. Sourceに近い位置へ置く
D. WAN側Interfaceへ必ず固定する
答えと解説
答え：C
Extended ACLは細かな条件で不要Trafficを早期DropできるためSource近くが一般原則です。
Extended ACLをSource近くへ置く主な利点はどれか。
B. Implicit Denyを自動的に無効化できる
C. Destination側まで不要Trafficを運んでからDropする
D. 不要TrafficをNetwork内へ流す前にDropしやすい
答えと解説
答え：D
Source近くで不要Trafficを早期にDropできる点が主な利点です。
要件はClient 10.1.1.0/24→Server 192.0.2.10。ACEでSource/Destinationを逆にした場合の典型的影響はどれか。
B. ACLが自動でReverse方向にも同じ条件でMatchする
C. Protocol Fieldだけが自動的に無視される
D. Wildcardが自動的にSubnet Maskへ変換される
答えと解説
答え：A
Extended ACLのSource/Destinationは実Trafficの方向どおりに記述する必要があります。
permit tcp host 192.0.2.10 10.1.1.0 0.0.0.255 eq 443 がClient→Server要件に合わない理由はどれか。
B. ServerをSource、Client NetworkをDestinationとして記述したため
C. Protocol tcpではHTTPS Trafficを条件にできないため
D. host keywordはSource Addressへ使用できないため
答えと解説
答え：B
実TrafficはClientがSource、ServerがDestinationなのでAddress Fieldが逆です。
Named Extended ACL WEBがGi0/0 outへ適用されているが、対象TrafficはGi0/0へ入ってくる。適用修正として適切なのはどれか。
B. ip access-list WEB in をInterface配下へ設定する
C. ip access-group WEB in をGi0/0へ適用する
D. access-list WEB interface in をGlobalで設定する
答えと解説
答え：C
対象TrafficがGi0/0へ入るならGi0/0 inboundで評価するよう ip access-group WEB in を検討します。
Extended ACLの内容は正しいがHit Counterが0。Traffic Pathが別Interfaceを通っている。最初に見直すべきものはどれか。
B. 全ACEをpermit any anyへ変更
C. Number Rangeを1–99へ変更
D. ACLの適用InterfaceとDirection
答えと解説
答え：D
この設問では「Extended ACL Interface Application」を判断するため、Trafficが通る位置へACLが適用されている必要があります。