CCNA-132 · 理解確認
DHCP Snooping · 理解確認
試験項目 4.7.a · 20問
DHCP Snoopingの主な役割として適切なのはどれか。
B. Untrusted PortのARPをIP-MAC Bindingと照合して破棄する
C. Host-facing PortのIPv6 RAをDevice Roleに基づいて検査する
D. Switchportで許可するSource MAC Address数を制限する
答えと解説
答え：A
DHCP SnoopingはDHCP Messageを検査し、Rogue DHCP ServerからClientを保護します。
Client VLANでRogue DHCP Serverが不正なDefault Gatewayを配布している。直接対策となるLayer 2 Security機能はどれか。
B. DHCP Snooping
C. IPv6 RA Guard
D. Port Security
答えと解説
答え：B
不正なDHCP Server Messageを遮断する目的にはDHCP Snoopingを使用します。
DHCP Snooping機能をSwitch全体で有効化するCommandはどれか。
B. ip dhcp snooping trust
C. ip dhcp snooping
D. switchport port-security
答えと解説
答え：C
Global Enableはip dhcp snoopingです。
VLAN 20を指定済みだが、DHCP SnoopingのGlobal Enableがない。必要な追加設定はどれか。
B. ip arp inspection vlan 20
C. storm-control level 20
D. ip dhcp snooping
答えと解説
答え：D
VLAN指定に加えてGlobalのip dhcp snoopingが必要です。
DHCP SnoopingをVLAN 30で有効化するCommandはどれか。
B. ip dhcp snooping 30
C. ip arp inspection vlan 30
D. switchport vlan snooping 30
答えと解説
答え：A
対象VLANはip dhcp snooping vlanで指定します。
GlobalでDHCP Snoopingは有効だがVLAN 40だけ保護対象になっていない。最初に確認すべき設定はどれか。
B. ip dhcp snooping vlan 40 の有無
C. storm-control broadcast level の有無
D. switchport port-security maximum の値
答えと解説
答え：B
Global Enableだけでなく対象VLAN指定が必要です。
DHCP SnoopingでInterfaceにip dhcp snooping trustを設定した場合の意味はどれか。
B. そのPortで受信するDHCP Messageを種類に関係なくすべて破棄する
C. そのL2 Portで受信するDHCP Server Messageを信頼経路として扱う
D. そのPortでDynamic ARP Inspectionを自動的に有効化する
答えと解説
答え：C
Trusted Portは、正当なDHCP Server Messageを受信するL2経路として扱います。
DHCP Snooping対象SwitchportのデフォルトTrust状態として適切なのはどれか。
B. Router role
C. Protect
D. Untrusted
答えと解説
答え：D
DHCP SnoopingのSwitchportはデフォルトUntrustedです。
Access SwitchでGi1/0/48が正当なDHCP Server側Distribution SwitchへのL2 Uplinkである。典型的な設定判断はどれか。
B. 全Client-facing PortをTrustedにする
C. Trunk Portをすべて自動的にTrustedにする
D. VLAN内の全PortをTrustedにする
答えと解説
答え：A
TrustはTrunk種別ではなく、正当なDHCP Server Messageを受信する経路に基づきます。
DHCP Snoopingで「Trunk Portなら必ずTrusted」とする設計が不適切な理由はどれか。
B. TrustはDHCP Server Messageを受信する正当なL2経路かどうかで決めるため
C. Trunk PortではDHCP Server Messageを一切受信できない仕組みだから
D. Trusted PortではDHCP Client Messageだけを許可する動作になるため
答えと解説
答え：B
TrustはPort種別ではなく、DHCP Server Messageを受信する正当なL2経路かどうかで判断します。
一般的なClient-facing Access PortのDHCP Snooping設定として適切なのはどれか。
B. Router Roleに変更する
C. Untrustedのままにする
D. Rate Limitを無効にする
答えと解説
答え：C
Client-facing Portは通常Untrustedのまま使用します。
Client PCを接続するPortを誤ってTrustedにした。最も問題となる影響はどれか。
B. ARP Request / ReplyがDHCP Snoopingによってすべて破棄される
C. そのPortのDHCP Rate Limitが自動的に0 ppsへ変更される
D. そのPortからの不正なDHCP Server MessageをSnoopingで遮断できなくなる
答えと解説
答え：D
Client-facing PortをTrustedにすると、そこから届く不正なDHCP Server MessageをSnoopingで防げなくなります。
DHCP Snooping Binding Databaseに学習される情報の組合せとして適切なのはどれか。
B. ServerのPool・Lease・Excluded Address
C. RelayのHelper Address・Gateway・Interface
D. Trusted Port・Rate Limit・Enabled VLAN
答えと解説
答え：A
DHCP Snoopingは正常なDHCP割り当てからIP-MAC-VLAN-InterfaceなどをBindingとして学習します。
DHCP Snooping Binding DatabaseとDHCP Server Lease Databaseの関係として適切なのはどれか。
B. 別物であり、Snooping側はSwitchが観測したBindingを保持する
C. Binding DatabaseはDNS Resolver Cacheの別名である
D. Lease DatabaseはDAIが生成するARP Tableである
答えと解説
答え：B
Snooping BindingはSwitch側のSecurity情報で、Server Lease DBそのものではありません。
Client-facing PortでDHCP Messageの過剰送信を抑える設定として適切なのはどれか。
B. storm-control dhcp level <percent>
C. ip dhcp snooping limit rate <pps>
D. switchport port-security maximum <pps>
答えと解説
答え：C
DHCP Snooping Rate Limitはip dhcp snooping limit rateで設定します。
DHCP SnoopingのRate Limitを設計するときの説明として適切なのはどれか。
B. ARP PacketだけのRateを制御する
C. Unknown UnicastだけのBandwidthを制御する
D. Untrusted PortなどでDHCP Messageの過剰送信を制御する
答えと解説
答え：D
Rate LimitはPortで受信するDHCP Message Rateの制御です。
DHCP Snoopingの有効VLANやInterface Trust状態を確認する代表Commandはどれか。
B. show ip arp inspection
C. show port-security
D. show ipv6 nd raguard policy
答えと解説
答え：A
show ip dhcp snoopingでSnooping状態を確認します。
ClientのIP-MAC-VLAN-Interface Bindingを確認したい。代表Commandはどれか。
B. show ip dhcp snooping binding
C. show ip arp inspection
D. show ip dhcp snooping statistics
答えと解説
答え：B
学習済みBindingはshow ip dhcp snooping bindingで確認します。
DHCP Offerが正当なServerから到着するL2 Uplinkでだけ破棄されている。Snooping設定で優先して確認する項目はどれか。
B. Secure MAC Maximumが1か
C. そのUplinkがTrustedになっているか
D. RA Guardがrouter roleか
答えと解説
答え：C
正当なServer Messageを受信するL2 UplinkのTrust設定を確認します。
DAI導入前にDHCP ClientのBindingが正しく生成されているかを確認したい。最も直接的な確認情報はどれか。
B. show ip dhcp snooping statistics のDHCP Counter
C. running-config のDHCP Snooping設定内容
D. show ip dhcp snooping binding のBinding Entry
答えと解説
答え：D
DAIが利用する前提情報としてSnooping Binding Entryを直接確認します。