CCNA-133 · 理解確認
Dynamic ARP Inspection · 理解確認
試験項目 4.7.b · 22問
Dynamic ARP Inspectionの主目的はどれか。
B. Untrusted PortからのDHCP Server Messageを検査して遮断する
C. Host-facing PortからのIPv6 RAをDevice Roleに基づいて遮断する
D. Switchportで許可するSource MAC Address数を制限する
答えと解説
答え：A
DAIはARPの正当性を検査するFirst-Hop Security機能です。
同一VLANで攻撃HostがGatewayのIPを自分のMACとしてARP Replyしている。直接対策となる機能はどれか。
B. Dynamic ARP Inspection
C. Storm Controlだけ
D. IPv6 RA Guardだけ
答えと解説
答え：B
ARP Spoofing対策にはDAIを使用します。
DAIをVLAN 20で有効化するCommandはどれか。
B. ip dhcp snooping vlan 20
C. ip arp inspection vlan 20
D. ipv6 nd raguard vlan 20
答えと解説
答え：C
DAIはip arp inspection vlanでVLAN単位に有効化します。
DAI設定でVLAN 30だけ検査対象になっていない。優先して確認するCommandはどれか。
B. switchport port-security
C. storm-control multicast level
D. ip arp inspection vlan 30
答えと解説
答え：D
対象VLANのDAI Enableを確認します。
DAIでTrusted Interfaceに設定したPortの基本動作はどれか。
B. そのPortのARPを必ずDHCP Bindingと照合して許可する
C. そのPortのARP Rate Limitを必ず15 ppsへ固定する
D. そのPortから受信するARPを種類に関係なくすべて破棄する
答えと解説
答え：A
Trusted Interfaceでは受信ARPがDAI検査をBypassします。
Client-facing PortをDAI Trustedにする範囲を広げ過ぎると何が問題か。
B. 不正ARPが検査をBypassできる範囲が増える
C. IPv6 RAが必ずDropされる
D. Storm Control Thresholdが0になる
答えと解説
答え：B
Trusted PortではARP検査をBypassするため、必要最小限にします。
DAIのUntrusted Portで検査対象となるTrafficとして適切なのはどれか。
B. IPv6 RA / Redirectだけ
C. ARP RequestとARP Reply
D. TCP SYN / ACKだけ
答えと解説
答え：C
DAIはUntrusted PortでARP RequestとARP Replyを検査できます。
Untrusted Portから不正なIP-MAC対応を持つARPが到着した場合のDAI動作はどれか。
B. Port SecurityのSecure MACとして学習する
C. DHCP Leaseを自動生成する
D. Validationに失敗したARPを破棄する
答えと解説
答え：D
検証に失敗したARPはDropされます。
DHCP ClientのARPをDAIが検証するとき、代表的に参照する情報はどれか。
B. ARP ACLに定義したStatic IP-MAC Entry
C. Interfaceに設定したDAI Trust State
D. DAI Statisticsに記録されたDrop Counter
答えと解説
答え：A
DHCP ClientではDHCP Snooping BindingのIP-MAC-VLAN-Interface情報を利用できます。
DHCP Snooping BindingとARPの送信元情報が一致しない。Untrusted Port上のDAIの判断として適切なのはどれか。
B. 不正ARPとして破棄する候補になる
C. Storm Controlに処理を移す
D. RA Guard Policyを自動生成する
答えと解説
答え：B
Bindingと整合しないARPはDAI Validation Failureとなります。
Static IP HostでDHCP Snooping Bindingが存在しない場合の注意点はどれか。
B. DAIはStatic Hostを自動Trustedにする
C. Binding前提だけでは正当なARPまで拒否する可能性がある
D. Static HostではVLAN設定が不要になる
答えと解説
答え：C
Static Hostには別途ARP ACLなどの扱いを検討します。
DAI対象VLANに固定IPのPrinterがある。DHCP Bindingがないことだけを理由にPortをTrustedへ変更する前に検討すべき方法はどれか。
B. Storm Controlをshutdownにする
C. Port Security Maximumを0にする
D. Static IP用ARP ACLで正当なBindingを定義する
答えと解説
答え：D
Static HostにはARP ACLを利用できます。
ARP ACL内で、Static Host 192.0.2.10 / 0011.2233.4455 の許可IP-MAC Pairを定義するEntryはどれか。
B. permit ip host 192.0.2.10 mac host 00aa.bbcc.ddee
C. permit ip host 192.0.2.20 mac host 0011.2233.4455
D. deny ip host 192.0.2.10 mac host 0011.2233.4455
答えと解説
答え：A
arp access-list <name>でARP ACL Modeへ入り、permit ip host ... mac host ...で許可IP-MAC Pairを定義します。
作成したARP ACL STATIC_HOSTSをVLAN 40のDAI検証へ関連付ける最小Commandはどれか。
B. ip arp inspection filter STATIC_HOSTS vlan 40
C. switchport port-security arp STATIC_HOSTS
D. ipv6 nd raguard attach-policy STATIC_HOSTS
答えと解説
答え：B
ip arp inspection filterでARP ACLをVLANへ適用します。
DAIでARP HeaderとEthernet HeaderのSource MAC整合性などを追加検証するCommandはどれか。
B. ip arp inspection check src-mac dst-mac ip
C. ip arp inspection validate src-mac dst-mac ip
D. ip arp inspection validate ethernet arp ip
答えと解説
答え：C
validate src-mac dst-mac ipで追加Validationを有効化できます。
Ethernet FrameのSource MACとARP HeaderのSender MACが一致しないARPを検出したい。該当するDAI追加Validationはどれか。
B. ip
C. arp-rate
D. src-mac
答えと解説
答え：D
src-mac ValidationはEthernet Source MACとARP Sender MACの整合性を確認します。
DAIのVLAN設定やTrust状態を確認する代表Commandはどれか。
B. show ip dhcp snooping bindingだけ
C. show port-security address
D. show storm-control history
答えと解説
答え：A
show ip arp inspectionでDAI状態を確認します。
DAIでDHCP ClientのARPがBinding不一致としてDropされている。Drop Counterと併せて優先照合する情報はどれか。
B. DHCP Snooping BindingのIP-MAC-VLAN-Interface
C. Untrusted PortのDAI Rate Limitとerror-disable状態
D. Static Host用ARP ACLのPermit EntryとVLAN適用状態
答えと解説
答え：B
DHCP ClientのBinding不一致では、DAI CounterとDHCP Snooping Bindingを照合します。
DHCP Clientの正当なARPがUntrusted PortでBinding不一致としてDropされる。DAIのVLAN Enableは正しい。最優先で確認する情報はどれか。
B. DAIのRate LimitがUnlimitedへ変更されていないかという設定状態
C. ClientのDHCP Snooping Bindingが正しく存在するかという登録状態
D. DAI StatisticsのDrop Counterが0へ戻っていないかという状態
答えと解説
答え：C
DHCP ClientのBinding不一致では、まず対応するDHCP Snooping Bindingが正しく存在するか確認します。
DAIを有効化したが不正ARPがInfrastructure側Portから通過する。最初に疑う設定として適切なのはどれか。
B. Port Security Maximumが大き過ぎないか
C. Storm Control action trapがないか
D. そのPortを不要にTrustedへ設定していないか
答えと解説
答え：D
Trusted PortではDAIをBypassするためTrust設定を確認します。
DAI Untrusted InterfaceのデフォルトARP Rate Limitとして適切なのはどれか。
B. 1 packet per second
C. 100 packets per second
D. Unlimited
答えと解説
答え：A
Untrusted Interfaceのデフォルトは15 ppsです。
DAIのARP Rate Limitを超過したUntrusted Portで起こる代表的な動作はどれか。
B. Interfaceがerror-disabledになる
C. DAIだけがVLAN全体で無効化される
D. Binding Databaseが自動削除される
答えと解説
答え：B
DAI Rate Limit超過はInterfaceをerror-disabledにします。