CCNA-136 · 理解確認
Port Security · 理解確認
試験項目 4.7.e · 26問
Port Securityの主目的はどれか。
B. DHCP Server Messageだけを検査する
C. Switchportで許可するSource MAC Addressを制限する
D. IPv6 Router Advertisementだけを検査する
答えと解説
答え:C
Port SecurityはSecure MACとViolation PolicyでSource MAC利用を制御します。
Access Portへ未許可Deviceが接続されることをMAC Address単位で抑止したい。直接使う機能はどれか。
B. IPv6 RA Guard
C. DHCP Snoopingだけ
D. Port Security
答えと解説
答え:D
Secure MACを使った端末制御にはPort Securityを使用します。
Port Securityを利用できるSwitchport Modeとして適切なのはどれか。
B. Dynamic Access PortまたはDynamic Auto Port
C. Layer 3 Routed PortまたはLoopback Port
D. SPAN Destination PortまたはRouted Port
答えと解説
答え:A
現行IOS XEではStatic Access PortまたはStatic Trunk PortでPort Securityを利用できます。
Dynamic Access PortでPort Securityを設定しようとしている。修正方針として適切なのはどれか。
B. Portを対応するStatic Switchport Modeへ変更してから設定する
C. Dynamic AccessのままStickyだけを追加設定する
D. Dynamic AccessのままViolation Modeだけを追加設定する
答えと解説
答え:B
Port Securityを利用できるStatic Switchport Modeへ変更してから設定します。
InterfaceでPort Securityを有効化するCommandはどれか。
B. ip port-security
C. switchport port-security
D. switchport secure-mac enable
答えと解説
答え:C
基本Enableはswitchport port-securityです。
Access Mode設定済みInterfaceでSecure MAC制御を開始したい。最初に必要なPort Security Commandはどれか。
B. show port-security
C. storm-control action shutdown
D. switchport port-security
答えと解説
答え:D
まず機能自体を有効化します。
Port SecurityのデフォルトMaximum Secure MAC数はどれか。
B. 2個のSecure MAC Address
C. 10個のSecure MAC Address
D. 無制限のSecure MAC Address
答えと解説
答え:A
デフォルトMaximumは1 Secure MAC Addressです。
IP Phone経由でPCも接続するPortにデフォルトMaximumのままPort Securityを入れた。複数Source MACが必要な場合の問題はどれか。
B. Default Maximum 1では追加MACがViolation原因になり得る
C. Maximum値はARP Rateを表すため複数Source MACには影響しない
D. Maximum値はVLAN数を表すため複数Source MACには影響しない
答えと解説
答え:B
Default Maximumは1なので、複数Source MACが必要なPortではMaximum設計が必要です。
Secure MAC Maximumを3へ変更するCommandはどれか。
B. switchport maximum secure 3
C. switchport port-security maximum 3
D. ip port-security limit 3
答えと解説
答え:C
maximumで許可Secure MAC数を設定します。
Portで正当なSource MACを2つ利用する必要がある。現在Maximum 1でViolationになる。直接の修正はどれか。
B. Sticky Learningを有効にしてMaximum 1のまま運用する
C. Static Secure MACを1件だけ登録してMaximum 1のまま運用する
D. switchport port-security maximum 2 以上へ変更する
答えと解説
答え:D
正当なSource MACを2つ許可する要件ならMaximumを2以上へ変更します。
Dynamic Secure MACの説明として適切なのはどれか。
B. 管理者が必ず手入力するMAC Address
C. DHCP Snooping Bindingから自動コピーされるMAC Address
D. RA Guard Policyから生成されるMAC Address
答えと解説
答え:A
Dynamic Secure MACはSecure Portで学習されます。
Port Security有効Portで明示Static/Sticky設定なしに最初の正当Host MACがSecureとして学習された。種類はどれか。
B. Dynamic Secure MAC
C. ARP ACL Entry
D. RA Guard Binding
答えと解説
答え:B
明示設定がなければDynamic Secure MACとして学習できます。
Static Secure MACを明示的に設定する構文として適切なのはどれか。
B. ip arp inspection secure mac-address <mac>
C. switchport port-security mac-address <mac>
D. storm-control secure mac-address <mac>
答えと解説
答え:C
Static Secure MACはswitchport port-security mac-address <mac>で設定します。
特定ServerのMACだけを事前にSecure MACとして固定したい。適切な方式はどれか。
B. Storm Control Broadcastを使用する
C. RA Guard Host Roleを使用する
D. Static Secure MACを明示設定する
答えと解説
答え:D
既知MACを事前登録するならStatic Secure MACです。
Sticky Secure MACを有効化するCommandはどれか。
B. switchport port-security sticky enable
C. switchport sticky-mac secure enable
D. switchport port-security dynamic sticky
答えと解説
答え:A
switchport port-security mac-address stickyでSticky Learningを有効化します。
Sticky Learningの特徴として適切なのはどれか。
B. 学習したSecure MACをrunning-configへ反映する
C. 学習MACをARP ACLだけへ追加する
D. 学習MACをstartup-configだけへ直接書き込む
答えと解説
答え:B
Stickyは動的学習をrunning-configへ反映します。
Stickyで学習したMACを再起動後も保持したい。必要な作業はどれか。
B. DAIをTrustedへ変更する
C. running-configをstartup-configへ保存する
D. Storm Control action trapを設定する
答えと解説
答え:C
Sticky MACはrunning-configに入るため、永続保持には設定保存が必要です。
Sticky MACがrunning-configにはあるがstartup-configへ保存せず再起動した。起こり得ることはどれか。
B. Secure PortのMaximum値だけが自動保存される
C. Sticky MACはARP ACLへ自動的に変換されて保持される
D. Sticky設定 / 学習MACが再起動後に保持されない
答えと解説
答え:D
Sticky Learningでrunning-configへ反映されても、startup-configへ保存しなければ再起動後の保持は保証されません。
Maximum Secure MAC数に到達後、未知Source MACからFrameを受信した。Port Security上の判断はどれか。
B. 必ず正常学習としてMaximumを自動拡張
C. DAI Validation Success
D. RA Guard Redirect
答えと解説
答え:A
Maximum超過につながる未知Source MACはViolationになります。
MAC Aが同一VLANのSecure Port Gi1/0/1に登録済みで、別Secure Port Gi1/0/2からMAC Aを観測した。判断はどれか。
B. Security Violation
C. Storm Control Violation
D. DHCP Snooping Trust Event
答えと解説
答え:B
同一VLANで別Secure Portに登録済みSecure MACが別Portに現れる場合もViolationです。
Port Securityのprotect Modeの代表動作はどれか。
B. 未許可MACを自動的にStatic Secureへ登録する
C. 未許可SourceからのTrafficをDropし、PortはForwardingを継続する
D. SNMP TrapとViolation Counterを必ず増加させる
答えと解説
答え:C
protectは違反TrafficをDropしますがrestrictのような通知/Counter動作を主目的にしません。
restrict Modeとprotect Modeを区別する特徴として適切なのはどれか。
B. protectだけがPortをerror-disableにする
C. restrictはSecure MAC数を無制限にする
D. restrictはDropに加えCounter / 通知を行う
答えと解説
答え:D
restrictはDropしつつViolation記録/通知を行います。
Port SecurityのデフォルトViolation Modeはどれか。
B. protect
C. restrict
D. trap
答えと解説
答え:A
デフォルトはshutdownです。
Violation Modeを明示設定していないPortでSecurity Violationが発生した。代表的な結果はどれか。
B. Portがerror-disabledになる
C. Maximumが自動的に増える
D. Secure MACがすべてDynamicへ変換される
答えと解説
答え:B
Default shutdown ModeではPortがerror-disabledになります。
Port SecurityのMaximumやViolation Count、Security Stateを確認する代表Commandはどれか。
B. show ip dhcp snooping binding
C. show port-security interface <interface>
D. show ipv6 nd raguard policy
答えと解説
答え:C
Port Security Interface状態はshow port-security interfaceで確認します。
Portがerror-disabledになり、Port Securityが原因か確認したい。最も直接的な確認情報はどれか。
B. show mac address-table のDynamic MAC EntryとAging Timeだけを確認する
C. show running-config interface のDescriptionとVLAN設定だけを確認する
D. show port-security と対象InterfaceのSecurity State / Violation Count
答えと解説
答え:D
Port SecurityのSecurity StateとViolation Countを直接確認します。