MoyenneChoix unique

Question d'entraînement 100-150

Un administrateur réseau configure un commutateur Cisco et souhaite s'assurer que seules les adresses MAC des périphériques connus sont autorisées à envoyer du trafic sur un port d'accès spécifique. L'administrateur souhaite spécifier manuellement les adresses MAC autorisées et faire en sorte que le port soit désactivé si une violation se produit. Quelle fonctionnalité doit être configurée ?

Choisissez la meilleure réponse.

Bonne réponse

BPort security avec des adresses MAC statiques et un mode de violation shutdown

Explication

Port security est la fonctionnalité correcte pour restreindre un port de commutateur à des adresses MAC spécifiques et prendre des mesures en cas de violation. La configuration d'adresses MAC statiques et la définition du mode de violation sur shutdown garantissent que seuls les périphériques connus peuvent communiquer, et toute violation désactive le port. D'autres fonctionnalités telles que DAI, 802.1X et DHCP snooping servent à des fins de sécurité différentes.

Pourquoi chaque option est juste ou fausse

Fausse

Authentification 802.1X

802.1X authentifie les périphériques ou les utilisateurs via un serveur RADIUS avant d'accorder l'accès, en utilisant des identifiants ou des certificats d'un suppliant, avec MAC Authentication Bypass pour les périphériques qui n'en ont pas. C'est un contrôle plus strict basé sur l'identité, mais l'exigence ici est de lister les adresses MAC autorisées manuellement sur le port et de le désactiver en cas de violation, ce qui correspond exactement à ce que fait port security avec des adresses statiques.

Juste

Port security avec des adresses MAC statiques et un mode de violation shutdown

Port security permet à l'administrateur de restreindre quelles adresses MAC peuvent envoyer du trafic sur un port. En configurant des adresses MAC statiques et en définissant le mode de violation sur shutdown, le port sera désactivé si une trame avec une adresse MAC source différente est reçue. Cela répond à l'exigence d'autoriser uniquement les périphériques connus et de désactiver en cas de violation.

Fausse

DHCP snooping

DHCP snooping filtre les messages DHCP pour empêcher les serveurs DHCP véreux. Il ne contrôle pas quelles adresses MAC peuvent envoyer du trafic sur un port. Il est souvent utilisé avec DAI et IP Source Guard, mais il ne fournit pas la restriction d'adresse MAC et la capacité de désactivation par violation décrites dans le scénario.

Fausse

Dynamic ARP Inspection (DAI)

DAI valide les paquets ARP pour empêcher l'usurpation d'ARP, mais il ne restreint pas quelles adresses MAC peuvent envoyer du trafic sur un port. Il fonctionne avec DHCP snooping pour construire une table de liaison. Bien qu'il améliore la sécurité, il ne fournit pas le filtrage d'adresses MAC au niveau du port et le comportement de désactivation requis ici.

Pour aller plus loin

Port security contrôle quelles adresses MAC source peuvent envoyer du trafic sur un port de commutateur. Pour autoriser uniquement les périphériques connus, vous configurez les adresses manuellement en tant qu'adresses MAC sécurisées statiques : 'switchport mode access', 'switchport port-security', 'switchport port-security maximum <n>' correspondant au nombre de périphériques, et 'switchport port-security mac-address <mac>' pour chacun d'eux. 'switchport port-security violation shutdown', qui est également la valeur par défaut, met le port en état d'erreur (error-disable) lorsqu'une trame arrive d'une autre adresse. C'est l'option B. La récupération est manuelle avec 'shutdown' et 'no shutdown', ou automatique avec 'errdisable recovery cause psecure-violation'. Les alternatives aux entrées statiques sont les adresses apprises dynamiquement, qui sont perdues lors du rechargement, et l'apprentissage sticky, qui enregistre les adresses apprises dans la configuration en cours. Les entrées statiques offrent le contrôle le plus strict, mais doivent être mises à jour chaque fois que le matériel change. Les autres modes de violation, restrict et protect, suppriment le trafic inconnu tout en maintenant le port actif, avec ou sans journalisation. Les distracteurs sont des fonctionnalités de sécurité différentes. 802.1X authentifie le périphérique ou l'utilisateur via un serveur RADIUS avant d'accorder l'accès, un contrôle plus strict basé sur l'identité que les adresses MAC, qui peuvent être usurpées facilement. DHCP snooping bloque les serveurs DHCP véreux et construit la table de liaison. Dynamic ARP Inspection bloque l'usurpation d'ARP à l'aide de cette table. Pour un petit nombre de périphériques fixes, tels qu'une imprimante ou une caméra, port security avec des adresses statiques est un contrôle rapide et efficace, et il se combine bien avec les autres fonctionnalités. Vérifiez avec 'show port-security interface <if>', qui affiche le mode, le maximum, le nombre actuel et le nombre de violations, et 'show port-security address'.

À propos de ces questions d'entraînement

Cette question fait partie des questions d'entraînement 100-150 originales de Courseiva, rédigées pour apprendre et jamais copiées d'examens réels ou de dumps.

Traduite de l'original anglais avec l'IA et vérifiée pour le sens. Les codes d'examen, les commandes et les noms de produits sont conservés tels qu'ils apparaissent à l'examen.