Courseiva
← Questões de 200-301
Ver a questão original em inglês
MédiaVárias respostas

Questão de prática de 200-301

Quais duas declarações descrevem com precisão o comportamento de ACL em dispositivos Cisco?

Escolha todas as respostas corretas.

Respostas corretas

  • AAs entradas de ACL são processadas de cima para baixo até que uma correspondência seja encontrada.
  • BAs ACLs terminam com um deny implícito se o tráfego sem correspondência chegar ao fim.

Explicação

As questões de ACL frequentemente dependem da compreensão de como os dispositivos Cisco processam as entradas linha por linha. Em termos simples, as entradas de ACL são avaliadas de cima para baixo, e a primeira instrução correspondente decide o resultado. Se o tráfego chegar ao fim sem corresponder a uma permissão, ele será negado pelo deny implícito. Essas duas ideias explicam muitos casos reais de solução de problemas de ACL. As respostas erradas geralmente parecem plausíveis porque pegam termos emprestados de outras partes de redes. Mas as ACLs normalmente não avaliam todas as linhas antes de escolher, e elas não terminam com um permit implícito. Assim que você se lembra de que "a primeira correspondência vence" e "há um deny implícito no final", muitas questões de access-list se tornam muito mais fáceis.

Por que cada alternativa está certa ou errada

A

Correta

As entradas de ACL são processadas de cima para baixo até que uma correspondência seja encontrada.

As Cisco IOS ACLs são listas ordenadas; cada pacote é comparado com as access control entries sequencialmente, começando pela primeira linha. Quando um pacote corresponde a uma ACE, a ação permit ou deny especificada é aplicada imediatamente, e nenhuma entrada restante é examinada. Esse comportamento de primeira correspondência é fundamental para o design de ACL, de modo que a ordem das linhas pode alterar o resultado.

B

Correta

As ACLs terminam com um deny implícito se o tráfego sem correspondência chegar ao fim.

Se um pacote percorre todas as entradas em uma ACL sem corresponder a nenhuma delas, o deny implícito no final entra em vigor e descarta o pacote silenciosamente. Esta ACE final integrada não é uma linha configurada, mas atua como 'deny ip any any' para IP ACLs. Portanto, qualquer tráfego não explicitamente permitido por uma entrada anterior é negado por padrão.

C

Incorreta

As ACLs sempre avaliam todas as linhas antes de decidir a ação.

O processamento de ACL não requer nem realiza uma varredura completa de cada linha; ele para na primeira entrada correspondente. Uma vez que uma ACE corresponde, a ação permit ou deny resultante é executada e a avaliação cessa. Se nenhuma correspondência ocorrer, somente então o deny implícito no final se aplica, mas isso não é uma avaliação completa de todas as linhas — é um padrão final.

D

Incorreta

As ACLs terminam com um permit implícito, a menos que configurado o contrário.

Esta afirmação está incorreta porque as Cisco ACLs não contêm um permit implícito; elas contêm um deny implícito como a entrada final. Sem uma ACE 'permit any' explícita, qualquer tráfego que chegue ao final da ACL é descartado. A única maneira de permitir tráfego sem correspondência é adicionar manualmente uma instrução permit-all explícita antes desse deny implícito.

E

Incorreta

As ACLs se aplicam apenas ao tráfego da Layer 1 e não a pacotes IP.

Isso está errado porque as ACLs operam na Layer 3 e na Layer 4 do modelo OSI, filtrando pacotes IP com base em endereços de origem/destino e números de porta TCP/UDP. A Layer 1 é a camada física responsável pela transmissão ao nível de bits sobre o meio, o que não é o que as Cisco ACLs inspecionam. ACLs de entrada e saída em roteadores e switches funcionam no tráfego IP, não em sinais físicos.

Para se aprofundar

Access Control Lists (ACLs) em dispositivos Cisco são ferramentas de segurança fundamentais usadas para filtrar o tráfego de rede com base em critérios definidos, como endereços IP de origem e destino, protocolos e portas. As ACLs operam principalmente na Layer 3 (Network Layer) e na Layer 4 (Transport Layer), permitindo um controle granular sobre quais pacotes são permitidos ou negados através das interfaces. O conceito central por trás do processamento de ACL é que cada ACL consiste em várias entradas ou instruções, cada uma especificando uma condição e uma ação (permit ou deny). Quando um pacote chega a uma interface onde uma ACL é aplicada, o dispositivo avalia as entradas da ACL sequencialmente de cima para baixo. A avaliação para imediatamente quando uma correspondência é encontrada e a ação correspondente é executada. Se nenhuma entrada corresponder ao pacote, a ACL nega implicitamente o pacote no final, mesmo que nenhuma instrução deny explícita exista. Esta regra de deny implícito é um recurso de segurança crítico que evita que o tráfego não intencional passe. Uma armadilha comum em exames envolve o mal-entendido do comportamento do deny implícito ou a suposição de que as ACLs avaliam todas as entradas antes de decidir. Alguns candidatos acreditam erroneamente que as ACLs permitem o tráfego sem correspondência por padrão ou que todas as linhas são verificadas antes de uma decisão. Na prática, a primeira entrada correspondente determina o destino do pacote, e os pacotes sem correspondência são negados implicitamente. Esse comportamento garante uma filtragem previsível e segura, mas requer uma ordenação cuidadosa das entradas da ACL para evitar o bloqueio ou a permissão não intencional de tráfego.

Sobre estas questões de prática

Esta é uma das questões de prática originais de 200-301 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.

Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.