[HPE6-A84試験勉強ガイド[Q25-Q44]を使ってHP試験のダンプに合格する有効な方法］

Q25. 強固なネットワーク・セキュリティ・フォレンジックの基礎を築くのに役立つ要素はどれか。

Q26. ある顧客が、Aruba AP を含む AOS 10 ベースのソリューションを持っています。この顧客は、802.1X非対応のIoTデバイスの認証にCloud Authを使用したいと考えています。
デバイス・ロールのマッピングを設定するための前提条件は何ですか？

Q27. シナリオを参照してください。
# 顧客紹介
あなたは、Arubaネットワーク・インフラストラクチャ・デバイスを使用している企業のネットワークにAruba ClearPassを追加するお手伝いをしています。
この会社には現在、WindowsドメインとWindows CAがある。Windows CAは、ドメインコンピュータ、ドメインユーザ、ドメインコントローラなどのサーバに証明書を発行する。Windows CAが発行する証明書の例を以下に示す。


同社は、モバイルクライアントを管理するためにMicrosoft Endpoint Manager（Intune）を追加しようとしている。
顧客は今のところオンプレミスのADを維持しており、Azure AD Connectを使ってAzure ADと同期している。
# モバイルクライアントへの証明書発行要件
同社は、ClearPass Onboard を使用して、Intune に登録されたモバイルクライアントに証明書を自動的に配備したいと考えています。このプロセス中、Onboard は Azure AD と通信してクライアントを検証する必要があります。このシナリオでは、高可用性も提供する必要があります。言い換えれば、サブスクライバ 1 がダウンしている場合でも、クライアントはサブスクライバ 2 から証明書を取得できる必要があります。
Intuneの管理者は、デバイスを登録したユーザーのUPN SANを含む証明書プロファイルを作成する予定です。
# クライアントを認証するための要件
この顧客は、すべてのタイプのクライアントが同じ企業のSSIDで接続し、認証することを要求している。
同社は、CPPMがこれらの認証方法を使用することを望んでいる：
Intuneに登録されたモバイルクライアントのユーザーを認証するEAP-TLS
TEAR、EAP-TLSをWindowsドメインコンピュータとその上のユーザーを認証する内部メソッドとする EAP-TLS（スタンドアロンまたはTEAPメソッドとして）クライアントを成功させるには、以下の要件を満たす必要がある：
その証明書は有効であり、OCSPによって検証されたように失効していない。
クライアントのユーザー名がADのアカウントと一致する。
# クライアントをロールに割り当てるための要件
認証後、顧客は CPPM が以下のルールに基づいてクライアントを ClearPass ロールに割り当てることを望んでいます：
Onboardによって発行された証明書を持つクライアントには、「mobile-onboarded」ロールが割り当てられる TEAP Method 1に合格したクライアントには、「domain-computer」ロールが割り当てられる ADグループ「Medical」のクライアントには、「medical-staff」ロールが割り当てられる ADグループ「Reception」のクライアントには、「reception-staff」ロールが割り当てられる 顧客は、認証されたクライアントをAOSファイアウォールのロールに割り当てるために、CPPMに以下のように要求する：
モバイルオンボードされたクライアントの医療スタッフを「medical-mobile」ファイアウォールの役割に割り当てる その他のモバイルオンボードされたクライアントを「mobile-other」ファイアウォールの役割に割り当てる ドメインコンピュータ上の医療スタッフを「medical-domain」ファイアウォールの役割に割り当てる ドメインコンピュータ上のすべての受付スタッフを「reception-domain」ファイアウォールの役割に割り当てる 有効なユーザーがログインしていないすべてのドメインコンピュータを「computer-only」ファイアウォールの役割に割り当てる 他のクライアントのアクセスを拒否する
# その他の要件
ClearPass サーバとオンプレム AD ドメインコントローラ間の通信は暗号化する必要があります。
# ネットワーク・トポロジー
ネットワーク・インフラとして、この顧客はセントラルが管理するAruba APとArubaゲートウェイを使用しています。AP はトンネル型 WLAN を使用し、ゲートウェイ・クラスタにトラフィックをトンネルします。また、この顧客には AOS-CX スイッチがありますが、この時点では Central によって管理されていません。

# ClearPassクラスタのIPアドレスとホスト名
顧客の ClearPass クラスタにはこれらの IP アドレスがあります：
発行者 = 10.47.47.5
加入者1 = 10.47.47.6
加入者2 = 10.47.47.7
加入者1と加入者2の仮想IP = 10.47.47.8
顧客のDNSサーバーには以下のエントリーがある。
cp.acnsxtest.com = 10.47.47.5
cps1.acnsxtest.com = 10.47.47.6
cps2.acnsxtest.com = 10.47.47.7
radius.acnsxtest.com = 10.47.47.8
onboard.acnsxtest.com = 10.47.47.8
顧客は現在、CPPMを使用して、特定のモバイルオンボードデバイスを
"ナースコール "AOSユーザーの役割。これらは、IPアドレス
10.1.18.12、ポート4343を使用。
この要件を満たすための前提条件は何ですか？

Q28. シナリオを参照してください。
Aruba ClearPass クラスタがあります。顧客には、ClearPass Policy Manager (CPPM) に 802.1X 認証を実装する AOS-CX スイッチがあります。
スイッチはローカルポートアクセスポリシーを使用している。
ユーザ認証のみを通過する有線クライアントをArubaゲートウェイ・クラスタにトンネリングする必要があります。ゲートウェイ・クラスタは、これらのクライアントを「eth-internet」ロールに割り当てる必要があります。ゲートウェイは、クライアントをVLAN 20であるVLANに割り当てる処理も行う必要があります。
施行方針とプロファイルの計画を以下に示す：

ゲートウェイ・クラスターには、これらのIPアドレスを持つ2つのゲートウェイがある：
* ゲートウェイ1
o VLAN 4085（システムIP） = 10.20.4.21
o VLAN 20（ユーザー） = 10.20.20.1
o VLAN 4094 (WAN) = 198.51.100.14
* ゲートウェイ2
o VLAN 4085（システムIP） = 10.20.4.22
o VLAN 20（ユーザー） = 10.20.20.2
o VLAN 4094 (WAN) = 198.51.100.12
* VRRP on VLAN 20 = 10.20.20.254
顧客はスイッチとゲートウェイクラスター間のトンネルの高可用性を求めている。一方のゲートウェイが落ちた場合、もう一方のゲートウェイがそのトンネルを引き継ぐ必要がある。また、スイッチは、ゲートウェイの1つがクラスタ内にあるかどうかに関係なく、ゲートウェイクラスタを検出できなければならない。
正しいUBTゾーンとポートアクセスロールを設定したと仮定します。しかし、ソリューションは動作していません。
他に必ずやっておくべきことは？

Q29. シナリオを参照してください。
あるお客様は、Arubaモビリティ・コントローラ(MC)上の「medical-mobile」AOSファイアウォールの役割のクライアントにこれらの権限を要求しています：
DHCPによるIPアドレスの受信許可
10.8.9.7からのDNSサービスへのアクセスを許可。
10.1.12.0/22へのアクセスを拒否された場合を除き、10.1.0.0/16範囲のすべてのサブネットへのアクセスを許可 その他の10.0.0.0/8サブネットへのアクセスを拒否 インターネットへのアクセスを許可 SSHトラフィックを送信した場合、一定期間WLANへのアクセスを拒否 Telnetトラフィックを送信した場合、一定期間WLANへのアクセスを拒否 すべてのハイリスクウェブサイトへのアクセスを拒否 外部デバイスは、「メディカルモバイル」クライアントとのセッションを開始することを許可されるべきで はなく、リターントラフィックの送信のみが許可されるべきである。
以下の図は、その役割のコンフィギュレーションを示している。

コンフィギュレーションには複数の問題がある。
シナリオの要件を満たすためにポリシーに加えなければならない変更は何ですか？(オプションでは、ポリシーのルールは上から下に参照されます。たとえば、「medical-mobile」のルール1は「ipv4 any any svc-dhcp permit」、ルール8は「ipv4 any any permit」です)。

Q30. シナリオを参照してください。
# 顧客紹介
あなたは、Arubaネットワーク・インフラストラクチャ・デバイスを使用している企業のネットワークにAruba ClearPassを追加するお手伝いをしています。
この会社には現在、WindowsドメインとWindows CAがある。Windows CAは、ドメインコンピュータ、ドメインユーザ、ドメインコントローラなどのサーバに証明書を発行する。Windows CAが発行する証明書の例を以下に示す。


同社は、モバイルクライアントを管理するためにMicrosoft Endpoint Manager（Intune）を追加しようとしている。
顧客は今のところオンプレミスのADを維持しており、Azure AD Connectを使ってAzure ADと同期している。
# モバイルクライアントへの証明書発行要件
同社は、ClearPass Onboard を使用して、Intune に登録されたモバイルクライアントに証明書を自動的に配備したいと考えています。このプロセス中、Onboard は Azure AD と通信してクライアントを検証する必要があります。このシナリオでは、高可用性も提供する必要があります。言い換えれば、サブスクライバ 1 がダウンしている場合でも、クライアントはサブスクライバ 2 から証明書を取得できる必要があります。
Intuneの管理者は、デバイスを登録したユーザーのUPN SANを含む証明書プロファイルを作成する予定です。
# クライアントを認証するための要件
この顧客は、すべてのタイプのクライアントが同じ企業のSSIDで接続し、認証することを要求している。
同社は、CPPMがこれらの認証方法を使用することを望んでいる：
* Intune に登録されたモバイル・クライアントのユーザーを認証する EAP-TLS
* EAP-TLS（スタンドアロンまたはTEAPメソッドとして）クライアントを成功させるには、 以下の要件を満たす必要がある：
その証明書は有効であり、OCSPによって検証されたように失効していない。
クライアントのユーザー名がADのアカウントと一致する。
# クライアントをロールに割り当てるための要件
認証後、顧客は CPPM が以下のルールに基づいてクライアントを ClearPass ロールに割り当てることを望んでいます：
* Onboardが発行した証明書を持つクライアントには、"mobile-onboarded "ロールが割り当てられる。
* TEAP Method 1に合格したクライアントには「domain-computer」ロールが割り当てられる ADグループ「Medical」に属するクライアントには「medical-staff」ロールが割り当てられる ADグループ「Reception」に属するクライアントには「reception-staff」ロールが割り当てられる 顧客は、認証されたクライアントをAOSファイアウォールのロールに割り当てるために、CPPMに以下のように要求する：
* モバイルオンボードされたクライアントの医療スタッフを "医療モバイル "ファイアウォールの役割に割り当てる。
* 他のモバイルオンボードクライアントを "mobile-other "ファイアウォールの役割に割り当てる。
* ドメインコンピューター上の医療スタッフを "medical-domain "ファイアウォールの役割に割り当てる。
* ドメインコンピュータ上のすべての受付スタッフを "reception-domain "ファイアウォールの役割にする。
* コンピュータ専用」ファイアウォールの役割に有効なユーザーがログインしていないすべてのドメインコンピュータ
* 他のクライアントのアクセスを拒否する
# その他の要件
ClearPass サーバとオンプレム AD ドメインコントローラ間の通信は暗号化する必要があります。
# ネットワーク・トポロジー
ネットワーク・インフラとして、この顧客はセントラルが管理するAruba APとArubaゲートウェイを使用しています。AP はトンネル型 WLAN を使用し、ゲートウェイ・クラスタにトラフィックをトンネルします。また、この顧客には AOS-CX スイッチがありますが、この時点では Central によって管理されていません。

# ClearPassクラスタのIPアドレスとホスト名
顧客の ClearPass クラスタにはこれらの IP アドレスがあります：
* 発行者 = 10.47.47.5
* 加入者1 = 10.47.47.6
* 加入者2 = 10.47.47.7
* 加入者1と加入者2のバーチャルIP = 10.47.47.8
顧客のDNSサーバーには以下のエントリーがある。
* cp.acnsxtest.com = 10.47.47.5
* cps1.acnsxtest.com = 10.47.47.6
* cps2.acnsxtest.com = 10.47.47.7
* radius.acnsxtest.com = 10.47.47.8
* onboard.acnsxtest.com = 10.47.47.8
以下の図に示すように、モバイル・クライアントに証明書を発行する顧客の要件を満たすために、CA の作成を開始した。

これらの要件と、クライアントを認証するための要件を満たすために、どのような変更が役立つだろうか？

Q31. シナリオを参照してください。
ある顧客が、唯一のドメインソリューションとして、オンプレミスADからAzure ADに移行しようとしている。また、Microsoft Endpoint Manager (Intune) を使用して、有線デバイスと無線デバイスの両方を管理しています。
顧客はネットワーク・エッジのセキュリティを改善したいと考えています。この目的のために、顧客が ClearPass 導入を設計するのを支援します。Arubaネットワークデバイスは、Aruba ClearPass Policy Manager（CPPM）クラスタ（バージョン6.10を使用）に対して無線および有線クライアントを認証します。
この顧客には、認証に関するいくつかの要件がある。クライアントは、Azure AD へのクエリによって Azure AD にアカウントがあることが示された場合にのみ、EAP-TLS 認証をパスする必要があります。クライアントの権限をさらに絞り込むために、ClearPass は Intune が収集した情報を使用してアクセス制御を決定する必要があります。
Azure AD のデプロイメントが適切な前提条件を確立していると仮定する。
で認証ソースとして参照する CPPM 認証ソースを計画しています。
802.1X サービス。
この認証ソースはどのように設定するべきか？

Q32. スタンドアロンのAruba Mobility Controller（MC）に証明書をインストールする必要があります。MCは、Web UIおよびAruba ClearPass Policy Managerを使用したRadSecの実装に証明書を使用する必要があります。以下の設定の証明書が提供されています：
件名CN=mc41.site94.example.com
SANなし
発行者：CN=ca41.example.com
EKUs：サーバー認証、クライアント認証
証明書が意図する目的に対して、本証明書はどのような問題を有するか。

Q33. ClearPass Policy Manager（CPPM）エンドポイントリポジトリのエンドポイントエントリを確認しています。
誰かがネットワークへの不正アクセスを試みていることを示す良い兆候とは？

Q34. シナリオを参照してください。
ある組織では、RADIUSサーバー(cp.acnsxtest.local)が1時間あたり異常な数のクライアント認証要求を拒否した場合に、AOS-CXスイッチがアラートをトリガーすることを望んでいます。他のAruba管理者と議論した後、どのくらいの数の拒否が通常か異常かはまだわかりません。この値はスイッチごとに異なる可能性があります。
あなたは、開発者がこのユースケースのNAEスクリプトを開発する方法を理解する手助けをしているのです。
開発者は、次のようなロジックでルールを定義する予定だと説明する：
モニター > バリュー
しかし、開発者はどのような値を含めるかを尋ねてくる。
何をお勧めしますか？

Q35. 展示を参照。

Aruba ClearPass Policy Manager（CPPM）は、図に示す設定を使用しています。Aruba AP、Arubaゲートウェイ、AOS-CXスイッチなど、複数のタイプのNASに関連する実施ポリシーで、展示に示されているタグを参照します。
タグに基づいて顧客が再分類され、正しい治療を受けられるようにするためには、どうすればいいのでしょうか？

Q36. AOS-CXスイッチポートにBPDUプロテクションを実装する場合と、BPDUフィルタリングを実装する場合では、どのような違いがありますか？

Q37. シナリオを参照してください。
あるお客様は、Arubaモビリティ・コントローラ(MC)上の「medical-mobile」AOSファイアウォールの役割のクライアントにこれらの権限を要求しています：
DHCPによるIPアドレスの受信許可
* 10.8.9.7からのDNSサービスへのアクセスを許可。
* 10.1.12.0/22へのアクセス拒否を除く、10.1.0.0/16範囲のすべてのサブネットへのアクセスを許可する。
* 他の10.0.0.0/8サブネットへのアクセス拒否
* インターネットへのアクセス許可
* SSHトラフィックを送信した場合、一定期間WLANへのアクセスを拒否する。
* Telnet トラフィックを送信した場合、一定期間 WLAN へのアクセスを拒否します。
* リスクの高いウェブサイトへのアクセス拒否
外部デバイスは、"メディカルモバイル "クライアントとのセッションを開始することを許可されるべきではなく、リターントラフィックを送信することのみが許可されるべきである。
以下の図は、その役割のコンフィギュレーションを示している。

この構成には複数の問題があります。シナリオの要件を満たすために必要な変更は何ですか?(オプションでは、ポリシー内のルールは上から下に参照されます。例えば
"medical-mobile "のルール1は "ipv4 any any svc-dhcp permit "で、ルール8は "ipv4 any any permit "である)。

Q38. ユーザーが新しい有線クライアントを Intune に登録する方法が必要である。クライアントには、証明書の登録と受信のみを許可する限定的なアクセス権が必要です。AOS-CXの "provision "というロールにこれらの権限を設定する予定です。顧客のセキュリティチームは、これらのクライアントのインターネット・アクセスを必要なサイトのみに制限するよう指示しています。スイッチソフトウェアは、「provision」ロールで適用されるルールのIPv4およびIPv6アドレスをサポートしています。
何をお勧めしますか？

Q39. Aruba CentralでゲートウェイIDS/IPS設定を構成しています。
フェイル・ストラテジーをバイパスに設定する理由は？

Q40. 展示を参照。

ある顧客は、VLAN 4 の ARP ポイズニングからの保護を必要としています。以下に、AOS-CX アクセスレイヤスイッチの VLAN 4 および VLAN 4 に関連する物理インタフェースのすべての設定を示します：

この構成の問題点は？

Q41. Aruba CentralでゲートウェイIDS/IPS設定を構成しています。
フェイル・ストラテジーをバイパスに設定する理由は？

Q42. シナリオを参照してください。
あるお客様は、Arubaモビリティ・コントローラ(MC)上の「medical-mobile」AOSファイアウォールの役割のクライアントにこれらの権限を要求しています：
DHCPによるIPアドレスの受信許可
* 10.8.9.7からのDNSサービスへのアクセスを許可。
* 10.1.12.0/22へのアクセス拒否を除く、10.1.0.0/16範囲のすべてのサブネットへのアクセスを許可する。
* 他の10.0.0.0/8サブネットへのアクセス拒否
* インターネットへのアクセス許可
* SSHトラフィックを送信した場合、一定期間WLANへのアクセスを拒否する。
* Telnet トラフィックを送信した場合、一定期間 WLAN へのアクセスを拒否します。
* リスクの高いウェブサイトへのアクセス拒否
外部デバイスは、"メディカルモバイル "クライアントとのセッションを開始することを許可されるべきではなく、リターントラフィックを送信することのみが許可されるべきである。
以下の図は、その役割のコンフィギュレーションを示している。

コンフィギュレーションには複数の問題がある。
シナリオの要件を満たすためにポリシーに加えなければならない変更は何ですか？(オプションでは、ポリシーのルールは上から下に参照されます。たとえば、「medical-mobile」のルール1は「ipv4 any any svc-dhcp permit」、ルール8は「ipv4 any any permit」です)。

Q43. シナリオを参照してください。
# 顧客紹介
あなたは、Arubaネットワーク・インフラストラクチャ・デバイスを使用している企業のネットワークにAruba ClearPassを追加するお手伝いをしています。
この会社には現在、WindowsドメインとWindows CAがある。Windows CAは、ドメインコンピュータ、ドメインユーザ、ドメインコントローラなどのサーバに証明書を発行する。Windows CAが発行する証明書の例を以下に示す。


同社は、モバイルクライアントを管理するためにMicrosoft Endpoint Manager（Intune）を追加しようとしている。
顧客は今のところオンプレミスのADを維持しており、Azure AD Connectを使ってAzure ADと同期している。
# モバイルクライアントへの証明書発行要件
同社は、ClearPass Onboard を使用して、Intune に登録されたモバイルクライアントに証明書を自動的に配備したいと考えています。このプロセス中、Onboard は Azure AD と通信してクライアントを検証する必要があります。このシナリオでは、高可用性も提供する必要があります。言い換えれば、サブスクライバ 1 がダウンしている場合でも、クライアントはサブスクライバ 2 から証明書を取得できる必要があります。
Intuneの管理者は、デバイスを登録したユーザーのUPN SANを含む証明書プロファイルを作成する予定です。
# クライアントを認証するための要件
この顧客は、すべてのタイプのクライアントが同じ企業のSSIDで接続し、認証することを要求している。
同社は、CPPMがこれらの認証方法を使用することを望んでいる：
* Intune に登録されたモバイル・クライアントのユーザーを認証する EAP-TLS
* EAP-TLS（スタンドアロンまたはTEAPメソッドとして）クライアントを成功させるには、 以下の要件を満たす必要がある：
その証明書は有効であり、OCSPによって検証されたように失効していない。
クライアントのユーザー名がADのアカウントと一致する。
# クライアントをロールに割り当てるための要件
認証後、顧客は CPPM が以下のルールに基づいてクライアントを ClearPass ロールに割り当てることを望んでいます：
* Onboardが発行した証明書を持つクライアントには、"mobile-onboarded "ロールが割り当てられる。
* TEAP Method 1に合格したクライアントには「domain-computer」ロールが割り当てられる ADグループ「Medical」に属するクライアントには「medical-staff」ロールが割り当てられる ADグループ「Reception」に属するクライアントには「reception-staff」ロールが割り当てられる 顧客は、認証されたクライアントをAOSファイアウォールのロールに割り当てるために、CPPMに以下のように要求する：
* モバイルオンボードされたクライアントの医療スタッフを "医療モバイル "ファイアウォールの役割に割り当てる。
* 他のモバイルオンボードクライアントを "mobile-other "ファイアウォールの役割に割り当てる。
* ドメインコンピューター上の医療スタッフを "medical-domain "ファイアウォールの役割に割り当てる。
* ドメインコンピュータ上のすべての受付スタッフを "reception-domain "ファイアウォールの役割にする。
* コンピュータ専用」ファイアウォールの役割に有効なユーザーがログインしていないすべてのドメインコンピュータ
* 他のクライアントのアクセスを拒否する
# その他の要件
ClearPass サーバとオンプレム AD ドメインコントローラ間の通信は暗号化する必要があります。
# ネットワーク・トポロジー
ネットワーク・インフラとして、この顧客はセントラルが管理するAruba APとArubaゲートウェイを使用しています。AP はトンネル型 WLAN を使用し、ゲートウェイ・クラスタにトラフィックをトンネルします。また、この顧客には AOS-CX スイッチがありますが、この時点では Central によって管理されていません。

# ClearPassクラスタのIPアドレスとホスト名
顧客の ClearPass クラスタにはこれらの IP アドレスがあります：
* 発行者 = 10.47.47.5
* 加入者1 = 10.47.47.6
* 加入者2 = 10.47.47.7
* 加入者1と加入者2のバーチャルIP = 10.47.47.8
顧客のDNSサーバーには以下のエントリーがある。
* cp.acnsxtest.com = 10.47.47.5
* cps1.acnsxtest.com = 10.47.47.6
* cps2.acnsxtest.com = 10.47.47.7
* radius.acnsxtest.com = 10.47.47.8
* onboard.acnsxtest.com = 10.47.47.8
ワイヤレスクライアントのフロー属性を見ることはできません。
何をチェックすべきか？

Q44. シナリオを参照してください。
ある組織では、RADIUSサーバー(cp.acnsxtest.local)が1時間あたり異常な数のクライアント認証要求を拒否した場合に、AOS-CXスイッチがアラートをトリガーすることを望んでいます。他のAruba管理者と議論した後、どのくらいの数の拒否が通常か異常かはまだわかりません。この値はスイッチごとに異なる可能性があります。
あなたは、開発者がこのユースケースのNAEスクリプトを開発する方法を理解する手助けをしているのです。
あなたは、顧客がAOS-CXスイッチ用のNAEスクリプトを定義するのを手伝っています。スクリプトは、スイッチに定義されたRADIUSサーバーからの統計を監視します。管理者がスクリプトからエージェントを作成するときに、監視するRADIUSサーバーに別のホスト名またはIPアドレスを選択できるようにすることで、スクリプトの将来性を確保したいと考えています。
何をお勧めしますか？