305-401 試験

正解：B. スイッチ間のレイヤー2トランクリンクを保護できる。

MACsec（Media Access Control Security）はOSIモデルのレイヤー2（データリンク層）で動作し、Ethernetリンク間の通信を暗号化することでセキュリティを提供します。このため、スイッチ間のトランクリンク（レイヤー2リンク）を保護することが可能です。

以下は、各JSONスクリプトの適切性についての日本語での説明です。

A.

• 問題点: JSONの構文が正しくありません。
  • 配列 ([ ]) 内にオブジェクトを記述する際、キーと値のペア（例: "Plates": {}）は配列ではなくオブジェクトとして扱う必要があります。
  • また、"Plates" の値が配列である場合、その中にオブジェクトを正しい形式で記述する必要があります。
• 修正例:

B.

• 問題点: JSONの構文が正しくありません。
  • 配列 ([ ]) 内にキーと値のペア（例: "Auto": {}）を直接記述することはできません。配列はオブジェクトや値のみを含むべきです。
• 修正例:

C.

• 適切性: このJSONスクリプトは正しくフォーマットされています。
• 配列 ([ ]) 内にオブジェクトが適切に記述されており、JSON構文にエラーはありません。

D.

• 問題点: JSONの構文が正しくありません。
  • 値（例: motel, Main Street, 348-059-6776）はすべて文字列として扱う場合、ダブルクォート (") で囲む必要があります。
  • また、配列 ([ ]) 内にキーと値のペアを直接記述することはできません。
• 修正例:

Cisco SD-WANファブリックにおいて、vManageが担当する機能は以下の通りです。

正解: B. WAN Edge、vSmart、およびvBondのリモートソフトウェアアップグレードを実行する。

解説:

vManageは、Cisco SD-WANのマネジメントプレーンを担うコンポーネントであり、以下のような役割を果たします：

• 一元管理: GUIやAPIを通じて、SD-WAN全体の設定変更や状態確認を行います5 external_link8 external_link10 external_link。
• ソフトウェアアップグレード: WAN Edge、vSmart、vBondなどのデバイスに対するリモートでのソフトウェアアップグレードを実施します1 external_link4 external_link10 external_link。
• 監視と可視化: ネットワーク状況やコンポーネントのパフォーマンスをリアルタイムで監視し、問題の早期発見と解決を支援します2 external_link6 external_link10 external_link。

これに対して、他の選択肢は以下の通りです：

• A. IPsecトンネルの確立: これは主にデータプレーンを担当するvEdge/cEdgeが行います5 external_link10 external_link。
• C. ポリシーの配布: これはコントロールプレーンを担当するvSmartが担います4 external_link7 external_link10 external_link。
• D. BFDセッションの確立: BFDセッションはリンクやノードの稼働状況確認に使用されますが、これもデータプレーン側の役割です5 external_link10 external_link。

したがって、vManageは主に管理・監視・アップグレードなどの管理プレーン機能を提供するコンポーネントです。

正しい回答は B. 同じWi-Fiチャネルに接続するデバイスは同じコリジョンドメインに属する。 です。

解説:

• A: 誤り。2.4GHz帯には通常、3つの非重複チャネル（1, 6, 11）が存在します。24ではありません。
• B: 正しい。同じWi-Fiチャネルを使用するデバイスは、同じコリジョンドメインに属し、データ送信時に衝突が発生する可能性があります。
• C: 誤り。Wi-Fiチャネルの間隔は2.4GHz帯で5MHz、5GHz帯で20MHzまたは40MHzが一般的です。30MHz間隔ではありません。
• D: 誤り。5GHz帯では地域によりますが、通常20以上のチャネルが利用可能です（11ではありません）。

正しい設定は C です。

理由：

• 「リモートアクセスは利用可能なすべてのプロトコルで許可されるべき」 → transport input all により、すべてのプロトコルが許可されます。
• 「デバイス認証にはパスワードのみが必要」 → password Cisco123 と設定されており、追加の認証方法（例: ローカルユーザー認証）は使用されていません。
• 「すべてのアイドル状態のEXECセッションは60分で終了する必要がある」 → exec-timeout 60 により、アイドル状態が60分で終了します。

他の選択肢が不適切な理由：

• A: transport input ssh のみで、すべてのプロトコルを許可していません。
• B: absolute-timeout はセッション全体の終了時間を設定するもので、アイドル状態のタイムアウトではありません。
• D: login local が指定されており、ローカルユーザー認証が必要となるため、「パスワードのみ」という要件を満たしていません。

したがって、最適な設定は C です。

正しい回答は以下の通りです：

**D. RouterA(config)# ip nat inside source list 1 pool cisco overload**

**理由**
- **PAT（Port Address Translation、または NAT Overload）**は、1つのグローバルIPアドレスを使用して複数のローカルIPアドレスをインターネットに接続させるために使用されます。これにより、異なるポート番号を使用して各セッションを識別します[2](https://geek-university.com/pat-configuration/)[7](https://www.zenarmor.com/docs/network-basics/what-is-port-address-translation-pat)[9](https://www.firewall.cx/cisco/cisco-routers/cisco-router-nat-overload.html)。
- 選択肢Dでは、overloadキーワードが含まれており、これがPATを有効化するために必要です[3](https://www.practicalnetworking.net/stand-alone/cisco-nat-configurations-ios-router/)[6](https://networklessons.com/ip-services/how-to-configure-pat-on-cisco-ios-router)[10](https://www.manageengine.com/network-configuration-manager/configlets/configuring-pat-cisco.html)。
- 図では、ip nat pool ciscoコマンドでグローバルアドレス範囲（193.64.64.1～193.64.64.15）が定義されています。このプールを使用してNAT変換が行われます
。
- また、access-list 1で指定されたローカルネットワーク（172.16.1.0/24）がNAT変換対象として設定されていることも確認できます。

他の選択肢について

- A: 静的NATの設定であり、単一のローカルIPアドレスを別のIPアドレスにマッピングします。PATには適していません。
- B: overloadキーワードがないため、NATプール内のIPアドレスが不足すると通信が失敗します。
- C: 静的NATで特定のローカルIP（172.16.1.1）をグローバルIP（193.64.64.1）にマッピングする設定であり、複数ユーザー向けではありません。

したがって、複数の内部ホストが同時にインターネットアクセスを共有するためには、選択肢Dが最適です。

以下は「どの設定がNETCONFをSSHv2経由でデバイスを設定できるようにするか」という質問に関連する内容です。以下の設定例について日本語訳を示します。

Aの設定

text

日本語訳:

• ホスト名: Device
• ユーザー名「cisco1」を特権レベル15で作成し、パスワード「cisco1」を設定。
• ドメイン名を「cisco.com」に設定。
• RSA鍵を2048ビットで生成。
• SSHバージョン2を有効化。
• NETCONF over SSHを有効化。
• VTYライン（0～15）でローカル認証を使用。

Bの設定

text

日本語訳:

• ホスト名: Device
• AAA（認証、認可、アカウンティング）を新しいモデルに切り替え。
• ユーザー名「cisco」を特権レベル15で作成し、パスワード「cisco」を設定。
• ドメイン名を「cisco.com」に設定。
• RSA鍵を2048ビットで生成。
• SSHバージョン2を有効化。
• デフォルトのログイン認証と実行権限認可にローカルユーザーを使用。
• NETCONF over SSHおよびNETCONF-YANGを有効化。

Cの設定

text

日本語訳:

• ホスト名: Device
• ユーザー名「admin」を作成し、パスワード「admin」を設定（特権レベル指定なし）。
• ドメイン名を「cisco.com」に設定。
• RSA鍵を2048ビットで生成。
• SSHバージョン2を有効化。
• NETCONF-YANGを有効化（NETCONF over SSHは明示的に記載なし）。
• VTYライン（0～15）でローカル認証を使用。

Dの設定

text

日本語訳:

• ホスト名: Device
• AAA（認証、認可、アカウンティング）を新しいモデルに切り替え。
• ユーザー名「admin」を特権レベル15で作成し、パスワード「admin」を設定。
• ドメイン名を「cisco.com」に設定。
• RSA鍵を2048ビットで生成。
• SSHバージョン2を有効化。
• NETCONF-YANGを有効化（NETCONF over SSHは明示的に記載なし）。

どの設定がNETCONF over SSHv2を有効にするか？

正しい答えはBです。この設定では、NETCONF over SSHとNETCONF-YANGが明示的に有効化されており、AAA構成も適切に行われています。他の選択肢では、必要な要素が欠けているか不完全です。

正解は D です。

理由: Telnetアクセスでルーターのユーザー名とパスワードデータベースを使用して認証を行うには、login local コマンドを使用する必要があります。このコマンドは、ローカルデータベース（ルーターに設定されたユーザー名とパスワード）を使って認証を行うよう指定します。

選択肢Dの設定内容は以下の通りです:

text

この設定により、VTY（仮想端末ライン）0から4までのTelnetアクセスでローカル認証が有効になります。

他の選択肢が不適切な理由は以下の通りです:

• A: line aux はAuxiliaryポート用であり、Telnetアクセスには関係がありません。
• B: AAA（認証、承認、課金）の設定ですが、適切な適用手順やリスト指定が不足しています。
• C: login コマンドは有効ですが、ローカルデータベースを使用しないため、ユーザー名とパスワード認証には不十分です。

そのため、正しい設定は D となります。

レイヤ3ローミングの特徴について、正しい回答は以下の通りです：

D. 異なる Layer 3 ネットワーク内のAP間で、同じモビリティグループ内でシームレスなクライアントローミングを提供します。

理由

レイヤ3ローミングは、異なるサブネット（Layer 3 ネットワーク）に属するアクセスポイント（AP）間でクライアントが移動する際に、通信を中断することなく接続を維持する技術です。この場合、同じモビリティグループ内であれば、元のIPアドレスを保持しながらシームレスなローミングが可能です。これには、モビリティトンネルやアンカーコントローラーといった技術が利用されます1 external_link4 external_link9 external_link。

一方で、異なるモビリティグループ間ではIPアドレスの変更が必要になる場合があり、完全なシームレス性は保証されません1 external_link4 external_link。

この図とログメッセージから、OSPFが隣接関係を確立できない理由を分析すると、「EXSTART」状態で再送が多すぎることが原因で「DOWN」状態に戻っています。この問題は通常、インターフェースMTUの不一致によって発生します。

OSPFはデータベース記述（DBD）パケットの交換中にMTUサイズをチェックします。R1とR2のMTUが一致していない場合、DBDパケットの交換が失敗し、隣接関係が確立できません。この動作はログメッセージ「Neighbor Down: Too many retransmissions」からも確認できます。

したがって、正解は B. インターフェースMTUの不一致 です。

このPythonスクリプトが実行されると、以下の処理が行われます：

1. devices.txtファイルの各行を読み取る
   ファイル内の各行がループで処理されます。
2. カンマ区切りで分割
   各行の内容をカンマ（,）で分割し、リスト（device_info_list）に格納します。
3. 辞書（device_info）を作成
   分割されたリストの各要素をキーと値のペアとして辞書に格納します：
   • name: デバイス名
   • os-type: OSの種類
   • ip: IPアドレス
   • username: ユーザー名
   • password: パスワード
4. 辞書をリストに追加
   作成した辞書（device_info）をリスト（devices）に追加します。
5. 最終的な出力
   処理が完了すると、すべてのデバイス情報が辞書形式で格納されたリスト（devices）が出力されます。

結果として達成されること：

各デバイスが独自の辞書に格納され、それが親リストに追加されます。

これに基づき、選択肢Dが正解です。

エンジニアがCisco 5520 WLCでローカルWeb認証の詳細を更新する必要がある場合、以下のシナリオが想定されています：

• Web認証用に構成された1つのアクティブSSIDが存在。
• 仮想インターフェイスを非ルーティングIPアドレスで更新する計画。

この場合、エンジニアが適用すべきコマンドは次の通りです：

D. config interface address virtual 192.0.2.1

理由

• 仮想インターフェイスのIPアドレスには、ネットワーク内で使用されていない非ルーティングIPアドレス（例: 192.0.2.1）が必要です1 external_link3 external_link7 external_link。
• この設定は、Web認証プロセスでクライアントがリダイレクトされる仮想ゲートウェイIPとして機能します5 external_link9 external_link。

その他の選択肢は以下の理由で不適切です：

• A: config wlan create はSSIDを作成するコマンドであり、仮想インターフェイス設定とは無関係。
• B: config interface address virtual 1.1.1.1 は仮想インターフェイスにIPを設定しますが、1.1.1.1は一般的に非推奨（パブリックIPと競合する可能性あり）。
• C: config interface address dynamic-interface は動的インターフェイス用であり、仮想インターフェイスには適用されません。

したがって、正しいコマンドは D です。

クライアントが認証を必要とし、暗号化なしでも機能できる方法は D. WebAuth です。

WebAuth（Web Authentication）は、クライアントが認証を行う仕組みを持ちながら、通信自体の暗号化が必須ではない場合があります。たとえば、WebAuthはHTTP（暗号化されていない通信）上でも動作可能ですが、セキュリティを向上させるためにHTTPS（暗号化通信）での使用が推奨されます1 external_link3 external_link6 external_link。

正解：D. コンポジット

理由：Cisco DNA Centerでは、複数のテンプレートを1つの「コンポジットテンプレート」にまとめて、順番に実行することが可能です。この「コンポジットテンプレート」では、個々のテンプレートを特定の順序でデバイスにデプロイするよう指定できます1 external_link2 external_link7 external_link。

Cisco DNA Centerで複数のテンプレートをグループ化して連続して実行する場合に使用されるテンプレートは「複合テンプレート」です。

解説:

複合テンプレート（Composite Template）は、2つ以上の通常のテンプレートを1つのシーケンスにまとめたものです。この機能を利用することで、各テンプレートが指定された順序でデバイスに適用されます。これにより、複数の設定を効率的かつ一貫性を持ってデプロイすることが可能になります1 external_link3 external_link9 external_link。

主なポイント:

• 通常のテンプレートは単一の設定を定義しますが、複合テンプレートはそれらを組み合わせて実行します。
• 複合テンプレートを作成する際には、各テンプレートの実行順序を指定できます。
• 複合テンプレートに追加できるのは「コミット済み」のテンプレートのみです1 external_link3 external_link。

この仕組みにより、大規模なネットワーク設定や複雑なデプロイメントが効率的に管理されます。

この質問に関連するCisco SD-Accessの特徴として、LISP（Location/Identifier Separation Protocol）を使用してEIDとRLOCを分離し、ルーティングテーブルサイズを削減する点が挙げられます4 external_link6 external_link。

Cisco SD-Accessのコントロールプレーンは、従来のルーティング環境を簡素化する方法として、EID（エンドポイント識別子）とRLOC（ルーティングロケータ）の分離を活用しています。これにより、ルーティングテーブルのサイズが縮小され、ネットワークの効率が向上します1 external_link8 external_link9 external_link。

正解：B. EIDとRLOCの分離により、ルーティングテーブルのサイズが縮小される。

Cisco DNA Center APIに認証後、後続のAPI呼び出しで認証済みセッションを識別するためにクライアントに提供されるものは以下の通りです：

A. 認証トークン (authentication token)

認証プロセスでは、クライアントはユーザー名とパスワードを使用してToken APIにリクエストを送信し、成功すると「認証トークン」が発行されます。このトークンは「X-Auth-Token」としてHTTPヘッダーに含められ、後続のすべてのAPI呼び出しで使用されます。このトークンは一時的なもので、通常1時間などの有効期限があります1 external_link24。

正解は C. network access based on the physical address of a device（デバイスの物理アドレスに基づくネットワークアクセス） です。MABは、デバイスのMACアドレス（物理アドレス）を使用して認証を行い、ネットワークアクセスを制御します1 external_link2 external_link3 external_link。

選択肢の説明

•  A:
• ACL (アクセスリスト)
  • access-list 100 deny tcp host 10.0.0.5 any eq 22: クライアント「10.0.0.5」からのSSHトラフィックを拒否。
  • access-list 100 permit tcp any any eq 22: 他のすべてのSSHトラフィックを許可。
• Policy Map
  • class telnet_copp drop: 上記ACLに一致するトラフィックをドロップ。
• 結果: この構成は「10.0.0.5」からのSSHアクセスを拒否してしまうため、要件に合いません。
•  B:
• ACL (アクセスリスト)
  • access-list 100 permit tcp any any eq 22: すべてのSSHトラフィックを許可。
  • access-list 100 deny tcp host 10.0.0.5 any eq 22: クライアント「10.0.0.5」からのSSHトラフィックを拒否。
• Policy Map
  • police 8000: トラフィックをレート制限（8000bps）。

結果: 「10.0.0.5」からのSSHアクセスが拒否されるため、要件に合いません。

•  C:
• ACL (アクセスリスト)
  • access-list 100 permit tcp host 10.0.0.5 any eq 22: クライアント「10.0.0.5」からのSSHトラフィックを許可。
  • access-list 100 deny tcp any any eq 22: 他のすべてのSSHトラフィックを拒否。
• Policy Map
  • police 8000: トラフィックをレート制限（8000bps）。

結果: 「10.0.0.5」からのSSHアクセスが許可され、他は拒否されます。この構成が要件に合致します。

•  D:
• ACL (アクセスリスト)
  • access-list 100 permit tcp host 10.0.0.5 any eq 22: クライアント「10.0.0.5」からのSSHトラフィックを許可。
  • access-list 100 deny tcp any any eq 22: 他のすべてのSSHトラフィックを拒否。
• Policy Map
  • class telnet_copp drop: 上記ACLに一致するトラフィックをドロップ。

結果: 「10.0.0.5」のSSHアクセスもドロップされるため、要件に合いません。

正解: C の構成が正しいです。この構成では、「10.0.0.5」からのSSHアクセスが無制限に許可され、他のすべてのクライアントからのアクセスは拒否されます。

理由

• CはJSONの構文規則に従っています：
  • JSONオブジェクトは波括弧 {} で囲まれています。
  • プロパティ名は二重引用符 " で囲まれています。
  • 配列は角括弧 [] を使用しています。
  • 値も適切にフォーマットされています（文字列は二重引用符で囲まれている）。

誤りのあるスクリプト

以下は誤りがある箇所を指摘します：

• A.
  • JSONオブジェクト全体が角括弧 [] で囲まれているため、配列として扱われていますが、外部に波括弧 {} が必要です。
• B.
  • 外側の角括弧 [] が余分です。JSONオブジェクトとして適切にフォーマットされていません。
• D.
  • "name" の値が "File_4782 のように閉じる引用符が欠けています。また、値 "05007 " の末尾に不要なスペースがあります。

このREST APIレスポンスは、HTTPリクエストがデバイス情報を取得するためのものであることを示しています。レスポンスには、MACアドレス（ac:4a:56:6c:7c:00）に関連するデバイスの詳細情報（例：family、role、hostnameなど）が含まれています。また、HTTPステータスコードが200であるため、リクエストは成功しています。

これに基づき、このレスポンスを生成したHTTPリクエストは次のとおりです：

B. GET /network-device?macAddress=ac:4a:56:6c:7c:00

理由： GETメソッドは、リソース（ここではデバイス情報）を取得するために使用されます。 レスポンス内容はデータの取得結果であり、更新や作成を行うPUTやPOSTではありません。 選択肢CのfetchはHTTPリクエストメソッドではないため該当しません。

正解は B. RESTful APIである です。

これらのノースバウンドAPIは、REST（Representational State Transfer）アーキテクチャに基づいており、HTTPメソッド（GET、POST、PUT、DELETEなど）を使用して操作を実行します。また、データフォーマットとして主にJSONが使用されます。RESTful APIを採用することで、ネットワーク管理や自動化が容易になり、外部アプリケーションとの統合も可能になります1 external_link2 external_link4 external_link。

1. 3 * 5:
   • 最初に掛け算が実行されます。
   • 3×5=15
2. 15 % 2:
   • 次に剰余（モジュロ）演算が実行されます。
   • 15 を 2 で割った余りを計算します。
   • 15÷2=7（商）で余りは 1

答え:

結果は A. 1 です。

Air Time効率を決定する3つの要素は以下の通りです：

• A. データレート（変調密度）またはQAM
• C. チャネル帯域幅
• D. 空間ストリームの数と空間再利用

以下は、Air Time効率を決定する3つの要素（データレート/QAM、チャネル帯域幅、空間ストリームと空間再利用）の詳細な解説です。

1. データレート（変調密度）またはQAM

データレートは、通信速度に直結する要素であり、変調方式（特にQAM：Quadrature Amplitude Modulation）が大きな役割を果たします。QAMは、位相と振幅を組み合わせてデータを符号化し、1シンボルあたりの情報量を増加させる技術です。例えば：

• 16-QAM：1シンボルあたり4ビット
• 64-QAM：1シンボルあたり6ビット
• 256-QAM：1シンボルあたり8ビット

高次の変調方式（例：256-QAM）では、より多くのデータを同じ時間内に送信できますが、その分、信号対雑音比（SNR）の要求が高まります。これにより、通信環境が良好な場合に限り高効率が得られます1 external_link4 external_link7 external_link。

2. チャネル帯域幅

チャネル帯域幅は、データを送受信するための周波数範囲を指します。帯域幅が広いほど、一度に送信可能なデータ量が増加します。Wi-Fi規格では以下の帯域幅が一般的です：

• 20 MHz
• 40 MHz
• 80 MHz
• 160 MHz

例えば、80 MHzの帯域幅を使用すると、20 MHzの場合よりも理論上4倍のデータ量を送信可能です。ただし、広い帯域幅を使用すると周囲の電波干渉リスクも高まるため、適切なチャネル設計が必要です3 external_link6 external_link9 external_link。

3. 空間ストリームの数と空間再利用

空間ストリームは、多重化技術であるMIMO（Multiple Input Multiple Output）によって実現されます。この技術では複数のアンテナを用いてデータを並列に送信し、同時に複数のストリームを処理することでスループットを向上させます。

• Wi-Fi 5では最大8ストリーム
• Wi-Fi 6でも同様に最大8ストリーム

さらにWi-Fi 6では「空間再利用」という概念が導入されました。同一チャネル内で異なるBSS（Basic Service Set）カラーリングを用いることで干渉を軽減し、同じ周波数帯で複数の通信が効率的に行えるようになっています。これにより、混雑したネットワーク環境でも効率的な通信が可能となります2 external_link5 external_link8 external_link。 これら3つの要素は相互に関連しており、それぞれの最適化によってAir Time効率が向上します。

正しい答えと解説

A. フレームをカプセル化および非カプセル化するためにVTEPを使用する。

VXLANでは、仮想トンネルエンドポイント（VTEP）が重要な役割を果たします。VTEPは、イーサネットフレームをVXLANパケットにカプセル化し、また受信したVXLANパケットを元のイーサネットフレームに非カプセル化します。このプロセスにより、レイヤ3ネットワーク上でレイヤ2ネットワークを拡張できます1 external_link6 external_link9 external_link。

他の選択肢について

• B. 12ビットのネットワーク識別子を持つ。

誤りです。VXLANは24ビットのVXLANネットワーク識別子（VNI）を使用し、最大約1677万の論理ネットワークセグメントをサポートします。これにより、従来のVLAN（12ビットで最大4094セグメント）の制限を克服しています1 external_link2 external_link10 external_link。

• C. トランスポートにTCPを使用する。

誤りです。VXLANはUDP（User Datagram Protocol）をトランスポートプロトコルとして使用します。具体的には、UDPポート4789が一般的に使用されます1 external_link6 external_link9 external_link。

• D. レイヤ2およびレイヤ3オーバーレイネットワークをレイヤ2アンダーレイ上で拡張する

誤りです。VXLANは通常、レイヤ3アンダーレイネットワーク上で動作し、その上にレイヤ2オーバーレイネットワークを構築します。この設計により、大規模なデータセンターやクラウド環境で柔軟性とスケーラビリティが向上します1 external_link8 external_link9 external_link。

結論

正しい選択肢は「A」です。

正解：

C. R1(config)# aaa authorization exec default group tacacs+

理由：

• aaa authorization exec default group tacacs+ コマンドは、TACACS+サーバーを使用してログインしたユーザーに対して「EXECセッション」の開始を許可する認可を行います。この設定がない場合、ユーザーはCLIセッションを開始できず、権限レベル（例：特権モード）も適用されません2 external_link5 external_link9 external_link。
• TACACS+サーバーは、認証後にユーザーの権限レベル（例：privilege level 15）を返し、それに基づいてデバイスがユーザーに適切なアクセス権限を与えます。このプロセスには認可（authorization）が必要です3 external_link5 external_link。

他の選択肢の説明：

• A. aaa accounting commands 15 default start-stop group tacacs+
  • このコマンドは「アカウンティング（記録）」用であり、ユーザーのコマンド実行履歴を記録するためのものです。認可（authorization）には直接関係ありません。
• B. aaa authentication login enable
  • このコマンドは認証（authentication）の設定であり、ログイン時に「enable」パスワードを使用するよう指定します。認可には影響しません。
• D. aaa authorization exec default local if-authenticated
  • このコマンドはローカルデータベースを使用して認可を行う設定です。「if-authenticated」は、認証が成功した場合に全てのリクエストを許可しますが、TACACS+サーバーによる詳細なアクセス制御は行われません10 external_link。

結論：

TACACS+サーバーがリモートユーザーに適切なアクセス権限を付与するには、「C. aaa authorization exec default group tacacs+」を設定する必要があります。

正解: A. Base64

基本認証では、ユーザー名とパスワードを「:」で連結した文字列をBase64エンコードし、それをHTTPリクエストのAuthorizationヘッダーに含めます。この方法では、資格情報がエンコードされますが暗号化されないため、セキュアな接続（HTTPS）の使用が推奨されます1 external_link2 external_link3 external_link。

図に基づくと、エンジニアはRSPAN（Remote Switched Port Analyzer）を使用して172.16.2.0/24のトラフィックをパケットキャプチャツール（Sniffer）に送信しようとしています。この設定を正しく動作させるためには、以下のアクションが必要です。

正解: A. SW1およびSW2でリモートスパンVLANを定義する。

理由:

• 図と設定を見ると、SW2で「source VLAN 60」からのトラフィックを「remote VLAN 50」に送信するように設定されています。
• また、SW1では「remote VLAN 50」からのトラフィックをGigabitEthernet0/1インターフェイス（Snifferが接続されているポート）に送信するように設定されています。
• RSPANを使用する際には、リモートスパンVLAN（ここではVLAN 50）が両方のスイッチで定義されている必要があります。このVLANは、トラフィックを転送するための専用VLANとして機能します。

他の選択肢について:

• B. スパニングツリープロトコルを無効にする スパニングツリーはネットワークループを防ぐために重要であり、無効化する必要はありません。
• C. トラフィックを暗号化する 暗号化はRSPANの要件ではなく、このシナリオには関係ありません。
• D. サーバーインターフェイスでCisco Discovery Protocolを有効にする Cisco Discovery Protocol（CDP）はデバイス間の情報共有に使用されますが、RSPANの動作には関係ありません。

したがって、正しいアクションは「SW1およびSW2でリモートスパンVLANを定義する」です。

正解は C. ストレージ です。

ハイパーバイザーは仮想マシンが動作するために必要な基本的なリソース（CPU、メモリ、ストレージなど）を提供します。その中でストレージは、仮想マシンがデータを保存し、オペレーティングシステムやアプリケーションを実行するために不可欠なリソースです。

分散仮想スイッチ（Distributed Virtual Switch, DVS）の主な機能は、仮想スイッチの集中管理を提供することです。これは、複数のESXiホストにまたがるネットワーク設定を一元化し、効率的かつ一貫性のある管理を可能にします1 external_link3 external_link8 external_link。

具体的には以下の特徴があります：

• 集中管理: vCenter Serverを通じてネットワーク構成を一元管理し、すべての関連ホストに設定を適用できます2 external_link3 external_link9 external_link。
• 設定の一貫性: VLANやポート設定などのネットワーク構成がすべてのホストで統一されます8 external_link9 external_link。
• 高度な機能: トラフィックシェーピング、ポートミラーリング、Private VLAN（PVLAN）などの高度なネットワーク機能をサポートします6 external_link7 external_link。
• 拡張性と効率性: 大規模環境でも簡単に管理できるため、標準仮想スイッチに比べて運用効率が向上します3 external_link7 external_link。

したがって、選択肢の中で正しい回答は「B. 仮想スイッチの集中管理を提供する」です。

Cisco SD-WANアーキテクチャにおいて、vSmartの役割は以下の通りです。

vSmartの主な機能:

1. 集中ポリシーの配布: vSmartは、ネットワーク全体で利用されるルーティングポリシーや暗号鍵を管理し、SD-WAN Edgeルータ（vEdge/cEdge）に配布します。これにより、集中管理されたポリシーが各拠点で適用されます1 external_link2 external_link4 external_link。
2. ルーティング情報の仲介: vSmartは、Overlay Management Protocol (OMP)を使用して、各拠点間でルーティング情報を交換し、最適なトラフィックパスを確立します1 external_link4 external_link6 external_link。
3. セキュリティの管理: vSmartは、IPsec暗号化に必要な鍵情報を生成・配布し、安全なデータプレーン通信を実現します1 external_link2 external_link。
4. トポロジー管理: ネットワーク全体のトポロジー情報を保持し、それに基づいて各拠点間の通信を制御します1 external_link4 external_link。

これらの機能から、vSmartはCisco SD-WANアーキテクチャの「頭脳」として機能し、ネットワーク全体の効率的な運用とセキュリティを支えています。質問に対する正解は「A. 集中ポリシーの配布」です。

以下は、OSPFとEIGRPの違いについての日本語での回答です。 OSPFとEIGRPの違いは何ですか？

A. OSPFは高度なディスタンスベクタプロトコルであり、EIGRPはリンクステートプロトコルです。

→ 誤り。OSPFはリンクステート型プロトコル、EIGRPはCisco独自のハイブリッド型（ディスタンスベクタとリンクステートの特性を併せ持つ）プロトコルです1 external_link4 external_link7 external_link。

B. OSPFはハイブリッド型ルーティングプロトコルであり、EIGRPはリンクステート型ルーティングプロトコルです。

→ 誤り。OSPFは純粋なリンクステート型プロトコルであり、EIGRPがハイブリッド型プロトコルです1 external_link4 external_link7 external_link。

C. OSPFはDUALアルゴリズムを使用し、EIGRPはSPFアルゴリズムを使用します。 → 誤り。OSPFはダイクストラ（SPF）アルゴリズムを使用し、EIGRPはDUALアルゴリズムを使用します4 external_link7 external_link9 external_link。

D. OSPFの管理距離は110であり、EIGRPの管理距離は170です。 → 部分的に正しい。OSPFの管理距離は110ですが、EIGRPの管理距離は内部経路が90、外部経路が170です4 external_link7 external_link9 external_link。

補足情報

• OSPF: オープンスタンダードなリンクステート型プロトコルで、大規模ネットワークやマルチベンダー環境に適しています。全体のネットワークトポロジを把握し、最短経路を計算します。
• EIGRP: Cisco独自のハイブリッド型プロトコルで、高速収束や効率的なリソース利用が特徴です。小規模から中規模ネットワークに適していますが、他ベンダー機器との互換性が制限されます1 external_link4 external_link9 external_link。

これらの違いを理解することで、それぞれのプロトコルが適用される場面や利点を活用できます。

MACアドレステーブルとTCAM（Ternary Content Addressable Memory）のアーキテクチャ上の違いについて、日本語での回答は以下の通りです。

正解: D. TCAMエントリは値、マスク、および結果で構成され、MACアドレステーブルエントリは値と結果で構成されます。

詳細な説明:

• MACアドレステーブル: 主にL2スイッチで使用されるメモリで、MACアドレスとポートIDを対応付けるために設計されています。これは完全一致検索を行うため、エントリは「値（MACアドレス）」と「結果（ポートID）」のみで構成されます1 external_link2 external_link7 external_link。
• TCAM: 主にL3スイッチやルータで使用されるメモリで、ACL（アクセス制御リスト）やQoS（サービス品質）などの複雑な条件付き検索を高速に処理します。TCAMは「値」、「マスク（特定部分を無視するための条件）」、「結果」の3つの要素で構成されており、部分一致やプレフィックスマッチングが可能です1 external_link2 external_link10 external_link。

この違いにより、MACアドレステーブルは単純なL2レベルのフレーム転送に特化し、TCAMはより高度な検索処理を必要とするL3以上の機能に適しています。

以下は、各JSONスクリプトのフォーマットの正確性についての説明です。

A

不正確 問題点:

• "name": Reading 101 の値が文字列として記述されていません。文字列はダブルクォーテーション（" "）で囲む必要があります（例: "Reading 101"）。
• "location": B-15 の値も文字列として記述されていないため、正しい形式ではありません（例: "B-15"）。

B

不正確 問題点:

• "location": "Room C". の末尾に余分なピリオド（.）が含まれています。JSONではピリオドは不要です。

C

正確 理由:

• キーと値がすべて適切にダブルクォーテーションで囲まれており、構文エラーがありません。

D

正確 理由:

• キーと値がすべて適切にダブルクォーテーションで囲まれており、構文エラーがありません。

結論

正しくフォーマットされているJSONスクリプトは C と D です。

このPythonスクリプトを実行すると、以下の動作が行われます：

1. IPアドレスの取得とpingテスト
   • コマンドライン引数（sys.argv[1]）からIPアドレスを取得します。
   • そのIPアドレスに対して7回pingを実行します。
   • pingが成功しなかった場合（r.success() != True）、スクリプトは終了します。
2. SSH接続の確立
   • paramiko.SSHClient()を使用して、指定されたIPアドレスにSSH接続を試みます。
   • ユーザー名（usr）とパスワード（pswd）を使用して認証します。
3. コマンドの実行
   • コマンドライン引数（sys.argv）から取得したコマンドをリモートデバイス上で実行します。
4. 出力の表示
   • 実行したコマンドの結果（標準出力）を1行ずつ表示します。
5. 接続の終了
   • 最後にSSH接続を閉じます。

正解は「A. モビリティトンネル」です。理由として、Ciscoのレイヤー3ローミング機能では、クライアントが別のコントローラーに移動した際に、元のコントローラー（アンカーコントローラー）と新しいコントローラー（フォーリンコントローラー）の間でCAPWAPトンネルを作成し、クライアントが元のIPアドレスを保持できるようにします。このプロセスはモビリティトンネルを使用して実現されます2 external_link3 external_link4 external_link。

Cisco AireOS WLCとCisco IOS XE WLC間でクライアントがシームレスなレイヤー3ローミングを実現するために使用されるトンネルタイプは、「モビリティ（Mobility）トンネル」です。このトンネルは、異なるコントローラー間でクライアントデータを転送し、IPアドレスの変更を防ぐことでスムーズなローミングを可能にします1 external_link4 external_link5 external_link。

WPA2+WPA3ポリシーをパーソナルセキュリティタイプで構成する場合、B. CCMP128暗号化暗号を構成するが正しい選択です。

理由: WPA2とWPA3の互換性を確保するため、CCMP128（AES-128ベースの暗号化）が使用されます。WPA3ではGCMP暗号もサポートされますが、WPA2との互換性を考慮するとCCMP128が適切です。

この画像に基づいて、質問に対する正しい回答は以下の通りです：

A. text

理由：

1. 画像の設定内容:
   • line con 0 の下に password cisco が設定されています。これは、コンソールラインで使用されるパスワードです。
   • no aaa new-model が設定されているため、AAA（Authentication, Authorization, Accounting）認証は無効化されています。そのため、ローカルユーザー認証（例：login local）は使用できません。
2. コマンドの動作:
   • login コマンドを入力することで、すでに設定されているパスワード（この場合は "cisco"）を有効化し、コンソールへのアクセス時にパスワードを要求するようになります。
3. 他の選択肢について：
   • B: exec-timeout 0 0 はアイドルタイムアウトを無効化するだけで、パスワードチェックには関係ありません。
   • C: line vty 0 4 は仮想端末（リモートアクセス）用の設定であり、コンソールラインには適用されません。
   • D: login local はローカルユーザー認証を有効にしますが、AAAが無効化されているため機能しません。

したがって、正しい回答は A です。

アクティブスイッチが、新しいスイッチをCisco StackWiseスタックに追加した際に行う動作について、日本語での回答は以下の通りです。

アクティブスイッチは、新しいスイッチのIOSおよび実行中の設定を確認し、必要に応じてスタック内の他のスイッチと一致するように更新します。これにより、スタック全体が一貫した設定で動作することが可能になります4 external_link6 external_link。

正解は A. 両方とも宣言型アプローチに依存している。

AnsibleとChefはどちらも、インフラストラクチャをコードとして管理する際に宣言型アプローチを採用しています。これにより、望ましい状態を定義し、その状態にシステムを調整することが可能です。

正解は D. データの相関と分析 です。

理由: Cisco DNA Center Assuranceは、ネットワークデバイスやクライアントから収集したデータを処理・分析し、ネットワークやクライアントの状態に関する洞察を提供します。このプラットフォームは、以下を通じてデータの相関と分析を行います：

• ネットワークテレメトリやコンテキストデータを活用して問題点を可視化
• 複数のデータソース（例: SNMP、NetFlowなど）から情報を収集し、それらを相関付けて根本原因を特定
• AIや機械学習を用いた予測分析で問題が発生する前に検知

これにより、ネットワーク管理者は迅速かつ効果的にトラブルシューティングを行い、ユーザーエクスペリエンスを向上させることが可能です1 external_link2 external_link4 external_link。

Cisco SD-WAN 環境において、vManage はサウスバウンド API を使用して、ネットワークファブリック内の SD-WAN デバイスと通信します。この API は、デバイスの管理や設定、監視を可能にするための主要な手段です6 external_link。

正解

A. アクセスリストのステートメントを辞書形式のリストに読み込む。

解説

このPythonスクリプトは、以下の操作を実行します：

1. NETCONFセッションの確立スクリプトは、ncclientライブラリを使用してCiscoデバイスに接続し、 RPC（リモートプロシージャコール）を送信します。このRPCは、実行中の設定（running configuration）から特定の拡張アクセスリスト（名前：fip）に関連する情報を取得します。
2. XMLデータの解析デバイスから返されたXMLデータは、xmltodictライブラリによって辞書形式に変換されます。この辞書から、アクセスリスト内のシーケンスルール（access-list-seq-rule）が抽出されます。
3. 辞書形式でデータを格納取得したアクセスリスト情報が辞書形式で格納されるため、後続の処理や分析に利用可能です。

他の選択肢との比較

• B. ターミナル画面に表示するスクリプトはデータを取得して解析しますが、ターミナルへの表示機能は含まれていません。
• C. アクセスリストを設定するこのスクリプトは既存の設定を取得するものであり、新しい設定を構成するものではありません。
• D. 人間が読める形式への変換データは辞書形式に変換されますが、「人間が読める形式」に変換することが目的ではありません。

このスクリプトは、ネットワーク管理者がCiscoデバイス上でアクセスリスト情報を効率的に取得・解析するために使用されます。

レイヤ3ローミングにおいて発生するアクションについて、以下の選択肢の日本語での正解は次の通りです：

正解: D. レイヤー3ローミングが発生した後、クライアントトラフィックが元のコントローラーにトンネリングされる。

解説

レイヤ3ローミング（Layer 3 Roaming）は、Wi-Fiクライアントが異なるIPサブネット間を移動する際にシームレスな通信を維持する技術です。この場合、以下のようなプロセスが行われます：

• クライアントが異なるサブネットに移動すると、新しいアクセスポイント（AP）が接続先となります。
• 元のコントローラー（WLC）は「モビリティアンカー」として機能し、クライアントのセッションを維持します。
• 新しいコントローラーと元のコントローラー間で「モビリティトンネル」が確立され、クライアントトラフィックが元のコントローラーを経由して処理されます1 external_link2 external_link3 external_link。

この仕組みにより、IPアドレスを変更せずに通信が継続され、接続が途切れることなく利用可能となります。

エンジニアは、SW1上のVLAN 1200に対してHSRP（Hot Standby Routing Protocol）を設定する必要があります。2台目のスイッチは、ネットワーク内の最後の使用可能なIPアドレスを仮想IPとして使用するように構成されています。この要件を満たすコマンドセットは以下の通りです。

正解: B

text

解説:

• 仮想IPアドレス: 問題文では「ネットワーク内の最後の使用可能なIPアドレスを仮想IPとして使用」と記載されています。サブネットマスクが255.255.255.0の場合、最後の使用可能なIPアドレスは 172.12.0.254 です。
• スタンバイグループ番号: HSRPグループ番号（ここでは1200）は、両方のスイッチで一致している必要があります。
• standby version 2: HSRPバージョン2を指定しています。これは、特に大規模なネットワークやIPv6対応が必要な場合に使用されます12。
• プリエンプト（preempt）設定: このコマンドにより、優先度が高いルーターがアクティブルーターとして自動的に役割を引き継ぎます13。

この構成により、SW1はスタンバイルーターとして設定され、仮想IPアドレス 172.12.0.254 を共有します。

ハイパーバイザーが仮想マシンに必ず提供しなければならないリソースは、C. プロセッサです。理由: 仮想マシンはCPU（プロセッサ）のリソースを使用して動作します。ハイパーバイザーは物理ホストのプロセッサを仮想化し、各仮想マシンに割り当てる役割を果たします。他の選択肢（帯域幅やIPアドレスなど）は重要な要素ですが、必須ではなく、環境や設定によって異なる場合があります。

スイッチポートでMAC認証バイパス機能を使用するべき場合は、**「C. 認証が必要だが、接続されたホストが802.1Xをサポートしていない場合」**です。MAC認証バイパスは、802.1Xに対応していないデバイス（例えばプリンターやIP電話など）を認証するために使用されます。

次世代ファイアウォール（NGFW）は、従来型ファイアウォールと比較して以下のような高度なセキュリティ機能を提供します：

• 侵入防止（IPS）: NGFWには統合された侵入防止システム（IPS）が含まれており、トラフィックを分析して攻撃を検出し、即座にブロックする能力があります。従来型ファイアウォールにはこの機能がありません1 external_link2 external_link3 external_link。
• アプリケーション制御: NGFWはアプリケーション層での詳細な制御が可能で、特定のアプリケーションを識別し、それに基づいてポリシーを適用することができます。一方で、従来型ファイアウォールはこの機能を持たず、ポートやプロトコルに基づく基本的なフィルタリングのみを行います1 external_link2 external_link3 external_link。

これらの機能は、次世代ファイアウォールがより高度な脅威に対応できるよう設計されている理由の一部です。

正解は B. 基盤となるHTTPセッションを保護するためにTLSを使用する です。

理由: TLS（Transport Layer Security）は、REST APIで送受信されるデータを暗号化し、通信中のデータが盗聴や改ざんされるリスクを防ぎます。TLSはHTTPSプロトコルの基盤であり、クライアントとサーバー間のデータ通信の機密性と完全性を保証します1 external_link2 external_link3 external_link。

質問に対する答えは以下の通りです：

「while loop != 999:」という条件では、ループを終了させるためには loop の値が 999 と等しくなる必要があります。したがって、正解は以下になります：

C. 999と等しい値

以下が日本語での回答です：

顧客の要件に基づき、IPアドレス 10.0.1.25 のみがスイッチにHTTPアクセスを許可される必要があります。この要件を満たすためには、選択肢A が適切です。

理由：

アクセスリスト (ACL) でホストIPアドレス 10.0.1.25 のみを許可し、それ以外を拒否しています。

text

HTTPサーバーおよびセキュアHTTPサーバーが有効化されています。

text

ip http access-class コマンドを使用して、ACLをHTTPアクセス制御に適用しています。 text

これにより、指定されたIPアドレス以外のホストからのHTTPアクセスが拒否されます。

この場合、ウェブベースの認証と外部RADIUSサーバーを使用するためには、レイヤー2セキュリティモードとして 「None」 を選択する必要があります。理由は、ウェブベースの認証ではレイヤー2での暗号化を使用せず、認証はレイヤー3で行われるからです。

正解は C. 宣言型アプローチに依存している です。

ChefとAnsibleの両方は、インフラストラクチャの状態を定義して管理する際に宣言型アプローチを採用しています。宣言型アプローチでは、「何を実現したいか」を記述し、その状態を達成するための手順はツールが自動的に処理します。