HPE6-A84 Prüfung Fragen für die Praxis im Jahr 2023 aktualisiert 60 Fragen [Q33-Q53]

FRAGE 33
Beziehen Sie sich auf das Szenario.
Ein Kunde verfügt über einen Aruba ClearPass-Cluster. Der Kunde verfügt über AOS-CX-Switches, die 802.1X-Authentifizierung für ClearPass Policy Manager (CPPM) implementieren.
Die Switches verwenden lokale Port-Zugriffsrichtlinien.
Der Kunde möchte kabelgebundene Clients, die nur die Benutzerauthentifizierung bestehen, zu einem Aruba-Gateway-Cluster tunneln. Der Gateway-Cluster sollte diese Clients der Rolle "eth-internet" zuweisen. Das Gateway sollte auch die Zuweisung der Clients zu ihrem VLAN, d. h. VLAN 20, übernehmen.
Der Plan für die Durchsetzungspolitik und die Profile ist unten dargestellt:

Der Gateway-Cluster hat zwei Gateways mit diesen IP-Adressen:
* Gateway 1
o VLAN 4085 (System-IP) = 10.20.4.21
o VLAN 20 (Benutzer) = 10.20.20.1
o VLAN 4094 (WAN) = 198.51.100.14
* Gateway 2
o VLAN 4085 (System-IP) = 10.20.4.22
o VLAN 20 (Benutzer) = 10.20.20.2
o VLAN 4094 (WAN) = 198.51.100.12
* VRRP auf VLAN 20 = 10.20.20.254
Der Kunde benötigt eine hohe Verfügbarkeit für die Tunnel zwischen den Switches und dem Gateway-Cluster. Wenn ein Gateway ausfällt, sollte das andere Gateway dessen Tunnel übernehmen. Außerdem sollte der Switch in der Lage sein, den Gateway-Cluster unabhängig davon zu erkennen, ob eines der Gateways im Cluster ist.
Sie richten die UBT-Zone auf einem AOS-CX-Switch ein.
Welche IP-Adressen sollten Sie in der Zone definieren?

FRAGE 34
Sie richten Aruba ClearPass Policy Manager (CPPM) ein, um die EAP-TLS-Authentifizierung mit Active Directory als Authentifizierungsquelle durchzusetzen. Das Unternehmen möchte verhindern, dass Benutzer mit deaktivierten Konten eine Verbindung herstellen, selbst wenn diese Benutzer noch über gültige Zertifikate verfügen.
Was sollten Sie tun, um CPPM in die Lage zu versetzen, festzustellen, wo Konten in AD aktiviert sind oder nicht?

FRAGE 35
Beziehen Sie sich auf das Szenario.
# Einführung in den Kunden
Sie unterstützen ein Unternehmen beim Hinzufügen von Aruba ClearPass zu seinem Netzwerk, das Aruba-Netzwerkinfrastrukturgeräte verwendet.
Das Unternehmen hat derzeit eine Windows-Domäne und eine Windows-CA. Die Windows-CA stellt Zertifikate für Domänencomputer, Domänenbenutzer und Server wie Domänencontroller aus. Ein Beispiel für ein von der Windows-CA ausgestelltes Zertifikat ist hier zu sehen.


Das Unternehmen ist dabei, den Microsoft Endpoint Manager (Intune) zur Verwaltung seiner mobilen Clients hinzuzufügen.
Der Kunde behält das On-Prem AD vorerst bei und nutzt Azure AD Connect zur Synchronisierung mit Azure AD.
# Anforderungen für die Ausstellung von Zertifikaten für mobile Clients
Das Unternehmen möchte ClearPass Onboard verwenden, um Zertifikate automatisch an mobile Clients zu verteilen, die in Intune angemeldet sind. Während dieses Prozesses sollte Onboard mit Azure AD kommunizieren, um die Clients zu validieren. Für dieses Szenario sollte auch eine hohe Verfügbarkeit gewährleistet sein, d. h., die Clients sollten in der Lage sein, Zertifikate von Teilnehmer 2 zu erhalten, wenn Teilnehmer 1 ausgefallen ist.
Die Intune-Administratoren beabsichtigen, Zertifikatsprofile zu erstellen, die ein UPN-SAN mit dem UPN des Benutzers enthalten, der das Gerät registriert hat.
# Anforderungen für die Authentifizierung von Clients
Der Kunde verlangt, dass alle Arten von Clients eine Verbindung herstellen und sich bei derselben Unternehmens-SSID authentifizieren.
Das Unternehmen möchte, dass CPPM diese Authentifizierungsmethoden verwendet:
* EAP-TLS zur Authentifizierung von Benutzern auf in Intune registrierten mobilen Clients
* TEAR, mit EAP-TLS als innerer Methode zur Authentifizierung von Windows-Domänencomputern und deren Benutzern Damit EAP-TLS (allein oder als TEAP-Methode) erfolgreich ist, müssen die Clients diese Anforderungen erfüllen:
Ihr Zertifikat ist gültig und wurde nicht widerrufen, wie durch OCSP bestätigt wurde.
Der Benutzername des Kunden stimmt mit einem Konto in AD überein
# Anforderungen für die Zuweisung von Mandanten zu Rollen
Nach der Authentifizierung möchte der Kunde, dass das CPPM die Clients anhand der folgenden Regeln den ClearPass-Rollen zuweist:
* Clients mit von Onboard ausgestellten Zertifikaten wird die Rolle "mobile-onboarded" zugewiesen
* Clients, die die TEAP-Methode 1 bestanden haben, erhalten die Rolle "Domain-Computer" Clients in der AD-Gruppe "Medical" erhalten die Rolle "Medical-Staff" Clients in der AD-Gruppe "Reception" erhalten die Rolle "Reception-Staff" Der Kunde verlangt von CPPM, dass authentifizierte Clients den AOS-Firewall-Rollen wie folgt zugewiesen werden:
* Zuweisung von medizinischem Personal für mobil angeschlossene Kunden zur Firewall-Rolle "medizinisch-mobil".
* Weisen Sie anderen mobilen Clients die Firewall-Rolle "mobile-other" zu.
* Weisen Sie dem medizinischen Personal auf den Domänencomputern die Firewall-Rolle "medical-domain" zu.
* Alle Empfangsmitarbeiter auf Domänencomputern auf die Firewall-Rolle "reception-domain" setzen
* Alle Domänencomputer, bei denen kein gültiger Benutzer mit der Firewall-Rolle "Nur-Computer" angemeldet ist
* Anderen Kunden den Zugang verweigern
# Sonstige Anforderungen
Die Kommunikation zwischen ClearPass-Servern und AD-Domänencontrollern vor Ort muss verschlüsselt werden.
# Netzwerktopologie
Als Netzwerkinfrastruktur verfügt dieser Kunde über Aruba APs und Aruba Gateways, die von Central verwaltet werden. Die APs verwenden getunnelte WLANs, die den Datenverkehr zum Gateway-Cluster tunneln. Der Kunde verfügt außerdem über AOS-CX-Switches, die zu diesem Zeitpunkt nicht von Central verwaltet werden.

# ClearPass-Cluster-IP-Adressierung und Hostnamen
Der ClearPass-Cluster eines Kunden hat diese IP-Adressen:
* Herausgeber = 10.47.47.5
* Teilnehmer 1 = 10.47.47.6
* Teilnehmer 2 = 10.47.47.7
* Virtuelle IP mit Teilnehmer 1 und Teilnehmer 2 = 10.47.47.8
Der DNS-Server des Kunden hat diese Einträge
* cp.acnsxtest.com = 10.47.47.5
* cps1.acnsxtest.com = 10.47.47.6
* cps2.acnsxtest.com = 10.47.47.7
* radius.acnsxtest.com = 10.47.47.8
* onboard.acnsxtest.com = 10.47.47.8
Sie können keine Flussattribute für drahtlose Clients sehen.
Was sollten Sie überprüfen?

FRAGE 36
Beziehen Sie sich auf das Szenario.
Ein Kunde verfügt über einen Aruba ClearPass-Cluster. Der Kunde verfügt über AOS-CX-Switches, die 802.1X-Authentifizierung für ClearPass Policy Manager (CPPM) implementieren.
Die Switches verwenden lokale Port-Zugriffsrichtlinien.
Der Kunde möchte kabelgebundene Clients, die nur die Benutzerauthentifizierung bestehen, zu einem Aruba-Gateway-Cluster tunneln. Der Gateway-Cluster sollte diese Clients der Rolle "eth-internet" zuweisen. Das Gateway sollte auch die Zuweisung der Clients zu ihrem VLAN, d. h. VLAN 20, übernehmen.
Der Plan für die Durchsetzungspolitik und die Profile ist unten dargestellt:

Der Gateway-Cluster hat zwei Gateways mit diesen IP-Adressen:
* Gateway 1
o VLAN 4085 (System-IP) = 10.20.4.21
o VLAN 20 (Benutzer) = 10.20.20.1
o VLAN 4094 (WAN) = 198.51.100.14
* Gateway 2
o VLAN 4085 (System-IP) = 10.20.4.22
o VLAN 20 (Benutzer) = 10.20.20.2
o VLAN 4094 (WAN) = 198.51.100.12
* VRRP auf VLAN 20 = 10.20.20.254
Der Kunde benötigt eine hohe Verfügbarkeit für die Tunnel zwischen den Switches und dem Gateway-Cluster. Wenn ein Gateway ausfällt, sollte das andere Gateway dessen Tunnel übernehmen. Außerdem sollte der Switch in der Lage sein, den Gateway-Cluster unabhängig davon zu erkennen, ob eines der Gateways im Cluster ist.
Gehen Sie davon aus, dass Sie den Namen "myzone" für die UBT-Zone verwenden.
Was ist eine gültige Minimalkonfiguration für die AOS-CX-Port-Zugriffsrollen?

FRAGE 37
Beziehen Sie sich auf das Szenario.
Eine Organisation möchte, dass der AOS-CX-Switch einen Alarm auslöst, wenn der RADIUS-Server (cp.acnsxtest.local) eine ungewöhnliche Anzahl von Client-Authentifizierungsanforderungen pro Stunde ablehnt. Nach einigen Diskussionen mit anderen Aruba-Administratoren sind Sie immer noch nicht sicher, wie viele Ablehnungen üblich oder ungewöhnlich sind. Sie vermuten, dass der Wert auf jedem Switch unterschiedlich sein könnte.
Sie helfen dem Entwickler zu verstehen, wie man ein NAE-Skript für diesen Anwendungsfall entwickelt.
Sie helfen dem Entwickler, den richtigen URI für den Monitor zu finden.
Siehe dazu die Abbildung.

Sie haben die REST-API-Referenzschnittstelle verwendet, um einen Testaufruf zu übermitteln. Die Ergebnisse sind in der Abbildung zu sehen.
Welche URI sollten Sie dem Entwickler geben?

FRAGE 38
Ein Unternehmen besitzt Aruba-Gateways und möchte mit der Implementierung von Gateway-IDS/IPS beginnen. Der Kunde hat Block für die Fail-Strategie ausgewählt.
Was würden Sie empfehlen, um unerwartete Ausfälle, die durch die Verwendung dieser speziellen Fallstrategie verursacht werden, zu minimieren?

FRAGE 39
Beziehen Sie sich auf das Szenario.
# Einführung in den Kunden
Sie unterstützen ein Unternehmen beim Hinzufügen von Aruba ClearPass zu seinem Netzwerk, das Aruba-Netzwerkinfrastrukturgeräte verwendet.
Das Unternehmen hat derzeit eine Windows-Domäne und eine Windows-CA. Die Windows-CA stellt Zertifikate für Domänencomputer, Domänenbenutzer und Server wie Domänencontroller aus. Ein Beispiel für ein von der Windows-CA ausgestelltes Zertifikat ist hier zu sehen.


Das Unternehmen ist dabei, den Microsoft Endpoint Manager (Intune) zur Verwaltung seiner mobilen Clients hinzuzufügen.
Der Kunde behält das On-Prem AD vorerst bei und nutzt Azure AD Connect zur Synchronisierung mit Azure AD.
# Anforderungen für die Ausstellung von Zertifikaten für mobile Clients
Das Unternehmen möchte ClearPass Onboard verwenden, um Zertifikate automatisch an mobile Clients zu verteilen, die in Intune angemeldet sind. Während dieses Prozesses sollte Onboard mit Azure AD kommunizieren, um die Clients zu validieren. Für dieses Szenario sollte auch eine hohe Verfügbarkeit gewährleistet sein, d. h., die Clients sollten in der Lage sein, Zertifikate von Teilnehmer 2 zu erhalten, wenn Teilnehmer 1 ausgefallen ist.
Die Intune-Administratoren beabsichtigen, Zertifikatsprofile zu erstellen, die ein UPN-SAN mit dem UPN des Benutzers enthalten, der das Gerät registriert hat.
# Anforderungen für die Authentifizierung von Clients
Der Kunde verlangt, dass alle Arten von Clients eine Verbindung herstellen und sich bei derselben Unternehmens-SSID authentifizieren.
Das Unternehmen möchte, dass CPPM diese Authentifizierungsmethoden verwendet:
EAP-TLS zur Authentifizierung von Benutzern auf in Intune registrierten mobilen Clients
TEAR, mit EAP-TLS als innerer Methode zur Authentifizierung von Windows-Domänencomputern und den darauf befindlichen Benutzern Damit EAP-TLS (allein oder als TEAP-Methode) erfolgreich ist, müssen die Clients diese Anforderungen erfüllen:
Ihr Zertifikat ist gültig und wurde nicht widerrufen, wie durch OCSP bestätigt wurde.
Der Benutzername des Kunden stimmt mit einem Konto in AD überein
# Anforderungen für die Zuweisung von Mandanten zu Rollen
Nach der Authentifizierung möchte der Kunde, dass das CPPM die Clients anhand der folgenden Regeln den ClearPass-Rollen zuweist:
Clients mit von Onboard ausgestellten Zertifikaten wird die Rolle "mobile-onboarded" zugewiesen Clients, die TEAP-Methode 1 bestanden haben, wird die Rolle "domain-computer" zugewiesen Clients in der AD-Gruppe "Medical" wird die Rolle "medical-staff" zugewiesen Clients in der AD-Gruppe "Reception" werden der Rolle "reception-staff" zugewiesen Der Kunde verlangt von CPPM, dass authentifizierte Clients den AOS-Firewall-Rollen wie folgt zugewiesen werden:
Medizinisches Personal auf mobilen Clients der Firewall-Rolle "medical-mobile" zuweisen Andere mobile Clients der Firewall-Rolle "mobile-other" zuweisen Medizinisches Personal auf Domänencomputern der Firewall-Rolle "medical-domain" zuweisen Alle Empfangsmitarbeiter auf Domänencomputern der Firewall-Rolle "reception-domain" zuweisen Alle Domänencomputer, auf denen kein gültiger Benutzer angemeldet ist, der Firewall-Rolle "computer-only" zuweisen Anderen Clients den Zugriff verweigern
# Sonstige Anforderungen
Die Kommunikation zwischen ClearPass-Servern und AD-Domänencontrollern vor Ort muss verschlüsselt werden.
# Netzwerktopologie
Als Netzwerkinfrastruktur verfügt dieser Kunde über Aruba APs und Aruba Gateways, die von Central verwaltet werden. Die APs verwenden getunnelte WLANs, die den Datenverkehr zum Gateway-Cluster tunneln. Der Kunde verfügt außerdem über AOS-CX-Switches, die zu diesem Zeitpunkt nicht von Central verwaltet werden.

# ClearPass-Cluster-IP-Adressierung und Hostnamen
Der ClearPass-Cluster eines Kunden hat diese IP-Adressen:
Herausgeber = 10.47.47.5
Teilnehmer 1 = 10.47.47.6
Teilnehmer 2 = 10.47.47.7
Virtuelle IP mit Teilnehmer 1 und Teilnehmer 2 = 10.47.47.8
Der DNS-Server des Kunden hat diese Einträge
cp.acnsxtest.com = 10.47.47.5
cps1.acnsxtest.com = 10.47.47.6
cps2.acnsxtest.com = 10.47.47.7
radius.acnsxtest.com = 10.47.47.8
onboard.acnsxtest.com = 10.47.47.8
Der Kunde benötigt eine sichere Möglichkeit für Benutzer, ihre neuen drahtlosen Clients in Intune zu registrieren. Sie empfehlen ein neues WLAN, das den Benutzern einen eingeschränkten Zugang für die Registrierung bietet.
Sie haben ein Captive Portal für Clients in diesem WLAN eingerichtet, das eine Webseite mit Anweisungen zur Registrierung von Geräten enthält.
Sie müssen mehrere Hostnamen manuell zur Zulassungsliste des unverschlüsselten Portals hinzufügen.
Wie lautet einer dieser Hostnamen?

FRAGE 40
Sie arbeiten mit einem Entwickler zusammen, um ein benutzerdefiniertes NAE-Skript für einen Kunden zu entwerfen. Der NAE-Agent soll einen Alarm auslösen, wenn die ARP-Überprüfung Pakete in einem VLAN fallen lässt. Der Kunde möchte, dass die Administratoren bei der Erstellung des Agenten die richtige VLAN-ID für die Überwachung durch den Agenten auswählen können.
Was sollten Sie dem Entwickler sagen?

FRAGE 41
Beziehen Sie sich auf das Szenario.
Ein Kunde verwendet eine AOS 10-Architektur mit Aruba-APs und Aruba-Gateways (zwei pro Standort). Die Administratoren haben Auto-Site-Clustering für Gateways implementiert, wobei der Standard-Gateway-Modus deaktiviert ist. Die WLANs verwenden den getunnelten Modus zu den Gateways.
Die WLAN-Sicherheit ist WPA3-Enterprise mit Authentifizierung an einem Aruba ClearPass Policy Manager (CPPM)-Cluster-VIP. Die RADIUS-Kommunikation erfolgt über RADIUS, nicht über RadSec.
CPPM nutzt den in den Abbildungen gezeigten Dienst.

Welche Maßnahmen können Sie ergreifen, um den Betrieb während eines möglichen Gateway-Failover-Ereignisses zu verbessern?

FRAGE 42
Beziehen Sie sich auf das Szenario.
Ein Kunde verfügt über einen Aruba ClearPass-Cluster. Der Kunde verfügt über AOS-CX-Switches, die 802.1X-Authentifizierung für ClearPass Policy Manager (CPPM) implementieren.
Die Switches verwenden lokale Port-Zugriffsrichtlinien.
Der Kunde möchte kabelgebundene Clients, die nur die Benutzerauthentifizierung bestehen, zu einem Aruba-Gateway-Cluster tunneln. Der Gateway-Cluster sollte diese Clients der Rolle "eth-internet" zuweisen. Das Gateway sollte auch die Zuweisung der Clients zu ihrem VLAN, d. h. VLAN 20, übernehmen.
Der Plan für die Durchsetzungspolitik und die Profile ist unten dargestellt:

Der Gateway-Cluster hat zwei Gateways mit diesen IP-Adressen:
* Gateway 1
o VLAN 4085 (System-IP) = 10.20.4.21
o VLAN 20 (Benutzer) = 10.20.20.1
o VLAN 4094 (WAN) = 198.51.100.14
* Gateway 2
o VLAN 4085 (System-IP) = 10.20.4.22
o VLAN 20 (Benutzer) = 10.20.20.2
o VLAN 4094 (WAN) = 198.51.100.12
* VRRP auf VLAN 20 = 10.20.20.254
Der Kunde benötigt eine hohe Verfügbarkeit für die Tunnel zwischen den Switches und dem Gateway-Cluster. Wenn ein Gateway ausfällt, sollte das andere Gateway dessen Tunnel übernehmen. Außerdem sollte der Switch in der Lage sein, den Gateway-Cluster unabhängig davon zu erkennen, ob eines der Gateways im Cluster ist.
Welche Änderung sollten Sie an der Lösung vornehmen?

FRAGE 43
Sie müssen ein Zertifikat auf einem eigenständigen Aruba Mobility Controller (MC) installieren. Der MC muss das Zertifikat für die Web-UI und für die Implementierung von RadSec mit Aruba ClearPass Policy Manager verwenden. Sie haben ein Zertifikat mit diesen Einstellungen erhalten:
Betreff: CN=mc41.site94.example.com
* Keine SANs
* Aussteller: CN=ca41.example.com
EKUs: Server-Authentifizierung, Client-Authentifizierung
Welche Bedeutung hat dieses Zertifikat für die Zwecke, für die es bestimmt ist?

FRAGE 44
Sie arbeiten mit einem Entwickler zusammen, um ein benutzerdefiniertes NAE-Skript für einen Kunden zu entwerfen. Sie helfen dem Entwickler, die richtige REST-API-Ressource für die Überwachung zu finden.
Siehe dazu die nachstehende Abbildung.

Was sollten Sie tun, bevor Sie fortfahren?

FRAGE 45
Sie entwerfen eine Aruba ClearPass Policy Manager (CPPM)-Lösung für einen Kunden. Sie erfahren, dass der Kunde über eine Palo Alto-Firewall verfügt, die den Datenverkehr zwischen Clients auf dem Campus und dem Rechenzentrum filtert.
Welche Integration können Sie vorschlagen?

FRAGE 46
Beziehen Sie sich auf das Szenario.
# Einführung in den Kunden
Sie unterstützen ein Unternehmen beim Hinzufügen von Aruba ClearPass zu seinem Netzwerk, das Aruba-Netzwerkinfrastrukturgeräte verwendet.
Das Unternehmen hat derzeit eine Windows-Domäne und eine Windows-CA. Die Windows-CA stellt Zertifikate für Domänencomputer, Domänenbenutzer und Server wie Domänencontroller aus. Ein Beispiel für ein von der Windows-CA ausgestelltes Zertifikat ist hier zu sehen.


Das Unternehmen ist dabei, den Microsoft Endpoint Manager (Intune) zur Verwaltung seiner mobilen Clients hinzuzufügen.
Der Kunde behält das On-Prem AD vorerst bei und nutzt Azure AD Connect zur Synchronisierung mit Azure AD.
# Anforderungen für die Ausstellung von Zertifikaten für mobile Clients
Das Unternehmen möchte ClearPass Onboard verwenden, um Zertifikate automatisch an mobile Clients zu verteilen, die in Intune angemeldet sind. Während dieses Prozesses sollte Onboard mit Azure AD kommunizieren, um die Clients zu validieren. Für dieses Szenario sollte auch eine hohe Verfügbarkeit gewährleistet sein, d. h., die Clients sollten in der Lage sein, Zertifikate von Teilnehmer 2 zu erhalten, wenn Teilnehmer 1 ausgefallen ist.
Die Intune-Administratoren beabsichtigen, Zertifikatsprofile zu erstellen, die ein UPN-SAN mit dem UPN des Benutzers enthalten, der das Gerät registriert hat.
# Anforderungen für die Authentifizierung von Clients
Der Kunde verlangt, dass alle Arten von Clients eine Verbindung herstellen und sich bei derselben Unternehmens-SSID authentifizieren.
Das Unternehmen möchte, dass CPPM diese Authentifizierungsmethoden verwendet:
* EAP-TLS zur Authentifizierung von Benutzern auf in Intune registrierten mobilen Clients
* TEAR, mit EAP-TLS als innerer Methode zur Authentifizierung von Windows-Domänencomputern und deren Benutzern Damit EAP-TLS (allein oder als TEAP-Methode) erfolgreich ist, müssen die Clients diese Anforderungen erfüllen:
Ihr Zertifikat ist gültig und wurde nicht widerrufen, wie durch OCSP bestätigt wurde.
Der Benutzername des Kunden stimmt mit einem Konto in AD überein
# Anforderungen für die Zuweisung von Mandanten zu Rollen
Nach der Authentifizierung möchte der Kunde, dass das CPPM die Clients anhand der folgenden Regeln den ClearPass-Rollen zuweist:
* Clients mit von Onboard ausgestellten Zertifikaten wird die Rolle "mobile-onboarded" zugewiesen
* Clients, die die TEAP-Methode 1 bestanden haben, erhalten die Rolle "Domain-Computer" Clients in der AD-Gruppe "Medical" erhalten die Rolle "Medical-Staff" Clients in der AD-Gruppe "Reception" erhalten die Rolle "Reception-Staff" Der Kunde verlangt von CPPM, dass authentifizierte Clients den AOS-Firewall-Rollen wie folgt zugewiesen werden:
* Zuweisung von medizinischem Personal für mobil angeschlossene Kunden zur Firewall-Rolle "medizinisch-mobil".
* Weisen Sie anderen mobilen Clients die Firewall-Rolle "mobile-other" zu.
* Weisen Sie dem medizinischen Personal auf den Domänencomputern die Firewall-Rolle "medical-domain" zu.
* Alle Empfangsmitarbeiter auf Domänencomputern auf die Firewall-Rolle "reception-domain" setzen
* Alle Domänencomputer, bei denen kein gültiger Benutzer mit der Firewall-Rolle "Nur-Computer" angemeldet ist
* Anderen Kunden den Zugang verweigern
# Sonstige Anforderungen
Die Kommunikation zwischen ClearPass-Servern und AD-Domänencontrollern vor Ort muss verschlüsselt werden.
# Netzwerktopologie
Als Netzwerkinfrastruktur verfügt dieser Kunde über Aruba APs und Aruba Gateways, die von Central verwaltet werden. Die APs verwenden getunnelte WLANs, die den Datenverkehr zum Gateway-Cluster tunneln. Der Kunde verfügt außerdem über AOS-CX-Switches, die zu diesem Zeitpunkt nicht von Central verwaltet werden.

# ClearPass-Cluster-IP-Adressierung und Hostnamen
Der ClearPass-Cluster eines Kunden hat diese IP-Adressen:
* Herausgeber = 10.47.47.5
* Teilnehmer 1 = 10.47.47.6
* Teilnehmer 2 = 10.47.47.7
* Virtuelle IP mit Teilnehmer 1 und Teilnehmer 2 = 10.47.47.8
Der DNS-Server des Kunden hat diese Einträge
* cp.acnsxtest.com = 10.47.47.5
* cps1.acnsxtest.com = 10.47.47.6
* cps2.acnsxtest.com = 10.47.47.7
* radius.acnsxtest.com = 10.47.47.8
* onboard.acnsxtest.com = 10.47.47.8
Sie haben das Stammzertifikat für die Windows-CA in die ClearPass-CA-Vertrauensliste importiert.
Welche Verwendungen sollten Sie je nach den Anforderungen des Szenarios hinzufügen?

FRAGE 47
Beziehen Sie sich auf das Szenario.
Dieser Kunde setzt 802.1X auf AOS-CX-Switches gegenüber Aruba ClearPass Policy Manager (CPPM) durch. Der Kunde möchte, dass die Switches die Rolleneinstellungen von CPPM herunterladen. Die Rolle "reception-domain" muss diese Einstellungen haben:
- Weist die Clients VLAN 14 auf Switch 1, VLAN 24 auf Switch 2 usw. zu.
- Filtert den Client-Datenverkehr wie folgt:
- Die Clients haben vollen Zugriff auf 10.1.5.0/24 und das Internet
- Clients wird der Zugriff auf 10.1.0.0/16 verweigert
Die Switch-Topologie ist hier dargestellt:

Wie sollten Sie die VLAN-Einstellung für die Empfangsrolle konfigurieren?

FRAGE 48
Beziehen Sie sich auf das Szenario.
Ein Kunde benötigt diese Rechte für Clients in der AOS-Firewall-Rolle "medical-mobile" auf Aruba Mobility Controllern (MCs):
Erlaubt, IP-Adressen mit DHCP zu erhalten
Erlaubter Zugriff auf DNS-Dienste von 10.8.9.7 und keinem anderen Server
Erlaubter Zugang zu allen Subnetzen im Bereich 10.1.0.0/16 mit Ausnahme des verwehrten Zugangs zu 10.1.12.0/22 Verweigerter Zugang zu anderen 10.0.0.0/8-Subnetzen Erlaubter Zugang zum Internet Verweigerter Zugang zum WLAN für eine gewisse Zeit, wenn sie SSH-Verkehr senden Verweigerter Zugang zum WLAN für eine gewisse Zeit, wenn sie Telnet-Verkehr senden Verweigerter Zugang zu allen risikoreichen Websites Externe Geräte sollten keine Sitzungen mit "medical-mobile"-Clients initiieren dürfen, sondern nur Rückverkehr senden.
Die folgenden Abbildungen zeigen die Konfiguration für die Rolle.

Es gibt mehrere Probleme mit der Konfiguration.
Welche Änderungen müssen Sie an den Richtlinien vornehmen, um die Anforderungen des Szenarios zu erfüllen? (In den Optionen werden die Regeln in einer Richtlinie von oben nach unten referenziert. Beispiel: "medical-mobile" Regel 1 ist "ipv4 any any svc-dhcp permit" und Regel 8 ist "ipv4 any any any permit").

FRAGE 49
Beziehen Sie sich auf das Szenario.
Ein Kunde migriert von On-Prem AD zu Azure AD als einzige Domänenlösung. Der Kunde verwaltet außerdem sowohl kabelgebundene als auch drahtlose Geräte mit Microsoft Endpoint Manager (Intune).
Der Kunde möchte die Sicherheit am Netzwerkrand verbessern. Sie unterstützen den Kunden bei der Entwicklung einer ClearPass-Bereitstellung für diesen Zweck. Aruba-Netzwerkgeräte werden drahtlose und kabelgebundene Clients bei einem Aruba ClearPass Policy Manager (CPPM)-Cluster (Version 6.10) authentifizieren.
Der Kunde hat mehrere Anforderungen an die Authentifizierung. Die Clients sollten die EAP-TLS-Authentifizierung nur bestehen, wenn eine Abfrage bei Azure AD zeigt, dass sie über Konten in Azure AD verfügen. Um die Berechtigungen der Clients weiter zu verfeinern, sollte ClearPass auch die von Intune gesammelten Informationen verwenden, um Entscheidungen zur Zugriffskontrolle zu treffen.
Sie planen die Verwendung von Azure AD als Authentifizierungsquelle in 802.1X-Diensten.
Worauf sollten Sie achten, damit der Kunde versteht, dass dies erforderlich ist?

FRAGE 50
Beziehen Sie sich auf das Szenario.
Ein Kunde verfügt über einen Aruba ClearPass-Cluster. Der Kunde verfügt über AOS-CX-Switches, die 802.1X-Authentifizierung für ClearPass Policy Manager (CPPM) implementieren.
Die Switches verwenden lokale Port-Zugriffsrichtlinien.
Der Kunde möchte kabelgebundene Clients, die nur die Benutzerauthentifizierung bestehen, zu einem Aruba-Gateway-Cluster tunneln. Der Gateway-Cluster sollte diese Clients der Rolle "eth-internet" zuweisen. Das Gateway sollte auch die Zuweisung der Clients zu ihrem VLAN, d. h. VLAN 20, übernehmen.
Der Plan für die Durchsetzungspolitik und die Profile ist unten dargestellt:

Der Gateway-Cluster hat zwei Gateways mit diesen IP-Adressen:
* Gateway 1
o VLAN 4085 (System-IP) = 10.20.4.21
o VLAN 20 (Benutzer) = 10.20.20.1
o VLAN 4094 (WAN) = 198.51.100.14
* Gateway 2
o VLAN 4085 (System-IP) = 10.20.4.22
o VLAN 20 (Benutzer) = 10.20.20.2
o VLAN 4094 (WAN) = 198.51.100.12
* VRRP auf VLAN 20 = 10.20.20.254
Der Kunde benötigt eine hohe Verfügbarkeit für die Tunnel zwischen den Switches und dem Gateway-Cluster. Wenn ein Gateway ausfällt, sollte das andere Gateway dessen Tunnel übernehmen. Außerdem sollte der Switch in der Lage sein, den Gateway-Cluster unabhängig davon zu erkennen, ob eines der Gateways im Cluster ist.
Gehen Sie davon aus, dass Sie den Namen "myzone" für die UBT-Zone verwenden.
Was ist eine gültige Minimalkonfiguration für die AOS-CX-Port-Zugriffsrollen?

FRAGE 51
Beziehen Sie sich auf das Szenario.
Ein Kunde benötigt diese Rechte für Clients in der AOS-Firewall-Rolle "medical-mobile" auf Aruba Mobility Controllern (MCs):
* Erlaubt den Empfang von IP-Adressen mit DHCP
* Erlaubter Zugriff auf DNS-Dienste von 10.8.9.7 und keinem anderen Server
* Erlaubter Zugang zu allen Subnetzen im Bereich 10.1.0.0/16 mit Ausnahme des verwehrten Zugangs zu 10.1.12.0/22 Verweigerter Zugang zu anderen Subnetzen 10.0.0.0/8
* Erlaubter Zugang zum Internet
Verweigerung des Zugriffs auf das WLAN für eine bestimmte Zeit, wenn sie SSH-Datenverkehr senden Verweigerung des Zugriffs auf das WLAN für eine bestimmte Zeit, wenn sie Telnet-Datenverkehr senden Verweigerung des Zugriffs auf alle Websites mit hohem Risiko Externe Geräte sollten keine Sitzungen mit "medical-mobile"-Clients initiieren dürfen, sondern nur Rückverkehr senden.
Die folgenden Abbildungen zeigen die Konfiguration für die Rolle.

Welche nicht in der Abbildung gezeigte Einstellung müssen Sie überprüfen, um sicherzustellen, dass die Anforderungen des Szenarios erfüllt sind?

FRAGE 52
Ein Unternehmen hat einen Aruba ClearPass-Server unter 10.47.47.8, FQDN radius.acnsxtest.local. Diese Abbildung zeigt die Einstellungen von ClearPass Policy Manager (CPPM) für einen Aruba Mobility Controller (MC).

Der MC ist bereits mit RADIUS-Authentifizierungseinstellungen für CPPM konfiguriert, und RADIUS-Anfragen zwischen dem MC und CPPM funktionieren. Ein Netzwerkadministrator gibt diesen Befehl ein und bestätigt ihn, um die dynamische Autorisierung auf dem MC zu aktivieren:
aaa rfc-3576-server 10.47.47.8
Wenn CPPM jedoch CoA-Anfragen an den MC sendet, funktionieren sie nicht. Diese Abbildung zeigt die RFC 3576-Serverstatistiken auf dem MC:

Wie können Sie dieses Problem beheben?

FRAGE 53
Beziehen Sie sich auf das Szenario.
Ein Krankenhaus verfügt über eine AOS10-Architektur, die von Aruba Central verwaltet wird. Der Kunde hat in jeder Klinik ein Paar Gateways der Serie Aruba 9000 mit Sicherheitslizenzen implementiert. Die Gateways implementieren IDS/IPS im IDS-Modus.
Das Security Dashboard zeigt diese verschiedenen jüngsten Ereignisse mit der gleichen Signatur an, wie unten dargestellt:

Welcher Schritt könnte Ihnen wertvolle Informationen über den Vorfall liefern?