2023 年 HPE6-A84 考试练习题更新 60 题 [Q33-Q53]

问题 33
请参考情景。
某客户拥有一个 Aruba ClearPass 集群。客户的 AOS-CX 交换机为 ClearPass Policy Manager (CPPM) 实施了 802.1X 身份验证。
交换机使用本地端口访问策略。
客户希望开始将仅通过用户身份验证的有线客户端隧道传输到 Aruba 网关群集。网关集群应将这些客户分配到 "eth-internet "角色。网关还应将客户分配到他们的 VLAN，即 VLAN 20。
执行政策和概况计划如下：

网关集群有两个网关，其 IP 地址都是这些：
* 网关 1
o VLAN 4085（系统 IP）= 10.20.4.21
o VLAN 20（用户）= 10.20.20.1
o VLAN 4094（WAN）= 198.51.100.14
* 网关 2
o VLAN 4085（系统 IP）= 10.20.4.22
o VLAN 20（用户）= 10.20.20.2
o VLAN 4094（WAN）= 198.51.100.12
* VLAN 20 上的 VRRP = 10.20.20.254
客户要求交换机和网关集群之间的隧道具有高可用性。如果一个网关掉线，另一个网关应接管其隧道。此外，无论网关集群中是否有网关，交换机都应能发现网关集群。
您正在 AOS-CX 交换机上设置 UBT 区域。
应在区域中定义哪些 IP 地址？

主控制器 = 10.20.4.21；备用控制器 = 10.20.4.22

[主控制器 = 198.51.100.14；备用控制器 = 10.20.4.21

主控制器 = 10 20 4 21：未定义备用控制器

主控制器 = 10.20.20.254；备用控制器，未定义

问题 34
您正在设置 Aruba ClearPass Policy Manager (CPPM)，以便使用 Active Directory 作为身份验证源执行 EAP-TLS 身份验证。公司希望防止已禁用账户的用户进行连接，即使这些用户仍然拥有有效证书。
作为满足这些标准的第一部分，应该如何启用 CPPM 来确定在 AD 中是否启用了账户？

在域控制器上添加端点上下文服务器，并执行查询域控制器账户状态的操作。

在 EAP-TLS 身份验证方法设置中启用 OCSP，并将 OCSP 覆盖配置为域控制器 FQDN。

在 AD 身份验证源的筛选器中添加 userAccountControl 的自定义属性。

在 Aruba ClearPass Guest 中安装 Microsoft Active Directory 扩展，并设置指向该扩展的 HTTP 身份验证源。

问题 35
请参考情景。
# 客户介绍
您正在帮助一家公司将 Aruba ClearPass 添加到其使用 Aruba 网络基础架构设备的网络中。
公司目前有一个 Windows 域和 Windows CA。Windows CA 向域计算机、域用户和服务器（如域控制器）签发证书。下面是 Windows CA 签发证书的示例。

该公司正在添加 Microsoft Endpoint Manager (Intune) 来管理其移动客户端。
客户目前正在维护内部 AD，并使用 Azure AD Connect 与 Azure AD 同步。
# 向移动客户端发放证书的要求
公司希望使用 ClearPass Onboard 将证书自动部署到 Intune 注册的移动客户端。在此过程中，Onboard 应与 Azure AD 通信，以验证客户端。这种情况下还应提供高可用性；换句话说，如果用户 1 出现故障，客户应能从用户 2 处获得证书。
Intune 管理员打算创建包含 UPN SAN 的证书配置文件，其中包含注册设备的用户的 UPN。
# 验证客户端的要求
客户要求所有类型的客户端在同一个企业 SSID 上进行连接和验证。
公司希望 CPPM 使用这些验证方法：
* 通过 EAP-TLS 对在 Intune 中注册的移动客户端上的用户进行身份验证
* 要取得成功，EAP-TLS（独立或作为 TEAP 方法）客户端必须满足这些要求：
经 OCSP 验证，其证书有效且未被撤销
客户的用户名与 AD 中的帐户匹配
# 为客户分配角色的要求
身份验证后，客户希望 CPPM 根据以下规则为客户分配 ClearPass 角色：
* 拥有 Onboard 签发的证书的客户端将被分配 "移动上机 "角色
* 通过 TEAP 方法 1 的客户被分配为 "域计算机 "角色 AD 组 "医疗 "中的客户被分配为 "医务人员 "角色 AD 组 "接待 "中的客户被分配为 "接待人员 "角色客户要求 CPPM 将通过身份验证的客户分配为 AOS 防火墙角色，具体如下：
* 为移动客户的医务人员分配 "医疗移动 "防火墙角色
* 将其他已登录的移动客户端指定为 "移动-其他 "防火墙角色
* 将域计算机上的医务人员指定为 "医疗域 "防火墙角色
* 将域计算机上的所有接待人员设置为 "reception-domain "防火墙角色
* 没有有效用户登录 "仅计算机 "防火墙角色的所有域计算机
* 拒绝其他客户访问
# 其他要求
ClearPass 服务器与内部 AD 域控制器之间的通信必须加密。
# 网络拓扑结构
在网络基础设施方面，该客户拥有由 Central 管理的 Aruba 接入点和 Aruba 网关。AP 使用隧道式 WLAN，将流量以隧道方式传输到网关集群。该客户还拥有 AOS-CX 交换机，但目前不受 Central 管理。

# ClearPass 集群 IP 地址和主机名
客户的 ClearPass 集群拥有这些 IP 地址：
* 发布者 = 10.47.47.5
* 用户 1 = 10.47.47.6
* 用户 2 = 10.47.47.7
* 用户 1 和用户 2 的虚拟 IP = 10.47.47.8
客户的 DNS 服务器有以下条目
* cp.acnsxtest.com = 10.47.47.5
* cps1.acnsxtest.com = 10.47.47.6
* cps2.acnsxtest.com = 10.47.47.7
* radius.acnsxtest.com = 10.47.47.8
* onboard.acnsxtest.com = 10.47.47.8
无法查看无线客户端的流量属性。
你应该检查什么？

深度数据包检查在 Aruba 接入点分配给无线客户端的角色上启用。

已在 Aruba 网关上启用防火墙应用程序可见性，并已重新启动网关。

网关 IDS/IPS 已在 Aruba 网关上启用，且网关已重启。

已在 Aruba 接入点上启用深度数据包检测，并已重新启动接入点。

问题 36
请参考情景。
某客户拥有一个 Aruba ClearPass 集群。客户的 AOS-CX 交换机为 ClearPass Policy Manager (CPPM) 实施了 802.1X 身份验证。
交换机使用本地端口访问策略。
客户希望开始将仅通过用户身份验证的有线客户端隧道传输到 Aruba 网关群集。网关集群应将这些客户分配到 "eth-internet "角色。网关还应将客户分配到他们的 VLAN，即 VLAN 20。
执行政策和概况计划如下：

网关集群有两个网关，其 IP 地址都是这些：
* 网关 1
o VLAN 4085（系统 IP）= 10.20.4.21
o VLAN 20（用户）= 10.20.20.1
o VLAN 4094（WAN）= 198.51.100.14
* 网关 2
o VLAN 4085（系统 IP）= 10.20.4.22
o VLAN 20（用户）= 10.20.20.2
o VLAN 4094（WAN）= 198.51.100.12
* VLAN 20 上的 VRRP = 10.20.20.254
客户要求交换机和网关集群之间的隧道具有高可用性。如果一个网关掉线，另一个网关应接管其隧道。此外，无论网关集群中是否有网关，交换机都应能发现网关集群。
假设您使用 "myzone "作为 UBT 区域的名称。
哪个是 AOS-CX 端口访问角色的有效最小配置？

端口-访问角色 eth-internet 网关-区域 myzone 网关-角色 eth-user

port-access role internet-only gateway-zone zone myzone gateway-role eth-internet

port-access role eth-internet gateway-zone myzone gateway-role eth-internet vlan access 20

port-access role internet-only gateway-zone zone myzone gateway-role eth-internet vlan access 20

问题 37
请参考情景。
某机构希望 AOS-CX 交换机在其 RADIUS 服务器 (cp.acnsxtest.local) 每小时拒绝的客户端身份验证请求数量异常时触发警报。在与其他 Aruba 管理员讨论后，您仍然不确定拒绝的次数是正常还是异常。您预计每台交换机上的数值都可能不同。
您要帮助开发人员了解如何针对这种使用情况开发 NAE 脚本。
您正在帮助开发人员为监视器找到正确的 URI。
请参阅展品。

您使用 REST API 参考接口提交了一个测试调用。测试结果如图所示。
您应该向开发人员提供哪个 URI？

/rest/v1/system/vrfs/mgmt/radius/servers/cp.acnsxtest.local/2083/tcp?attributes=authstatistics

/rest/v1/system/vrfs/mgmt/radius/servers/cp.acnsxtest.local/2083/tcp?attributes=authstatistics?attributes=a

/rest/v1/system/vrfs/mgmt/radius/_servers/cp.acnsxtest.local/2083/tcp

/rest/v1/system/vrfs/mgmt/radius/servers/cp.acnsxtest.local/2083/tcp?attributes=authstatistics.access_rejec

问题 38
某公司拥有 Aruba 网关，并希望开始实施网关 IDS/IPS。客户选择了 "阻止 "作为失败策略。
您有什么建议可以帮助最大限度地减少因使用这种特殊的秋季策略而造成的意外停电？

为网关威胁计数警报配置相对较高的阈值

确保网关已形成一个群集，并以默认网关模式运行

将 IDS 或 IPS 策略设置为限制性最小的选项 "宽松"。

针对与网关 IPS 引擎使用率和错误有关的事件启用警报和电子邮件通知

说明
针对与网关 IPS 引擎利用率和错误相关的事件启用警报和电子邮件通知。
网关 IDS/IPS 是一项功能，允许 Aruba 网关根据预定义或自定义规则监控和阻止恶意或不需要的流量 1.Fail Strategy（失败策略）是一种设置，用于确定当 IPS 引擎发生故障或崩溃时网关如何处理流量 2.阻止（Block）选项表示网关将停止转发流量，直到 IPS 引擎恢复；旁路（Bypass）选项表示网关将继续转发流量，而不进行检查 2.
阻止 "选项可提供更多安全性，但如果 IPS 引擎经常或长时间出现故障，也会增加网络中断的风险 2.为尽量降低这种风险，建议针对与网关 IPS 引擎使用情况和错误有关的事件启用警报和电子邮件通知 3。这样，网络管理员就能获知 IPS 引擎的任何问题，并采取适当措施恢复或排除故障 3。
其他选项不正确，也与本问题无关：
选项 A 不正确，因为为网关威胁计数警报配置相对较高的阈值无助于最大限度地减少因使用 "阻止 "选项而导致的意外中断。网关威胁计数警报用于通知网络管理员 IPS 引擎检测到的威胁数量，但不会影响 IPS 引擎失效时网关如何处理流量。
选项 B 不正确，因为确保网关已形成一个群集并以默认网关模式运行，无助于最大限度地减少因使用 "阻止 "选项而造成的意外中断。
网关群集模式用于为网关提供高可用性和负载平衡，但不会影响 IPS 引擎发生故障时网关处理流量的方式。默认网关模式用于在网关上启用路由和 NAT 功能，但不会影响 IPS 引擎发生故障时网关处理流量的方式。
选项 C 不正确，因为将 IDS 或 IPS 策略设置为限制性最小的选项 "宽松 "无助于最大限度地减少因使用 "阻止 "选项而造成的意外中断。IDS 或 IPS 策略用于定义 IPS 引擎应用哪些规则来检查和阻止流量，但它不会影响 IPS 引擎失效时网关如何处理流量。与 "适度 "或 "严格 "选项相比，"宽松 "选项包含的规则更少、更旧，这意味着它提供的安全性更低，假阴性更多。

问题 39
请参考情景。
# 客户介绍
您正在帮助一家公司将 Aruba ClearPass 添加到其使用 Aruba 网络基础架构设备的网络中。
公司目前有一个 Windows 域和 Windows CA。Windows CA 向域计算机、域用户和服务器（如域控制器）签发证书。下面是 Windows CA 签发证书的示例。

该公司正在添加 Microsoft Endpoint Manager (Intune) 来管理其移动客户端。
客户目前正在维护内部 AD，并使用 Azure AD Connect 与 Azure AD 同步。
# 向移动客户端发放证书的要求
公司希望使用 ClearPass Onboard 将证书自动部署到 Intune 注册的移动客户端。在此过程中，Onboard 应与 Azure AD 通信，以验证客户端。这种情况下还应提供高可用性；换句话说，如果用户 1 出现故障，客户应能从用户 2 处获得证书。
Intune 管理员打算创建包含 UPN SAN 的证书配置文件，其中包含注册设备的用户的 UPN。
# 验证客户端的要求
客户要求所有类型的客户端在同一个企业 SSID 上进行连接和验证。
公司希望 CPPM 使用这些验证方法：
通过 EAP-TLS 对在 Intune 中注册的移动客户端上的用户进行身份验证
要取得成功，EAP-TLS（独立或作为 TEAP 方法）客户端必须满足这些要求：
经 OCSP 验证，其证书有效且未被撤销
客户的用户名与 AD 中的帐户匹配
# 为客户分配角色的要求
身份验证后，客户希望 CPPM 根据以下规则为客户分配 ClearPass 角色：
具有 Onboard 颁发的证书的客户被分配为 "mobile-onboarded "角色通过 TEAP 方法 1 的客户被分配为 "domain-computer "角色 AD 组 "Medical "中的客户被分配为 "medical-staff "角色 AD 组 "Reception "中的客户被分配为 "reception-staff "角色客户要求 CPPM 将通过身份验证的客户分配为 AOS 防火墙角色，具体如下：
将移动客户上的医务人员分配到 "医疗-移动 "防火墙角色将其他移动客户分配到 "移动-其他 "防火墙角色将域计算机上的医务人员分配到 "医疗-域 "防火墙角色将域计算机上的所有接待人员分配到 "接待-域 "防火墙角色将没有有效用户登录的所有域计算机分配到 "仅计算机 "防火墙角色拒绝其他客户访问
# 其他要求
ClearPass 服务器与内部 AD 域控制器之间的通信必须加密。
# 网络拓扑结构
在网络基础设施方面，该客户拥有由 Central 管理的 Aruba 接入点和 Aruba 网关。AP 使用隧道式 WLAN，将流量以隧道方式传输到网关集群。该客户还拥有 AOS-CX 交换机，但目前不受 Central 管理。

# ClearPass 集群 IP 地址和主机名
客户的 ClearPass 集群拥有这些 IP 地址：
发布者 = 10.47.47.5
用户 1 = 10.47.47.6
用户 2 = 10.47.47.7
用户 1 和用户 2 的虚拟 IP = 10.47.47.8
客户的 DNS 服务器有以下条目
cp.acnsxtest.com = 10.47.47.5
cps1.acnsxtest.com = 10.47.47.6
cps2.acnsxtest.com = 10.47.47.7
radius.acnsxtest.com = 10.47.47.8
onboard.acnsxtest.com = 10.47.47.8
客户需要一种安全的方式让用户在 Intune 中注册他们的新无线客户端。您建议使用一个新的 WLAN，为用户提供有限的注册访问权限。
您已为该 WLAN 上的客户机设置了捕获式门户，使其可以访问包含设备注册说明的网页。
您需要手动将多个主机名添加到专属门户允许列表中。
其中一个主机名是什么？

ClearPass Policy ManaGer 的 RADIUS 服务使用的主机名

板载配置文件中引用的 ClearPass 板载主机名

Intune SCEP 配置文件中引用的 ClearPass Onboard 主机名

内部域控制器使用的主机名

问题 40
您正在与一名开发人员合作，为客户设计一个定制的NAE脚本。当ARP检查丢弃某个VLAN上的数据包时，NAE代理应触发警报。客户希望管理员在创建代理时，能为代理选择正确的VLAN ID进行监控。
您应该告诉开发人员怎么做？

在 NAE 代理脚本中定义监控 URI 时，使用此变量 %{vlan-id}。

定义 VLAN ID 参数；在定义监控器 URI 时引用该参数。

在脚本中创建多个监控器，管理员在创建代理时可从中进行选择。

使用回调操作收集管理员已启用 NAE 监控的 VLAN 的 ID。

问题 41
请参考情景。
某客户使用带有 Aruba 接入点和 Aruba 网关（每个站点两个）的 AOS 10 架构。管理员为网关实施了自动站点群集，并禁用了默认网关模式。WLAN 使用隧道模式连接到网关。
WLAN 安全性为 WPA3-Enterprise，通过 Aruba ClearPass Policy Manager (CPPM) 群组 VIP 进行验证。RADIUS 通信使用 RADIUS，而不是 RadSec。
CPPM 正在使用展品中所示的服务。

在可能发生网关故障切换事件时，您可以采取哪种措施来改善运行？

将 WLAN 改为混合模式转发，以便 vou 可以选择多个 qatewav 集群。

手动设置 qatewav 集群，并为动态授权设置 VRRP IP 地址。

网关使用自动组群集，而不是自动站点群集。

为网关群集启用默认网关模式。

问题 42
请参考情景。
某客户拥有一个 Aruba ClearPass 集群。客户的 AOS-CX 交换机为 ClearPass Policy Manager (CPPM) 实施了 802.1X 身份验证。
交换机使用本地端口访问策略。
客户希望开始将仅通过用户身份验证的有线客户端隧道传输到 Aruba 网关群集。网关集群应将这些客户分配到 "eth-internet "角色。网关还应将客户分配到他们的 VLAN，即 VLAN 20。
执行政策和概况计划如下：

网关集群有两个网关，其 IP 地址都是这些：
* 网关 1
o VLAN 4085（系统 IP）= 10.20.4.21
o VLAN 20（用户）= 10.20.20.1
o VLAN 4094（WAN）= 198.51.100.14
* 网关 2
o VLAN 4085（系统 IP）= 10.20.4.22
o VLAN 20（用户）= 10.20.20.2
o VLAN 4094（WAN）= 198.51.100.12
* VLAN 20 上的 VRRP = 10.20.20.254
客户要求交换机和网关集群之间的隧道具有高可用性。如果一个网关掉线，另一个网关应接管其隧道。此外，无论网关集群中是否有网关，交换机都应能发现网关集群。
您应该对解决方案做出哪些修改？

将 ubt-client-vlan 更改为 VLAN 13。

将边缘端口配置为 VLAN 中继模式。

从网关的角色配置中删除 VLAN 分配。

配置 UBT 解决方案以使用 VLAN 扩展模式。

问题 43
您需要在独立的 Aruba 移动控制器 (MC) 上安装证书。MC 需要将证书用于 Web UI 和使用 Aruba ClearPass Policy Manager 实施 RadSec。您已获得具有以下设置的证书：
主题CN=mc41.site94.example.com
* 没有 SAN
* 发行者：CN=ca41.example.com
EKUs：服务器验证、客户端验证
该证书的目的是什么？

它有相互冲突的 EKU。

它由一家私营 CA 发行。

它在 CN 字段而不是 DC 字段中指定域信息。

它缺少 DNS SAN。

问题 44
您正在与一名开发人员合作，为客户设计一个自定义 NAE 脚本。您正在帮助开发人员找到要监控的正确 REST API 资源。
请参阅下面的展品。

在继续之前，您应该做些什么？

转到 v1 API 文档界面，而不是 v10.10 界面。

使用您的 Aruba passport 账户并收集一个令牌，以便在尝试 API 调用时使用。

启用交换机监听默认 VRF 上的 REST API 调用。

确保您的浏览器设置为存储身份验证令牌和 Cookie。

问题 45
您正在为客户设计 Aruba ClearPass Policy Manager (CPPM) 解决方案。您了解到该客户拥有 Palo Alto 防火墙，可过滤园区客户与数据中心之间的流量。
您建议采用哪种集成方式？

从防火墙向 CPPM 发送系统日志，提示 CPPM 更改行为不端客户机的身份验证状态

导入客户的 MAC 地址，更快地配置已知客户以进行 MAC 验证

在园区边缘和数据中心 DMZ 建立双层身份验证

导入防火墙规则，更快地为 AOS-CX 交换机编程可下载的用户角色

问题 46
请参考情景。
# 客户介绍
您正在帮助一家公司将 Aruba ClearPass 添加到其使用 Aruba 网络基础架构设备的网络中。
公司目前有一个 Windows 域和 Windows CA。Windows CA 向域计算机、域用户和服务器（如域控制器）签发证书。下面是 Windows CA 签发证书的示例。

该公司正在添加 Microsoft Endpoint Manager (Intune) 来管理其移动客户端。
客户目前正在维护内部 AD，并使用 Azure AD Connect 与 Azure AD 同步。
# 向移动客户端发放证书的要求
公司希望使用 ClearPass Onboard 将证书自动部署到 Intune 注册的移动客户端。在此过程中，Onboard 应与 Azure AD 通信，以验证客户端。这种情况下还应提供高可用性；换句话说，如果用户 1 出现故障，客户应能从用户 2 处获得证书。
Intune 管理员打算创建包含 UPN SAN 的证书配置文件，其中包含注册设备的用户的 UPN。
# 验证客户端的要求
客户要求所有类型的客户端在同一个企业 SSID 上进行连接和验证。
公司希望 CPPM 使用这些验证方法：
* 通过 EAP-TLS 对在 Intune 中注册的移动客户端上的用户进行身份验证
* 要取得成功，EAP-TLS（独立或作为 TEAP 方法）客户端必须满足这些要求：
经 OCSP 验证，其证书有效且未被撤销
客户的用户名与 AD 中的帐户匹配
# 为客户分配角色的要求
身份验证后，客户希望 CPPM 根据以下规则为客户分配 ClearPass 角色：
* 拥有 Onboard 签发的证书的客户端将被分配 "移动上机 "角色
* 通过 TEAP 方法 1 的客户被分配为 "域计算机 "角色 AD 组 "医疗 "中的客户被分配为 "医务人员 "角色 AD 组 "接待 "中的客户被分配为 "接待人员 "角色客户要求 CPPM 将通过身份验证的客户分配为 AOS 防火墙角色，具体如下：
* 为移动客户的医务人员分配 "医疗移动 "防火墙角色
* 将其他已登录的移动客户端指定为 "移动-其他 "防火墙角色
* 将域计算机上的医务人员指定为 "医疗域 "防火墙角色
* 将域计算机上的所有接待人员设置为 "reception-domain "防火墙角色
* 没有有效用户登录 "仅计算机 "防火墙角色的所有域计算机
* 拒绝其他客户访问
# 其他要求
ClearPass 服务器与内部 AD 域控制器之间的通信必须加密。
# 网络拓扑结构
在网络基础设施方面，该客户拥有由 Central 管理的 Aruba 接入点和 Aruba 网关。AP 使用隧道式 WLAN，将流量以隧道方式传输到网关集群。该客户还拥有 AOS-CX 交换机，但目前不受 Central 管理。

# ClearPass 集群 IP 地址和主机名
客户的 ClearPass 集群拥有这些 IP 地址：
* 发布者 = 10.47.47.5
* 用户 1 = 10.47.47.6
* 用户 2 = 10.47.47.7
* 用户 1 和用户 2 的虚拟 IP = 10.47.47.8
客户的 DNS 服务器有以下条目
* cp.acnsxtest.com = 10.47.47.5
* cps1.acnsxtest.com = 10.47.47.6
* cps2.acnsxtest.com = 10.47.47.7
* radius.acnsxtest.com = 10.47.47.8
* onboard.acnsxtest.com = 10.47.47.8
您已将 Windows CA 的根证书导入 ClearPass CA 信任列表。
根据场景要求，您应该添加哪些用途？

EAP 和 AD/LDAP 服务器

LDAP 和 Aruba 基础设施

Radsec 和 Aruba 基础设施

EAP 和 Radsec

问题 47
请参考情景。
该客户正在通过 Aruba ClearPass Policy Manager (CPPM) 在 AOS-CX 交换机上执行 802.1X。客户希望交换机能从 CPPM 下载角色设置。接收域 "角色必须具有这些设置：
- 在交换机 1 上将客户分配到 VLAN 14，在交换机 2 上将客户分配到 VLAN 24，以此类推。
- 过滤客户端流量如下
- 允许客户端完全访问 10.1.5.0/24 和互联网
- 客户端被拒绝访问 10.1.0.0/16
交换机拓扑结构如图所示：

应如何配置接收角色的 VLAN 设置？

为每个接入层交换机上的 VLAN 14、24 或 34 指定一个一致的名称，并在执行配置文件 VLAN 设置中引用该名称。

将执行配置文件配置为可下载角色，但只指定角色名称，不定义 VLAN。然后在每个接入层交换机上定义一个具有正确 VLAN 设置的 "接收 "角色。

为接入层交换机分配一个基于数字的 ID。然后在执行配置文件 VLAN 设置中使用该变量：%(nas-id]4.

为每个交换机创建具有不同 VLAN ID 的单独执行配置文件。将所有配置文件添加到相应执行策略规则的配置文件列表中。

问题 48
请参考情景。
某客户要求为 Aruba 移动控制器 (MC) 上 "医疗移动 "AOS 防火墙角色的客户提供这些权限：
允许通过 DHCP 接收 IP 地址
允许从 10.8.9.7 而非其他服务器访问 DNS 服务
允许访问 10.1.0.0/16 范围内的所有子网，但拒绝访问 10.1.12.0/22 拒绝访问其他 10.0.0.0/8 子网允许访问互联网在一段时间内拒绝访问 WLAN（如果它们发送任何 SSH 流量）在一段时间内拒绝访问 WLAN（如果它们发送任何 Telnet 流量）拒绝访问所有高风险网站不允许外部设备与 "医疗移动 "客户端启动会话，只能发送返回流量。
下面的图例显示了该角色的配置。

配置存在多个问题。
为满足情景要求，您必须对策略做出哪些更改？(在选项中，策略中的规则是自上而下引用的。例如，"medical-mobile "规则 1 是 "ipv4 any any svc-dhcp permit"，规则 8 是 "ipv4 any any any permit"）。

在 "医疗移动 "政策中，将规则 1 中的来源改为 "用户"。

在 "medical-mobile "策略中，将规则 3 中的子网掩码更改为 255.255.248.0。

在 "医疗流动 "政策中，将第 6 条和第 7 条移至最前面。

将 "apprf-medical-mobile-sacl "政策中的规则移至 "medical-mobile "政策中的规则 7 和规则 8 之间。

问题 49
请参考情景。
某客户正在从内部部署 AD 迁移到 Azure AD，将其作为唯一的域解决方案。该客户还使用 Microsoft Endpoint Manager (Intune) 管理有线和无线设备。
客户希望提高网络边缘的安全性。为此，您正在帮助客户设计 ClearPass 部署。Aruba 网络设备将对 Aruba ClearPass Policy Manager (CPPM) 集群（使用版本 6.10）的无线和有线客户端进行身份验证。
客户对身份验证有几种要求。只有当 Azure AD 查询显示客户在 Azure AD 中拥有账户时，客户才能通过 EAP-TLS 身份验证。为了进一步完善客户的权限，ClearPass 还应该使用 Intune 收集的信息来做出访问控制决策。
您计划在 802.1X 服务中使用 Azure AD 作为身份验证源。
您应该确保客户了解哪些要求？

在 Azure AD 上注册应用程序，并引用 CPPM 的 FQDN

订阅 Windows 365

CPPM 的 RADIUS 证书在 Azure AD 目录中被导入为受信任证书

Azure AD 网域服务

问题 50
请参考情景。
某客户拥有一个 Aruba ClearPass 集群。客户的 AOS-CX 交换机为 ClearPass Policy Manager (CPPM) 实施了 802.1X 身份验证。
交换机使用本地端口访问策略。
客户希望开始将仅通过用户身份验证的有线客户端隧道传输到 Aruba 网关群集。网关集群应将这些客户分配到 "eth-internet "角色。网关还应将客户分配到他们的 VLAN，即 VLAN 20。
执行政策和概况计划如下：

网关集群有两个网关，其 IP 地址都是这些：
* 网关 1
o VLAN 4085（系统 IP）= 10.20.4.21
o VLAN 20（用户）= 10.20.20.1
o VLAN 4094（WAN）= 198.51.100.14
* 网关 2
o VLAN 4085（系统 IP）= 10.20.4.22
o VLAN 20（用户）= 10.20.20.2
o VLAN 4094（WAN）= 198.51.100.12
* VLAN 20 上的 VRRP = 10.20.20.254
客户要求交换机和网关集群之间的隧道具有高可用性。如果一个网关掉线，另一个网关应接管其隧道。此外，无论网关集群中是否有网关，交换机都应能发现网关集群。
假设您使用 "myzone "作为 UBT 区域的名称。
哪个是 AOS-CX 端口访问角色的有效最小配置？

端口-访问角色 eth-internet 网关-区域 myzone 网关-角色 eth-user

port-access role internet-only gateway-zone zone myzone gateway-role eth-internet

port-access role eth-internet gateway-zone myzone gateway-role eth-internet vlan access 20

port-access role internet-only gateway-zone zone myzone gateway-role eth-internet vlan access 20

问题 51
请参考情景。
某客户要求为 Aruba 移动控制器 (MC) 上 "医疗移动 "AOS 防火墙角色的客户提供这些权限：
* 允许通过 DHCP 接收 IP 地址
* 允许从 10.8.9.7 而非其他服务器访问 DNS 服务
* 除拒绝访问 10.1.12.0/22 外，允许访问 10.1.0.0/16 范围内的所有子网拒绝访问其他 10.0.0.0/8 子网
* 允许访问互联网
如果发送任何 SSH 流量，则在一段时间内拒绝访问 WLAN 如果发送任何 Telnet 流量，则在一段时间内拒绝访问 WLAN 拒绝访问所有高风险网站不允许外部设备与 "医疗移动 "客户端启动会话，只能发送返回流量。
下面的图例显示了该角色的配置。

您必须检查展品中未显示的哪些设置，以确保满足方案要求？

在 MC 的防火墙上全面启用拒绝列表功能

在 MC 的防火墙和医疗移动角色上全面启用了流量的有状态处理。

在全球范围内启用 AppRF 和 WebCC，并在医疗移动设备上发挥作用

管委会获得射频保护许可证

问题 52
某公司的 Aruba ClearPass 服务器位于 10.47.47.8，FQDN 为 radius.acnsxtest.local。该示例显示了 ClearPass Policy Manager (CPPM) 对 Aruba Mobility Controller (MC) 的设置。

MC 已为 CPPM 配置了 RADIUS 身份验证设置，并且 MC 和 CPPM 之间的 RADIUS 请求正在运行。网络管理员输入并提交此命令，在 MC 上启用动态授权：
aaa rfc-3576-server 10.47.47.8
但当 CPPM 向 MC 发送 CoA 请求时，它们却不起作用。该示例显示了 MC 上的 RFC 3576 服务器统计信息：

如何解决这个问题？

将 MC 的 RFC 3576 服务器配置中的 UDP 端口更改为 3799。

在 MC 的 RFC 3676 服务器配置上启用 RadSec。

配置 MC 从有效的 NTP 服务器获取时间。

确保 CPPM 正在使用 ArubaOS 无线 RADIUS CoA 执行配置文件。

问题 53
请参考情景。
某医院拥有由 Aruba Central 管理的 AOS10 架构。客户在每个诊所部署了一对具有安全许可证的 Aruba 9000 系列网关。网关在 IDS 模式下实施 IDS/IPS。
安全仪表板会显示最近发生的几个具有相同签名的事件，如下图所示：

哪个步骤可以为您提供有关该事件的有价值的背景信息？