[Q21-Q42] DumpsMaterials NSE7_EFW-7.2 真题答案更新 [2024 年 4 月 28 日］

4 月 28, 20244 月 28, 2024 考试[Q21-Q42] DumpsMaterials NSE7_EFW-7.2 真题答案更新 [2024 年 4 月 28 日］ 0 条评论

標籤: NSE7_EFW-7.2 近期更新, NSE7_EFW-7.2 最新教程 pdf, NSE7_EFW-7.2 最新测试蓝图, NSE7_EFW-7.2 新转储问题, NSE7_EFW-7.2 测试教程, NSE7_EFW-7.2 有效考试资料文件

4.2/5 - (16 选票)

DumpsMaterials NSE7_EFW-7.2 真题答案更新 [2024 年 4 月 28 日］

轻松通过新的 Fortinet NSE7_EFW-7.2 测试卷（含 50 个问题

第 21 号 关于元数据变量，哪两个说法是正确的？(请选择两项）。

在 FortiGate 上创建

它们只适用于非防火墙对象。

元数据格式为 $。

它们可用作脚本中的变量

元数据变量是您可以在 FortiManager 上创建的自定义字段，用于存储有关对象或设备的附加信息。它们可用作 Jinja2 CLI 模板或脚本中的变量，将配置应用于多个设备或对象。它们不仅适用于非防火墙对象，也适用于地址、服务、策略等防火墙对象。元数据格式不是 $，而是 @@。参考 := 使用元字段变量，防火墙对象配置中支持元数据变量，技术窍门：新的元变量及其用法，包括Jinja模板，技术窍门：防火墙对象作为元数据变量的使用

第 22 号 关于安全结构的哪两个说法是正确的？(请选择两项）。

FortiGate 使用 FortiTelemetry 协议与 FortiAnatyzer 通信。

只有根 FortiGate 会向 FortiAnalyzer 发送日志

只有具有配置同步功能的 FortiGate 设备才会接收和同步发送 FortiGate 的全局 CMDB 对象

只有根 FortiGate 收集网络拓扑信息并转发给 FortiAnalyzer

在安全结构中，只有根 FortiGate 会向 FortiAnalyzer 发送日志 (B)。此外，只有启用配置同步的 FortiGate 设备才能接收和同步根 FortiGate 发送的全局中央管理数据库 (CMDB) 对象 (C)。FortiGate 使用 FortiTelemetry 协议与其他 FortiGate 通信，而不是 FortiAnalyzer (A)。最后一个选项 (D) 不正确，因为所有 FortiGate 都可以收集网络拓扑信息并转发给 FortiAnalyzer。
参考资料
* FortiOS 手册 - 安全架构

第 23 号 启用 IPS 后，您会收到流量被丢弃的反馈。
原因何在？

Np-accel-mode 设置为启用

流量提交设置为禁用

IPS 配置为监控

故障打开设置为禁用

故障打开是一种功能，当传感器发生故障或过载时，允许流量通过 IPS 传感器而不进行检查。如果将 Fail-open 设为禁用，在这种情况下流量将被丢弃1。参考资料： = IPS | FortiGate / FortiOS 7.2.3 - Fortinet 文档

第 24 号 请参阅示例，其中显示了同一 FortiGate 中两个地址对象的配置。

为什么可以修改工程地址对象，而不能修改财务地址对象？

您只有只读权限。

FortiGate 加入了安全 Fabric，并在根 FortiGate 上配置了财务地址对象。

FortiGate 已在 FortiManager 上注册。

另一位用户正在工作区模式下编辑财务地址对象。

在能够修改工程地址对象的同时却无法修改财务地址对象，这表明财务对象由安全 Fabric 中的更高权限管理，可能是根 FortiGate。当 FortiGate 是 Security Fabric 的一部分时，地址对象和其他配置可能会被集中管理。这与 Fortinet FortiGate 有关 Security Fabric 和地址对象集中管理的文档一致。

NO.25 展览。

请参阅展品，其中显示了有关 OSPF 隔行扫描的信息
从命令输出中可以得出哪两个结论？(请选择两个）。

端口 3 网络有多个 OSPF 路由器

OSPF 路由器位于 0.0.0.1 区域 ID 中。

OSPF 路由器的接口与配置为 1500 的 MTU 值相匹配。

NGFW-1 是指定路由器

NO.26 请参阅展示的 ADVPN 网络。

您必须在集线器上配置哪些 VPN 第 1 阶段参数才能使 ADVPN 功能发挥作用？(选择两个）。

设置自动发现转发器

set add-route enable

启用自动发现接收器

启用自动发现发送器

要使 ADVPN 功能在集线器上正常运行，必须配置以下第 1 阶段参数：
A). 启用自动发现转发器：这样集线器就能将快捷方式信息转发给辐线，这对它们建立直接隧道至关重要。
C). 启用自动发现接收器：这允许集线器接收来自辐条的快捷方式提议。
Fortinet 文档证实了这一信息，该文档解释说，在 ADVPN 设置中，集线器必须能够转发和接收快捷方式信息，以便在辐条之间动态创建隧道。

NO.27 安全 I auric 中哪个 FortiGate 向 FortiAnalyzer 发送信息？

只有根 FortiGate。

安全结构中的每个 FortiGate。

执行网络地址转换 (NAT) 或统一威胁管理 (UTM) 的 FortiGate 设备。

只有最后一个 FortiGate 在安全域中处理会话

* 选项 B 是正确的，因为 Security Fabric 中的每个 FortiGate 都可以将日志发送到 FortiAnalyzer 进行集中日志记录和分析12。这样，您就可以从单个控制台监控和管理整个安全网络，并查看汇总报告和仪表板。
* 选项 A 不正确，因为根 FortiGate 不是唯一可以向 FortiAnalyzer 发送日志的设备。根 FortiGate 是启动 Security Fabric 的设备，是其他 FortiGate 设备的中心联络点3。但是，它不一定是 FortiAnalyzer 的唯一日志源。
* 选项 C 不正确，因为执行 NAT 或 UTM 的 FortiGate 设备不是唯一可以向 FortiAnalyzer 发送日志的设备。这些设备可以对通过它们的流量执行额外的安全功能，如防火墙、防病毒、Web 过滤等4。然而，它们也不是安全结构中生成日志的唯一设备。
* 选项 D 不正确，因为在安全 Fabric 中处理会话的最后一个 FortiGate 不是唯一可以向 FortiAnalyzer 发送日志的设备。最后一个 FortiGate 是终止会话并应用最终安全策略的设备5。但是，它不一定是向 FortiAnalyzer 报告会话信息的唯一设备。参考资料： =
* 1: 安全架构 - Fortinet 文档1
* 2: FortiAnalyzer 演示6
* 3: 安全网络拓扑结构
* 4: 安全织物 UTM 功能
* 5: 安全织物会话处理

NO.28 关于网络处理器 (NP) 卸载，哪种说法是正确的？

对于 TCP 流量，FortiGate CPU 会将三方握手的 SYN/ACK 和 ACK 的第一个数据包卸载到 NP。

NP 提供 IPS 签名匹配功能

您可以使用命令 np-acceleration st to loose 为每个防火墙策略禁用 NP。

NP 检查会话密钥或 IPSec SA

网络处理器（NP）是 FortiGate 设备内的专用硬件，可加速某些安全功能。NP 的主要功能之一是提供 IPS 签名匹配 (B)，允许根据已知威胁签名数据库对流量进行高速检测。

NO.29 您使用 FortiManager 上的 VPN 管理器创建了 VPN 社区。您还向 VPN 社区添加了网关。现在，您正试图创建防火墙策略，以允许通过隧道传输流量，但 VPN 接口并未显示为可用选项。

在策略中使用 IPsec VPN 接口之前，为其创建接口映射。

使用设备管理器刷新设备状态，以便 FortiGate 填充 IPSec 接口

在最初未配置的 VPN 社区中配置第 1 阶段设置。配置所需设置后，FortiGate 会自动生成接口

在 fortiGate 设备上安装 VPN 社区和网关配置，以便 VPN 接口出现在 fortiManager 的策略对象上。

要在策略中使用 VPN 接口，需要先在 FortiGate 设备上安装 VPN 社区和网关配置。这将在 FortiGate 上创建 VPN 接口，并与 FortiManager 同步。参考资料：
* 创建 IPsec VPN 社区
* VPN | FortiGate / FortiOS 7.2.0

NO.30 展览。

请参阅展品，其中提供了有关 BGP 邻居的信息。
从命令输出中您能得出什么结论？

路由器的编号与远程对等设备的编号相匹配。

您必须更改 AS 号，以匹配远程对等网络。

BGP 正在尝试与 BGP 对等节点建立 TCP 连接。

要设置为启用的 bfd 配置。

BGP 状态为 "空闲"，表示 BGP 正在尝试与对等方建立 TCP 连接。这是 BGP 有限状态机中的第一个状态，表示尚未建立 TCP 连接。如果 TCP 连接失败，BGP 状态将重置为活动或空闲，具体取决于配置。参考资料：您可以在以下 Fortinet 企业防火墙 7.2 文档中找到有关 BGP 状态和故障排除的更多信息：
* BGP 故障排除
* BGP 如何工作

第 31 号 展览。

请参阅展品，其中包含 ADVPN 网络图和部分 BGP 配置您应该在配置邻居范围中配置哪两个参数？(选择两个）。

设置 prefix 172.16.1.0 255.255.255.0

启用路由反射器客户端

设置 neighbor-group advpn

设置前缀 10.1.0 255.255.255.0

config neighbor range 命令用于在 ADVPN 场景中为 BGP 邻居配置 IP 地址范围。需要配置的两个参数是 neighbor-group 和 prefix。neighbor-group 指定范围所属的邻居组名称，本例中为 "advpn"。前缀指定 BGP 邻居的 IP 地址范围，本例中为 10.1.0.0/24，如网络图所示。参考：您可以在以下 Fortinet 企业防火墙 7.2 文档中找到有关 ADVPN 和 BGP 配置的更多信息：
ADVPN
BGP
使用 BGP 作为路由协议的 ADVPN

第 32 号 请参阅所示网络图。

应使用哪种协议配置 FortiGate 群集？

主动-被动模式下的 FGCP

OFGSP

VRRP

主动-主动模式下的 FGCP

鉴于网络图和两台 FortiGate 设备的存在，主动-被动模式下的 Fortinet Gate Clustering Protocol (FGCP) 最适合用于设置 FortiGate 群集。FGCP 支持高可用性配置，其设计允许一个 FortiGate 在另一个出现故障时无缝接管，从而提供持续的网络可用性。Fortinet 文档支持使用 FGCP 进行高可用性配置。

NO.33 展览。

请参阅示例，其中显示了中央管理配置
如果 10.0.1.240 出现故障，FortiGate 将选择哪个服务器来处理网络填充评级请求？

公共 FortiGuard 服务器

10.0.1.242

10.0.1.244

10.0.1.243

如果 10.0.1.240 出现故障，FortiGate 将选择 Web 筛选器评级请求序列中的下一个服务器，即 10.0.1.244，如图所示。这是因为服务器列表是按优先级排序的，优先级最低的服务器会首先被选中。如果该服务器不可用，则选择下一个优先级最低的服务器，依此类推。公共 FortiGuard 服务器仅在包含默认服务器选项启用且所有自定义服务器不可用时使用。参考 := FortiOS 7.2 的 Fortinet 企业防火墙学习指南，第 132 页。

NO.34 管理员为 HA 群集配置了两台 fortiGate 设备。在测试 HA 故障切换时，管理员注意到网络中的一些交换机继续向前主设备发送流量。

验证我的 FortiGate 接口和连接的交换机端口之间的速度和双工设置是否匹配

在两个群集成员上配置 set link -failed signal 启用 under-config system ha

配置远程 Iink 监控，以检测转发路径中的问题

在两个群集成员的 config system ha 下配置启用 set send-garp-on-failover

虚拟 MAC 地址和故障切换
- 新主站广播 Gratuitous ARP 数据包，通知网络每个虚拟 MAC 现在可以通过不同的交换机端口访问。
- 某些高端交换机在故障切换后可能无法正确清除 MAC 表 - 解决方法：强制前主交换机在发生故障切换时关闭其所有接口一秒钟（不包括心跳接口和预留管理接口）：
#Config 系统哈
设置启用链接失败信号
最后
- 这将模拟链路故障，清除交换机 MAC 表中的相关条目。

第 35 号 展览。

请参阅展品，其中包含部分 VPN 配置。
你能从这一配置中得出什么结论1？

FortiGate 为每个拨号客户端创建单独的虚拟接口。

VPN 应使用动态路由选择协议，通过隧道交换路由选择信息。

已禁用死机检测。

路由表显示的是一个 IPSec 虚拟接口。

配置行 "set dpd on-idle "表示死对等检测（DPD）仅在隧道空闲时触发，而不是主动禁用1。参考资料：FortiGate IPSec VPN 用户指南 - Fortinet 文档库从给定的 VPN 配置来看，死对等检测（DPD）被设置为 "on-idle"，表示启用了 DPD，并将用于检测 VPN 隧道的另一端在未检测到流量时是否仍然存活。
因此，选项 C 不正确。配置显示隧道设置为 "动态 "类型，这并没有为每个拨号客户机创建单独的虚拟接口（A），也没有指定使用动态路由（B）。由于这是第一阶段的配置片段，因此不能仅从这里得出路由表方面的结论（D）。

第 36 号 关于 ADVPN，Winch 的两个说法正确吗？(请选择两项）

自动发现接收器必须在 Spokes 上设置为启用。

辐条到辐条的流量从不经过集线器

LT 支持按需隧道的 NAI

通过启用 add-advpn-route 配置路由

ADVPN （自动发现 VPN）是一种允许在传统集线器和辐线架构的辐线之间动态建立直接隧道（称为捷径）的功能。必须将辐条上的自动发现接收器设置为启用，以便它们接收来自集线器和其他辐条的 NHRP 信息。NHRP（下一跳解析协议）用于按需建立隧道，当辐条之间有流量时就会建立隧道。路由配置通过启用 add-nhrp-route，而不是 add-advpn-route。参考 := ADVPN | FortiGate / FortiOS 7.2.0 | Fortinet 文档库，技术提示：Fortinet 自动发现 VPN (ADVPN)

第 37 号 展览。

请参阅展品，该展品显示了部分兜售表
从相应的 FortiGate 配置中，您可以得出哪两个结论？(选择两个）。

已配置 IPSec 隧道聚合

在隧道 IPSec 第 1 阶段配置中启用 net-device

OSPI 配置为通过 IPSec 运行。

在隧道 IPSec 第一阶段配置中禁用 add-route。

* 选项 B 是正确的，因为路由表显示隧道接口的净掩码为
255.255.255.255，表示在第一阶段配置中启用了 net-device。该选项允许 FortiGate 将隧道接口作为路由的下一跳，而不添加到第二阶段目的地的路由1。
* 选项 D 是正确的，因为路由表没有显示任何到第 2 阶段目标网络的路由，这表明在第 1 阶段配置中已禁用 add-route。该选项控制 FortiGate 是否使用隧道接口作为网关2 为第 2 阶段目标网络添加静态路由。
* 选项 A 不正确，因为 IPSec 隧道聚合功能允许多个第 2 阶段选择器共享一个第 1 阶段隧道，从而减少隧道数量并提高性能3。
该功能与路由表或第一阶段配置无关。
* 选项 C 不正确，因为 OSPF 是一种可在 IPSec 隧道上运行的动态路由协议，但它需要在 FortiGate 和对等设备上进行额外配置4。该选项与路由表或第一阶段配置无关。参考资料： =
* 1: 技术窍门："set net-device "基于路由的新 IPsec 逻辑2
* 2：添加静态路由5
* 3：IPSec VPN 概念6
* 4：通过 IPsec VPN 进行动态路由选择7

第 38 号 关于 BGP 中的 BFD 参数，哪两个说法是正确的？(请选择两项）。

它可以在一秒钟内检测出故障。

两台路由器必须连接到同一个子网。

它支持多跳邻接。

它只能检测双向故障。

双向转发检测（BFD）是一种快速协议，用于检测两个相邻路由器之间转发路径（包括接口、数据链路和转发平面）的故障。BFD 设计用于在很短的时间内（通常不到一秒）检测转发路径故障，这比传统的故障检测机制（如路由协议中的保持计时器）快得多。
Fortinet 支持 BGP 的 BFD，它可在多个跳上使用，即使 BGP 对等方未直接连接，也能检测故障。这一功能增强了在更广泛的网络拓扑结构中保持 BGP 会话稳定的能力，Fortinet 的指南中对此进行了记录。

第 39 号 您想使用自定义 IPS 签名阻止访问网站 ww.eicar.org。
您应该配置哪个自定义 IPS 签名？

选项 D 是正确答案，因为它特别阻止了使用 TCP 协议和 HTTP 服务访问网站 "www.eicar.org"，这些协议和服务通常用于网页浏览。其他选项要么使用了错误的协议（UDP）、错误的服务（DNS 或 SSL），要么使用了错误的模式（"eicar "而不是 "www.eicar.org"）。参考 := 配置自定义签名 | FortiGate / FortiOS 7.4.0 - Fortinet 文档库，"阻止访问 example.com 的签名 "部分。

NO.40 关于 IKE 第 2 版分片，哪两个说法是正确的？(请选择两项）。

只有部分 IKE 第 2 版数据包被认为是可分片的。

重新组装超时默认值为 30 秒。

它在 IP 层执行。

IKE 版本 2 片段的最大数量为 128 个。

在 IKE 版本 2 中，并非所有数据包都可以分片。只有 IKE 协商过程中的某些报文可以分片。此外，IKE 版本 2 可处理的碎片数量有限制，即 128 个。这是 Fortinet 文档中规定的，可确保 IKE 协商过程即使在有大数据包问题的网络中也能继续进行。在这种情况下，Fortinet 文档中没有规定重新组装超时和发生分片的层。

第 41 号 启用 IPS 后，您会收到流量被丢弃的反馈。
原因何在？

Np-accel-mode 设置为启用

流量提交设置为禁用

IPS 配置为监控

故障打开设置为禁用

故障打开是一种功能，当传感器发生故障或过载时，允许流量通过 IPS 传感器而不进行检查。如果将故障打开设置为禁用，在这种情况下流量将被丢弃1。参考文献：
= IPS | FortiGate / FortiOS 7.2.3 - Fortinet 文档
配置 IPS（入侵防御系统）时，如果将 fail-open 设置为禁用，则表示如果 IPS 引擎发生故障，将不允许流量通过，这可能导致流量被丢弃 (D)。这与故障打开设置形成鲜明对比，后者允许流量在 IPS 引擎失效时绕过 IPS 引擎。

第 42 号 请参阅所示网络图。

您应该实施哪种 IPsec 第 2 阶段配置，以便在任何时候都只连接一个远程站点？

将路由重叠设置为允许。

将单源设置为启用

将路由重叠设置为使用新路由或使用旧路由

将 net-device 设置为启用

为确保在 IPsec VPN 环境中任何时候都只连接一个远程站点，应使用路由重叠（route-overlap），并选择使用新路由（use-new）或使用旧路由（use-old）。这一设置决定了优先选择哪条路由，以及如何处理路由重叠，从而使一个连接优先于另一个连接 (C)。
参考资料
* FortiOS 手册 - IPsec VPN

加载中 …