[2024年12月11日] FCP_FGT_AD-7.4 模拟考试题库 - Fortinet 考试中的991TPT分数 [Q26-Q45]

12 月 11, 202412 月 11, 2024 考试[2024年12月11日] FCP_FGT_AD-7.4 模拟考试题库 - Fortinet 考试中的991TPT分数 [Q26-Q45] 0 条评论

標籤: FCP_FGT_AD-7.4 新版考试资料, FCP_FGT_AD-7.4 新测试材料, FCP_FGT_AD-7.4 可靠的考试大纲, FCP_FGT_AD-7.4 免费有效测试版

4.6/5 - (7 选票)

[2024年12月11日] FCP_FGT_AD-7.4 模拟考试试卷--Fortinet考试中的99%分数

最新验证的 FCP_FGT_AD-7.4 Q&As - 保证通过或全额退款

NO.26 收集器代理高级模式的两个特点是什么？

在高级模式下，可将 FortiGate 配置为 LDAP 客户端，并在 FortiGate 上配置组过滤器。

高级模式支持嵌套组或继承组。

在高级模式下，安全配置文件只能应用于用户组，而不能应用于单个用户。

高级模式使用 Windows 惯例 -NetBios：域用户名。

高级模式允许配置为 LDAP 客户端，并支持直接在 FortiGate 上进行组过滤，以及嵌套或继承组。

NO.27 请参阅展品。

FortiGate 已配置防火墙身份验证。尝试访问外部网站时，用户不会看到登录提示。
出现这种情况的最可能原因是什么？

防火墙策略中需要服务 DNS。

用户使用的用户名不正确。

远程用户组未添加到目的地。

此用户不存在匹配的用户帐户。

防火墙身份验证通常要求在防火墙策略中启用 DNS 服务，以便在身份验证过程中正确解析主机名。如果防火墙策略中不允许 DNS，FortiGate 就无法解析外部域，因此用户在尝试访问外部网站时可能无法看到登录提示。
参考资料
* FortiOS 7.4.1 管理指南：防火墙身份验证配置

NO.28 管理员已配置中央 DNAT 和虚拟 IP。
可以在防火墙策略 "目的地 "字段中选择哪个项目？

IP 池

贵宾对象

VIP 小组

VIP 对象的映射 IP 地址对象

- 启用中央 NAT 时 => 输入 VIP 对象的映射 IP 地址。
- 禁用中央 NAT 时 => 设置 VIP 对象。
就 FortiGate 中的中央 DNAT 和虚拟 IP 而言，防火墙策略 "目的地 "字段的正确选项是
D.VIP 对象的映射 IP 地址对象
配置中央 DNAT 时，通常要在防火墙策略 "目的地 "字段中选择与 VIP 对象关联的映射 IP 地址对象。该映射 IP 地址代表流量将被重定向到的内部目标。
因此，正确选项是 D。

NO.29 检查展品中显示的 IPS 传感器和 DoS 策略配置，然后回答下面的问题。

检测攻击时，FortiGate 将首先评估哪种异常、签名或过滤器？

SMTP.Login.Brute.Force

IMAP.Login.brute.Force

IP_src_session

位置：服务器协议：SMTP

IMAP.Login.brute.Force
异常情况可能是零日攻击或拒绝服务攻击
通过行为分析检测到：
基于速率的 IPS 签名
DoS 政策。
协议约束检查
在这种情况下禁用 DoS 策略。

NO.30 哪种说法是自动化缝合的特点？

它们只能在安全结构中的设备上运行。

它们只能在结构中的下游设备上创建。

它们可以有一个或多个触发器。

它们可以同时执行多个操作。

第 31 号 请参阅展品。

其中包含网络图和路由表输出。学生无法访问 Web 服务器。
问题的原因是什么？

学生发送的第一个数据包未能通过 RPF 检查。通过 wan1 添加一条到 10.0.4.0/24 的静态路由可以解决这个问题。

学生的第一个回复数据包未能通过 RPF 检查。通过 wan1 添加一条到 10.0.4.0/24 的静态路由可以解决这个问题。

学生 "的第一个回复数据包未能通过 RPF 检查。通过端口 3 添加一条指向 203.0.114.24/32 的静态路由，可以解决这个问题。

学生发送的第一个数据包未能通过 RPF 检查。通过端口 3 添加一条指向 203.0.114.24/32 的静态路由，可以解决这个问题。

学生 "的第一个回复数据包未能通过 RPF 检查。通过端口 3 添加一条指向 203.0.114.24/32 的静态路由，可以解决这个问题。
根据所提供的信息，选项 C 是正确答案，让我们来分析一下：
选项 C 说明："学生 "的第一个回复数据包未能通过 RPF 检查。通过端口 3 添加一条到 203.0.114.24/32 的静态路由可解决此问题"。该问题与学生的第一个回复数据包未能通过反向路径转发（RPF）检查有关，而通过 "端口 3 "添加一条到 203.0.114.24/32 的静态路由将解决该问题，那么您可以继续使用此解决方案。
在典型的 RPF 检查场景中，它会根据路由表确保传入数据包到达预期的接口。如果路由配置错误，通过 "port3 "添加一条到 203.0.114.24/32 的静态路由确实可以解决 RPF 问题。
根据您的网络设置和进一步分析，选项 C 是正确的解决方案，您可以继续实施该静态路由，看看是否能解决问题。此外，一个好的做法是对网络进行监控，以确保做出更改后问题确实得到了解决。

第 32 号 关于应用程序控制配置文件模式，哪两个说法是正确的？(请选择两项）。

无论使用哪种检测模式，它都采用基于流量的扫描技术。

它不能与 IPS 扫描同时使用。

它可以在基于流量或基于代理的防火墙策略中选择。

它只能扫描不安全的协议。

关于应用程序控制配置文件模式，有两个说法是正确的：
A.无论使用哪种检测模式，它都使用基于流量的扫描技术。
应用程序控制配置文件可应用于基于流量和基于代理的检查模式，并利用基于流量的扫描技术进行应用程序识别。
C.可在基于流量或基于代理的防火墙策略中选择。
您可以在基于流量或基于代理的防火墙策略中选择应用控制配置文件，从而灵活应用应用控制。
其他选项并不准确：
B 错误，因为应用程序控制配置文件可与 IPS（入侵防御系统）扫描结合使用。
D 错误，因为应用程序控制配置文件可以扫描安全和不安全协议。
因此，正确的选项是 A 和 C。

NO.33 启用 SSL 证书检查时，FortiGate 使用哪三项信息来识别 SSL 服务器的主机名？

HTTP 头信息中的主机字段。

客户端 "你好 "报文中的服务器名称指示（SNI）扩展名。

服务器证书中的主题替代名称 (SAN) 字段。

服务器证书中的主题字段。

服务器证书中的序列号。

在 FortiGate 设备上启用 SSL 证书检查时，系统会使用以下三个信息来识别 SSL 服务器的主机名：
* 客户端 "你好 "信息中的 "服务器名称指示"（SNI）扩展 (B)：SNI 是 SSL/TLS 协议客户端 "你好 "报文中的扩展名。它指示客户端试图连接的主机名。这允许 FortiGate 在 SSL 握手过程中识别服务器的主机名。
* 服务器证书中的主题替代名称 (SAN) 字段 (C)：服务器证书中的 SAN 字段列出了证书有效的其他主机名或 IP 地址。FortiGate 检查此字段以确认服务器的身份。
* 服务器证书中的主题字段 (D)：主题字段包含签发证书的主主机名或域名。FortiGate 在 SSL 证书检查过程中使用此信息来匹配和验证服务器的身份。
其他选项不用于 SSL 证书检查中的主机名识别：
* HTTP 头 (A) 中的主机字段：这是 HTTP 请求的一部分，不是 SSL 握手的一部分，不用于 SSL 证书检查。
* 服务器证书中的序列号 (E)：序列号用于证书管理和吊销，不用于主机名识别。
参考资料
* FortiOS 7.4.1 管理指南 - SSL/SSH 检查，第 1802 页。
* FortiOS 7.4.1 管理指南 - 配置 SSL/SSH 检查配置文件，第 1799 页。

NO.34 请参阅示例，其中显示了 FortiGate 中的系统性能输出和高内存使用阈值的默认配置。

根据系统性能输出，有哪两种可能的结果？(请选择两个）。

FortiGate 将开始向 FortiSandbox 发送所有文件以供检查。

FortiGate 已进入保护模式。

管理员不能更改配置。

管理员只能通过控制台端口访问 FortiGate。

第 35 号 请参阅展品。

关于配置设置的哪种说法是正确的？

远程用户访问 http://10.200.1.1:443 时，会打开 SSL-VPN 登录页面。

远程用户访问 https://10.200.1.1:443 时，会打开 SSL-VPN 登录页面。

远程用户访问 https://10.200.1.1:443 时，会打开 FortiGate 登录页面。

设置无效。管理员设置和 SSL-VPN 设置不能使用相同的端口。

B.远程用户访问 https://10.200.1.1:443 时，会打开 SSL-VPN 登录页面。
在这种情况下，远程用户使用 HTTPS（端口 443）访问 FortiGate 设备，该端口通常用于 SSL-VPN 访问。因此，通过该地址和端口访问设备时，应打开 SSL-VPN 登录页面供用户验证并建立 VPN 连接。

第 36 号 请参阅展品，其中显示了 FortiGate GUI 上的 SD-WAN 区域配置。

根据展品，哪项陈述是正确的？

底层区域包含端口 1 和

d-wan 区没有成员。

不能删除 d-wan 区域。

virtual-wan-link 区域没有成员。

第 37 号 关于 FortiGate HA 配置同步，哪两个说法是正确的？(请选择两个）。

设备的校验和会相互比较，以确保配置相同。

增量配置同步只能通过主 FortiGate 设备上的更改进行。

增量配置同步可根据 HA 群集中任何 FortiGate 设备上的更改进行

由于某些配置项未同步到其他 HA 成员，因此设备的校验和会彼此不同。

第 38 号 请参阅展品。

鉴于展品中显示的接口，哪两个说法是正确的？(请选择两项）。

默认情况下，端口 2 和端口 2-Vlan1 之间的流量是允许的。

端口 1-vlan10 和端口 2-vlan10 属于同一广播域。

端口 1-vlan1 和端口 2-vlan1 可以分配到同一个 VDOM 或不同的 VDOM。

端口 1 是本地 VLAN。

C：port1-vlan1 和 port2-vlan1 可以分配在同一个 VDOM 中，也可以分配在不同的 VDOM 中。
D：端口 1 是本机 VLAN。
不正确：
答：默认情况下允许端口 2 和端口 2-Vlan1 之间的流量。
B：port1-vlan10 和 port2-vlan10 属于同一广播域。

第 39 号 观看展览。

两个 VDOM 都在 NAT/ 路由模式下运行。子网 10.0.1.0/24 连接到 VDOM1。子网 10.0.2.0/24 连接到 VDOM2。VDOM1 和 VDOM2 之间有一条 VDOM 间链路。
此外，还在 VDOM1 和 VDOM2 中配置了必要的防火墙策略。
FortiGate 配置中需要哪两个静态路由，才能通过 VDOM 间链路路由两个子网之间的流量？(选择两个）。

VDOM1 中的静态路由，其目标子网与分配给 VDOM 间链路的子网相匹配

VDOM2 中目标子网 10.0.1.0/24 的静态路由

VDOM1 中目标子网 10.0.2.0/24 的静态路由

VDOM2 中的静态路由，其目标子网与分配给 VDOM 间链路的子网相匹配

FortiGate 配置中通过 VDOM 间链路在两个子网之间路由流量所需的两条静态路由是
B.在 VDOM2 中为目标子网 10.0.1.0/24 设置静态路由
C.在 VDOM1 中为目标子网 10.0.2.0/24 设置静态路由
在 VDOM1 中，需要为目标子网 10.0.2.0/24 设置静态路由，以便通过 VDOM 间链路路由前往 VDOM2 子网的流量。
在 VDOM2 中，需要为目标子网 10.0.1.0/24 设置静态路由，以便通过 VDOM 间链路路由前往 VDOM1 子网的流量。

NO.40 检查展品，其中显示了一个配置了多个安全配置文件的防火墙策略。

IPS 引擎处理哪两种安全配置文件？

网络过滤器

IPS

防病毒

应用控制

当 FortiGate 设置为代理检查模式时，IPS 引擎将处理应用程序控制和 IPS 安全配置文件。
当 FortiGate 设置为代理检查模式时，IPS 引擎将处理的安全配置文件是应用程序控制和 IPS。在此模式下，FortiGate 充当客户端和服务器之间的中介，拦截和检查流量以执行安全策略。IPS 引擎负责分析网络流量，并根据预定义规则和签名识别任何恶意或可疑活动。

第 41 号 FortiGate 支持 IPsec IKEv1 身份验证的哪两个功能？(请选择两项）

预共享密钥和证书签名作为验证方法

扩展验证（XAuth）要求远程对等设备提供用户名和密码

扩展身份验证 (XAuth)，由于交换的数据包较少，因此验证速度更快

将证书签名设置为身份验证方法时，不需要远程对等设备上的证书

FortiGate 支持 IKEv1 身份验证的预共享密钥和证书签名方法。这些方法可根据网络的安全要求提供灵活性。此外，FortiGate 还支持扩展身份验证 (XAuth)，它要求远程对等设备提供用户名和密码，通过增加额外的身份验证层来提高安全性。XAuth 方法并不一定能加快身份验证速度，它只是一种额外的安全措施。
参考资料
* FortiOS 7.4.1 管理指南：IPsec VPN 配置

第 42 号 请参阅展品。

在展品所示的网络中，Web 客户端无法连接 HTTP Web 服务器。管理员运行 FortiGate 内置嗅探器并获得如图所示的输出。
管理员下一步应如何排除故障？

在网络服务器上运行嗅探器。

使用连接到端口 1 的外部嗅探器捕获流量。

在 FortiGate 中执行另一个嗅探器，这次使用过滤器 "host 10.0.1.10"。

执行调试流程。

执行调试流程。
因为嗅探器会显示进出的数据包，但我们无法在嗅探器中看到 fortigate 丢弃的数据包。调试可以显示因 fortigate 原因而未进入的数据包。因此，如果有数据包到达 fortigate 并被丢弃，调试器就会显示出来。

第 43 号 员工需要通过高延迟互联网连接到办公室。
管理员应调整哪个 SSL VPN 设置以防止 SSL VPN 协商失败？

SSL VPN 空闲超时

SSL VPN 登录超时

SSL VPN dtls-hello-timeout

SSL VPN 会话-ttl

NO.44 关于 FortiGate 上的等成本多路径（ECMP）配置，哪两个说法是正确的？(请选择两项）。

如果启用了 SD-WAN，则可通过参数 load-balance-mode 控制负载平衡算法。

如果禁用了 SD-WAN，可以将参数 v4-ecmp-mode 配置为基于卷的模式。

如果启用了 SD-WAN，您可以将距离和优先级值不相等的路由配置为 ECMP 的一部分

如果禁用 SD-WAN，则在配置系统设置中配置负载平衡算法。

当 FortiGate 启用 SD-WAN 时，等成本多路径（ECMP）的负载平衡算法是通过 SD-WAN 设置下的负载平衡模式参数配置的。但是，如果禁用了 SD-WAN，则可在配置系统设置下配置 ECMP 负载平衡算法。这种灵活性允许 FortiGate 根据网络配置和要求控制流量路由行为。
参考资料
* FortiOS 7.4.1 管理指南：ECMP 配置

第 45 号 请参阅展品，其中显示了远程身份验证服务器的部分配置。

FortiGate 管理员为什么需要此配置？

只对培训用户组进行身份验证。

设置 RADIUS 服务器秘密

要在 RADIUS 服务器上验证和匹配培训 OU。

要验证任何 FortiGate 用户组。

展品中显示的配置表明 FortiGate 使用了 Fortinet 特有的 RADIUS 属性（Fortinet-Group-Name），其值为 "培训"。此设置允许 FortiGate 通过 RADIUS 服务器验证用户身份，并将其与 "培训 "组织单位 (OU) 匹配。这样，只有该特定组或 OU 内的用户才能通过 FortiGate 进行身份验证并允许访问。
参考资料
* FortiOS 7.4.1 管理指南：RADIUS 服务器配置

加载中 …