CCNA (200-301)のサンプル問題（本番形式・解説付き）

CCNA (200-301)（Cisco・CCNA 200-301 v1.1（シスコ技術者認定））の出題形式を、実際の問題で確かめられます。ここに掲載する5問は、無料の会員登録ですぐ解ける模試第1回（103問）の冒頭から抜粋したオリジナル問題です。当サイトは全1840問を本番CBT準拠の形式で収録しており、この5問はそのごく一部にあたります。

設問1

Cisco DNA Center(Catalyst Center)のようなコントローラが、企業のキャンパスネットワークで担う位置づけとして、最も適切なものはどれか。

利用者の端末へIPアドレスと既定のゲートウェイを払い出す、アドレス配布サーバとしての位置づけ
各拠点のルータとのあいだでIPsecトンネルを終端する、VPNの集約装置としての位置づけ
配下の機器の設計・展開・ポリシー適用・稼働状況の可視化を1か所から扱う、集中管理の基盤としての位置づけ（正解）
無線クライアントのフレームを終端して暗号化を解き、有線側へ転送する装置としての位置づけ

解説

キャンパス向けのコントローラは、機器を1台ずつ設定して回る運用を置き換え、設計から展開、ポリシーの適用、稼働状況の把握までを一か所に集約する基盤として位置づけられる。利用者のトラフィックそのものを中継する装置ではない点が、VPN装置や無線コントローラとの違いになる。

他の選択肢が誤りである理由

「利用者の端末へIPアドレスと既定のゲートウェイを払い出す、アドレス配布サーバとしての位置づけ」アドレスの払い出しはDHCPサーバの機能であり、機器の設計や運用の集中管理という位置づけを説明したものではない。
「各拠点のルータとのあいだでIPsecトンネルを終端する、VPNの集約装置としての位置づけ」IPsecトンネルの終端はVPN装置が担う機能であり、ネットワーク全体の設計や展開を集中管理する役割とは目的が異なる。
「無線クライアントのフレームを終端して暗号化を解き、有線側へ転送する装置としての位置づけ」無線フレームの終端と復号は無線LANコントローラの役割であり、有線を含むネットワーク全体の管理基盤の説明にはならない。

設問2

ネットワークへの攻撃を検知した際、通信経路上(インライン)に配置されているためにその通信をリアルタイムで遮断できるセキュリティ機器はどれか。

IDS(侵入検知システム)
IPS(侵入防止システム)（正解）
ロードバランサ
プロキシキャッシュサーバ

解説

IPSはトラフィックが必ず通過するインライン配置で動作し、シグネチャ等に一致した攻撃パケットを検知した時点で破棄・遮断できる点が特徴である。

他の選択肢が誤りである理由

「IDS(侵入検知システム)」IDSはミラーポート等で複製したトラフィックを解析する構成が一般的であり、通信経路上にないため検知・警報はできても通信自体を遮断できない。
「ロードバランサ」ロードバランサは複数のサーバへ要求を振り分けて負荷を分散する装置であり、攻撃の検知・遮断を目的とした機器ではない。
「プロキシキャッシュサーバ」プロキシキャッシュサーバはWebコンテンツを代理取得・キャッシュして応答を高速化する装置であり、侵入検知・遮断の機能を本務としない。

設問3

次世代ファイアウォール(NGFW)が、従来のステートフルインスペクション型ファイアウォールに対して追加で持つ代表的な機能はどれか。

コネクションの状態(ステート)を追跡してセッションを許可する機能
送信元/宛先IPアドレスとポート番号に基づくパケットのフィルタリング
スタティックルートに基づくパケットの転送
アプリケーションを識別してポリシーを適用する機能(アプリケーション可視化・制御)（正解）

解説

NGFWはL7(アプリケーション層)でトラフィックを識別しIPS機能等と統合してポリシーを適用する点が、パケットフィルタやステートフルインスペクションのみの従来型ファイアウォールとの違いです。

他の選択肢が誤りである理由

「コネクションの状態(ステート)を追跡してセッションを許可する機能」ステートフルインスペクションは従来型ファイアウォールが既に備えている機能であり、NGFWで新たに追加されたものではありません。
「送信元/宛先IPアドレスとポート番号に基づくパケットのフィルタリング」これはパケットフィルタリング型ファイアウォールの基本機能であり、NGFW固有の追加機能ではありません。
「スタティックルートに基づくパケットの転送」スタティックルーティングはルーターの基本機能であり、ファイアウォール(NGFWを含む)に特有の機能ではありません。

設問4

ソフトウェア開発で用いられている継続的インテグレーション/継続的デリバリの考え方を、ネットワークの設定変更へ持ち込む場合の流れとして、最も適切なものはどれか。

変更を機器へ適用した後で、その内容を担当者が手作業で設計書へ転記し、次回以降の変更の基準として使う
本番機器へ直接投入した変更が自動的に検証環境へ複製され、適用後に検証環境側で妥当性を確認する
設定の定義を登録すると構文検査や検証環境での試験が自動的に実行され、問題がなければ承認を経て本番へ段階的に適用される（正解）
すべての変更をいったん保留し、月に一度のメンテナンス作業でまとめて手作業で投入する

解説

変更をコードとして扱い、登録をきっかけに検査と試験を自動実行し、承認を経て本番へ段階的に反映する流れが、この考え方をネットワークへ持ち込んだ形である。人手による確認が入る前に機械的な検査を通すことで、誤りを本番へ届く前に落とせる。本番を先に変更してから検証する順序では、この利点が得られない。

他の選択肢が誤りである理由

「変更を機器へ適用した後で、その内容を担当者が手作業で設計書へ転記し、次回以降の変更の基準として使う」適用後に人が設計書へ転記する運用は、記録が担当者の作業に依存するため、転記漏れや実機との乖離が起こりやすく自動化された流れとは言えない。
「本番機器へ直接投入した変更が自動的に検証環境へ複製され、適用後に検証環境側で妥当性を確認する」本番を先に変更してから検証環境で確認する順序では、誤りが本番で顕在化してからしか気づけず、事前に検査を通す意味が失われる。
「すべての変更をいったん保留し、月に一度のメンテナンス作業でまとめて手作業で投入する」変更をまとめて手作業で投入する運用は従来型の作業そのものであり、自動的な検査や段階的な適用という要素をいずれも含まない。

設問5

運用端末からコントローラのCLIへSSHで接続しようとしたが、接続が確立できない。コントローラの管理用アドレスへのpingは成功し、経路にも問題はない。次に確認すべき事項として最も適切なものはどれか。

コントローラに参加しているAPの台数がライセンス上限に達していないか。ライセンスはAPの参加可否に関わる
コントローラのWLAN設定でSSIDのブロードキャストが有効になっているか
コントローラ側の管理アクセス設定で、SSHによる接続の受け付けが許可されているか（正解）
コントローラのQoSプロファイルがPlatinumに設定されているか

解説

管理用アドレスへ到達できているのに接続だけが確立できない場合、経路の問題ではなく機器側で当該の管理プロトコルの受け付けが許可されていない可能性が高い。コントローラでは管理アクセスの設定でTelnetやSSHによる接続を受け付けるかどうかを個別に制御できるため、まずそこを確認する。無線側の設定は管理接続の可否とは無関係である。

他の選択肢が誤りである理由

「コントローラに参加しているAPの台数がライセンス上限に達していないか。ライセンスはAPの参加可否に関わる」APのライセンス上限はAPの参加可否に関わる要素であり、管理者がコントローラのCLIへ接続できるかどうかには影響しない。
「コントローラのWLAN設定でSSIDのブロードキャストが有効になっているか」SSIDのブロードキャストは無線クライアントにネットワーク名を通知するかどうかの設定であり、管理者のSSH接続の可否とは無関係である。
「コントローラのQoSプロファイルがPlatinumに設定されているか」QoSプロファイルは無線クライアントのトラフィックの優先度に関する設定であり、管理接続の確立とは関係がない。

続きは、会員登録なしでそのまま50問解けます。採点と解説つきで、上と同じ本物の問題です。

登録なしで50問解く

← CCNA (200-301) の資格ページへ