Test INF.02 — zestaw 22

Dlaczego tak

Ruch przychodzący 950 000 000 b/s to 950 Mb/s, a pasmo interfejsu to 1 000 000 kb/s, czyli 1 Gb/s, więc obciążenie wynosi około 95 %. Zerowe liczniki błędów i CRC świadczą, że warstwa fizyczna jest w porządku. Odczytanie wartości jako 950 kb/s lub 9,5 % to błąd o rząd wielkości przy zamianie jednostek.

Dlaczego tak

Przełącznik z IGMP snooping podsłuchuje komunikaty IGMP, którymi hosty dołączają do grup multicast, i przesyła strumień tylko na porty, na których są odbiorcy, zamiast zalewać nim wszystkie porty. Blokowanie obcych serwerów DHCP to DHCP snooping, a kopiowanie ruchu — port mirroring. Wykrywaniem pętli zajmuje się protokół STP.

Dlaczego tak

Znak # oznacza tryb uprzywilejowany, a polecenie configure terminal przenosi do trybu konfiguracji globalnej (Switch(config)#), w którym działa hostname. Polecenie enable przechodzi z trybu użytkownika (Switch>) do uprzywilejowanego, w którym już jesteśmy. Interface vlan 1 otwiera konfigurację interfejsu i wymaga wcześniejszego wejścia w tryb globalny, a show tylko wyświetla konfigurację.

Dlaczego tak

Przełącznik warstwy 2 ma adres zarządzania na wirtualnym interfejsie VLAN (SVI), adres podaje się z maską w zapisie dziesiętnym, a no shutdown włącza interfejs, który domyślnie jest wyłączony. IOS nie przyjmuje w tym poleceniu zapisu /24. Portom fizycznym przełącznika L2 nie przypisuje się adresów IP, a polecenie shutdown wyłączyłoby interfejs zamiast go uruchomić.

Dlaczego tak

Gdy we flash jest kilka obrazów, przełącznik uruchamia ten wskazany poleceniem boot system flash:<nazwa> (lub pierwszy znaleziony), więc trzeba ustawić nowy obraz, zapisać konfigurację poleceniem copy running-config startup-config i zrestartować urządzenie. Kopiowanie obrazu do running-config jest błędne, bo to plik systemu, a nie konfiguracji. Skasowanie konfiguracji startowej usunie ustawienia, nie zmieniając wersji systemu.

Dlaczego tak

Zdalne sesje obsługują linie vty, a polecenie transport input ssh określa, że przychodzące połączenia mogą korzystać tylko z SSH, więc Telnet zostanie odrzucony. Wariant telnet ssh dopuszcza oba protokoły, w tym nieszyfrowany Telnet. Linia console dotyczy połączenia kablem konsolowym, a transport output ogranicza sesje wychodzące z urządzenia, a nie przychodzące.

Dlaczego tak

Agregacja łączy (LACP, IEEE 802.1AX) łączy kilka portów fizycznych w jeden kanał logiczny, który STP traktuje jako pojedyncze łącze, więc oba kable przenoszą ruch, a sieć zyskuje przepustowość i redundancję. Wyłączenie STP przy dwóch połączeniach stworzy pętlę i burzę rozgłoszeniową. Tryb trunk ani rodzaj kabla nie zmieniają decyzji STP o blokowaniu nadmiarowego łącza.

Dlaczego tak

Polecenie switchport access vlan 10 umieszcza port w sieci VLAN 10, więc komputer znajduje się w innej domenie rozgłoszeniowej niż pozostałe hosty VLAN 20; wystarczy zmienić je na switchport access vlan 20. Portfast tylko pomija stany nasłuchu i uczenia STP, przyspieszając włączenie portu dostępowego. Tryb trunk i lista dozwolonych VLAN-ów dotyczą łączy między przełącznikami, a nie portu z komputerem.

Dlaczego tak

Port w stanie err-disabled pozostaje wyłączony, dopóki administrator go nie zrestartuje (shutdown i no shutdown) albo nie zadziała skonfigurowany mechanizm errdisable recovery. Czyszczenie tablicy MAC nie zmienia stanu portu, bo blokada nie wynika z wpisów w tej tablicy. Zwiększenie limitu adresów i zapis konfiguracji również nie wyprowadzą portu ze stanu err-disabled.

Dlaczego tak

Klasa EF ma wartość DSCP 46 (binarnie 101110) i oznacza ruch wymagający małego opóźnienia i jittera, dlatego stosuje się ją dla głosu. Wartość 34 to klasa AF41, używana zwykle dla wideokonferencji, a 26 to AF31 dla ważnych danych. Wartość 0 oznacza domyślną obsługę best effort, bez priorytetu.

Dlaczego tak

W poleceniu copy pierwszy argument jest źródłem, a drugi celem, więc copy tftp: startup-config pobiera plik z serwera TFTP i zapisuje go jako konfigurację startową, wczytywaną przy następnym uruchomieniu. Polecenie copy startup-config tftp: działa odwrotnie i wysyła kopię na serwer. Copy running-config startup-config zapisuje bieżącą konfigurację, a copy flash: tftp: wysyła plik z pamięci flash.

Dlaczego tak

PAT tłumaczy wiele adresów prywatnych na jeden adres publiczny, rozróżniając połączenia po numerach portów źródłowych, które ruter zapisuje w tablicy translacji. Statyczny NAT 1:1 wymaga osobnego adresu publicznego dla każdego hosta, więc przy jednym adresie obsłuży tylko jeden komputer. DHCP relay i VLAN-y dotyczą sieci lokalnej i nie zapewniają dostępu do internetu.

Dlaczego tak

Przekierowanie portu (port forwarding, serwer wirtualny) sprawia, że połączenia przychodzące na publiczny adres rutera na port 443 są tłumaczone na adres serwera w LAN. Rezerwacja DHCP zapewnia stały adres serwera i jest przydatna, ale sama nie otwiera dostępu z internetu. Filtrowanie MAC dotyczy dostępu do sieci lokalnej, a trasa statyczna nie zastąpi translacji adresu prywatnego.

Dlaczego tak

Polecenie ip nat inside oznacza interfejs sieci wewnętrznej, a ip nat outside — interfejs zewnętrzny, więc LAN (Gi0/0) musi być inside, a łącze do operatora (Gi0/1) outside. Lista standardowa z numerem 1 i maską odwrotną 0.0.0.255 poprawnie opisuje sieć 192.168.1.0/24. Słowo overload włącza PAT, czyli właśnie translację wielu adresów na jeden.

Dlaczego tak

Polecenie Get-FileHash oblicza skrót pliku wybranym algorytmem, a zgodność wyniku z sumą podaną przez producenta potwierdza, że plik nie został uszkodzony ani podmieniony. Get-Content i Test-Path nie mają parametrów do obliczania skrótów. Narzędzie sfc /verifyfile sprawdza chronione pliki systemu Windows, a nie dowolne pliki pobrane z internetu.

Dlaczego tak

Następnym przeskokiem musi być adres sąsiedniego rutera, przez który sieć jest osiągalna, czyli 10.0.0.2 na R2, a w trasie wpisano własny adres R1, więc pakiety nie zostaną przekazane dalej. Należy usunąć wpis poleceniem no ip route i dodać ip route 192.168.20.0 255.255.255.0 10.0.0.2. Maska /30 dotyczy łącza między ruterami, a nie sieci docelowej, a trasa domyślna przez własny adres powtarza ten sam błąd.

Dlaczego tak

Parametr from określa źródło ruchu, więc reguła z from 192.168.1.0/24 i port 22 dopuszcza połączenia SSH tylko z tej sieci, a pozostałe odrzuci domyślna polityka blokowania ruchu przychodzącego. Reguła ufw allow 22/tcp otwiera SSH dla całego internetu. Parametr to wskazuje adres docelowy, a nie źródłowy, a reguła deny zablokowałaby właśnie dozwoloną sieć.

Dlaczego tak

W klastrze aktywny–pasywny aktualizuje się najpierw urządzenie zapasowe, przełącza na nie ruch (failover), sprawdza działanie, a dopiero potem aktualizuje drugie, więc sieć przez cały czas obsługuje sprawna zapora. Jednoczesna aktualizacja obu wyłącza ochronę i łączność na czas restartu. Pozostawienie różnych wersji grozi rozjechaniem konfiguracji i niezgodnością synchronizacji klastra.

Dlaczego tak

Każda lista dostępu kończy się niejawną regułą odrzucającą wszystko, co nie zostało dopuszczone, więc odpowiedzi serwerów WWW wracające do LAN są blokowane. Trzeba dopuścić ruch powrotny, np. regułą permit tcp any any established, albo użyć zapory stanowej. Numer 110 mieści się w zakresie list rozszerzonych 100–199, a jedyna reguła permit niczego nie blokuje.

Dlaczego tak

PIN WPS ma 8 cyfr, ale jest sprawdzany w dwóch częściach, a ostatnia cyfra to suma kontrolna, więc wystarczy około 11 000 prób, by go odgadnąć i poznać hasło sieci. Wyłączenie WPS zamyka tę drogę ataku niezależnie od siły hasła Wi-Fi. Ataki DoS na WAN i domyślne hasło panelu wymagają innych zabezpieczeń, a WPS nie ma związku z szyfrowaniem ramek WPA2.

Dlaczego tak

Kopiowanie do running-config działa tak, jakby polecenia z pliku wpisywano ręcznie: nadpisują one odpowiadające ustawienia, ale nie usuwają tych, których w pliku nie ma, więc powstaje konfiguracja scalona. Pełne zastąpienie konfiguracji wykonuje polecenie configure replace albo skopiowanie pliku do startup-config i restart. Polecenie copy samo nie restartuje rutera.

Dlaczego tak

Klasyczny syslog, którego domyślnie używają rutery, przesyła komunikaty protokołem UDP na port 514 serwera, więc zablokowanie tego portu w zaporze sprawia, że komunikaty nie docierają mimo działającej łączności. Port UDP 162 odbiera pułapki SNMP, a UDP 123 obsługuje synchronizację czasu NTP. TCP 22 to port SSH, służący do zdalnego logowania, a nie do przesyłania dziennika.

Dlaczego tak

Na łączu trunk ramki wszystkich sieci VLAN otrzymują 4-bajtowy znacznik 802.1Q, z wyjątkiem ramek VLAN-u natywnego, które przechodzą bez znacznika, a przełącznik przypisuje mu każdą nieoznaczoną ramkę. Domyślnie jest to VLAN 1, dlatego obie strony trunku muszą mieć ten sam VLAN natywny. Sieć zarządzania i priorytet ramek to osobne zagadnienia, choć VLAN 1 domyślnie pełni też funkcję zarządzania.

Dlaczego tak

Tunel IPsec site-to-site zestawiany między urządzeniami brzegowymi szyfruje ruch między sieciami oddziałów, a dla komputerów wygląda jak zwykłe połączenie rutowane. Sieci VLAN działają w obrębie infrastruktury przełączników i nie przejdą przez internet. Most WDS łączy punkty w zasięgu radiowym, a proxy HTTP pośredniczy tylko w ruchu WWW i nie łączy sieci.

Dlaczego tak

Polecenie vlan 30 tworzy sieć w bazie VLAN przełącznika i przechodzi do jej konfiguracji, w której polecenie name nadaje nazwę. Interface vlan 30 tworzy interfejs wirtualny SVI do adresu IP, a description jest tylko opisem tego interfejsu. Switchport access vlan przypisuje port do sieci i wydaje się je w konfiguracji interfejsu, a zapis vlan name 30 jest niepoprawny.

Dlaczego tak

Podinterfejsy rutera oczekują ramek ze znacznikami 802.1Q, a port dostępowy wysyła ramki bez znaczników i tylko z jednej sieci, dlatego łącze do rutera musi być trunkiem przenoszącym oba VLAN-y. Przypisanie portu do VLAN 20 zamieniłoby tylko problem jednej sieci na drugą. Portowi warstwy 2 nie nadaje się adresu IP, a ISL to przestarzały protokół, którego większość nowych urządzeń nie obsługuje.

Dlaczego tak

Standard 802.11r (Fast BSS Transition) skraca czas ponownego uwierzytelnienia przy przejściu klienta do innego punktu dostępowego tej samej sieci, co jest ważne dla rozmów VoIP w ruchu. Zasilanie przez kabel zapewnia PoE (IEEE 802.3af/at/bt), a nie standard z rodziny 802.11. Szyfrowanie CCMP określa 802.11i, a obsługa pasm zależy od standardu radiowego, np. 802.11ax.

Dlaczego tak

System mesh składa się z kilku węzłów, które tworzą wspólną sieć z jedną nazwą, łączą się ze sobą łączem zwrotnym (radiowym lub kablowym) i dynamicznie dobierają trasę, a klienci przechodzą między nimi płynnie. Repeater tylko powtarza sygnał jednego punktu, zwykle kosztem przepustowości, i nie wybiera tras. Most punkt–punkt łączy dwa segmenty sieci, a kontroler zarządza punktami dostępowymi, nie przekazując ruchu radiowo.

Dlaczego tak

Każdy SSID mapuje się na osobny VLAN, a punkt dostępowy oznacza ramki znacznikami 802.1Q, więc łącze z przełącznikiem musi być trunkiem przenoszącym VLAN 10 i 20. Dwa SSID w jednym VLAN-ie dają gościom dostęp do tej samej sieci co pracownikom, a różne hasła tego nie zmieniają. Port dostępowy przeniesie tylko jeden VLAN, a ukrycie SSID nie jest zabezpieczeniem.

Dlaczego tak

W architekturze z kontrolerem punkty dostępowe pobierają oprogramowanie z WLC i muszą mieć wersję z nim zgodną, dlatego aktualizuje się kontroler, a on rozsyła obraz do punktów, najlepiej w zaplanowanym oknie serwisowym. Ręczna aktualizacja 40 punktów jest pracochłonna i grozi niezgodnością z kontrolerem. Reset do ustawień fabrycznych nie zmienia wersji oprogramowania, a punkty nie przekazują sobie obrazów.

Dlaczego tak

Tryb Enterprise korzysta z 802.1X: punkt dostępowy przekazuje dane logowania do serwera RADIUS, który sprawdza konto w domenie, więc każdy pracownik ma własne poświadczenia, a dostęp zablokowanego konta wygasa od razu. Tryb Personal używa jednego hasła dla wszystkich, którego zmiana dotyczy całej firmy. Filtrowanie MAC i WEP nie zapewniają realnej ochrony.

Dlaczego tak

EIRP to moc nadajnika pomniejszona o straty w kablu i powiększona o zysk anteny: 17 dBm − 2 dB + 8 dBi = 23 dBm, czyli więcej niż dopuszczalne 20 dBm (100 mW). Trzeba więc dobrać antenę o mniejszym zysku albo obniżyć moc nadajnika. Wynik 27 dBm powstaje po dodaniu tłumienia kabla zamiast jego odjęcia.

Dlaczego tak

SAE, zwane też Dragonfly, zestawia klucz tak, że z podsłuchanej wymiany nie da się offline sprawdzać kolejnych haseł, więc każdą próbę trzeba wykonać na żywo z punktem dostępowym. TKIP to przestarzały mechanizm z WPA, a WEP od dawna uznaje się za złamany. EAP-TLS jest metodą uwierzytelniania trybu Enterprise, a nie Personal.

Dlaczego tak

Windows Server jest systemem komercyjnym licencjonowanym na rdzenie, a Red Hat Enterprise Linux i SUSE Linux Enterprise Server to dystrybucje Linuksa sprzedawane w modelu płatnej subskrypcji z aktualizacjami i wsparciem producenta. Debian, Rocky Linux i AlmaLinux są rozwijane jako wolne oprogramowanie i można ich używać produkcyjnie bez opłat. Ubuntu Server także jest bezpłatny, a płatne wsparcie Canonical jest jedynie opcją.

Dlaczego tak

Licencja GPL jest licencją typu copyleft: kto rozpowszechnia program lub jego zmodyfikowaną wersję, musi przekazać odbiorcom także kod źródłowy na tej samej licencji. GPL nie zabrania sprzedaży — można pobierać opłatę za kopię, wsparcie czy nośnik. Zgoda Free Software Foundation nie jest potrzebna, a wprowadzenie zmian nie pozwala zamknąć kodu utworu zależnego.

Dlaczego tak

Opcja /xpr skryptu slmgr.vbs wyświetla datę wygaśnięcia aktywacji albo informację, że system jest aktywowany trwale. Opcja /rearm resetuje licznik okresu prolongaty i jest używana np. przy przygotowaniu obrazu systemu, a nie do sprawdzania stanu. Opcja /upk odinstalowuje klucz produktu, a /ipk instaluje nowy klucz.

Dlaczego tak

Polecenie lspci wyświetla urządzenia na magistrali PCI/PCIe, a opcja -nn dodaje do nazw numeryczne identyfikatory w postaci [producent:model], np. [8086:15b8] dla karty Intel. Te właśnie numery porównuje się z listą zgodności sprzętowej. lsblk -f pokazuje dyski i systemy plików, lsmod wypisuje załadowane moduły jądra, a lsusb -t drzewo urządzeń USB, a nie karty PCIe.

Dlaczego tak

RAID 1 zapisuje te same dane na obu dyskach (lustrzanie), więc po awarii jednego system działa dalej z drugiego, a uszkodzony dysk wymienia się i odbudowuje macierz. RAID 0 tylko łączy dyski dla wydajności — awaria któregokolwiek niszczy całą macierz. Grupa LVM rozpięta na dwóch dyskach bez lustrzenia także nie przetrwa utraty jednego z nich, a rozdzielenie katalogów na dyski sprawia, że awaria każdego z nich unieruchamia system.

Dlaczego tak

Cmdlet Rename-Computer zmienia nazwę komputera, a parametr -Restart uruchamia system ponownie, bo nowa nazwa w Windows obowiązuje dopiero po restarcie. Rename-NetAdapter zmienia nazwę karty sieciowej, a nie komputera, i nie ma parametru -Restart. Cmdlet Set-Computer nie istnieje, a hostnamectl to narzędzie systemd z dystrybucji Linux.

Dlaczego tak

Najpierw wykonuje się kopię zapasową, bo modernizacja wydania może się nie udać. Następnie aktualizuje się w pełni obecne wydanie, aby startować z najnowszych pakietów bullseye, dopiero potem zmienia się nazwę wydania w sources.list i wykonuje apt update oraz apt full-upgrade, które instalują pakiety bookworm. Zmiana źródeł przed aktualizacją bieżącego wydania pomija ten krok, a kopia zrobiona na końcu nie chroni przed nieudaną aktualizacją.