Test INF.02 — zestaw 9

Dlaczego tak

Ruter wybiera trasę o najdłuższym pasującym prefiksie. Adres 192.168.10.200 pasuje do 192.168.0.0/16, 192.168.10.0/24 i 192.168.10.128/25 (zakres .128–.255), a najdłuższy z nich to /25, więc pakiet trafi do 10.0.0.4. Wybór 10.0.0.3 pomija bardziej szczegółową trasę /25, a trasa domyślna jest używana tylko wtedy, gdy nie pasuje żadna inna.

Dlaczego tak

Składnia IOS to ip route, adres sieci docelowej, jej maska i adres następnego przeskoku (lub interfejs wyjściowy). Maska odwrotna 0.0.0.255 jest stosowana w listach ACL i w OSPF, a nie w trasach statycznych. Zamiana sieci docelowej z następnym przeskokiem tworzy trasę bez sensu, a route add … mask to polecenie systemu Windows, nie rutera Cisco.

Dlaczego tak

OSPF jest protokołem stanu łącza: rutery wymieniają informacje o stanie swoich łączy, budują wspólną mapę topologii i każdy liczy najkrótsze ścieżki algorytmem SPF Dijkstry, z kosztem zależnym od przepustowości. RIPv2 i RIPng to protokoły wektora odległości z metryką liczby przeskoków i limitem 15. BGP jest protokołem wektora ścieżki stosowanym między systemami autonomicznymi.

Dlaczego tak

Gniazdo SFP+ przyjmuje moduły 10 Gb/s, np. 10GBASE-SR lub LR, albo kable DAC. Gniazdo SFP ma ten sam kształt, ale obsługuje moduły 1 Gb/s, dlatego najczęściej się je myli. QSFP28 jest przeznaczone dla 100 Gb/s, a port konsoli RJ45 służy do zarządzania urządzeniem przez łącze szeregowe.

Dlaczego tak

Przełącznik L3 oprócz przełączania ramek w ramach VLAN-u ma funkcję rutingu: może mieć interfejsy z adresami IP (SVI) i trasować ruch między sieciami VLAN. Przekazywanie ramek według adresów MAC to podstawowa funkcja przełącznika L2. Sieci VLAN tworzy także każdy zarządzalny przełącznik L2, a liczba portów i PoE nie zależą od warstwy działania.

Dlaczego tak

Nieznany adres docelowy powoduje zalewanie (flooding): przełącznik wysyła ramkę na wszystkie porty w danym VLAN-ie z wyjątkiem portu, z którego przyszła, a z odpowiedzi adresata uczy się, za którym portem on się znajduje. Przełącznik nie odrzuca takich ramek i nie generuje komunikatów ICMP, bo działa w warstwie drugiej. ARP to protokół hostów, a przełącznik nie wstrzymuje ramek w oczekiwaniu na jego wynik.

Dlaczego tak

Most uczy się adresów MAC w obu segmentach i przekazuje ramkę na drugą stronę tylko wtedy, gdy adresat znajduje się za nią, dzięki czemu dzieli sieć na domeny kolizyjne. Koncentrator i wzmacniak działają w warstwie fizycznej i powtarzają każdy sygnał bez analizy adresów. Ruter filtruje ruch według adresów IP w warstwie sieciowej, a nie według MAC.

Dlaczego tak

Liczba urządzeń to budżet podzielony przez moc na port: 120 W / 15,4 W ≈ 7,8, a ponieważ ósme urządzenie przekroczyłoby budżet, zasili się 7. Wynik 8 to zaokrąglenie w górę, a 9 powstaje przy liczeniu mocy 12,95 W, którą otrzymuje urządzenie po stratach w kablu, zamiast mocy rezerwowanej przez przełącznik. Wynik 4 odpowiada portom 802.3at z rezerwacją 30 W.

Dlaczego tak

Każdy port 1 Gb/s w pełnym dupleksie jednocześnie odbiera i nadaje 1 Gb/s, więc 24 porty wymagają 24 · 1 Gb/s · 2 = 48 Gb/s. Wartość 24 Gb/s pomija drugi kierunek transmisji i oznacza przełącznik blokujący przy pełnym obciążeniu. Wynik 96 Gb/s powstaje po podwójnym uwzględnieniu dupleksu, a producenci podają właśnie 48 Gb/s dla takich urządzeń.

Dlaczego tak

Komunikat Trap (oraz potwierdzany Inform) wysyła agent bez zapytania, gdy zajdzie zdarzenie, np. zmiana stanu łącza, dzięki czemu stacja zarządzania dowiaduje się o awarii od razu. GetRequest i GetNextRequest wysyła stacja zarządzania, aby odczytać wartości z bazy MIB. SetRequest także pochodzi od stacji zarządzania i zmienia ustawienia urządzenia.

Dlaczego tak

W syslog niższy numer oznacza ważniejszy komunikat: 0 to emergencies, a 7 to debugging. Ustawienie poziomu 4 zapisuje komunikaty o tym poziomie i wszystkie ważniejsze, czyli 0–4. Odpowiedź 4–7 wynika z odwrócenia skali, przez co rejestrowane byłyby informacje diagnostyczne, a pomijane awarie krytyczne.

Dlaczego tak

Przyrost licznika to 37 500 000 bajtów, czyli 300 000 000 bitów, a po podzieleniu przez 300 s otrzymuje się 1 000 000 b/s = 1 Mb/s. Wynik 125 kb/s powstaje, gdy zapomni się pomnożyć bajty przez 8 i 125 000 B/s potraktuje jako kilobity. Wartość 300 Mb/s to liczba bitów bez podzielenia przez czas między odczytami.

Dlaczego tak

Przełącznik zarządzalny ma interfejs konfiguracyjny, dzięki któremu można tworzyć sieci VLAN, ustawiać porty trunk, port mirroring, QoS czy zabezpieczenia portów. Uczenie się adresów MAC to podstawowa zasada działania każdego przełącznika, także niezarządzalnego. Autonegocjacja i Auto-MDIX są funkcjami portów Ethernet, które działają automatycznie bez konfiguracji.

Dlaczego tak

Bez adresu IP urządzenie jest dostępne tylko przez port konsoli: łączy się je kablem konsolowym (rollover lub USB) z komputerem i otwiera sesję szeregową w emulatorze terminala, np. PuTTY, z parametrami 9600 b/s, 8N1. Przełączniki Cisco nie mają fabrycznie adresu do zarządzania przez WWW ani skonfigurowanego SSH. Telnet na adres rozgłoszeniowy nie nawiąże sesji z żadnym urządzeniem.

Dlaczego tak

Przełącznik L2 nie trasuje pakietów, więc odpowiedzi do hostów spoza swojej podsieci musi wysyłać na bramę podaną poleceniem ip default-gateway. Polecenie ip helper-address przekazuje rozgłoszenia DHCP do serwera w innej sieci i jest konfigurowane na interfejsach rutera. Polecenie ip name-server wskazuje serwer DNS, a ip default-network dotyczy rutingu na urządzeniach L3.

Dlaczego tak

Polecenie copy przyjmuje najpierw źródło, a potem cel, więc copy tftp: flash: pobiera plik z serwera TFTP do pamięci flash, po czym urządzenie pyta o adres serwera i nazwę pliku. Odwrócona kolejność wysyła zawartość flash na serwer, co służy do archiwizacji obrazu. Polecenie copy tftp: running-config scala plik konfiguracyjny z bieżącą konfiguracją, a nie instaluje oprogramowania.

Dlaczego tak

Port security ogranicza liczbę adresów MAC na porcie (tu do jednego, np. wyuczonego przez sticky), a naruszenie z akcją shutdown przełącza port w stan err-disabled. Storm-control ogranicza nadmierny ruch rozgłoszeniowy, ale nie sprawdza, kto jest podłączony. BPDU guard wyłącza port po odebraniu ramek BPDU, czyli chroni przed podłączeniem przełącznika, a nie dowolnego komputera.

Dlaczego tak

Port trunk przenosi ramki wielu sieci VLAN jednym kablem, dodając znacznik 802.1Q z numerem VLAN-u, dzięki czemu drugi przełącznik wie, do której sieci należy ramka. Port dostępowy w VLAN 10 przeniesie tylko ruch tej sieci, a komputery w VLAN 20 na obu przełącznikach się nie połączą. Port bez przypisania należy domyślnie do VLAN 1, a wyłączenie STP nie ma związku z przenoszeniem VLAN-ów.

Dlaczego tak

Polecenie switchport trunk allowed vlan 10,30 ogranicza ruch na trunku tylko do sieci VLAN 10 i 30, więc ramki VLAN 20 są odrzucane, choć sama sieć istnieje na obu przełącznikach. Tryb access przeniósłby tylko jedną sieć VLAN i zepsułby działające VLAN 10 i 30. Polecenie switchport access vlan dotyczy portów dostępowych, a w trybie trunk nie ma znaczenia.

Dlaczego tak

VLAN natywny przenosi ramki bez znacznika, więc musi być taki sam na obu końcach trunku — inaczej ruch nieoznaczony trafia do różnych sieci. Skoro założono VLAN 99, zmienia się ustawienie SW2. Zmiana na SW1 na VLAN 1 też usunie niezgodność, ale wbrew założeniu, a VLAN 1 jest domyślny i nie da się go usunąć; polecenie access vlan nie dotyczy trunku.

Dlaczego tak

Pole PCP (Priority Code Point) ma 3 bity, więc pozwala zapisać 2^3 = 8 wartości priorytetu, od 0 do 7; ruch głosowy oznacza się zwykle wartością 5. Liczba 64 to wartości 6-bitowego pola DSCP w nagłówku IP, czyli QoS w warstwie trzeciej. Liczba 4096 wynika z 12-bitowego pola VID, które przechowuje numer VLAN-u, a nie priorytet.

Dlaczego tak

Polecenie copy running-config tftp: wysyła działającą konfigurację z pamięci RAM do serwera TFTP, a urządzenie pyta o adres serwera i nazwę pliku. Polecenie z odwróconymi argumentami pobiera konfigurację z serwera i scala ją z bieżącą, więc służy do przywracania, a nie do wykonania kopii. Polecenie write erase kasuje konfigurację startową i jest wręcz przeciwieństwem tworzenia kopii.

Dlaczego tak

Zapora stanowa prowadzi tablicę połączeń, więc odpowiedź serwera na zapytanie wysłane z sieci wewnętrznej przepuszcza automatycznie, a niezamówiony ruch z zewnątrz blokuje bez osobnych reguł dla ruchu zwrotnego. Ocenianie każdego pakietu osobno bez kontekstu to właśnie cecha bezstanowego filtra, który wymaga ręcznych reguł w obu kierunkach. Zapory filtrują głównie według adresów IP, portów i stanu, a nie adresów MAC.

Dlaczego tak

Pula obejmuje adresy od .100 do .199 włącznie, czyli 199 − 100 + 1 = 100 adresów. Wynik 99 wynika z odjęcia granic bez dodania jedności, a 254 to liczba wszystkich adresów hostów w sieci /24, z której pula jest tylko częścią. Pozostałe adresy, np. od .2 do .99, zostają na urządzenia z adresami statycznymi.

Dlaczego tak

Adres 192.168.0.255 jest adresem rozgłoszeniowym sieci 192.168.0.0/24 i nie może być adresem serwera DNS, więc zapytania o nazwy nie dostają odpowiedzi. Skoro ping na 8.8.8.8 działa, adresacja, brama i połączenie WAN są poprawne, a problem dotyczy wyłącznie rozwiązywania nazw. Należy wpisać adres rutera (jeśli przekazuje zapytania DNS) lub adres serwera DNS dostawcy.

Dlaczego tak

W trakcie aktualizacji ruter może zrestartować moduł radiowy lub zmienić jego ustawienia, a utrata połączenia podczas przesyłania pliku może zostawić niekompletny obraz i unieruchomić urządzenie. Połączenie kablowe jest stabilne i nie zależy od działania Wi-Fi. Panel administracyjny jest zwykle dostępny także przez Wi-Fi, a plik firmware wgrywa się z komputera, a nie przez port WAN.

Dlaczego tak

Stan administratively down oznacza, że interfejs został wyłączony programowo poleceniem shutdown (lub nie został włączony, co jest domyślne na ruterach), więc trzeba wydać no shutdown. Uszkodzony kabel dałby stan down, a nie administratively down. Ponowne nadanie adresu nie włącza interfejsu, a zapis konfiguracji jedynie utrwala stan wyłączony.

Dlaczego tak

Połączenia do serwera nadchodzą z zewnątrz, więc reguła musi mieć kierunek Inbound, protokół TCP, port lokalny 443 i akcję Allow. Kierunek Outbound dotyczy połączeń nawiązywanych przez sam serwer i nie otworzy dostępu do usługi. Protokół UDP 443 jest używany przez HTTP/3 (QUIC), ale klasyczne HTTPS działa na TCP, a akcja Block zablokowałaby ruch zamiast go dopuścić.

Dlaczego tak

Przed aktualizacją wykonuje się kopię konfiguracji, aby móc ją odtworzyć, i czyta informacje o wydaniu (wymagana ścieżka aktualizacji, zmiany działania). Firmware wgrywa się w uzgodnionym oknie serwisowym, bo zapora restartuje się i przerywa ruch, a po wszystkim sprawdza się działanie reguł. Kopia wykonana po aktualizacji nie chroni przed jej nieudanym przebiegiem, a reset do ustawień fabrycznych niepotrzebnie usuwa konfigurację.

Dlaczego tak

Reguły listy ACL są sprawdzane od góry i pierwsza pasująca kończy sprawdzanie, więc deny any odrzuca wszystkie pakiety, zanim dojdzie do reguły permit. Na końcu każdej listy działa niejawne deny any, więc wystarczy lista z samą regułą permit; w numerowanej ACL nie da się wstawić reguły wyżej, dlatego tworzy się ją od nowa. Maska odwrotna 0.0.0.255 jest poprawna, a zmiana kierunku przeniosłaby blokadę na ruch wychodzący z interfejsu.

Dlaczego tak

Domyślne hasła administratora są publicznie znane, zdalne zarządzanie od strony WAN wystawia panel do internetu, a WPS ma znane podatności, dlatego te ustawienia zmienia się w pierwszej kolejności, a następnie wgrywa aktualne oprogramowanie z poprawkami. Ukrycie SSID i filtrowanie MAC łatwo obejść, bo identyfikatory te są widoczne w ruchu radiowym. WEP jest złamany od lat i nie zapewnia ochrony.

Dlaczego tak

Panel administracyjny rutera pozwala zapisać plik kopii konfiguracji (Backup), który po resecie wczytuje się funkcją przywracania (Restore), odtwarzając wszystkie ustawienia naraz. Sam adres MAC portu WAN przyda się co najwyżej do klonowania adresu u operatora, ale nie odtworzy reguł ani ustawień Wi-Fi. Aktualizacja firmware nie zachowuje kopii ustawień po resecie do ustawień fabrycznych.

Dlaczego tak

Polecenie logging host wskazuje zewnętrzny serwer syslog, do którego ruter wysyła komunikaty (standardowo protokołem UDP na port 514), a poziom wysyłanych komunikatów ustala się poleceniem logging trap. Polecenie snmp-server host określa odbiorcę komunikatów SNMP Trap, a nie wpisów syslog. Polecenie ntp server synchronizuje zegar, co jest przydatne dla znaczników czasu w logach, ale ich nie wysyła.

Dlaczego tak

Pole VID w znaczniku 802.1Q ma 12 bitów, co daje 4096 wartości, ale wartości 0 i 4095 są zarezerwowane, więc do użytku pozostaje 4094 identyfikatorów (1–4094). Liczba 4096 pomija zarezerwowane wartości. Liczba 1005 to górna granica zakresu standardowego VLAN-ów w przełącznikach Cisco, a nie ograniczenie standardu.

Dlaczego tak

VPN tworzy szyfrowany tunel między laptopem a bramą w sieci firmowej, więc pracownik korzysta z zasobów jak w sieci lokalnej, a ruch jest chroniony w internecie. Wystawienie RDP bezpośrednio do internetu jest częstym celem ataków na hasła i podatności. Telnet i FTP przesyłają dane oraz hasła jawnym tekstem, więc nie nadają się do dostępu przez sieć publiczną.

Dlaczego tak

Polecenie ip link add z typem vlan tworzy podinterfejs eth0.10, który znakuje ramki identyfikatorem 10 przy wysyłaniu i odbiera tylko ramki z tym znacznikiem. Typ bridge tworzy most programowy, a nie interfejs VLAN, i nie przyjmuje parametru id. Polecenia ip addr i ip route służą do nadawania adresów i tras, a nie do tworzenia interfejsów.

Dlaczego tak

Podinterfejs rutera musi wiedzieć, ramki z jakim znacznikiem obsługuje, dlatego wydaje się w nim encapsulation dot1Q z numerem VLAN-u, a następnie nadaje adres IP, który będzie bramą tej sieci. Polecenia switchport dotyczą portów przełącznika i nie działają na interfejsie rutera. Polecenie vlan 20 tworzy sieć VLAN w bazie przełącznika, a nie konfiguruje podinterfejsu.

Dlaczego tak

Kontroler WLC przechowuje wspólną konfigurację sieci (SSID, zabezpieczenia), rozsyła ją do punktów dostępowych, dobiera im kanały i moc oraz wspiera roaming klientów między punktami. Nie jest wzmacniaczem sygnału radiowego, bo sam zwykle w ogóle nie nadaje. Zasilanie PoE zapewnia przełącznik lub zasilacz PoE, a konwersję światłowodu na Ethernet — konwerter mediów.

Dlaczego tak

Wzmacniak (repeater, extender) łączy się z istniejącą siecią bezprzewodową jako klient i jednocześnie nadaje ją dalej, dlatego nie potrzebuje kabla, ale kosztem przepustowości. Punkt dostępowy w trybie AP wymaga połączenia przewodowego z siecią, z którego tworzy sieć bezprzewodową. Karta USB jedynie podłącza komputer do Wi-Fi, a konwerter mediów zamienia światłowód na skrętkę.

Dlaczego tak

Kanały w paśmie 2,4 GHz są rozmieszczone co 5 MHz, a każdy zajmuje około 20 MHz, więc sąsiednie numery na siebie nachodzą. Kanały 1, 6 i 11 są od siebie oddalone o 25 MHz i nie zachodzą na siebie, dlatego są standardowym wyborem dla trzech sąsiednich punktów. Kolejne numery kanałów, jak 1, 2 i 3, prawie całkowicie się pokrywają i powodują silne wzajemne zakłócenia.