24 Preguntas de Práctica de Fundamentos de seguridad con Respuestas

1. 1. Un investigador de seguridad publica un script que envía un paquete manipulado al servicio de gestión de un switch, provoca un desbordamiento de búfer conocido y abre una shell con privilegios para quien lo envía. Según la terminología de seguridad estándar, ¿qué es el script en sí?

   • A.Una amenaza contra el switch
   • B.Una vulnerabilidad del switch
   • C.Un exploit que aprovecha el fallo✓ Respuesta
   • D.Una mitigación del desbordamiento

   Un exploit es la herramienta o técnica que aprovecha una vulnerabilidad. Aquí el fallo de desbordamiento de búfer es la vulnerabilidad, la posibilidad de que alguien use el script contra el switch es la amenaza, y aplicar el parche o restringir el acceso al servicio de gestión es la mitigación. El script es el exploit.

   Ref. QB-38U5J4Fuente: Cisco CCNA 200-301 Exam Topics — 5.1 Key security concepts (threats, vulnerabilities, exploits, mitigation)Reportar un problema con esta pregunta

2. 2. El syslog de un router de borde muestra miles de intentos de inicio de sesión SSH en una hora contra la cuenta admin, cada uno con una palabra común distinta o una contraseña vista en listas públicas de filtraciones. ¿Qué ataque es y qué control reduce mejor su probabilidad de éxito?

   • A.Ataque de intermediario; activar DHCP snooping en las VLAN de borde
   • B.Escaneo de reconocimiento; desactivar CDP en interfaces externas
   • C.Ataque de fuerza bruta; cifrar las contraseñas del router con tipo 7
   • D.Ataque de diccionario; frases de paso largas y bloqueo tras fallos✓ Respuesta

   Adivinar contraseñas tomadas de una lista de palabras o de filtraciones es un ataque de diccionario; la fuerza bruta, en cambio, prueba todas las combinaciones posibles. Las frases de paso largas y poco comunes no están en la lista, y el bloqueo o la limitación de intentos de inicio de sesión restringe cuántas veces puede adivinar el atacante. La codificación tipo 7 solo oculta las contraseñas en el archivo de configuración y no sirve contra la adivinación en línea.

   Ref. QB-HQANS2Fuente: Cisco CCNA 200-301 Exam Topics — 5.1 Key security concepts (password attacks and mitigation)Reportar un problema con esta pregunta

3. 3. Un servidor web público queda saturado por tráfico procedente de decenas de miles de routers domésticos y cámaras IP comprometidos en muchos países. Cada origen envía solo una cantidad moderada, y bloquear algunas direcciones de origen no tiene efecto visible. ¿Cómo se clasifica mejor este ataque?

   • A.Un barrido de reconocimiento de un gusano
   • B.Un ataque de retransmisión de intermediario
   • C.Un ataque DoS desde un único host falso
   • D.Un ataque DDoS lanzado por una botnet✓ Respuesta

   Un ataque de denegación de servicio distribuido usa muchos dispositivos comprometidos (una botnet) a la vez, de modo que ningún origen es grande y bloquear direcciones individuales apenas ayuda; un DoS simple procede de un solo origen. El reconocimiento recopila información en lugar de agotar recursos, y un ataque de intermediario intercepta el tráfico en lugar de inundar un objetivo.

   Ref. QB-28GTC3Fuente: Cisco CCNA 200-301 Exam Topics — 5.1 Key security concepts (DoS and DDoS attacks)Reportar un problema con esta pregunta

4. 4. Cada trimestre, el equipo de seguridad envía a los empleados correos de phishing simulados y realistas, y quien hace clic en el enlace ve una breve página recordatoria sobre cómo detectar el phishing. Unos carteles junto a las impresoras ofrecen consejos similares. ¿Qué elemento del programa de seguridad representan estas actividades?

   • A.Un programa de concienciación del usuario✓ Respuesta
   • B.Un control de acceso físico a las salas
   • C.Un plan formal de formación de usuarios
   • D.Un plan de respuesta ante incidentes

   La concienciación del usuario mantiene la seguridad presente mediante recordatorios continuos e informales, como campañas de phishing simulado y carteles. La formación de usuarios es instrucción formal y programada con contenido definido, el control de acceso físico protege las instalaciones con tarjetas, cerraduras y esclusas, y la respuesta a incidentes trata de cómo reacciona la organización una vez ocurre un ataque.

   Ref. QB-MQCNA6Fuente: Cisco CCNA 200-301 Exam Topics — 5.2 Security program elements (user awareness, training, physical access control)Reportar un problema con esta pregunta

5. 5. En el router EDGE-1, la configuración en ejecución contiene una línea enable password con el valor BlueFox7 y una línea enable secret con el valor Harbor!88. Un técnico en el modo EXEC de usuario escribe enable. ¿Qué contraseña lleva la sesión al modo EXEC privilegiado?

   • A.Solo Harbor!88, el valor de enable secret✓ Respuesta
   • B.Cualquiera, porque ambas líneas están activas
   • C.Solo BlueFox7, el valor de enable password
   • D.Ninguno, hasta que se elimine una línea

   Cuando ambos comandos están presentes, IOS usa el enable secret e ignora el enable password. El enable secret se almacena como un hash unidireccional, por eso es el comando recomendado y prevalece sobre el enable password, más antiguo y débil.

   Ref. QB-58JTV6Fuente: Cisco CCNA 200-301 Exam Topics — 5.3 Device access control using local passwordsReportar un problema con esta pregunta

6. 6. Un auditor que revisa la copia de seguridad de la configuración de un switch ve que, tras activar service password-encryption, las contraseñas de consola y VTY están almacenadas con la forma 'password 7 0822455D0A16'. ¿Cuál es la evaluación correcta de estas entradas?

   • A.Cifrado AES que requiere una clave guardada en NVRAM
   • B.Cifrado que también protege las sesiones Telnet
   • C.Un hash unidireccional con sal, como enable secret
   • D.Codificación tipo 7 reversible y fácil de descifrar✓ Respuesta

   service password-encryption solo aplica el tipo 7, una codificación reversible débil que herramientas gratuitas descifran al instante; solo evita que alguien lea la configuración por encima del hombro. No es un hash, no usa ninguna clave AES y no protege las contraseñas escritas en una sesión Telnet, que siguen viajando en texto claro.

   Ref. QB-KQZA55Fuente: Cisco CCNA 200-301 Exam Topics — 5.3 Device access control using local passwordsReportar un problema con esta pregunta

7. 7. Durante una auditoría, una captura de paquetes de una sesión de gestión de un router hacia el puerto TCP 23 muestra el usuario y la contraseña del administrador en texto legible. ¿Qué cambio corrige esta exposición?

   • A.Permitir solo SSH en las líneas VTY, que cifra sobre TCP 22✓ Respuesta
   • B.Mantener Telnet y cifrar las contraseñas con el tipo 7
   • C.Mantener Telnet pero moverlo al TCP 22 para cifrarlo
   • D.Gestionar por la interfaz web con HTTP en el TCP 80

   Telnet (TCP 23) envía todo, incluidas las credenciales, en texto claro, mientras que SSH (TCP 22) cifra toda la sesión, por lo que limitar las líneas VTY a SSH elimina la exposición. El tipo 7 solo cambia cómo se guardan las contraseñas en la configuración, HTTP en el puerto 80 también va en texto claro (haría falta HTTPS en el 443) y mover Telnet a otro puerto no añade cifrado.

   Ref. QB-487GQ5Fuente: Cisco CCNA 200-301 Exam Topics — 2.8 Network device management access (Telnet, SSH, HTTP, HTTPS)Reportar un problema con esta pregunta

8. 8. Una empresa elige un método de inicio de sesión para su personal de operaciones de red que debe contar como verdadera autenticación multifactor. ¿Qué combinación cumple?

   • A.Una tarjeta inteligente más un PIN✓ Respuesta
   • B.Una contraseña más un PIN distinto
   • C.Una huella dactilar más un escaneo facial
   • D.Dos contraseñas en servidores distintos

   La MFA exige factores de al menos dos categorías distintas: algo que sabes, algo que tienes y algo que eres. Una tarjeta inteligente es algo que tienes y un PIN es algo que sabes. Una contraseña y un PIN son ambos conocimiento, una huella y un escaneo facial son ambos biometría, y dos contraseñas siguen siendo una sola categoría.

   Ref. QB-EQ8N9XFuente: Cisco CCNA 200-301 Exam Topics — 5.4 Password alternatives (multifactor authentication)Reportar un problema con esta pregunta

9. 9. La política de contraseñas de una empresa obliga a todos los usuarios a cambiarlas cada 30 días. Los informes del servicio de ayuda muestran que los usuarios responden con patrones predecibles como Spring1!, Summer1!, Autumn1!. ¿Qué cambio se ajusta mejor a la guía actual del NIST sobre políticas de contraseñas?

   • A.Mostrar una pista de contraseña al iniciar sesión
   • B.Exigir frases largas y bloquear contraseñas filtradas✓ Respuesta
   • C.Acortar el cambio a 14 días y exigir símbolos
   • D.Limitar la longitud a 8 caracteres para recordarla

   La guía del NIST prioriza la longitud (frases de paso) y comprobar las contraseñas nuevas contra listas de contraseñas filtradas y comunes, y desaconseja los cambios periódicos forzados salvo que haya indicios de compromiso, porque generan justamente estos patrones predecibles. Un intervalo más corto empeora el patrón, limitar la longitud debilita las contraseñas y las pistas filtran información a los atacantes.

   Ref. QB-X7ETUXFuente: NIST SP 800-63B memorized secret verifier requirements; Cisco CCNA 200-301 Exam Topics — 5.4 Password policy elementsReportar un problema con esta pregunta

10. 10. Una sucursal con 40 empleados necesita una conexión cifrada y siempre activa con la sede central a través de Internet. La dirección no quiere que se instale ni se inicie ningún software VPN en los PC de la sucursal. ¿Qué solución encaja?

    • A.Una VPN IPsec de acceso remoto con cliente en cada PC
    • B.Un túnel GRE simple sin IPsec entre los routers de borde
    • C.Una VPN IPsec de sitio a sitio entre los routers de borde✓ Respuesta
    • D.Una VPN TLS sin cliente que cada usuario abre en el navegador

    Una VPN de sitio a sitio conecta redes completas: los routers o firewalls de borde cifran el tráfico entre las sedes, el túnel permanece siempre activo y los hosts finales no necesitan cliente VPN. Las VPN de acceso remoto, con cliente o sin cliente mediante el navegador, atienden a usuarios individuales bajo demanda, y GRE por sí solo crea un túnel sin ningún cifrado.

    Ref. QB-XG33R3Fuente: Cisco CCNA 200-301 Exam Topics — 5.5 IPsec remote access and site-to-site VPNsReportar un problema con esta pregunta

11. 11. Se están configurando dos gateways de seguridad para IPsec. El diseño exige que la carga útil de cada paquete sea ilegible para quien la capture en Internet y que además se verifique su integridad. ¿Qué protocolo IPsec debe transportar el tráfico?

    • A.AH, protocolo IP 51
    • B.IKE, puerto UDP 500
    • C.ESP, protocolo IP 50✓ Respuesta
    • D.GRE, protocolo IP 47

    ESP proporciona confidencialidad mediante cifrado junto con integridad, autenticación del origen y protección antirrepetición. AH proporciona integridad y autenticación pero no cifra, así que la carga útil sigue siendo legible. GRE es un protocolo de túnel sin cifrado, e IKE solo negocia las asociaciones de seguridad y las claves; no transporta los datos protegidos.

    Ref. QB-EZVV53Fuente: IETF RFC 4303 (ESP) and RFC 4302 (AH); Cisco CCNA 200-301 Exam Topics — 5.5 IPsec VPNsReportar un problema con esta pregunta

12. 12. Una entrada de ACL estándar debe coincidir con todas las direcciones de origen de 172.16.8.0/22 y con ninguna otra. ¿Qué máscara wildcard corresponde a la dirección de red 172.16.8.0?

    • A.255.255.252.0
    • B.0.0.3.255✓ Respuesta
    • C.0.0.1.255
    • D.0.0.7.255

    Una máscara wildcard es la inversa de la máscara de subred. La máscara /22 es 255.255.252.0, y 255.255.255.255 menos 255.255.252.0 da 0.0.3.255, que permite que el tercer octeto varíe de 8 a 11. 0.0.7.255 coincidiría con una /21 (172.16.8.0 a 172.16.15.255), 0.0.1.255 solo con una /23, y 255.255.252.0 es la propia máscara de subred, que como wildcard ignoraría los bits de red.

    Ref. QB-YGEDW4Fuente: Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (wildcard masks)Reportar un problema con esta pregunta

13. 13. El router R1 conecta la LAN de usuarios 10.1.50.0/24 en G0/0 con un enlace WAN hacia el router R2, y R2 conecta la LAN de servidores 10.9.9.0/24 en G0/1. Los usuarios de 10.1.50.0/24 deben quedar bloqueados para la LAN de servidores, pero deben seguir llegando a Internet y a todas las demás sedes. Se usará una ACL estándar que deniega 10.1.50.0 0.0.0.255 y luego permite any. ¿Dónde debe aplicarse?

    • A.Saliente en la interfaz WAN de R1, el enlace hacia R2
    • B.Saliente en R2 G0/1, la interfaz hacia la LAN de servidores✓ Respuesta
    • C.Entrante en R1 G0/0, la interfaz hacia la LAN de usuarios
    • D.Entrante en R2 G0/1, la interfaz hacia la LAN de servidores

    Una ACL estándar solo compara la dirección de origen, así que colocarla cerca del origen (entrante en R1 G0/0 o saliente en la WAN de R1) dejaría a esos usuarios sin acceso a todo lo que hay más allá. Colocarla cerca del destino, saliente hacia la LAN de servidores, solo afecta al tráfico que va allí. Entrante en R2 G0/1 filtraría los paquetes que vienen de los servidores, no los que van hacia ellos. Las ACL extendidas, en cambio, se colocan cerca del origen.

    Ref. QB-FZ88B4Fuente: Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (ACL placement)Reportar un problema con esta pregunta

14. 14. Para bloquear una subred de invitados, un ingeniero crea una ACL estándar con una sola entrada, deny 192.168.5.0 0.0.0.255, y la aplica saliente en la interfaz LAN del router. De inmediato, ningún host de ninguna subred puede llegar a esa LAN. ¿Cuál es la causa?

    • A.Las ACL estándar solo funcionan aplicadas en sentido entrante
    • B.La wildcard debería ser 255.255.255.0 para cubrir la subred
    • C.El deny implícito final descarta todo el tráfico no coincidente✓ Respuesta
    • D.Las ACL estándar deben numerarse 100-199 para filtrar subredes

    Toda ACL termina con un deny any invisible, así que una ACL que solo contiene entradas deny no permite nada; añadir un permit any después del deny lo soluciona. Las ACL estándar pueden aplicarse en cualquier sentido, 0.0.0.255 es la wildcard correcta para una /24 y 1-99 es un rango estándar válido (100-199 es para ACL extendidas).

    Ref. QB-ZGSQ36Fuente: Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (implicit deny)Reportar un problema con esta pregunta

15. 15. Un administrador quiere que solo los hosts de la subred de gestión 10.99.0.0/24 puedan abrir sesiones SSH al router CORE-1, sin importar por qué interfaz llegue la conexión y sin afectar al tráfico que atraviesa el router. ¿Qué enfoque lo consigue?

    • A.Activar la seguridad de puerto en la interfaz de gestión
    • B.Aplicar una ACL extendida saliente en el puerto de gestión
    • C.Aplicar una ACL estándar a las líneas VTY del router✓ Respuesta
    • D.Aplicar una ACL estándar saliente en cada interfaz

    Una ACL aplicada a las líneas VTY (con access-class en lugar de ip access-group) filtra solo las sesiones que terminan en las líneas de terminal virtual del propio router, llegue por la interfaz que llegue, y no toca el tráfico de tránsito. Las ACL salientes de interfaz filtran el tráfico que sale del router, no las sesiones dirigidas a él, y la seguridad de puerto es una función de switch que limita las direcciones MAC de un puerto.

    Ref. QB-GZKJG5Fuente: Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (filtering VTY access)Reportar un problema con esta pregunta

16. 16. Los hosts de 10.20.0.0/16 deben poder enviar consultas DNS estándar por UDP al servidor 198.51.100.53. ¿Qué entrada de ACL extendida, aplicada entrante en la interfaz que da a esos hosts, permite exactamente este tráfico?

    • A.permit udp host 198.51.100.53 10.20.0.0 0.0.255.255 eq 53
    • B.permit udp 10.20.0.0 255.255.0.0 host 198.51.100.53 eq 53
    • C.permit udp 10.20.0.0 0.0.255.255 host 198.51.100.53 eq 69
    • D.permit udp 10.20.0.0 0.0.255.255 host 198.51.100.53 eq 53✓ Respuesta

    Una entrada extendida indica el protocolo, luego el origen, luego el destino y después el puerto de destino. Las consultas DNS van al puerto UDP 53, y un origen /16 necesita la wildcard 0.0.255.255. El puerto 69 es TFTP, 255.255.0.0 usado como wildcard coincidiría con direcciones equivocadas, e intercambiar origen y destino coincide con el tráfico que viene del servidor y no con las consultas hacia él.

    Ref. QB-2H5397Fuente: Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (extended ACL entries, well-known ports)Reportar un problema con esta pregunta

17. 17. show access-lists en el router BR-2 muestra esta ACL extendida, aplicada entrante en la interfaz LAN: 10 deny tcp any host 203.0.113.10 eq 23 (14 matches) 20 permit ip 10.0.0.0 0.255.255.255 any (95812 matches) 30 permit tcp 10.0.0.0 0.255.255.255 any eq 80 (0 matches) Todos los hosts de la LAN usan direcciones 10.x.x.x y navegan por la web constantemente. ¿Por qué la entrada 30 muestra cero coincidencias?

    • A.La entrada 30 solo se evalúa después del deny any implícito final
    • B.La entrada 20 coincide antes con ese tráfico web y la 30 nunca se alcanza✓ Respuesta
    • C.Los contadores solo aumentan en las entradas que deniegan paquetes
    • D.La ACL es entrante, así que nunca ve el tráfico web de los hosts

    Las ACL se procesan de arriba abajo y se detienen en la primera coincidencia. Todo paquete con origen en 10.0.0.0/8 que no sea Telnet hacia 203.0.113.10 coincide con la entrada 20, más amplia, por lo que la entrada 30 es redundante y nunca se evalúa. Las entradas permit también cuentan coincidencias, una ACL entrante en la interfaz LAN sí ve el tráfico de los hosts y nada se evalúa después del deny implícito.

    Ref. QB-HZXVN6Fuente: Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (top-down first-match processing)Reportar un problema con esta pregunta

18. 18. Una ACL extendida con nombre tiene entradas con números de secuencia 10, 20 y 30. El ingeniero debe añadir una nueva entrada deny que se evalúe después de la entrada 10 pero antes de la 20, sin ninguna interrupción. ¿Cuál es el enfoque correcto?

    • A.Añadir la línea al final; IOS reordena las entradas por especificidad
    • B.Aplicar a la misma interfaz una segunda ACL con esa línea
    • C.Borrar toda la ACL y volver a escribir cada línea en el nuevo orden
    • D.Introducir la nueva línea con el número de secuencia 15 en la ACL✓ Respuesta

    Las ACL con nombre admiten números de secuencia, así que una entrada con el número 15 se inserta entre la 10 y la 20 mientras la ACL sigue en servicio. Borrar y reescribir la ACL abre una ventana sin filtrado, IOS no reordena las entradas extendidas por especificidad y solo se puede aplicar una ACL por protocolo, interfaz y sentido, de modo que una segunda simplemente sustituye a la primera.

    Ref. QB-3HGDE8Fuente: Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (named ACLs and sequence numbers)Reportar un problema con esta pregunta

19. 19. Un switch tiene DHCP snooping activado globalmente y para la VLAN 20. El servidor DHCP legítimo está más allá del puerto de enlace ascendente G1/0/48 del switch, y ninguna interfaz se ha configurado como de confianza. ¿Qué ocurre cuando los clientes de la VLAN 20 solicitan direcciones?

    • A.Se descartan los OFFER y ACK del servidor que llegan por el enlace ascendente✓ Respuesta
    • B.Se descartan los DISCOVER de los clientes que llegan por puertos de acceso
    • C.Todos los puertos siguen siendo de confianza hasta activar DAI en la VLAN 20
    • D.Los clientes obtienen concesión, pero la tabla de vínculos sigue vacía

    Con DHCP snooping activado, todos los puertos son no confiables por defecto, y los puertos no confiables descartan los mensajes de servidor DHCP como OFFER, ACK y NAK. Como el enlace ascendente hacia el servidor real no es de confianza, sus respuestas se descartan y ningún cliente obtiene dirección. Los mensajes de cliente se permiten en puertos no confiables, así que marcar el enlace ascendente como de confianza resuelve el problema.

    Ref. QB-JZA8U7Fuente: Cisco CCNA 200-301 Exam Topics — 5.7 Layer 2 security features (DHCP snooping)Reportar un problema con esta pregunta

20. 20. Tras activar la inspección dinámica de ARP en la VLAN 30, los PC que reciben dirección por DHCP siguen funcionando, pero las impresoras de red con direcciones IP estáticas configuradas a mano pierden la conectividad. DHCP snooping está activado en la VLAN 30 con el enlace ascendente de confianza. ¿Qué lo explica?

    • A.DAI solo inspecciona ARP en troncales y bloquea los puertos de acceso
    • B.DAI descarta todas las respuestas ARP salvo que haya seguridad de puerto
    • C.Las impresoras superan el límite predeterminado de 15 ARP por segundo
    • D.Las impresoras no tienen un vínculo de DHCP snooping que valide su ARP✓ Respuesta

    DAI compara los paquetes ARP recibidos en puertos no confiables con la tabla de vínculos de DHCP snooping. Los hosts con dirección estática nunca pasaron por DHCP, así que no tienen vínculo y su ARP se descarta; la solución es una ACL ARP o vínculos estáticos para ellos. Superar el límite de tasa pondría el puerto en err-disabled, algo que las impresoras rara vez provocan, y DAI actúa en los puertos de acceso no confiables con independencia de la seguridad de puerto.

    Ref. QB-82Z6XRFuente: Cisco CCNA 200-301 Exam Topics — 5.7 Layer 2 security features (dynamic ARP inspection)Reportar un problema con esta pregunta

21. 21. Un puerto de acceso tiene seguridad de puerto con un máximo de 2 direcciones MAC. Al conectar un tercer dispositivo, sus tramas se descartan, se genera un mensaje de syslog, el contador de violaciones aumenta y el puerto sigue activo para los dos primeros dispositivos. ¿Qué modo de violación está configurado?

    • A.shutdown (apagar)
    • B.protect (proteger)
    • C.restrict (restringir)✓ Respuesta
    • D.sticky (persistente)

    El modo restrict descarta las tramas de direcciones MAC no autorizadas, envía un registro o una notificación SNMP e incrementa el contador de violaciones mientras mantiene el puerto activo. Protect también descarta las tramas, pero en silencio, sin registro ni aumento del contador, y shutdown (el predeterminado) pone todo el puerto en err-disabled. Sticky es un método de aprendizaje de MAC, no un modo de violación.

    Ref. QB-RH6CHSFuente: Cisco CCNA 200-301 Exam Topics — 5.7 Layer 2 security features (port security violation modes)Reportar un problema con esta pregunta

22. 22. Un puerto de switch está configurado con seguridad de puerto y aprendizaje sticky de MAC. El puerto aprende la dirección MAC de una estación de trabajo y, al día siguiente, el switch se reinicia por corte de energía antes de que nadie guarde la configuración. Tras el reinicio, la dirección aprendida ha desaparecido. ¿Por qué?

    • A.Las MAC sticky caducan de la tabla a los cinco minutos por defecto
    • B.Las MAC sticky van a la configuración en ejecución, que no se guardó✓ Respuesta
    • C.El aprendizaje sticky solo se conserva en puertos en modo troncal
    • D.Las MAC sticky se borran cuando el puerto pasa a err-disabled

    El aprendizaje sticky convierte las direcciones MAC aprendidas dinámicamente en entradas seguras solo en la configuración en ejecución. Si esa configuración no se copia a la de inicio, un reinicio descarta las entradas. Las entradas sticky no caducan por defecto, la seguridad de puerto se configura normalmente en puertos de acceso y un evento err-disable no elimina las entradas sticky.

    Ref. QB-92CH4TFuente: Cisco CCNA 200-301 Exam Topics — 5.7 Layer 2 security features (port security sticky MAC learning)Reportar un problema con esta pregunta

23. 23. Una empresa quiere que un servidor central controle los inicios de sesión de los administradores en sus routers y switches, autorice cada comando CLI por separado y cifre todo el cuerpo de cada paquete AAA. ¿Qué protocolo y transporte cumplen estos requisitos?

    • A.TACACS+ sobre el puerto TCP 49✓ Respuesta
    • B.TACACS+ sobre el puerto UDP 1812
    • C.RADIUS sobre el puerto UDP 1812
    • D.RADIUS sobre el puerto TCP 49

    TACACS+ funciona sobre el puerto TCP 49, cifra todo el cuerpo del paquete y mantiene separadas la autenticación, la autorización y la contabilidad, lo que permite autorizar comando por comando en la administración de dispositivos. RADIUS usa UDP (1812/1813), cifra solo la contraseña y combina autenticación y autorización, lo que lo hace adecuado para el acceso a la red, como 802.1X y usuarios de VPN.

    Ref. QB-SHHPPTFuente: IETF RFC 8907 (TACACS+) and RFC 2865 (RADIUS); Cisco CCNA 200-301 Exam Topics — 5.8 AAA conceptsReportar un problema con esta pregunta

24. 24. Una técnica del servicio de ayuda inicia sesión en el switch ACC-7 con sus propias credenciales, que un servidor AAA central valida. Puede ejecutar comandos show, pero cuando intenta entrar en el modo de configuración global, el servidor rechaza el comando. ¿Qué función AAA la está bloqueando?

    • A.Cifrado de la carga útil de la sesión AAA
    • B.Autorización de sus comandos permitidos✓ Respuesta
    • C.Autenticación de sus credenciales
    • D.Contabilidad de los comandos que escribe

    La autenticación ya tuvo éxito, porque inició sesión con credenciales validadas. La autorización decide qué puede hacer un usuario autenticado, así que el rechazo de un comando concreto por parte del servidor es una decisión de autorización. La contabilidad solo registra lo que hizo, y el cifrado protege el tráfico AAA sin decidir qué comandos se permiten.

    Ref. QB-A2QU9UFuente: Cisco CCNA 200-301 Exam Topics — 5.8 Authentication, authorization, and accounting conceptsReportar un problema con esta pregunta

Preguntas de práctica elaboradas según los temas publicados por Cisco para el examen CCNA 200-301 y los estándares IEEE e IETF en que se basan. Cisco y CCNA son marcas de Cisco Systems, Inc.; este sitio no está afiliado ni respaldado por Cisco. Los temas del examen se revisan periódicamente: consulta la lista oficial vigente antes de inscribirte. Sobre el examen CCNA (Cisco) →