説明
IP セキュリティ (IPsec) のステートフル フェールオーバーにより、計画的または計画外の停止が発生した後も、ルータは IPsec パケットの処理と転送を継続できます。お客様は、アクティブ ルーターが何らかの理由で接続を失った場合に、アクティブ (プライマリ) ルーターのタスクを自動的に引き継ぐバックアップ (セカンダリ) ルーターを使用します。このフェイルオーバー プロセスはユーザーに対して透過的であり、リモート ピアの調整や再構成は必要ありません。
IPsec のステートフル フェールオーバーでは、ネットワークにプライマリ デバイスまたはセカンダリ デバイスとして使用できる 2 つの同一のルーターが含まれている必要があります。両方のルーターは同じタイプのデバイスで、同じ CPU とメモリを備え、暗号化アクセラレータがないか、同じ暗号化アクセラレータを備えている必要があります。
IPsec のステートフル フェールオーバーの前提条件
アクティブ デバイスとスタンバイ デバイス上の完全な複製 IPsec および IKE 構成 このドキュメントは、完全な IKE および IPsec 構成があることを前提としています。アクティブ デバイスでセットアップされた IKE および IPsec 設定は、スタンバイ デバイスでも複製する必要があります。つまり、暗号化設定は、Internet Security Association and Key Management Protocol（ISAKMP）ポリシー、ISAKMP キー（事前共有）、IPsec プロファイル、IPsec トランスフォーム セット、ステートフル フェールオーバーに使用されるすべての暗号マップ セット、すべてのアクセスに関して同一である必要があります。クリプト マップ セットの一致アドレス ステートメントで使用されるコントロール リスト（ACL）、クリプトに使用されるすべての AAA 設定、クライアント コンフィギュレーション グループ、クリプトに使用される IP ローカル プール、および ISAKMP プロファイル。参照: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_conn_vpnav/configuration/15-mt/sec-vpnavailability-15-mt-book/sec-state- failed-ipsec.html 前提条件には「両方のルータが同じタイプのデバイスである必要がある」とのみ記載されていますが、上記のリンクの「IPsec のステートフル フェールオーバーの制限事項」セクションでは、「アクティブ デバイスとスタンバイ デバイスの両方が実行されている必要がある」と記載されています。 Cisco IOS ソフトウェアの同一バージョン」であるため、回答 E の方が回答 B よりも優れています。
このドキュメントは、IKE および IPsec の設定が完了していることを前提としています。
アクティブ デバイスでセットアップされた IKE および IPsec 設定は、スタンバイ デバイスでも複製する必要があります。
つまり、暗号化設定は、Internet Security Association and Key Management Protocol（ISAKMP）ポリシー、ISAKMP キー（事前共有）、IPsec プロファイル、IPsec トランスフォーム セット、ステートフル フェールオーバーに使用されるすべての暗号マップ セット、すべてのアクセスに関して同一である必要があります。クリプト マップ セットの一致アドレス ステートメントで使用されるコントロール リスト（ACL）、クリプトに使用されるすべての AAA 設定、クライアント コンフィギュレーション グループ、クリプトに使用される IP ローカル プール、および ISAKMP プロファイル。
参照：
前提条件には「両方のルータが同じタイプのデバイスである必要がある」とのみ記載されていますが、アクティブ デバイスとスタンバイ デバイス上の完全な重複 IPsec および IKE 構成では、このドキュメントでは完全な IKE および IPsec 構成があることを前提としています。アクティブ デバイスでセットアップされた IKE および IPsec 設定は、スタンバイ デバイスでも複製する必要があります。つまり、暗号化設定は、Internet Security Association and Key Management Protocol（ISAKMP）ポリシー、ISAKMP キー（事前共有）、IPsec プロファイル、IPsec トランスフォーム セット、ステートフル フェールオーバーに使用されるすべての暗号マップ セット、すべてのアクセスに関して同一である必要があります。クリプト マップ セットの一致アドレス ステートメントで使用されるコントロール リスト（ACL）、クリプトに使用されるすべての AAA 設定、クライアント コンフィギュレーション グループ、クリプトに使用される IP ローカル プール、および ISAKMP プロファイル。参照: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_conn_vpnav/configuration/15-mt/sec-vpnavailability-15-mt-book/sec-state- failed-ipsec.html 前提条件には「両方のルータが同じタイプのデバイスである必要がある」とのみ記載されていますが、上記のリンクの「IPsec のステートフル フェールオーバーの制限事項」セクションでは、「アクティブ デバイスとスタンバイ デバイスの両方が実行されている必要がある」と記載されています。 Cisco IOS ソフトウェアの同一バージョン」であるため、回答 E の方が回答 B よりも優れています。

https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/cve/174/cve-addressed-1741.html

説明 説明 新しいデバイスにはサプリカントがないため、802.1X を使用できません。MAC 認証バイパス (MAB) は、802.1x をサポートしないデバイスのフォールバック オプションです。事実上、デプロイメントでは必ず何らかの形で使用されます。MAB は、認証システムが接続デバイスの MAC アドレスを取得し、それをユーザー名とパスワードとして認証サーバーに送信することで機能します。認証サーバーはポリシーをチェックし、802.1x の場合と同様に Access-Accept または Access-Reject を送り返します。Cisco ISE プロファイリング サービスは、ネットワークに接続されているエンドポイントの動的な検出と分類を提供します。ISE は、MAC アドレスを一意の識別子として使用して、各ネットワーク エンドポイントのさまざまな属性を収集し、内部エンドポイント データベースを構築します。分類プロセスでは、収集された属性が事前に構築された条件またはユーザー定義の条件と照合され、プロファイルの広範なライブラリに関連付けられます。これらのプロファイルには、モバイル クライアント (iPad、Android タブレット、Chromebook など)、デスクトップ オペレーティング システム (Windows、Mac OS X、Linux など)、および多数の非ユーザー オペレーティング システムを含む幅広いデバイス タイプが含まれます。プリンター、電話、カメラ、ゲーム機などのシステム。分類されると、エンドポイントはネットワークへのアクセスを許可され、プロファイルに基づいてアクセスが許可されます。たとえば、IP 電話プロファイルに一致するエンドポイントは、認証方法として MAC 認証バイパス（MAB）を使用して音声 VLAN に配置できます。もう 1 つの例は、使用するデバイスに基づいて差別化されたネットワーク アクセスをユーザーに提供することです。たとえば、従業員が会社のワークステーションからネットワークにアクセスする場合は完全なアクセスが許可されますが、個人の iPhone からネットワークにアクセスする場合は制限されたネットワーク アクセスが許可されます。参照： https://community.cisco.com/t5/security-documents/ise-profiling-design-guide/ta-p/3739456 説明 新しいデバイスにはサプリカントがないため、802.1X を使用できません。
MAC 認証バイパス (MAB) は、802.1x をサポートしないデバイスのフォールバック オプションです。事実上、デプロイメントでは必ず何らかの形で使用されます。MAB は、認証システムが接続デバイスの MAC アドレスを取得し、それをユーザー名とパスワードとして認証サーバーに送信することで機能します。認証サーバーはポリシーをチェックし、802.1x の場合と同様に Access-Accept または Access-Reject を送り返します。
Cisco ISE プロファイリング サービスは、ネットワークに接続されているエンドポイントの動的な検出と分類を提供します。ISE は、MAC アドレスを一意の識別子として使用して、各ネットワーク エンドポイントのさまざまな属性を収集し、内部エンドポイント データベースを構築します。分類プロセスでは、収集された属性が事前に構築された条件またはユーザー定義の条件と照合され、プロファイルの広範なライブラリに関連付けられます。これらのプロファイルには、モバイル クライアント (iPad、Android タブレット、Chromebook など)、デスクトップ オペレーティング システム (Windows、Mac OS X、Linux など)、および多数の非ユーザー オペレーティング システムを含む幅広いデバイス タイプが含まれます。プリンター、電話、カメラ、ゲーム機などのシステム。
分類されると、エンドポイントはネットワークへのアクセスを許可され、プロファイルに基づいてアクセスが許可されます。たとえば、IP 電話プロファイルに一致するエンドポイントは、認証方法として MAC 認証バイパス（MAB）を使用して音声 VLAN に配置できます。もう 1 つの例は、使用するデバイスに基づいて差別化されたネットワーク アクセスをユーザーに提供することです。たとえば、従業員が会社のワークステーションからネットワークにアクセスする場合は完全なアクセスが許可されますが、個人の iPhone からネットワークにアクセスする場合は制限されたネットワーク アクセスが許可されます。
説明 説明 新しいデバイスにはサプリカントがないため、802.1X を使用できません。MAC 認証バイパス (MAB) は、802.1x をサポートしないデバイスのフォールバック オプションです。事実上、デプロイメントでは必ず何らかの形で使用されます。MAB は、認証システムが接続デバイスの MAC アドレスを取得し、それをユーザー名とパスワードとして認証サーバーに送信することで機能します。認証サーバーはポリシーをチェックし、802.1x の場合と同様に Access-Accept または Access-Reject を送り返します。Cisco ISE プロファイリング サービスは、ネットワークに接続されているエンドポイントの動的な検出と分類を提供します。ISE は、MAC アドレスを一意の識別子として使用して、各ネットワーク エンドポイントのさまざまな属性を収集し、内部エンドポイント データベースを構築します。分類プロセスでは、収集された属性が事前に構築された条件またはユーザー定義の条件と照合され、プロファイルの広範なライブラリに関連付けられます。これらのプロファイルには、モバイル クライアント (iPad、Android タブレット、Chromebook など)、デスクトップ オペレーティング システム (Windows、Mac OS X、Linux など)、および多数の非ユーザー オペレーティング システムを含む幅広いデバイス タイプが含まれます。プリンター、電話、カメラ、ゲーム機などのシステム。分類されると、エンドポイントはネットワークへのアクセスを許可され、プロファイルに基づいてアクセスが許可されます。たとえば、IP 電話プロファイルに一致するエンドポイントは、認証方法として MAC 認証バイパス（MAB）を使用して音声 VLAN に配置できます。もう 1 つの例は、使用するデバイスに基づいて差別化されたネットワーク アクセスをユーザーに提供することです。たとえば、従業員が会社のワークステーションからネットワークにアクセスする場合は完全なアクセスが許可されますが、個人の iPhone からネットワークにアクセスする場合は制限されたネットワーク アクセスが許可されます。参照: https://community.cisco.com/t5/security-documents/ise-profiling-design-guide/ta-p/3739456