サブネット 192.168.1.0/24 内の管理ステーションのみが ArubaOS スイッチのコマンドラインインターフェイス (CLI)、Web UI、および REST インターフェイスにアクセスできるようにしつつ、管理者がネットワークの他の部分にアクセスできるようにするには、スイッチ上で承認済み管理者 IP アドレスとして 192.168.1.0 255.255.255.0 を指定する必要があります。この設定により、スイッチの管理インターフェイスへのアクセスは指定された IP アドレス範囲内のデバイスに制限され、実質的に管理アクセス リストが作成されます。
:
ArubaOSスイッチの管理および設定ガイド。IP認証マネージャーの設定について詳しく説明します。
ネットワーク管理のベストプラクティスでは、ネットワーク機器の管理インターフェースへのアクセスを制御することを推奨しています。

このシナリオでは、AOS-8モビリティコントローラ（MC）とWLANに新しいユーザーグループが追加されます。このグループのユーザーはWLANに接続できず、インターネットアクセスがない、リソースにアクセスできないというエラーが表示されます。図1は、あるユーザーのClearPass Policy Manager（CPPM）アクセストラッカーの記録を示しています。
CPPMは、VSA Radius:Aruba:Aruba-User-Role user_group4を含むAccess-Acceptを送信します。
エンドポイントは「既知」と分類されていますが、ユーザーはリソースにアクセスできません。図2（図は提供されていませんが、説明されています）は、AOSデバイス（MC）がユーザーのクライアントに「denyall」ロールを割り当てたことを示しており、これはおそらくすべてのアクセスを拒否し、インターネットおよびリソースへのアクセスができない理由を説明しています。
分析：
CPPMは、Aruba-User-Role VSAに「user_group4」という値を送信します。これは、ユーザーがMC上で「user_group4」ロールに割り当てられるべきであることを示しています。
しかし、MCはクライアントに「denyall」ロールを割り当てます。これは通常、すべてのトラフィックを拒否するため、インターネットやリソースへのアクセスができなくなります。
問題は、MCがCPPMから送信された「user_group4」ロールを適用しなかった理由にある。
オプションA「AOSデバイスにAruba-User-Role VSAを理解するための正しいRADIUS辞書がインストールされていない」は誤りです。MCにAruba-User-Role VSAを理解するための正しいRADIUS辞書がインストールされていない場合、VSAは全く処理されず、この問題は新規ユーザーグループだけでなく、すべてのユーザーに影響を与える可能性があります。さらに、Aruba-User-RoleはAOS-8の標準VSAであり、辞書はシステムに組み込まれています。
オプションB「AOSデバイスに、CPPMから送信されたロールを上書きするサーバー派生ルールが設定されている」は誤りです。MC上のサーバー派生ルールは、RADIUSサーバーから送信されたロール（ユーザー名やNAS-IPなどの属性に基づく）を上書きできますが、このシナリオではそのようなルールが設定されていることを示す兆候はありません。派生ルールがロールを上書きしている場合、より多くのユーザーに影響が及ぶ可能性が高く、問題は新しいユーザーグループに特有のものではないはずです。
オプションC「クライアントがCPPMのRADIUS/EAP証明書のルートCAを持っていないため、クライアント側でサーバー認証を拒否した」は誤りです。クライアントがサーバー認証を拒否した場合（例えば、CPPMの証明書のルートCAが欠落している場合）、認証は完全に失敗し、CPPMはAruba-User-Role VSAを含むAccess-Acceptを送信しません。このシナリオでは認証が成功した（Access-Acceptが送信された）ことが確認されているため、これが問題ではありません。
オプション D「CPPM が送信するロール名が AOS デバイスで設定されているロール名と一致しません」が正解です。CPPM は Aruba-User-Role VSA でロール「user_group4」を送信しますが、MC はクライアントに「denyall」ロールを割り当てます。これは、ロール「user_group4」が MC に存在しないか、ロール名に不一致がある（大文字小文字の区別、タイプミス、アンダースコアとハイフンの違いなど）ことを示唆しています。AOS-8 では、Aruba-User-Role VSA で指定されたロールが MC に存在しない場合、MC はデフォルトのロールにフォールバックします。この場合、デフォルトのロールは「denyall」で、すべてのアクセスを拒否します。考えられる問題は、CPPM が送信するロール名「user_group4」が MC で設定されているロール名と一致しないことです（たとえば、「user-group4」または別の名前である可能性があります）。
HPE Aruba Networking AOS-8 8.11ユーザーガイドには次のように記載されています。
「モビリティコントローラがRADIUS Access-AcceptメッセージでAruba-User-Role VSAを受信すると、指定されたロールをクライアントに割り当てようとします。RADIUSサーバーから送信されたロール名（例：「user_group4」）がコントローラで設定されているロールと一致しない場合、コントローラは「denyall」などのデフォルトロールにフォールバックし、すべてのアクセスを拒否する可能性があります。これを解決するには、RADIUSサーバーから送信されたロール名が、大文字小文字の区別や命名規則（例：アンダースコアとハイフン）を考慮して、コントローラで設定されているロール名と一致していることを確認してください。」（306ページ、ロール割り当てのトラブルシューティングセクション）さらに、HPE Aruba Networking ClearPass Policy Manager 6.11ユーザーガイドには次のように記載されています。
「Aruba-User-Role VSA を介してロールを割り当てる際によくある問題は、ClearPass から送信されるロール名と Aruba デバイスに設定されているロール名が一致しないことです。ロール名が一致しない場合 (例: 'user_group4' と 'user-group4')、デバイスは意図したロールを適用せず、クライアントに 'denyall' のようなデフォルトロールが割り当てられ、アクセスに関する問題が発生する可能性があります。ClearPass とデバイス設定の両方でロール名が完全に一致していることを確認してください。」(290 ページ、RADIUS ロール割り当ての問題のセクション)
:
HPE Aruba Networking AOS-8 8.11 ユーザーガイド、役割割り当てのトラブルシューティングセクション、306ページ。
HPE Aruba Networking ClearPass Policy Manager 6.11 ユーザーガイド、RADIUS ロール割り当ての問題セクション、290 ページ。

中間者攻撃（MITM攻撃）とは、攻撃者が無線クライアントと正規ネットワークの間に入り込み、通信を傍受または操作する攻撃手法です。HPE Aruba Networkingのドキュメントでは、無線セキュリティの脅威と対策戦略という文脈で、MITM攻撃についてよく解説されています。
選択肢D「ハッカーはクライアントと同じ無線ネットワークにデバイスを接続し、クライアントのARP要求に対してハッカーデバイスのMACアドレスで応答する」が正解です。これは、無線ネットワークでよく使われる中間者攻撃（MITM）の手法であるARPポイズニング（またはARPスプーフィング）攻撃について説明しています。ハッカーはクライアントと同じ無線ネットワークに接続します（例えば、同じSSIDと認証情報で認証するなど）。ネットワークに接続すると、ハッカーはクライアントに偽のARP応答を送信し、デフォルトゲートウェイ（または別のターゲットデバイス）のIPアドレスにハッカーのMACアドレスを関連付けます。これにより、クライアントは正当なゲートウェイではなくハッカーのデバイスにトラフィックを送信することになり、ハッカーはトラフィックを傍受、変更、または転送して中間者攻撃を実行できます。
選択肢Aの「ハッカーはソフトウェアとハ​​ードウェアを組み合わせてRF帯域を妨害し、クライアントが無線ネットワークに接続できないようにする」は誤りです。RF帯域を妨害すると、ハッカーが通信を傍受する能力を含め、すべての無線通信が中断されます。これはサービス拒否（DoS）攻撃であり、中間者攻撃（MITM攻撃）ではありません。
選択肢Bの「ハッカーは無線クライアントに対してNMapスキャンを実行し、MACアドレスとIPアドレスを特定します。その後、ハッカーは別のネットワークに接続し、これらのアドレスを偽装します」は誤りです。NMapスキャンはネットワークの検出とポートスキャンに使用されるものであり、中間者攻撃（MITM攻撃）を実行するために使用されるものではありません。別のネットワークでMACアドレスとIPアドレスを偽装しても、ハッカーは元のネットワーク上のクライアントのトラフィックを傍受できる位置には置かれません。
選択肢C「ハッカーはスピアフィッシングを使用して、クライアントがアクセスしようとしているIPアドレスを探り出し、その後、ハッカーのデバイスがそれらのIPアドレスを偽装する」は誤りです。スピアフィッシングはマルウェアや認証情報の窃盗のための配信方法であり、中間者攻撃（MITM攻撃）を直接実行するための方法ではありません。IPアドレスを偽装するだけでは、ハッカーが同じネットワーク上にいてルーティングを操作できる場合（例えば、ARPポイズニングによる場合）を除いて、トラフィックを傍受することはできません。
HPE Aruba Networking AOS-8 8.11ユーザーガイドには次のように記載されています。
「無線クライアントに対する一般的な中間者攻撃（MITM攻撃）には、ARPポイズニングがあります。ハッカーは、クライアントと同じ無線ネットワークにデバイスを接続し、デフォルトゲートウェイのIPアドレスにハッカーのMACアドレスを関連付ける偽のARP応答をクライアントに送信します。これにより、クライアントはハッカーのデバイスにトラフィックを送信し、ハッカーはトラフィックを傍受して操作できるようになります。」（422ページ、無線脅威のセクション）さらに、HPE Aruba Networking Security Guideには次のように記載されています。
「ARPポイズニングは、無線ネットワークでよく見られる中間者攻撃（MITM攻撃）です。攻撃者はクライアントと同じネットワークに接続し、クライアントのARP要求に対して自身のMACアドレスで応答することで、トラフィックを攻撃者のデバイス経由でリダイレクトします。これにより、攻撃者は機密データを傍受したり、クライアントと正当な宛先間のトラフィックを改ざんしたりすることが可能になります。」（72ページ、無線中間者攻撃の項）
:
HPE Aruba Networking AOS-8 8.11 ユーザーガイド、ワイヤレス脅威のセクション、422ページ。
HPE Aruba ネットワークセキュリティガイド、ワイヤレスMITM攻撃のセクション、72ページ。

ネットワークセキュリティにおけるソーシャルエンジニアリングとは、ハッカーが個人を操り、通常のセキュリティ手順やベストプラクティスを破らせて、システム、ネットワーク、または物理的な場所への不正アクセスを取得したり、金銭的利益を得たりする手法を指します。ハッカーは、さまざまな欺瞞の手法を用いて従業員を騙し、不正な目的に使用できる機密情報や個人情報を引き渡させます。この定義には、フィッシング攻撃、口実攻撃、餌付け、その他人間の心理を悪用する操作的な手法が含まれます。技術的な手段に依存する他のハッキング手法とは異なり、ソーシャルエンジニアリングはセキュリティにおける人的要素を標的とします。ソーシャルエンジニアリング、その手法、および防御戦略に関する記述は、セキュリティトレーニングマニュアル、サイバーセキュリティ啓発プログラム、SANS Instituteやサイバーセキュリティ機関などの権威ある情報源でよく見られます。