Basic Concept: Split DNS lets GlobalProtect resolve selected domains through VPN DNS while leaving other names to local DNS. This improves performance without breaking internal name resolution.
Why A is Correct: The policy selectively resolves listed corporate domains through the tunnel and leaves all other lookups local.
Why B is Wrong: It blocks access to all domains that are not explicitly listed in the split tunnel configuration.
relates to VPN configuration, but it does not address the specific PAN-OS requirement for selectors, tunnel interface functions, routing, or Security policy in this scenario.
Why C is Wrong: It forces all applications to use the corporate DNS servers, regardless of the split tunnel settings for IP traffic. relates to VPN configuration, but it does not address the specific PAN-OS requirement for selectors, tunnel interface functions, routing, or Security policy in this scenario.
Why D is Wrong: It creates a DNS proxy on the client endpoint that forwards all queries to the firewall for inspection. relates to VPN configuration, but it does not address the specific PAN-OS requirement for selectors, tunnel interface functions, routing, or Security policy in this scenario.

Basic Concept: Certificate profiles define trust and revocation validation for certificate-based authentication.
OCSP checking is enabled there for the CAs used by the profile.
Why D is Correct: Certificate profile is correct because it controls trusted CAs, username mapping, and OCSP
/CRL revocation behavior for client certificate authentication.
Why A is Wrong: Authentication sequence is associated with authentication, PKI, or TLS configuration, but it is not the object or step that enforces the certificate validation or service identity requirement being tested.
Why B is Wrong: Decryption profile is associated with authentication, PKI, or TLS configuration, but it is not the object or step that enforces the certificate validation or service identity requirement being tested.
Why C is Wrong: SSL/TLS service profile is associated with authentication, PKI, or TLS configuration, but it is not the object or step that enforces the certificate validation or service identity requirement being tested.

NetFlowエクスポートは、レイヤ3トラフィックから生成されるIPルーティングとフローレコードに依存するため、インターフェイスがレイヤ3モードで動作している必要があります。レイヤ2、仮想ワイヤ、またはその他のレイヤ3以外のモードで構成されたインターフェイスでは、これらの情報は利用できません。

Security policy rules are evaluated in a strict top-down order starting with Panorama Pre-Rules, followed by the local firewall rulebase, and finally Panorama Post-Rules, ensuring centrally enforced policies are applied before and after locally defined rules.

基本概念：CN-SeriesはKubernetesクラスタにネイティブにデプロイされ、Panoramaによって管理されることで、コンテナ環境全体で一貫したポリシーが適用されます。
Cが正解である理由：HelmなどのKubernetesツールを使用して各クラスターにCN-Seriesをデプロイし、Panoramaを通じてすべてのインスタンスを管理することで、東西方向の検査、スケーリング、およびポリシーの一貫性が満たされます。
Aが間違っている理由：各クラスタにローカル構成のみでスタンドアロンのCNシリーズインスタンスをインストールします。記録保持のために毎日のポリシー構成スナップショットをPanoramaにエクスポートしますが、ポリシーの適用を統一しません。これはクラウド展開またはルーティングのアプローチですが、このシナリオで必要な管理挿入モデル、回復力パターン、またはPanorama制御ポリシー設計とは一致しません。
Bが間違っている理由：CNシリーズはパブリッククラウドクラスタでのみ構成し、オンプレミスクラスタのセキュリティにはKubernetesネットワークポリシーを使用します。必要に応じて、部分的なポリシー情報を手動でPanoramaに同期します。これはクラウド展開またはルーティングのアプローチですが、このシナリオで必要な管理挿入モデル、回復力パターン、またはPanorama制御ポリシー設計とは一致しません。
Dが間違っている理由：オンプレミスのデータセンターに単一のCNシリーズファイアウォールを導入し、すべてのクラスタのトラフィックを処理し、VPNまたはピアリングを介してリモートクラスタを接続します。この単一のインスタンスはPanoramaで管理します。これはクラウド展開またはルーティングのアプローチですが、このシナリオで必要な管理挿入モデル、回復力パターン、またはPanoramaで制御されるポリシー設計とは一致しません。