NSE6_FAC-6.4 认证实践考试和培训解决方案 [Q15-Q35]

9 月 26, 2023 管理 0 条评论

给本帖评分

NSE6_FAC-6.4 模拟考试和认证培训解决方案

免费测试引擎播放器验证答案

新问题 15
您要监控 FortiAuthenticator 系统信息，并通过 SNMP 接收 FortiAuthenticator 陷阱。
在 FortiAuthenticator 接口上启用 SNMP 访问后，必须执行哪两项配置？请选择两项

启用日志服务

设置触发 SNMP 陷阱的阈值

将管理信息库 (MIB) 文件上传到 SNMP 服务器

为接收主机关联 ASN, 1 映射规则

要通过 SNMP 监控 FortiAuthenticator 系统信息和接收 FortiAuthenticator 陷阱，必须在 FortiAuthenticator 接口上启用 SNMP 访问后执行两项配置：
设置阈值以触发各种系统事件的 SNMP 陷阱，如 CPU 使用率、磁盘使用率、内存使用率或温度。
将管理信息库 (MIB) 文件上传到 SNMP 服务器，使服务器能够解释 FortiAuthenticator 发送的 SNMP 陷阱。

新问题 16
要在 FortiAuthenticator 上启用访客门户服务，至少需要哪两项配置？(选择两项）

配置门户策略

至少配置登录后服务

配置 RADIUS 客户端

配置外部身份验证门户

要在 FortiAuthenticator 上启用访客门户服务，您需要配置一个门户策略，定义向用户显示访客门户的条件和要使用的身份验证方法。您还需要配置至少一个登录后服务，定义用户成功登录后的操作，如发送电子邮件确认、分配 VLAN 或创建用户帐户。配置 RADIUS 客户端或外部身份验证门户是可选步骤，取决于网络设置和要求。参考资料：https://docs.fortinet.com/document/fortiauthenticator/6.4/administration-guide/372404/guest-management

新问题 17
您是一家大型企业的管理员，希望将创建和管理访客用户的任务委托给一组赞助商。
如何将访客账户与赞助商联系起来？

作为管理员，您可以将访客组分配给单个赞助商。

游客账户与创建游客账户的赞助商相关联。

您可以将访客账户自动添加到与特定赞助商相关的组中。

在注册时，在嘉宾门户网站上选择赞助商。

游客账户与创建游客账户的担保人相关联。担保人是有权代表其他用户创建和管理来宾账户的用户3。担保人可使用担保人门户网站或 REST API3 创建来宾账户。赞助商的用户名将作为一个字段记录在来宾账户的个人资料中3。

新问题 18
以下哪三种可用作 SSO 源？(请选择三个）

FortiClient SSO 移动代理

SSH 会话

SAML SP 角色中的 FortiAuthenticator

堡垒

RADIUS 会计

FortiAuthenticator 支持各种 SSO 来源，可向网络中的其他设备（如 FortiGate 防火墙或 FortiAnalyzer 日志服务器）提供用户身份信息。支持的 SSO 来源包括
FortiClient SSO 移动代理：在 Windows 设备上运行并向 FortiAuthenticator 发送用户登录信息的软件代理。
FortiGate防火墙设备，可将各种来源的用户登录信息（如 FSSO 代理、专属门户、VPN 或 LDAP 服务器）发送到 FortiAuthenticator。
RADIUS 会计：可将用户登录信息从 RADIUS 服务器或客户端（如无线接入点或 VPN 集中器）发送到 FortiAuthenticator 的协议。
SSH 会话和 SAML SP 角色中的 FortiAuthenticator 不是有效的 SSO 来源，因为它们不会向网络中的其他设备提供用户身份信息。参考资料： https://docs.fortinet.com/document/fortiauthenticator/6.4/administration-guide/372410/single-sign-on

新问题 19
哪两个协议是 FortiAuthenticator 用于管理访问的默认管理访问协议？(选择两个）

远程登录

HTTPS

SSH

简单网络管理协议

HTTPS 和 SSH 是用于 FortiAuthenticator 管理访问的默认管理访问协议。HTTPS 允许管理员使用 Web 浏览器和安全连接访问 FortiAuthenticator 基于 Web 的图形用户界面。SSH 允许管理员使用 SSH 客户端和加密连接访问 FortiAuthenticator 的 CLI。两种协议都要求管理员输入有效的用户名和密码登录。

新问题 20
为什么要在最终实体证书中配置 OCSP 响应器 URL？

指定用于更新证书 CRL 的 SCEP 服务器

识别已分配证书的终端点

指定服务器进行证书状态检查

提供证书的 CRL 位置

终端实体证书中的 OCSP 响应器 URL 用于指定一个服务器进行证书状态检查。OCSP 是在线证书状态协议（Online Certificate Status Protocol）的缩写，是一种实时验证证书是否有效或已撤销的方法。OCSP 响应器是一个服务器，它对客户端的 OCSP 请求做出响应，并提供相关证书的状态。终端实体证书中的 OCSP 响应器 URL 指向可提供该证书状态的 OCSP 响应器的位置。

新问题 21
查看展品中的截图。

关于配置的哪两个说法是正确的？(请选择两项）。

使用账户注册功能创建的所有访客账户都将归入 Guest_Portal_Users 组

所有通过访客门户注册的账户必须通过电子邮件验证

访客用户必须填写注册表上的所有字段

访客用户账户将在八小时后失效

截图显示，访客门户启用了账户注册功能，访客组设置为 Guest_Portal_Users。这意味着使用该功能创建的所有访客账户都将归入该组1。截图还显示，访客门户启用了电子邮件验证功能，电子邮件验证链接会在 24 小时后失效。这意味着所有通过访客门户注册的账户都必须在该时间段内通过电子邮件进行验证1。

新问题 22
系统管理员希望将 FortiAuthenticator 与现有身份管理系统集成，目的是对 FSSO 中的用户进行身份验证和取消身份验证。
FortiAuthenticator 为此类集成提供了哪些功能？

从 CSV 文件导入和导出用户的功能

用于迁移用户的 RADIUS 学习模式

REST API

SNMP 监控和陷阱

REST API 是一种允许 FortiAuthenticator 与现有身份管理系统集成的功能，目的是将用户身份验证和解除身份验证到 FSSO。REST API 是 "表征状态传输应用编程接口"（Representational State Transfer Application Programming Interface）的缩写，是一种使用 HTTP 请求和响应在不同系统间交换数据的方法。FortiAuthenticator 提供的 REST API 可用于外部系统执行各种操作，如创建、更新、删除或查询用户和组，或发送 FSSO 登录或注销事件。

新问题 23
证书被撤销后会发生什么情况？(选择两项）

被吊销的证书不得以任何理由恢复

由已撤销的 CA 证书签署的所有证书都将自动撤销

废止的证书会自动添加到 CRL 中

外部 CA 将优先查询 Fortiauthenticator 并自动下载已撤销的证书

当证书被吊销时，意味着该证书不再有效，不应被任何实体信任。被吊销的证书会被自动添加到证书吊销列表（CRL）中，该列表由签发 CA 发布，其他各方可对其进行检查。如果 CA 证书被吊销，由该 CA 签发的所有证书也会被吊销，并被添加到 CRL 中。如果撤销的原因得到解决，如被泄露的私钥得到恢复或错误签发的证书得到纠正，被撤销的证书可以恢复。外部 CA 不会向 FortiAuthenticator 查询已撤销的证书，但它们可以使用 SCEP 或 OCSP 等协议与 FortiAuthenticator 交换证书信息。参考资料： https://docs.fortinet.com/document/fortiauthenticator/6.4/administration-guide/372408/certificate-management

新问题 24
在主动-被动 HA 中设置两个 FortiAuthenticator 设备时，必须在主 FortiAuthenticator 上选择哪个 HA 角色？

主动-被动主控

独立主机

群组成员

负载平衡主站

在主动-被动 HA 中设置两台 FortiAuthenticator 设备时，需要在主 FortiAuthenticator 设备上选择主动-被动主控角色。该角色意味着设备将处理所有请求并与从属设备同步数据，直到发生故障切换。从属设备必须配置为主动-被动从属角色。其他角色用于不同的 HA 模式，如独立（无 HA）、群集（主动-主动）或负载平衡（主动-主动，带负载平衡）。参考资料：https://docs.fortinet.com/document/fortiauthenticator/6.4/administration-guide/372411/high-availability

新问题 25
关于 FortiAuthenticator 的 RADIUS 服务，哪两个说法是正确的？(请选择两项）

使用 RADIUS 身份验证时无法执行双因素身份验证

RADIUS 用户可迁移为 LDAP 用户

只能通过 RADIUS 对本地用户进行身份验证

FortiAuthenticator 仅应答已注册 FortiAuthenticator 的 RADIUS 客户端

关于 FortiAuthenticator 的 RADIUS 服务，有两个说法是正确的：
可以使用 RADIUS 学习模式功能将 RADIUS 用户迁移到 LDAP 用户。此功能允许 FortiAuthenticator 从现有 RADIUS 服务器学习用户凭证，并将其本地存储为 LDAP 用户，以备将来的身份验证请求。
FortiAuthenticator 只应答已在 FortiAuthenticator 注册的 RADIUS 客户端。RADIUS 客户端是向 FortiAuthenticator 发送 RADIUS 身份验证或会计请求的设备。RADIUS 客户端必须在 FortiAuthenticator 上添加和配置，然后才能与 FortiAuthenticator 通信。

新问题 26
FortiAuthenticator 上的证书吊销列表 (CRL) 有哪些行为？(选择两项）

证书废止列表包含被废止证书的序列号

被吊销的证书将自动列入 CRL

CRL 只能通过 SCEP 服务器导出

所有本地 CA 共享相同的 CRL

证书废止列表是签发 CA 已废止的证书列表，任何实体都不应信任这些证书。证书废止列表包含已废止证书的序列号、废止日期和时间以及废止原因。被吊销的证书由 CA 自动列入 CRL，CRL 会定期更新。CRL 可通过 HTTP、LDAP 或 SCEP 等各种方法导出。每个本地 CA 都有自己的 CRL，专门针对其签发的证书。参考资料：https://docs.fortinet.com/document/fortiauthenticator/6.4/administration-guide/372408/certificate-management/372413/certificate-revocation-lists

新问题 27
哪种 FSSO 发现方法可以透明地检测已注销的用户，而无需依赖 WMI 轮询等外部功能？

Windows AD 轮询

FortiClient SSO 移动代理

半径会计

DC 民意调查

FortiClient SSO 移动代理是一种 FSSO 发现方法，可透明地检测已注销的用户，而无需依赖 WMI 轮询等外部功能。FortiClient SSO 移动代理是在 Windows 设备上运行的软件代理，与 FortiAuthenticator 通信，提供 FSSO 信息。该代理无需使用 WMI 轮询即可检测用户登录和注销事件，从而减少网络流量并提高性能。

新问题 28
您已经实施了双因素身份验证，以加强敏感企业系统的安全性。
如何绕过对访问特定安全网络的用户进行双因素身份验证的要求？

在身份验证策略中创建管理员域

在身份验证策略中指定适当的 RADIUS 客户端

在门户策略中启用自适应身份验证

在身份验证策略中启用根据用户 IP 地址解析用户地理位置选项。

自适应身份验证是一项允许管理员对从特定安全网络访问的用户绕过双因素身份验证的功能。自适应身份验证使用来自 IP 地址的地理位置信息来确定用户是否从可信网络访问。如果用户从受信任网络访问，FortiAuthenticator 可以跳过第二个验证因素，仅根据第一个因素授予访问权限。

新问题 29
为双因素身份验证生成 TOTP 时，算法会使用哪两个信息来生成 TOTP？

UUID 和时间

时间和 FortiAuthenticator 序列号

时间和种子

时间和移动位置

TOTP 是 Time-based One-time Password（基于时间的一次性密码）的缩写，是一种基于时间和种子这两个信息生成的 OTP。时间是客户端和服务器之间同步的当前时间戳。种子是客户端和服务器之间共享的密钥。TOTP 算法将时间和种子结合在一起，生成唯一且短暂的 OTP，可用于双因素身份验证。

新问题 30
FortiAuthenticator 作为自签名或本地 CA 时提供哪两种功能？(选择两项）

使用 OSCP 验证其他 CA CRL

导入其他 CA 证书和 CRL

使用 SCEP 合并本地和远程 CRL

创建、签署和撤销 X.509 证书

FortiAuthenticator 可以作为自签名或本地 CA，向用户、设备或其他 CA 签发证书。它还可以导入其他 CA 证书和 CRL，以信任它们并验证它们的证书。它还可以创建、签署和撤销用于各种用途的 X.509 证书，如 VPN 身份验证、Web 服务器加密或无线安全。它不能使用 OCSP 验证其他 CA CRL，也不能使用 SCEP 合并本地和远程 CRL，因为这些协议需要与外部 CA 通信。参考资料：https://docs.fortinet.com/document/fortiauthenticator/6.4/administration-guide/372408/certificate-management

新问题 31
关于访客门户政策的哪项声明是正确的？

访客门户策略仅适用于来自未知 RADIUS 客户端的身份验证请求

访客门户政策只能用于 BYOD

政策中的条件仅适用于来宾无线用户

在向用户展示访客门户之前，策略中的所有条件都必须匹配

访客门户策略是决定何时以及如何向希望访问网络的用户展示访客门户的规则。每个策略都有一组条件，这些条件可以基于各种因素，如源 IP 地址、MAC 地址、RADIUS 客户端、用户代理或 SSID。在向用户展示访客门户之前，策略中的所有条件都必须匹配。访客门户策略可适用于来自任何 RADIUS 客户端的任何身份验证请求，而不仅仅是未知请求。它们还可用于任何类型的设备，而不仅仅是 BYOD。它们还可用于有线或 VPN 用户，而不仅仅是无线用户。参考资料：https://docs.fortinet.com/document/fortiauthenticator/6.4/administration-guide/372404/guest-management/372406/portal-policies

新问题 32
FortiAuthenticator 的三个主要功能是什么？(选择三个）

身份管理设备

日志服务器

证书颁发机构

门户网站服务

RSSO 服务器

FortiAuthenticator 是用户和身份管理解决方案，提供强身份验证、无线 802.1X 身份验证、证书管理、RADIUS AAA（身份验证、授权和记账）以及 Fortinet 单点登录（FSSO）。它还为访客管理、自助密码重置和设备注册提供门户服务。它不是日志服务器或 RSSO 服务器。参考资料： https://docs.fortinet.com/document/fortiauthenticator/6.4/release-notes

新问题 33
FortiAuthenticator 的哪两项功能用于 EAP 部署？(请选择两项）

证书颁发机构

LDAP 服务器

MAC 验证旁路

RADIUS 服务器

FortiAuthenticator 用于 EAP 部署的两个功能是证书授权和 RADIUS 服务器。证书授权允许 FortiAuthenticator 为需要基于证书身份验证的 EAP 方法（如 EAP-TLS 或 PEAP-EAP-TLS）签发和管理数字证书。RADIUS 服务器允许 FortiAuthenticator 充当使用 RADIUS 作为传输协议的 EAP 方法（如 EAP-GTC 或 PEAP-MSCHAPV2）的身份验证服务器。

加载中 …