¿Qué afirmación describe correctamente el comportamiento de IPv6 RA Guard?

IPv6 RA Guard (Router Advertisement Guard) está diseñado para proteger la red de routers no autorizados que envían mensajes RA maliciosos. Su función principal es filtrar los mensajes RA entrantes en los puertos del switch, permitiendo solo aquellos de routers autorizados. La afirmación correcta es que "No puede proteger el tráfico tunelizado". RA Guard opera en la capa 2 y 3, inspeccionando los encabezados de los paquetes RA. Si el tráfico RA está encapsulado dentro de un túnel (por ejemplo, IPsec o GRE), RA Guard no puede inspeccionar el contenido del paquete tunelizado y, por lo tanto, no puede aplicar sus políticas de filtrado. Las otras opciones son incorrectas: "Filtra las difusiones RA no autorizadas de los hosts conectados" es incorrecto porque RA Guard filtra los mensajes RA de routers, no de hosts en el sentido de dispositivos finales. "Es compatible con la dirección de salida del switch" es incorrecto. RA Guard se aplica a los mensajes RA entrantes en los puertos del switch, no a los que salen. "Los mensajes RA están permitidos desde el puerto del host al switch" es incorrecto en un escenario donde RA Guard está activo y configurado para bloquear RA no autorizados. Su propósito es precisamente evitar que RA no autorizados lleguen al switch desde un puerto.