Welke bewering beschrijft correct het gedrag van IPv6 RA Guard?

IPv6 RA Guard (Router Advertisement Guard) is ontworpen om kwaadaardige of ongewenste RA-berichten te filteren die rechtstreeks op een switchpoort aankomen. Het inspecteert de inhoud van RA-berichten om ervoor te zorgen dat alleen geautoriseerde routers RA's verzenden. De functie is echter niet in staat om RA-berichten te inspecteren die zijn ingekapseld in een tunnelprotocol, zoals IPsec of GRE. Dit komt omdat RA Guard op laag 2 werkt en de payload van getunneld verkeer niet kan ontcijferen of inspecteren. De andere opties zijn onjuist: RA Guard filtert juist ongewenste RA-uitzendingen, werkt in de inkomende richting van de switchpoort (omdat het RA's van hosts of ongeautoriseerde routers blokkeert), en RA-berichten van een hostpoort naar de switch zijn in principe verdacht en worden geblokkeerd als ze niet van een geautoriseerde router komen.