Cisco 200-301: Netwerkbeveiliging en Toegangscontrole — Studiegids

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNA 200-301 — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Netwerkbeveiliging en toegangscontrole zorgen ervoor dat alleen geautoriseerde entiteiten netwerkbronnen op de bedoelde manier gebruiken, terwijl data en diensten worden beschermd tegen compromittering of verstoring. Effectieve ontwerpen stemmen technische controles af op de kernprincipes van vertrouwelijkheid, integriteit, beschikbaarheid en ’least privilege’ (minimale rechten). Controles moeten de management plane (hoe apparaten worden beheerd), de control plane (hoe apparaten ‘adjacencies’ vormen en routing uitwisselen) en de data plane (hoe gebruikersverkeer wordt doorgestuurd) omvatten, met gelaagde verdediging op Layer 2, Layer 3 en hoger. Dit hoofdstuk behandelt praktische mechanismen—AAA, ACL’s, Layer 2-beveiliging, VPN’s, firewalls/IPS, hardening en operationele monitoring—samen met ontwerpoverwegingen, veelvoorkomende valkuilen en beknopte configuratievoorbeelden.

Beveiligingsprincipes en de basis van toegangscontrole

Vertrouwelijkheid: Voorkom ongeautoriseerde openbaarmaking. Afgedwongen met encryptie ‘in transit’ (SSH, IPsec), encryptie ‘at rest’ en specifiek afgebakend toegangsbeleid.
Integriteit: Voorkom ongeautoriseerde wijziging. Bereikt door middel van cryptografische controles (HMAC’s, digitale handtekeningen), configuratiebeheer en de onveranderlijkheid van audit-records.
Beschikbaarheid: Houd diensten bereikbaar ondanks storingen of aanvallen. Gerealiseerd met redundantie, rate-limiting, policing en veerkrachtige architecturen die continue connectiviteit behouden tijdens storingen.
Least privilege (minimale rechten): Ken de minimaal benodigde rechten toe, afgebakend naar rol, apparaat, protocol, tijd en locatie. Implementeer dit met role-based access control (RBAC), segmentatie en autorisatie per commando.

Ontwerpoverwegingen:

Baseer toegangsbeleid op bedrijfsrollen. RBAC op infrastructuur (bijv. network-operator vs. network-admin) verkleint de ‘blast radius’ (impactradius) van misbruikte credentials en operationele fouten.
Scheiding van taken (bijv. security operations vs. network operations). Dwing dit af via afzonderlijke AAA-groepen en commando-autorisatie.
Geef de voorkeur aan een ‘deny-by-default’-houding. Sta expliciet de bedoelde datastromen en beheerbronnen toe, met logging op de uitzonderingen.

Veelvoorkomende valkuilen:

Buitensporige privileges voor het gemak (bijv. standaard ‘privilege 15’). Dit nodigt uit tot ’lateral movement’ en onomkeerbare fouten.
Platte netwerken zonder segmentatie. Broadcast-domeinen en ongedifferentieerde beleidsgrenzen versterken aanvallen (bijv. ARP-spoofing).
Te strikte controles zonder telemetrie. Een gebrek aan counters/logging belemmert troubleshooting en kan storingen verlengen.

AAA en veilig apparaatbeheer

AAA-overzicht:

Authenticatie verifieert de identiteit. Autorisatie bepaalt wat een identiteit mag doen. Accounting legt vast wat er wanneer is gedaan.
Lokale authenticatie: Het apparaat slaat gebruikers en wachtwoorden op. Nuttig voor ‘break-glass’-toegang (noodtoegang); schaalt niet en centraliseert geen beleid.
TACACS+: TCP/49, versleutelt de volledige payload, ondersteunt granulaire autorisatie per commando; heeft de voorkeur voor apparaatbeheer.
RADIUS: UDP/1812 (authn/author), UDP/1813 (acct), versleutelt alleen het wachtwoordveld; integreert goed met 802.1X en netwerktoegang, minder granulaire autorisatie voor de CLI.

Typische AAA-configuratie met TACACS+ en lokale fallback:

undefined

Rolgebaseerde toegang:

Koppel TACACS+/RADIUS-attributen aan privilege-niveaus of commandosets van het apparaat. Gebruik autorisatie per commando om risicovolle acties te beperken (bijv. reload, write, policy-map-aanpassingen).
Valideer RBAC met testaccounts; zorg ervoor dat het lokale ‘break-glass’-account gedocumenteerd, beveiligd en gemonitord wordt.

Beveiliging van de management plane:

Geef de voorkeur aan SSHv2 voor de CLI. Schakel Telnet en ongebruikte servers uit.

undefined

Beperk beheer tot out-of-band of een specifieke management-VLAN/VRF. Pas ACL’s toe op de SVI of de fysieke managementinterface om alleen geautoriseerde bronnen toe te staan.
Control-plane policing (CoPP) om routing-, management- en controleprotocollen te beschermen tegen floods:

undefined

Redenering en waarschuwingen: Gebruik ‘police’, niet een algemene ‘drop’ voor class-default; foutieve classificatie kan routing adjacencies of BFD verbreken en storingen veroorzaken. Begin met ruime limieten, observeer de counters en stel ze daarna strakker in.

Wachtwoord-hardening en apparaatintegriteit:

Gebruik ’enable secret’ (gehasht) in plaats van ’enable password’.
Dwing een minimale lengte af en vertraag inlogpogingen (throttling):

undefined

Geef de voorkeur aan lokale ‘user secrets’ (PBKDF2/scrypt op ondersteunde platformen). Begrijp dat ‘service password-encryption’ alleen verouderde type-7 wachtwoorden verhult (obfuscatie).
Secure boot en beveiligde configuratie:

undefined

Bescherm en version-eer configuraties; overweeg periodieke archivering naar lokale opslag en een beveiligde externe repository. Gebruik SCP of SFTP voor bestandsoverdrachten; vermijd plain-text TFTP voor gevoelige bestanden.

Verkeer Filteren met IPv4/IPv6 ACL’s

Basisprincipes van IPv4 ACL’s:

Standaard ACL’s (1–99, 1300–1999) matchen alleen op het bron-IPv4-adres. Extended ACL’s (100–199, 2000–2699) matchen op bron/bestemming, protocol en L4-poorten.
Wildcard-maskers: een 0-bit moet overeenkomen; een 1-bit is een “don’t care”. Bereken dit als de inverse van het subnetmasker (bijv. /24 => 0.0.0.255). Snelkoppelingen: host 192.0.2.5 is gelijk aan 192.0.2.5 0.0.0.0; any is gelijk aan 0.0.0.0 255.255.255.255.
Richting: inbound wordt verwerkt vóór routering bij ingress; outbound wordt verwerkt ná routering bij egress. Pakketten worden van boven naar beneden gecontroleerd tot de eerste match; een impliciete deny any beëindigt de ACL.
Plaatsingsrichtlijnen: plaats extended ACL’s dicht bij de bron om ongewenst verkeer vroegtijdig te droppen; plaats standaard ACL’s dicht bij de bestemming om overmatige blokkering te voorkomen. Moderne platformen gebruiken TCAM; geef desondanks de voorkeur aan precisie dicht bij de bron.

Voorbeelden:

undefined

Nuttige verfijningen: gebruik remark voor documentatie; gebruik established voor een rudimentaire toestemming voor retourverkeer op TCP (beperkte beveiligingswaarde); schakel logging op denies spaarzaam in om CPU-pieken te voorkomen.

Principes van IPv6 ACL’s:

Vergelijkbare logica, maar IPv6 ACL’s zijn alleen ’named’ (benoemd) en worden toegepast met ipv6 traffic-filter. De standaard deny is ook impliciet.
Houd altijd rekening met essentiële ICMPv6-types (neighbor solicitation/advertisement, router solicitation/advertisement, PMTU). Te strikte ACL’s die ICMPv6 droppen, verstoren ND en veroorzaken ‘black holes’.

undefined

Verificatie en beheer:

show access-lists APP-POLICY en show ipv6 access-lists V6-EDGE-IN om ‘hit counters’ en ‘sequence numbers’ te bekijken.
show ip interface of show ipv6 interface om de koppeling en richting te bevestigen.
Test op kleine schaal vóór een brede uitrol; een verkeerd geplaatste deny ip any any kan wijdverspreide storingen veroorzaken.

Veelvoorkomende faalscenario’s:

Foutieve wildcard-berekeningen die onbedoeld te breed matchen.
ACL’s toepassen in de verkeerde richting of op de verkeerde interface/SVI.
Weglaten van kritieke ICMPv6-toestemmingen, wat leidt tot storingen in ’neighbor discovery’.

Layer 2-beveiliging, VPN’s en perimeterverdediging

Beveiligingsmaatregelen op Layer 2:

DHCP snooping: Bouwt een ‘binding table’ op van IP–MAC–VLAN–poort voor via DHCP verkregen adressen; dropt antwoorden van malafide servers op niet-vertrouwde poorten; beperkt de snelheid (‘rate-limits’) van offers/requests.

undefined

Faalscenario’s: Vergeten om uplinks naar legitieme DHCP-relays/servers te vertrouwen (’trust’), verstoort de adrestoewijzing; het niet opslaan van de ‘binding table’ over reboots heen kan DAI/IPSG beïnvloeden totdat leases vernieuwd zijn.

Dynamic ARP Inspection (DAI): Valideert ARP-pakketten aan de hand van de DHCP snooping ‘binding’ (of statische ‘bindings’). Dropt vervalste ARP.

undefined

Let op: Hosts met een statisch adres vereisen statische ‘bindings’; anders kan legitiem ARP-verkeer worden gedropt.

IP Source Guard (IPSG): Gebruikt ‘bindings’ om alleen geldig bron-IP (en optioneel MAC) per poort toe te staan.

undefined

Voorbeeld van een statische ‘binding’ voor een apparaat met een vast IP:

undefined

Basisprincipes van VPN en IPsec-concepten:

Site-to-site VPN’s gebruiken doorgaans IPsec in ’tunnel mode’ om private subnetten te versleutelen en authenticeren over onvertrouwde netwerken. Kernelementen: IKE Phase 1 (bijv. IKEv2) om een ISAKMP SA op te zetten; Phase 2 om IPsec SA’s te bouwen met ’transforms’ (bijv. AES-GCM voor gecombineerde modus of AES-CBC met HMAC-SHA2); PFS om ‘forward secrecy’ te garanderen; ’lifetimes’ om sleutels te vernieuwen; NAT-T over UDP/4500 als er NAT aanwezig is.
Remote-access VPN’s kunnen gebaseerd zijn op SSL/TLS (client of clientless) of op IPsec. Split tunneling vermindert bandbreedtegebruik op de ‘headend’ en verbetert de gebruikerservaring, maar verhoogt de blootstelling; full tunneling centraliseert beveiligingscontroles ten koste van bandbreedte en latency.
Valideer de ‘path MTU’ en schakel PMTU discovery in; de overhead van encryptie verlaagt de effectieve MTU en kan fragmentatie veroorzaken zonder de juiste configuratie.

Firewalls en inbraakpreventie:

Firewalls handhaven ‘allow/deny’ met ‘stateful inspection’ en ‘application awareness’ (NGFW). Op routers biedt ‘zone-based firewalling’ een ‘stateful’ beleid tussen zones; ACL’s alleen zijn ‘stateless’.
Een IPS analyseert verkeer op signatures, afwijkingen of gedrag; een ‘inline’ IPS kan blokkeren, terwijl een passieve IDS alleen waarschuwt. Tuning is essentieel om ‘false positives’ te verminderen.
Ontwerp voor symmetrische verkeersstromen over ‘stateful’ apparaten; asymmetrische routering verbreekt ‘state tables’. Positioneer sensoren waar ze het juiste verkeer zien (bijv. tussen onvertrouwde en vertrouwde zones).

Security Operations: Monitoring, Logging en Incident Triage

Auditlogging en tijd:

Synchroniseer klokken voor forensische nauwkeurigheid:

undefined

Schakel lokale en externe logging in met de juiste severity:

undefined

Verhoog de zichtbaarheid van authenticatie-events en commando-gebruik met AAA-accounting:

undefined

Gebruik ACL-logging op ‘denies’ met beleid; logs met een hoog volume kunnen de CPU belasten. Overweeg sampling met NetFlow/IPFIX voor het vaststellen van een traffic baseline.

Workflow voor incident triage:

Detecteren en afbakenen: Gebruik syslog, SNMP-traps en flow-data om afwijkende bronnen, poorten en volumes te identificeren. Correleer tellers in ACL’s, CoPP en interfaces.
Indammen: Pas tijdelijk gerichte ACL ‘denies’ toe, schakel gecompromitteerde switchpoorten uit of plaats VLAN’s in quarantaine. Voor DDoS op de control plane, pas CoPP-policing aan en overweeg upstream rate-limits of blackholing.
Uitroeien en herstellen: Verwijder kwaadaardige artefacten, roteer credentials (inclusief sleutels en ‘shared secrets’), schakel services stapsgewijs weer in onder monitoring.
Na het incident: Bewaar logs/configuratiesnapshots, voer een root-cause-analyse uit en codificeer preventieve maatregelen (bijv. uitbreiden van Layer 2-beveiliging, verfijnen van RBAC).

Veelvoorkomende operationele hiaten:

Ontbrekende NTP leidt tot onbruikbare tijdlijnen.
Alles overal loggen creëert ruis; stem de severity en filters af op de rol van het apparaat.
Geen getest ‘break-glass’-proces verlengt storingen wanneer AAA-servers onbereikbaar zijn.

Praktisch Probleemscenario

Orion Retail Group moet de administratie van apparaten beveiligen, gebruiker-naar-app-verkeer voor IPv4/IPv6 segmenteren, ongeautoriseerde DHCP/ARP-activiteit in winkels stoppen, veilige externe toegang voor personeel mogelijk maken en de zichtbaarheid voor incident response verbeteren—zonder de operaties te verstoren.

Implementeer gecentraliseerde AAA met TACACS+ en lokale fallback

Configuratie: Zet TACACS+-servers op; definieer ‘aaa new-model’ met groep TAC-GRP, authentication/authorization/accounting; maak een lokale ‘break-glass’-gebruiker met privilege 15 aan.
Rationale: Gecentraliseerde identiteiten en autorisatie per commando dwingen ’least privilege’ af, bieden audittrails van administratieve acties en maken snelle intrekking van credentials mogelijk. Lokale fallback garandeert toegang tijdens storingen van AAA.

Migreer beheer-toegang naar SSH en beperk op basis van bron

Configuratie: Genereer RSA-sleutels, dwing ‘ip ssh version 2’ af, schakel Telnet uit, stel ’line vty’ in op ’transport input ssh’ met ’login authentication default’; pas ‘access-class MGMT_VTY in’ toe om alleen de NOC jump hosts toe te staan.
Rationale: Het versleutelen van beheer-verkeer voorkomt het onderscheppen van credentials; beheer-ACL’s verkleinen het aanvalsoppervlak tot een kleine, bekende set van bronnen.

Bescherm de control plane met een conservatieve CoPP

Configuratie: Maak een class-map voor SSH, SNMP, NTP; pas een policy-map COPP-POLICY toe die bekend beheer-/controleverkeer ‘policet’ en ‘class-default’ rate-limitet; koppel deze aan de ‘control-plane input’.
Rationale: Het rate-limiten van control-plane-verkeer handhaaft de beschikbaarheid tijdens ‘floods’ zonder essentiële protocollen te blokkeren. Beginnen met soepele limieten voorkomt een onbedoelde ‘self-denial’.

Handhaaf Layer 2-integriteit in de winkels

Configuratie: Schakel DHCP snooping in op access-VLAN’s, vertrouw alleen uplinks naar de WAN/relay; pas rate-limits toe op requests/offers. Schakel DAI in op dezelfde VLAN’s; voeg statische ‘bindings’ toe voor apparaten met een vast IP. Schakel IP Source Guard in op access-poorten.
Rationale: Deze functies blokkeren ongeautoriseerde DHCP-servers, ARP-spoofing en IP-imitatie bij de ‘first hop’, wat ’lateral movement’ en ‘man-in-the-middle’-aanvallen voorkomt.

Segmenteer applicaties met precieze ACL’s (IPv4 en IPv6)

Configuratie: Implementeer ’extended’ IPv4 ACL’s op interfaces die naar de access-laag wijzen om alleen vereiste protocollen toe te staan (bijv. HTTPS naar app-servers) en al het andere te weigeren/loggen. Implementeer IPv6 ACL’s met expliciete ICMPv6-toestemmingen voor ND/RA/RS en app-specifieke ‘permits’; pas toe met ‘ipv6 traffic-filter’.
Rationale: Bron-nabije, protocol-specifieke filters minimaliseren ongewenst verkeer en verminderen bandbreedteverspilling; het behouden van ICMPv6 zorgt ervoor dat ’neighbor discovery’ en PMTU betrouwbaar werken.

Maak veilige externe toegang en site-to-site-encryptie mogelijk

Configuratie: Bouw IPsec site-to-site tunnels in tunnel-modus tussen winkels en datacenters met IKEv2, AES-GCM, PFS en ’lifetimes’ die aansluiten bij de operationele vensters. Bied een op SSL/TLS gebaseerde remote-access VPN voor personeel met ‘split tunneling’ om de belasting op de ‘headend’ te verminderen, gekoppeld aan ’endpoint posture checks’.
Rationale: Het versleutelen van onvertrouwde paden beschermt de vertrouwelijkheid/integriteit; ‘split tunneling’ balanceert beveiliging met prestaties wanneer het wordt gecombineerd met endpoint-controles.

Implementeer een firewall en IPS aan de perimeter en DC-aggregatie

Configuratie: Implementeer een ‘stateful’ firewall-policy tussen onvertrouwde, gebruikers- en serverzones; positioneer de IPS ‘inline’ op kritieke paden met afgestemde ‘signatures’ voor retail-applicaties. Zorg voor padsymmetrie of schakel ‘state sharing’ in.
Rationale: Firewalls dwingen een ‘high-level’ zone-policy af; een IPS detecteert/blokkeert ’exploits’ die misbruik maken van zwakheden in apps en protocollen. Correcte plaatsing en afstemming voorkomen ‘false positives’ en problemen met asymmetrische state.

Versterk hardening, logging en response

Configuratie: Stel ’enable secret’ in, dwing een minimale wachtwoordlengte en ’login throttling’ af; schakel ‘secure boot-image/config’ in. Configureer NTP, ‘buffered’ en externe syslog op ‘informational’ severity, en AAA command accounting. Voeg ‘deny log’-statements spaarzaam toe aan belangrijke ACL’s. Test de ‘break-glass’-procedure.
Rationale: Sterke credentials en apparaatintegriteit verminderen het risico op compromittering; gesynchroniseerde, duurzame logs en accounting versnellen de triage. Geoefende herstelprocedures minimaliseren downtime tijdens incidenten.

Door deze stappen in volgorde uit te voeren—van identiteit en management plane, naar Layer 2-hardening, naar segmentatie en versleuteld transport, en ten slotte naar perimeter-inspectie en operationele zichtbaarheid—bereikt Orion een gelaagde, ’least-privilege’ beveiliging met meetbare controles en minimale verstoring.

← Draadloos LAN-ontwerp en beheer · Alle domeinen · WAN →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

Slaag voor je examen →

Cisco 200-301: Netwerkbeveiliging en Toegangscontrole — Studiegids

Overzicht

Beveiligingsprincipes en de basis van toegangscontrole

AAA en veilig apparaatbeheer

Verkeer Filteren met IPv4/IPv6 ACL’s

Layer 2-beveiliging, VPN’s en perimeterverdediging

Security Operations: Monitoring, Logging en Incident Triage

Praktisch Probleemscenario

Pass the whole exam — not just this question

Related guides

Eén abonnement. Elk examen.