CON 0CCNA 題庫

CCNA 200-301

CCNA 200-301 題庫，
每一題都附上為什麼。

依 Cisco 官方考試大綱原創整理 1971 道選擇題、200 道配對題、42 個實作題。選擇題與配對題都附詳解，實作題附拓樸、參考設定與驗證指令。點下方交換器的埠直接看那個主題，或在主控台輸入關鍵字。

開始看題目 看實作題
console · 9600 8N1

CON0 con0 is now available

Press RETURN to get started.

CON0> show exam

  CCNA 200-301
  選擇 1971   配對 200   實作 42

Enter 前往結果・Tab 補完・Esc 清除

CON 0EXAM SWITCH · 12 PORTSYSTSTATDPLXSPDMODECCNA1.02.03.04.05.06.0題庫實作題工具速查CONSOLE CON 012 PORTCCNA1.02.03.04.05.06.0CON

考試範圍與比重

比重來自 Cisco 公布的考試大綱。從比重高的領域開始準備最划算；點任一列，直接看那個領域的題目。

CCNA

200-301

Cisco Certified Network Associate・大綱 v1.1・考試 120 分鐘

選擇題與配對題

題目載入中…

實作題

每題是一個情境：先看拓樸與任務，自己在 Packet Tracer（或 CML／EVE-NG）做做看；卡住了再展開「參考設定」對照，最後用「驗證」的指令確認自己做對了。

LA-01

VLAN 與存取埠規劃

CCNA 2.0 網路存取
SW1PC1業務部VLAN 10PC2工程部VLAN 20Fa0/1Fa0/11

小型辦公室只有一台 24 埠交換器。業務部與工程部要分到不同 VLAN，沒用到的埠要停用，並放進一個不會通往任何地方的 VLAN。

任務

  1. 建立 VLAN 10（SALES）、VLAN 20（ENG）與 VLAN 999（BLACKHOLE）
  2. Fa0/1～10 設為 VLAN 10 的存取埠，Fa0/11～20 設為 VLAN 20 的存取埠
  3. Fa0/21～24 放進 VLAN 999 並關閉
  4. 儲存設定
  • 存取埠一律明確寫 switchport mode access，避免 DTP 意外協商成 trunk。
參考設定1 台設備
SW1IOS
configure terminal
vlan 10
 name SALES
vlan 20
 name ENG
vlan 999
 name BLACKHOLE
!
interface range FastEthernet0/1 - 10
 switchport mode access
 switchport access vlan 10
!
interface range FastEthernet0/11 - 20
 switchport mode access
 switchport access vlan 20
!
interface range FastEthernet0/21 - 24
 switchport mode access
 switchport access vlan 999
 shutdown
end
write memory
驗證3 個檢查點
show vlan brief
三個 VLAN 都存在，Fa0/1～10 在 VLAN 10、Fa0/11～20 在 VLAN 20
show interfaces status
Fa0/21～24 顯示 disabled
show interfaces FastEthernet0/1 switchport
Administrative Mode 為 static access
LA-02

802.1Q Trunk 與原生 VLAN

CCNA 2.0 網路存取
SW1SW2PC1VLAN 10PC2VLAN 20G0/1G0/1802.1Q · 10,20,99Fa0/1Fa0/11

兩台交換器之間用一條 Gigabit 鏈路互連，要承載 VLAN 10、20，並把原生 VLAN 改成沒有使用者的 VLAN 99，關閉 DTP 協商。

任務

  1. 兩台交換器建立 VLAN 10、20、99
  2. G0/1 設為 trunk 並關閉 DTP 協商
  3. 原生 VLAN 改為 99，只允許 VLAN 10、20、99 通過
  • 原生 VLAN 兩端必須一致，否則 CDP 會回報 native VLAN mismatch。
  • 只有同時支援 ISL 的機種（例如 Catalyst 3560）才需要先下 switchport trunk encapsulation dot1q。
參考設定2 台設備
SW1IOS
configure terminal
vlan 10
 name SALES
vlan 20
 name ENG
vlan 99
 name NATIVE
!
interface GigabitEthernet0/1
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,20,99
end
SW2IOS
configure terminal
vlan 10
 name SALES
vlan 20
 name ENG
vlan 99
 name NATIVE
!
interface GigabitEthernet0/1
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,20,99
end
驗證3 個檢查點
show interfaces trunk
Mode 為 on、Native vlan 為 99、允許的 VLAN 為 10,20,99
show interfaces GigabitEthernet0/1 switchport
Negotiation of Trunking 為 Off
show cdp neighbors
沒有出現 native VLAN mismatch 的訊息
LA-03

單臂路由（Router-on-a-Stick）

CCNA 3.0 IP 連通性
R1SW1PC1192.168.10.10VLAN 10PC2192.168.20.10VLAN 20G0/0G0/1dot1Q 10, 20Fa0/1Fa0/2

VLAN 10 與 VLAN 20 的主機要能互通。路由器只有一個介面接到交換器，用子介面為每個 VLAN 提供預設閘道。

任務

  1. R1 啟用 G0/0，建立子介面 G0/0.10 與 G0/0.20
  2. VLAN 10 閘道 192.168.10.1/24，VLAN 20 閘道 192.168.20.1/24
  3. SW1 的 G0/1 設為 trunk，Fa0/1、Fa0/2 分別放進 VLAN 10、20
  4. PC1 設 192.168.10.10/24、閘道 .1；PC2 設 192.168.20.10/24、閘道 .1
  • 實體介面 G0/0 本身不需要 IP，但一定要 no shutdown，子介面才會 up。
參考設定2 台設備
R1IOS
configure terminal
interface GigabitEthernet0/0
 no shutdown
!
interface GigabitEthernet0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
!
interface GigabitEthernet0/0.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0
end
SW1IOS
configure terminal
vlan 10
vlan 20
!
interface GigabitEthernet0/1
 switchport mode trunk
!
interface FastEthernet0/1
 switchport mode access
 switchport access vlan 10
!
interface FastEthernet0/2
 switchport mode access
 switchport access vlan 20
end
驗證3 個檢查點
show ip interface brief
G0/0、G0/0.10、G0/0.20 都是 up/up
show ip route connected
看到 192.168.10.0/24 與 192.168.20.0/24 兩筆 C 路由
ping 192.168.20.10（從 PC1）
跨 VLAN 可以互通
LA-04

L3 交換器 SVI 路由與上行

CCNA 3.0 IP 連通性
R1邊界路由器DSW1PC1VLAN 10PC2VLAN 20G0/0G1/0/2410.0.0.0/30G1/0/1G1/0/2

改用 L3 交換器做 VLAN 間路由：每個 VLAN 一個 SVI 當閘道，上行埠改成路由埠接到邊界路由器，並設定預設路由。

任務

  1. 啟用 ip routing
  2. 建立 VLAN 10、20 與對應的 SVI：192.168.10.1/24、192.168.20.1/24
  3. G1/0/24 改為路由埠 10.0.0.1/30，連到 R1（10.0.0.2）
  4. 設定預設路由指向 R1
  • SVI 要 up，除了 no shutdown，該 VLAN 至少要有一個啟用中的埠（autostate）。
  • R1 需要回程路由：ip route 192.168.10.0 255.255.254.0 10.0.0.1。
參考設定2 台設備
DSW1IOS
configure terminal
ip routing
vlan 10
vlan 20
!
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
 no shutdown
!
interface Vlan20
 ip address 192.168.20.1 255.255.255.0
 no shutdown
!
interface GigabitEthernet1/0/1
 switchport mode access
 switchport access vlan 10
!
interface GigabitEthernet1/0/2
 switchport mode access
 switchport access vlan 20
!
interface GigabitEthernet1/0/24
 no switchport
 ip address 10.0.0.1 255.255.255.252
 no shutdown
!
ip route 0.0.0.0 0.0.0.0 10.0.0.2
end
R1IOS
configure terminal
interface GigabitEthernet0/0
 ip address 10.0.0.2 255.255.255.252
 no shutdown
!
ip route 192.168.10.0 255.255.254.0 10.0.0.1
end
驗證3 個檢查點
show ip interface brief | include Vlan
Vlan10、Vlan20 為 up/up
show ip route
看到兩個 VLAN 的 C 路由，以及 S* 0.0.0.0/0
ping 10.0.0.2 source Vlan10
從 VLAN 10 的閘道可以到達 R1
LA-05

EtherChannel（LACP）

CCNA 2.0 網路存取
SW1LACP activeSW2LACP passiveG0/1-2G0/1-2Port-channel 1

兩台交換器之間的兩條 Gigabit 鏈路綁成一條 Port-channel，提高頻寬並提供備援，綁好之後設為 trunk。

任務

  1. SW1 的 G0/1–2 以 LACP active 加入 channel-group 1
  2. SW2 的 G0/1–2 以 LACP passive 加入 channel-group 1
  3. 兩端的 Port-channel1 設為 trunk
  • 成員埠的速度、雙工、VLAN 與 trunk 設定必須一致，否則會被 suspended。
  • 設定寫在 Port-channel 介面上，會自動套用到成員埠。
參考設定2 台設備
SW1IOS
configure terminal
interface range GigabitEthernet0/1 - 2
 channel-group 1 mode active
!
interface Port-channel1
 switchport mode trunk
end
SW2IOS
configure terminal
interface range GigabitEthernet0/1 - 2
 channel-group 1 mode passive
!
interface Port-channel1
 switchport mode trunk
end
驗證3 個檢查點
show etherchannel summary
Po1 旗標為 (SU)，G0/1、G0/2 旗標為 (P)
show lacp neighbor
看得到對端的兩個埠
show interfaces trunk
trunk 介面顯示為 Po1，而不是個別成員埠
LA-06

指定根橋與保護存取埠

CCNA 2.0 網路存取
SW1根橋SW2次要根橋SW3存取PC1G0/1G0/1G0/2G0/1G0/2G0/2Fa0/1

三台交換器形成三角形備援。指定 SW1 為 VLAN 10、20 的根橋、SW2 為次要根橋；接使用者的埠開啟 PortFast 與 BPDU Guard。

任務

  1. 三台都改用 Rapid PVST+
  2. SW1 設為 VLAN 10、20 的主要根橋，SW2 設為次要根橋
  3. SW3 的 Fa0/1～20 開啟 PortFast 與 BPDU Guard
  4. 設定 err-disabled 自動復原（5 分鐘）
  • root primary 會把優先權設成 24576，或比現任根橋再低一級；root secondary 設為 28672。
參考設定3 台設備
SW1IOS
configure terminal
spanning-tree mode rapid-pvst
spanning-tree vlan 10,20 root primary
end
SW2IOS
configure terminal
spanning-tree mode rapid-pvst
spanning-tree vlan 10,20 root secondary
end
SW3IOS
configure terminal
spanning-tree mode rapid-pvst
!
interface range FastEthernet0/1 - 20
 switchport mode access
 spanning-tree portfast
 spanning-tree bpduguard enable
!
errdisable recovery cause bpduguard
errdisable recovery interval 300
end
驗證3 個檢查點
show spanning-tree vlan 10
SW1 顯示 This bridge is the root
show spanning-tree interface FastEthernet0/1 detail
看到 portfast 與 bpdu guard 已啟用
show spanning-tree summary
模式為 rapid-pvst
LA-07

OSPFv2 單區域

CCNA 3.0 IP 連通性
Area 0R1R2R3LAN1192.168.1.0/24LAN3192.168.3.0/24G0/1G0/110.0.12.0/30G0/2G0/210.0.23.0/30G0/0G0/0

三台路由器串接，全部放在 Area 0。手動指定 Router ID、調整參考頻寬，接使用者的 LAN 介面設為被動介面。

任務

  1. 依拓樸設定介面位址（R1 側為 .1、R2 側為 .2，以此類推）
  2. 三台的 Router ID 分別為 1.1.1.1、2.2.2.2、3.3.3.3
  3. 參考頻寬改為 10000（10 Gbps），三台一致
  4. LAN 介面設為 passive-interface，點對點鏈路改為 point-to-point 網路類型
  • network 指令的萬用遮罩只是用來「挑介面」，/30 寫 0.0.0.3 最精準。
參考設定3 台設備
R1IOS
configure terminal
interface GigabitEthernet0/0
 ip address 192.168.1.1 255.255.255.0
 no shutdown
interface GigabitEthernet0/1
 ip address 10.0.12.1 255.255.255.252
 ip ospf network point-to-point
 no shutdown
!
router ospf 1
 router-id 1.1.1.1
 auto-cost reference-bandwidth 10000
 passive-interface GigabitEthernet0/0
 network 192.168.1.0 0.0.0.255 area 0
 network 10.0.12.0 0.0.0.3 area 0
end
R2IOS
configure terminal
interface GigabitEthernet0/1
 ip address 10.0.12.2 255.255.255.252
 ip ospf network point-to-point
 no shutdown
interface GigabitEthernet0/2
 ip address 10.0.23.1 255.255.255.252
 ip ospf network point-to-point
 no shutdown
!
router ospf 1
 router-id 2.2.2.2
 auto-cost reference-bandwidth 10000
 network 10.0.12.0 0.0.0.3 area 0
 network 10.0.23.0 0.0.0.3 area 0
end
R3IOS
configure terminal
interface GigabitEthernet0/0
 ip address 192.168.3.1 255.255.255.0
 no shutdown
interface GigabitEthernet0/2
 ip address 10.0.23.2 255.255.255.252
 ip ospf network point-to-point
 no shutdown
!
router ospf 1
 router-id 3.3.3.3
 auto-cost reference-bandwidth 10000
 passive-interface GigabitEthernet0/0
 network 192.168.3.0 0.0.0.255 area 0
 network 10.0.23.0 0.0.0.3 area 0
end
驗證3 個檢查點
show ip ospf neighbor
R2 看到兩個 FULL 鄰居（point-to-point 不選 DR，狀態顯示 FULL/ -）
show ip route ospf
R1 看到 O 192.168.3.0/24 與 O 10.0.23.0/30
show ip ospf interface brief
G0/0 不會出現鄰居（被動介面）
LA-08

靜態路由與浮動靜態備援

CCNA 3.0 IP 連通性
R1總部ISP-AISP-BR2分店LAN172.16.50.0/24G0/1203.0.113.0/30G0/2198.51.100.0/30 備援G0/0G0/010.1.1.0/30G0/1

總部路由器有兩條對外線路：ISP-A 為主、ISP-B 為備援。另外要用靜態路由連到分店的 LAN。

任務

  1. 主要預設路由經 ISP-A（203.0.113.1）
  2. 備援預設路由經 ISP-B（198.51.100.1），管理距離設為 10
  3. 到分店 LAN 172.16.50.0/24 的靜態路由，下一跳為 R2（10.1.1.2）
  • 浮動靜態只在「出介面 down」時切換；若 ISP-A 設備當掉但鏈路還 up，就偵測不到——這要用 IP SLA 追蹤解決。
參考設定1 台設備
R1IOS
configure terminal
interface GigabitEthernet0/0
 ip address 10.1.1.1 255.255.255.252
 no shutdown
interface GigabitEthernet0/1
 ip address 203.0.113.2 255.255.255.252
 no shutdown
interface GigabitEthernet0/2
 ip address 198.51.100.2 255.255.255.252
 no shutdown
!
ip route 0.0.0.0 0.0.0.0 203.0.113.1
ip route 0.0.0.0 0.0.0.0 198.51.100.1 10
ip route 172.16.50.0 255.255.255.0 10.1.1.2
end
驗證3 個檢查點
show ip route static
平常只看到 S* 0.0.0.0/0 [1/0] via 203.0.113.1
interface GigabitEthernet0/1 → shutdown
模擬主線路中斷
show ip route 0.0.0.0
改為 [10/0] via 198.51.100.1，恢復後自動切回
LA-09

DHCP 伺服器與 PAT 上網

CCNA 4.0 IP 服務
PC1PC2SW1R1InternetG0/0insideG0/1outside

辦公室路由器同時擔任 DHCP 伺服器，並用 PAT 讓整個 192.168.1.0/24 共用對外介面的 IP 上網。

任務

  1. 保留 192.168.1.1～.20 不發放，其餘由 DHCP 發放，閘道 .1、DNS 8.8.8.8 與 1.1.1.1、租期 7 天
  2. G0/0 為 inside（192.168.1.1/24），G0/1 為 outside（203.0.113.2/30）
  3. 以 access-list 1 比對內部網段，設定 PAT（overload）
  4. 預設路由指向 203.0.113.1
參考設定1 台設備
R1IOS
configure terminal
ip dhcp excluded-address 192.168.1.1 192.168.1.20
ip dhcp pool LAN
 network 192.168.1.0 255.255.255.0
 default-router 192.168.1.1
 dns-server 8.8.8.8 1.1.1.1
 lease 7
!
interface GigabitEthernet0/0
 ip address 192.168.1.1 255.255.255.0
 ip nat inside
 no shutdown
!
interface GigabitEthernet0/1
 ip address 203.0.113.2 255.255.255.252
 ip nat outside
 no shutdown
!
access-list 1 permit 192.168.1.0 0.0.0.255
ip nat inside source list 1 interface GigabitEthernet0/1 overload
ip route 0.0.0.0 0.0.0.0 203.0.113.1
end
驗證3 個檢查點
show ip dhcp binding
PC 取得 .21 之後的位址
show ip nat translations
Inside global 都是 203.0.113.2，以不同埠號區分
show ip nat statistics
Hits 持續增加，inside／outside 介面正確
LA-10

延伸 ACL：訪客只能看網頁

CCNA 5.0 資安基礎
Guest訪客192.168.30.0/24R1SRV172.16.10.10G0/0.30ACL in →G0/1

訪客 VLAN 30（192.168.30.0/24）只能用 HTTP／HTTPS 存取伺服器 172.16.10.10，不能 SSH，也不能連伺服器網段的其他主機；其他流量（例如上網）照常放行。

任務

  1. 建立命名延伸 ACL GUEST-IN
  2. 允許訪客網段到 172.16.10.10 的 TCP 80、443
  3. 拒絕訪客網段到 172.16.10.0/24 的其他所有流量
  4. 最後允許其他流量，套用在 G0/0.30 的 inbound 方向
  • 延伸 ACL 放在靠近來源的位置，不必要的流量一進路由器就被丟掉。
  • remark 建議用英文，部分 IOS 版本顯示中文會變成亂碼。
參考設定1 台設備
R1IOS
configure terminal
ip access-list extended GUEST-IN
 remark GUEST-WEB-ONLY
 permit tcp 192.168.30.0 0.0.0.255 host 172.16.10.10 eq 80
 permit tcp 192.168.30.0 0.0.0.255 host 172.16.10.10 eq 443
 deny ip 192.168.30.0 0.0.0.255 172.16.10.0 0.0.0.255
 permit ip any any
!
interface GigabitEthernet0/0.30
 ip access-group GUEST-IN in
end
驗證3 個檢查點
show access-lists GUEST-IN
每一行後面的 matches 計數會隨流量增加
show ip interface GigabitEthernet0/0.30
Inbound access list is GUEST-IN
從訪客 PC 測試
瀏覽器可開網頁；SSH 172.16.10.10 逾時
LA-11

SSH 遠端管理與 Port Security

CCNA 5.0 資安基礎
R1閘道 192.168.99.1SW1Vlan99 .11Admin管理 PCUser使用者 · port-securityG0/1Fa0/2Fa0/5

交換器改用 SSH 管理、關閉 Telnet；使用者埠最多只能學 2 個 MAC，違規時丟棄並記錄，但不關閉埠。

任務

  1. 設定主機名稱、網域名稱，產生 2048 位元 RSA 金鑰，啟用 SSHv2
  2. 建立本機管理帳號，VTY 只允許 SSH、使用本機帳號登入、閒置 10 分鐘登出
  3. 管理 SVI 為 Vlan99 192.168.99.11/24，預設閘道 192.168.99.1
  4. Fa0/5 啟用 Port Security：最多 2 個 MAC、sticky 學習、違規模式 restrict
  • 範例中的密碼只是示意，實際環境請換成自己的強密碼。
參考設定1 台設備
SW1IOS
configure terminal
hostname SW1
ip domain-name lab.local
crypto key generate rsa general-keys modulus 2048
ip ssh version 2
username admin privilege 15 secret Lab#Admin2026
enable secret Lab#Enable2026
service password-encryption
!
interface Vlan99
 ip address 192.168.99.11 255.255.255.0
 no shutdown
ip default-gateway 192.168.99.1
!
line vty 0 15
 login local
 transport input ssh
 exec-timeout 10 0
!
interface FastEthernet0/5
 switchport mode access
 switchport access vlan 10
 switchport port-security
 switchport port-security maximum 2
 switchport port-security mac-address sticky
 switchport port-security violation restrict
end
驗證3 個檢查點
show ip ssh
SSH Enabled - version 2.0
show port-security interface FastEthernet0/5
Port Security 為 Enabled、Violation Mode 為 Restrict
show port-security address
sticky 學到的 MAC 會出現在清單中
LA-12

IPv6 定址與靜態路由

CCNA 3.0 IP 連通性
PC1R1R2PC2G0/02001:DB8:1:1::/64G0/1G0/12001:DB8:1:12::/64G0/02001:DB8:1:2::/64

兩台路由器之間用 IPv6 互連，兩端各有一個 LAN。主機以 SLAAC 自動取得位址，路由器以靜態路由互通。

任務

  1. 兩台路由器啟用 ipv6 unicast-routing
  2. 依拓樸設定全域單播位址，R1 的 LAN 介面 link-local 手動設為 FE80::1
  3. R1 設定到 2001:DB8:1:2::/64 的靜態路由
  4. R2 設定 IPv6 預設路由指向 R1
  • 啟用 ipv6 unicast-routing 後，路由器會在 LAN 送出 RA，主機就能用 SLAAC 自動產生位址。
參考設定2 台設備
R1IOS
configure terminal
ipv6 unicast-routing
!
interface GigabitEthernet0/0
 ipv6 address 2001:DB8:1:1::1/64
 ipv6 address FE80::1 link-local
 no shutdown
!
interface GigabitEthernet0/1
 ipv6 address 2001:DB8:1:12::1/64
 no shutdown
!
ipv6 route 2001:DB8:1:2::/64 2001:DB8:1:12::2
end
R2IOS
configure terminal
ipv6 unicast-routing
!
interface GigabitEthernet0/0
 ipv6 address 2001:DB8:1:2::1/64
 no shutdown
!
interface GigabitEthernet0/1
 ipv6 address 2001:DB8:1:12::2/64
 no shutdown
!
ipv6 route ::/0 2001:DB8:1:12::1
end
驗證3 個檢查點
show ipv6 interface brief
每個介面都有全域位址與 FE80:: 開頭的 link-local 位址
show ipv6 route static
R1 看到 S 2001:DB8:1:2::/64；R2 看到 S ::/0
ping 2001:DB8:1:2::1（從 R1）
IPv6 端到端可以互通

子網路計算機

輸入位址、拖動前綴長度，網路位元與主機位元會即時亮給你看。也可以直接輸入 192.168.1.10/26 這種格式。

網路位址
192.168.10.64
廣播位址
192.168.10.127
第一個可用
192.168.10.65
最後一個可用
192.168.10.126
可用主機數
62
子網路遮罩
255.255.255.192
萬用遮罩
0.0.0.63
位址類型
私有位址（RFC 1918）

網路協定

考試最常考的六個協定：運作原理，以及設定與驗證要用的指令。

存取控制清單（ACL）

一組依序排列的 permit／deny 規則，路由器用它在介面上過濾封包，或替 NAT 等功能挑出要處理的流量。

標準 ACL 編號
1–99, 1300–1999
延伸 ACL 編號
100–199, 2000–2699
標準 ACL 比對
只看來源 IP
延伸 ACL 比對
協定、來源、目的、埠號
最後一行
隱含 deny any
每個介面
每個協定、每個方向各一個 ACL

運作原理

  1. ACL 由多條規則（ACE）組成，路由器由上而下逐條比對，碰到第一條相符的就執行並停止，後面的不再看。
  2. 都不相符時，最後那條看不見的隱含 deny any 會丟棄封包，所以只寫 deny 的 ACL 等於全擋。
  3. 萬用遮罩與子網路遮罩相反：0 代表該位元必須相符、1 代表不管。0.0.0.255 對應 /24；host 10.1.1.1 等於 0.0.0.0；any 等於 255.255.255.255。
  4. 標準 ACL 只比對來源位址；延伸 ACL 還能比對協定、目的位址與 TCP／UDP 埠號。
  5. ACL 可以用編號或名稱。命名 ACL 可依序號刪除或插入單一行，不必整份重打。
  6. 套在 inbound 是在路由判斷前過濾，套在 outbound 是在路由判斷後過濾。路由器自己產生的流量不受 outbound ACL 過濾。
  7. 放置原則：標準 ACL 靠近目的地（只看來源，放太前面會誤擋其他目的），延伸 ACL 靠近來源（讓不要的流量一開始就被丟掉）。
  8. 要限制誰能 Telnet／SSH 到路由器本身，用 access-class 把標準 ACL 套在 VTY 線路上，而不是套在介面。

指令說明

access-list 10 permit 192.168.1.0 0.0.0.255
編號標準 ACL：允許來源 192.168.1.0/24。
access-list 10 deny host 192.168.1.50
拒絕單一主機。順序很重要，必須排在範圍更大、同樣會相符的 permit 之前。
access-list 110 permit tcp 10.1.1.0 0.0.0.255 host 10.2.2.10 eq 443
編號延伸 ACL：允許 10.1.1.0/24 以 HTTPS 連到一台伺服器。
ip access-list extended WEB-ONLY
建立或進入命名延伸 ACL，之後在 ACL 設定模式逐行輸入。
15 deny ip any host 10.2.2.20
在命名 ACL 內：以序號 15 插入到既有第 10 與第 20 行之間。
remark Block guest VLAN
在 ACL 中加一行註解，不影響比對。
ip access-group 110 in
介面模式：把 ACL 110 套在進入該介面的流量（離開用 out）。
access-class 5 in
在 line vty 0 4 下：只允許 ACL 5 放行的來源遠端登入路由器。
show access-lists
顯示所有 ACL、序號與各行命中次數。
show ip interface g0/0
查看該介面 inbound／outbound 各套了哪個 ACL。
clear access-list counters
把命中次數歸零，測試前常用。
完整設定範例 
! Extended ACL near the source: block Telnet from LAN, allow everything else
ip access-list extended LAN-IN
 10 deny tcp 192.168.10.0 0.0.0.255 any eq 23
 20 permit ip any any
!
interface GigabitEthernet0/0
 ip address 192.168.10.1 255.255.255.0
 ip access-group LAN-IN in
!
! Standard ACL for management access to the router
access-list 5 permit host 192.168.99.10
line vty 0 4
 access-class 5 in
 transport input ssh

考試重點：沒有任何 permit 的 ACL 會因為隱含 deny 而擋掉全部流量。萬用遮罩也要看清楚，/24 是 0.0.0.255 而不是 255.255.255.0。

速查表

考前最常翻的數字與對照，全部整理在這裡。

管理距離（AD）
來源AD
直連介面0
靜態路由1
EIGRP 彙總5
eBGP20
EIGRP 內部90
OSPF110
IS-IS115
RIP120
EIGRP 外部170
iBGP200
不可信（不放入路由表）255

同一個前綴由不同來源學到時，數字小的勝出。

常用埠號
協定傳輸層埠號
FTPTCP20 / 21
SSHTCP22
TelnetTCP23
SMTPTCP25
TACACS+TCP49
DNSUDP / TCP53
DHCPUDP67 / 68
TFTPUDP69
HTTPTCP80
NTPUDP123
SNMPUDP161 / 162
BGPTCP179
HTTPSTCP443
SyslogUDP514
NETCONFTCP830
RADIUSUDP1812 / 1813
VXLANUDP4789
CAPWAPUDP5246 / 5247
Syslog 等級
等級名稱意義
0emergencies系統無法使用
1alerts需要立即處理
2critical嚴重狀況
3errors錯誤
4warnings警告
5notifications正常但值得注意
6informational一般資訊
7debugging除錯訊息

設定某等級＝送出該等級以及數字更小（更嚴重）的訊息。

STP 埠狀態與計時器
802.1DRSTP學 MAC轉送
DisabledDiscarding否否
BlockingDiscarding否否
ListeningDiscarding否否
LearningLearning是否
ForwardingForwarding是是

Hello 2 秒、Max Age 20 秒、Forward Delay 15 秒。

OSPF LSA 類型
類型名稱產生者傳播範圍
1Router每台路由器區域內
2NetworkDR區域內
3SummaryABR其他區域
4ASBR SummaryABR其他區域（指出 ASBR 位置）
5ExternalASBR整個 OSPF 網域（stub 區域除外）
7NSSA ExternalNSSA 內的 ASBRNSSA 內，由 ABR 轉成 Type 5
IPv6 位址速查
位址／前綴用途
::/128未指定位址
::1/128迴路（loopback）
2000::/3全域單播（GUA）
FC00::/7唯一本地（ULA，實務上用 FD00::/8）
FE80::/10鏈路本地（link-local）
FF00::/8群播
FF02::1所有節點
FF02::2所有路由器
FF02::5 / ::6OSPFv3 路由器 / DR
FF02::AEIGRP 路由器
FF02::1:FF00:0/104Solicited-node 群播（取代 ARP）
802.11 標準
標準世代頻段最大速率
802.11b—2.4 GHz11 Mbps
802.11a—5 GHz54 Mbps
802.11g—2.4 GHz54 Mbps
802.11nWi-Fi 42.4 / 5 GHz600 Mbps
802.11acWi-Fi 55 GHz約 6.9 Gbps
802.11axWi-Fi 6 / 6E2.4 / 5 / 6 GHz約 9.6 Gbps

速率為理論最大值。

常用指令

點一下就複製。

基本與管理

交換

路由

IP 服務與安全

IPv6

疑難排解

常見問題

關於題目來源、考試範圍，以及怎麼練習實作題。

這些題目是真正的考試原題嗎？

不是。所有選擇題與實作題都依 Cisco 公開的考試大綱（CCNA 200-301 v1.1）原創撰寫，並附上詳解。考試原題受 Cisco 保密協議與著作權保護，本站不收錄、不轉載。

CCNA 200-301 考什麼？

CCNA 只要考 200-301 一科，涵蓋六大領域：網路基礎、網路存取、IP 連通性、IP 服務、資安基礎、自動化與可程式化。本站題目依這六個領域與官方比重分類。

實作題要用什麼環境練習？

本站的 CCNA 實作題都可以用免費的 Cisco Packet Tracer 完成；想更貼近真實設備，也可以用 Cisco Modeling Labs（CML）或 EVE-NG。

怎麼使用這個題庫最有效率？

先看考試大綱的比重，從比重高的領域開始；每題先自己想答案再按「看解答」，重點放在詳解裡的「為什麼其他選項不對」。實作題建議先照拓樸自己設定，卡住再看參考設定，最後一定要跑一次驗證指令。

題庫會更新嗎？

題庫依考試大綱版本整理，Cisco 公布新版大綱時會同步調整題目與比重。