08 · 防火墙ACL与安全设备

所属模块：网络安全 | 覆盖题库 96 题（单选 65 · 案例小题 31） 考期覆盖 23 / 24（95.8%） —— 与 07 并列本模块覆盖最广的专题 题型定位：下午型（案例小题 31 道，占本专题题量的 1/3，是下午大题的主战场） 统计口径：近 5 年（2021–2026）案例大题命中 10 个考期

一、考情概览

从题库统计的高频术语看（括号内为出现次数，已剔除 img/images/qh-images/alt 等图片噪声词）：

结论：本专题有三个必拿分点 —— ① ACL 的通配符与匹配顺序（43 次命中，且有真题）；② IDS 与 IPS 的“能不能阻断“之分（概念题反复考）；③ NAT 与安全策略的命令配置（31 道案例小题）。IPSec 单选少但案例重，不能因为 choice: 3 就放弃。

二、知识点清单

2.1 防火墙与 ACL（29 题 · 案例小题 13 道 · 本专题第一主角）

2.1.1 防火墙的三代技术（按发展顺序背）

📌 两道防火墙原题的答案与辨析抓手：

• 2020 下半年“关于防火墙技术的描述中正确的是” → B 防火墙通常部署在企业内部网和 Internet 之间。干扰项：A 错在防火墙支持 NAT；C 错在防火墙不查杀病毒（那是防病毒软件的职责）；D 错在过滤垃圾邮件是反垃圾邮件系统的职责。
• 2015 下半年“防火墙不具备（　）” → B 查毒。解析要点原文：防火墙的核心功能包括包过滤（按五元组或地址端口放行与拦截）、代理转发（应用层代理隔离内外网）以及记录访问日志以便审计与追溯。查毒、扫描病毒属于防病毒软件的职责，防火墙只做访问控制不做内容特征扫描。

⚠️ 容易被绕进去的点：防火墙的核心功能包含代理转发，所以“防火墙具备代理能力“是对的（2015 下半年选项 D 就是正确项之一）；但“防火墙具备查毒能力“是错的。应用代理 ≠ 内容病毒扫描。

2.1.2 防火墙的三种工作模式（判别依据只有一个：接口有没有 IP）

📌 2016 下半年原题：防火墙接口均配有 IP 地址，则工作在（　）模式 → 路由模式。解析要点原文：防火墙三种工作模式的判别依据就是接口是否配置 IP 地址。

2.1.3 安全区域（Zone）

📌 2016 下半年原题：路由模式下 ERP 服务器部署在（　）区域 → 信任区域（inside）。 **【看图确认】**图中 ERP 服务器接在防火墙内侧（内部/信任区域），而 WEB 服务器处于内外网之间的 DMZ 位置 —— 这个“看图定位“的习惯要养成。

⚠️ 2024 上半年案例强证据：某防火墙由 trust 到 local 放行 OSPF 的安全策略中，destination-zone 的正确答案是 local，不是 untrust。解析原文明确写：“注意：不能填 untrust——untrust 是本机出互联网的方向，与建立 OSPF 邻居无关。”

2.1.4 “默认拒绝“策略（华为 USG 的出厂默认）

含义：仅允许符合安全策略的流量通过，其他流量一律阻断（2026 上半年原题答案）。

📌 2026 上半年原题原话：“下列关于网络边界防火墙的’默认拒绝’安全策略说法正确的是” → 答案 B：仅允许符合安全策略的流量通过，其他流量一律阻断。 配套结论：华为防火墙安全域间默认拒绝一切流量（默认动作 deny），必须显式配置 permit 才能放行。 —— 所以建了安全域不等于通了路由，一定要写 action permit。

2.1.5 华为 USG 安全策略配置（下午案例的必考命令块）

[NGFW-2] firewall zone trust                      ← 创建安全域
[NGFW-2-zone-trust] add interface GigabitEthernet 0/0/1
[NGFW-2-zone-trust] add interface GigabitEthernet 0/0/2
[NGFW-2] security-policy                          ← 进入安全策略视图
[NGFW-2-policy-security] rule name policy1        ← 定义规则
[NGFW-2-policy-security-rule-policy1] source-zone trust
[NGFW-2-policy-security-rule-policy1] destination-zone local
[NGFW-2-policy-security-rule-policy1] source-address 10.0.0.1 10.0.0.6
[NGFW-2-policy-security-rule-policy1] service protocol 89
[NGFW-2-policy-security-rule-policy1] action permit

视图提示符规律（记忆点）：用户视图 [NGFW-2] → 安全域视图 [NGFW-2-zone-trust] → 安全策略视图 [NGFW-2-policy-security] → 具体规则视图 [NGFW-2-policy-security-rule-policy1]；NAT 侧另有地址组视图 [NGFW-2-address-group-0]、NAT 策略视图 [NGFW-2-nat-policy]。

⚠️ 协议号高频考点：OSPF 用 service protocol **89**。OSPF 是网络层协议，直接封装 IP 报文，IP 协议号为 89，既不是 TCP 也不是 UDP，没有端口号概念。

2.1.6 NAT（案例第二大考点）

NAT 三种类型（必须分清方向）：

华为 USG 的 NAT 配置骨架（题库原文）：

-- 源 NAT（SNAT）：内网地址 → 公网地址池
[NGFW-2] nat address-group 0
[NGFW-2-address-group-0] address 61.2.7.2 61.2.7.2
[NGFW-2] nat-policy
[NGFW-2-nat-policy] rule name nat-internet
[NGFW-2-nat-policy-rule-nat-internet] source-zone trust
[NGFW-2-nat-policy-rule-nat-internet] destination-zone untrust
[NGFW-2-nat-policy-rule-nat-internet] source-address 10.21.0.0 mask 255.255.0.0
[NGFW-2-nat-policy-rule-nat-internet] action source-to-destination
[NGFW-2-nat-policy-rule-nat-internet] source-address
[NGFW-2-nat-policy-rule-nat-internet-address-group] address-group 0

-- 服务器发布（目的 NAT，题库真实命令原文）
[USG] nat server policy protocol tcp global  inside  unr-route

📌 nat server policy 就是目的 NAT：把公网服务映射到内网服务器，最后的 unr-route 表示生成一条**非直连路由（UNR）**用于回程。

📌 2024 上半年案例（故障排查）：终端能访问校内业务但 ping 不通 114.114.114.114；在 NGFW-2 上查看会话表发现 —— 会话已建立、命中 out-to-internet 策略、Zone 为 trust → untrust、Interface 为 GE0/0/4（NextHop 61.2.7.1）、报文源 IP 仍为内网地址 10.21.0.2（未被转换）、packets: 4 bytes: 336（发出 4 个报文、收到 0 个回程报文）。 故障原因：出方向没有做源 NAT，仍以私网源地址发给运营商，运营商收到源地址为私网的报文直接丢弃，无法返回 ICMP 应答 → ping 超时。核心措施：配置 nat address-group + nat-policy 做 SNAT；同时核对安全策略动作、确认出方向路由可达。校验方法：display nat session / display firewall session table，确认源地址已变为公网地址，且 packets 收发双向增长。 ⚠️ 查命令一律用 display，绝不用 show（华为 VRP 与思科 Juniper 的根本差别）。本专题必记：display nat session（查 NAT 会话）、display firewall session table（查防火墙会话表）。

2.1.7 ACL（43 次命中 · 通配符是最大的计算考点）

华为 ACL 编号范围（按类别）：

📌 编号段 2000/3000/4000 一眼定位类型，这是华为设备题的直接送分点。

华为 ACL 配置基本格式：

[SW] acl number 2000                    ← 基本 ACL（仅源地址）
[SW-acl-2000] rule 5 deny source 123.1.1.0 0.0.6.0
[SW-acl-2000] rule 10 permit
[SW] rule 5 permit source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255    ← 接口下引用

匹配规则（最高频考点，题库有真题）：

按配置顺序匹配，命中即停（first match wins）。一条报文命中某条规则后，立即停止匹配，不再检查后续规则。

因此推论（每年都考的结论题）：

✅ 精确的 deny  必须放在  宽泛的 permit  之前
❌ 宽泛的 permit 放在前面 → 后面的 deny 永远不会生效

例：

rule 5  deny   source 10.1.1.0 0.0.0.255      ← 精确：只封这一个网段
rule 10 permit source 0.0.0.0  0.0.0.0        ← 宽泛：放通一切

顺序正确：10.1.1.0/24 被封，其他全放通。 若把 permit 0.0.0.0 0.0.0.0 放在前面，则所有流量都被放行，deny 规则形同虚设。

2.1.8 通配符（反掩码）与子网掩码的区别（计算题必得分）

两个必须记住的特殊值：

⚠️ 2023 上半年原题：“防火墙安全策略中，源地址配置为 0.0.0.0 表示（　）” → 答案 表示任意外部地址（选项 A 的文本就是 0.0.0.0，其余选项是具体 IP）。 ⚠️ 这也是默认路由的写法：0.0.0.0 0.0.0.0 第一个是目的网络、第二个是通配掩码。

真题演算（2025 上半年原题，务必掌握这个算法）：

题目：在交换机上配置 ACL：

acl number 2000
rule 5 deny source 123.1.1.0 0.0.6.0
rule 10 permit

问：下列网络中会被阻止的是（　）。

A. 123.1.4.0      B. 123.1.3.0      C. 123.1.1.0      D. 123.1.5.0

解答步骤：

通配符 0.0.6.0 = 00000000 00000000 00000110 00000000
                第1字节     第2字节     第3字节    第4字节
                            ↑ 第1、2位为 1

第1、2、4 字节全 0 → 必须精确匹配（必须等于 123、1、0）
第 3 字节 00000110 → 第 1、2 位「1」= 忽略（可变），其余 6 位精确匹配
                → 被 deny 匹配的网络：123.1.1.0 / 123.1.3.0 / 123.1.5.0 / 123.1.7.0

素材给出的官方口径：匹配的网络为 123.1.1.0、123.1.3.0、123.1.5.0、123.1.7.0，被 deny。因此答案是 B（123.1.3.0）。

📌 解法要点：通配掩码是“被忽略的位“的掩码，拆成二进制后，1 所在的位置就是可以自由取 0 或 1 的位。逐位列出被匹配的网络地址，再对照选项即可。 ⚠️ 特别提醒：0.0.6.0 不是连续掩码，它的 1 落在第 3 字节的第 1、2 位上（从左数），不是“最后两位“。这是本题唯一的陷阱。

2.1.9 上网行为管理设备的位置（2016 下半年案例判断题）

答案：不合适。上网行为管理设备应部署在防火墙与核心交换机之间，采用跨接（串接）方式接入。

判据：要实现对用户上网行为的管控，必须保证所有用户的上网流量都经过该设备。只有把它串接在「防火墙 → 核心交换机」这条必经路径上，才能采集到全量流量；若旁路（镜像/分光）接入，则只能看到部分流量，管控不完整。

📌 【看图确认】案例中两台防火墙（双 ISP1/ISP2 出口）汇聚后连到核心交换机 SW，而上网行为管理设备是单独接在 SW 上的，并未串在防火墙与 SW 之间。全部用户流量都要先经过防火墙才能到达 SW，该设备旁路在 SW 侧只能看到部分流量，故位置不合适。

2.2 安全设备（20 题）

2.2.1 IDS 与 IPS（本专题第二大错点，必须分清）

⚠️ 三道IDS/IPS 原题的答案与辨析抓手：

• 2015 上半年IDS 设备的主要作用是（　） → C 入侵检测。解析要点原文：IDS 以旁路监听网络流量或主机活动，通过特征匹配和异常行为分析识别攻击并告警，属于检测而非阻断。IPS 才是联动阻断的设备。（A 用户认证、B 报文认证属认证机制，D 数据加密属保密机制）
• 2026 上半年主要分析流量、根据特征库告警但无法阻断的是（　） → D 入侵检测系统（A 入侵防御系统 / B 统一威胁管理 / C 防火墙）。阻断是 IPS 的功能。
• 2022 上半年（反向题）不能有效防御 SQL 注入的是（　） → C 部署入侵检测系统阻断攻击。解析要点：IDS 只检测不阻断；应该用 IPS 或 WAF。 注意 C 错在“阻断“，不是错在“IDS 本身没用”。

2.2.2 IDS 事件分析器的三种分析方法（2014 上半年原题）

模式（特征）匹配、统计分析、数据完整性分析 —— 三种不包括密文分析。

📌 解析要点原文：密文分析是密码学中破解密文的技术，用于获取明文，不用于判定事件是否属于入侵，因此不属于 IDS 的分析方法。 这类题的解法：看方法的“目的“是判定入侵还是获取明文。

2.2.3 其他安全设备速查表

📌 2026 上半年原题（堡垒机）：核心功能是 “运维人员的统一身份认证、权限管控、行为审计和操作回溯”。另一正确项：“防止非法攻击者在服务器之间的横向渗透”。

2.2.4 网络安全事件的处置动作选择（2018 下半年案例，直接考选项）

日志显示内网主机主动向外发起、访问可疑 URL 并有回连行为 → 判定为木马。五个备选项的取舍（真题答案即（3）C 木马、（4）A、（5）C，详见第三章实例 B）：

📌 备选答案题解题技巧：先把错项的排除理由写清楚，剩下的自然就是答案。上表五条理由可以直接背。

2.3 等级保护与安全标准（18 题 · 全部单选）

2.3.1 五个安全保护等级（数字与危害程度必须对应）

⚠️ 2023 上半年原题：“受到破坏后对国家安全造成特别严重损害的信息系统，安全保护等级为第（　）级” 选项：A 二 / B 三 / C 四 / D 五 → 答案 D（五）。 这是等级保护题里最容易的一个 —— 记住最高级就是“对国家安全造成特别严重损害“。

2.3.2 定级要素（2025 下半年原题）

⚠️ 原题：计算机信息系统确定保护等级的依据是（　） 选项：A 公安部门和行业主管部门的协商结果 / B 等保测评机构的测评报告 / C 信息系统的重要性和遭受破坏后对国家安全、社会秩序、公共利益以及公民合法权益的危害程度 / D 信息系统所属单位自行申报 答案：C。 解析要点：《信息安全等级保护管理办法》规定，定级依据是信息系统重要性 + 损害程度。 注意：测评机构的测评报告是定级之后的事，不能反过来当定级依据（这是 B 的坑）。

2.3.3 等级测评周期与合规要求

⚠️ 2025 上半年两道反向题的答案与辨析抓手：

• 网络安全设备说法错误的是 → D 运行和检测日志至少保留三个月（A 不得设置后门、B 须安全检测认证后销售、C 有漏洞立即修复均为合规要求）。解析要点：《网络安全法》及等级保护相关要求规定网络日志留存不少于 6 个月，“至少保留三个月“低于法定期限。
• 政务数据安全说法错误的是 → B 政务数据不得对外开放（A 定期备份、C 敏感数据保密、D 建设运维单位履责均为法定要求）。解析要点：《数据安全法》要求数据依法有序开放共享，“政务数据不得对外开放“表述绝对化。 解题抓手：看到“绝对化表述”（一律、不得、完全、任何时候）优先怀疑。

2.3.4 常用标准编号（概念性记忆）

📌 等保 2.0 的技术部分五大层面：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心；管理部分五大层面（安全管理制度、机构、人员、系统建设、系统运维）。“安全区域边界“就是防火墙、IDS/IPS、访问控制所在的位置。

2.4 VPN 与 IPSec（12 题 · 案例 9 道 · 单选只有 3 道）

2.4.1 IPSec 三协议（跨专题最高频错点，此处再强调一次）

⚠️ 2014 上半年原题：“以下关于 IPsec 协议的描述中，正确的是（　）” A IPsec 认证头（AH）不提供数据加密服务 ← 答案 B IPsec 封装安全负荷（ESP）用于数据完整性认证和数据源认证 C IPsec 的传输模式对原来的 IP 数据报进行了封装和加密，再加上了新的 IP 头 D IPsec 通过应用层的 Web 服务器建立安全连接 解析要点原文：AH 只提供数据源认证、数据完整性与抗重放保护，B 错在 ESP 的主要功能是加密，认证只是其可选功能；C 描述的是隧道模式，传输模式保留原 IP 首部；D 错在 IPsec 工作在网络层而非应用层。

⚠️ 2017 上半年原题：“IPSec 用于增强 IP 网络的安全性，不正确的是（　）” A 可对数据进行完整性保护 / B 提供用户身份认证服务 / C 认证头添加在 TCP 封装内部 / D 对数据加密传输 答案：C。IPSec 工作在网络层，AH 与 ESP 都紧接在 IP 首部之后、传输层首部之前（A、B、D 均为正确描述）。

2.4.2 IPSec 两个阶段与 TS（案例：第二阶段协商参数）

TS 用「网络 + 掩码」三元组描述“感兴趣流“，精确到单台主机必须用 /32（255.255.255.255）。

📌 2018 下半年案例（4 分，每空 2 分）：A 公司备份服务器与业务服务器同在 10.0.35.x（.1 和 .2，即同一 /30），总部备份服务器 10.0.86.200 为单一主机。 答案：本地子网 10.0.35.0、本地掩码 255.255.255.252、对方子网 10.0.86.200、对方掩码 255.255.255.255。

2.4.3 L2TP over IPSec（VPDN）—— 案例主角

VPDN = Virtual Private Dial-up Network，虚拟专用拨号网络。L2TP 本身只提供隧道、不提供加密，所以生产环境必须 L2TP 跑在 IPSec 之上（L2TP over IPSec），由 IPSec 提供数据加密与完整性。

华为 USG 上的配置片段（题库真实命令原文，视图提示符照抄）：

[L2TP-User] interface virtual-template 1                    ← 创建虚拟模板接口
[L2TP-User-Virtual-Template1] quit
[L2TP-User] interface gigabitethernet0/0/2                  ← 物理出接口
[L2TP-User-GigabitEthernet0/0/2] quit
[L2TP-User-aaa] quit                                        ← AAA 视图（认证/授权/计费）
[L2TP-User-l2tp1] quit                                     ← L2TP 隧道视图
[L2TP-Server-l2tp1] quit                                   ← L2TP 服务器端视图

视图提示符规律（这条命令链的得分点全在这里）：[L2TP-User] 虚拟用户接入模板的公共配置 → [L2TP-User-Virtual-Template1] 虚拟模板接口视图（配 IP、认证域等）→ [L2TP-User-GigabitEthernet0/0/2] 物理接口视图 → [L2TP-User-aaa] AAA 视图（配认证方案）→ [L2TP-User-l2tp1] L2TP 隧道（客户端侧）→ [L2TP-Server-l2tp1] L2TP 服务器（服务端侧）。

📌 注意视图提示符的层级拼法：父视图名 + - + 子视图名，上级名原样保留。这是华为填空题的固定送分/送命题。

2.4.4 SSL VPN vs IPSec VPN（按场景选题）

📌 2022 上半年案例原题：线路中断后，在保证数据安全的前提下，客户端用什么方式访问总部网络？防火墙上用什么方式？→ 客户端用 SSL VPN；防火墙上用 IPSec VPN。补充：还需在防火墙上放行对应网段（如 10.11.229.0）到 IPSec 隧道的流量。记忆口诀：远程用户 → 浏览器 → SSL VPN；站点到站点 / 网关互联 → IPSec VPN。

2.5 Web 安全与病毒（13 题）

2.5.1 Web 攻击与防护（按攻击类型对号入座）

📌 日志识别关键词（2020 下半年案例原题，图 2-1 / 2-2 的判据见第三章实例 C）： SQL 注入 → union select、from admin、username、password；一句话木马 → eval、base64_decode、$_POST。

⚠️ 2026 上半年原题：下列措施中可以有效防范 XSS 攻击的是（　） 选项：A 对用户输入进行严格的过滤和转义 / B 禁止网站使用 Cookie / C 网站使用 HTTPS 协议 / D 关闭 22、80 等高危端口 答案：A。HTTPS 只保证传输机密性与完整性，防不住注入页面的恶意脚本。

2.5.2 主动攻击与被动攻击（分类题的判定标准）

📌 两道原题的答案与抓手：“属于典型被动攻击的是会话拦截” —— 截获并复制会话内容而不干扰通信；“不属于主动攻击的是流量分析” —— 只监听并分析密文的流量特征以推断信息，不改动任何数据。

2.5.3 计算机病毒与处置

⚠️ 2025 上半年原题：主机感染蠕虫病毒后，下列处置措施不合理的是（　） 选项：A 移除移动硬盘、U盘等外设 / B 查找可疑进程 / C 更新病毒库，在线扫描查杀病毒 / D 断开网络连接 答案：C。解析要点：应先断开网络再查杀，避免蠕虫通过网络继续传播。 处置顺序是本题的灵魂：隔离（断网）→ 查杀（离线）→ 排查（可疑进程）→ 清除载体（外设）。

⚠️ 2026 上半年原题：下列关于计算机病毒的描述中正确的是（　） 答案：A 计算机病毒具有潜伏性。其余三项均错：病毒可感染多种系统、网络是主要传播途径、杀毒软件不能保证万无一失。

2.5.4 APT（高级持续性威胁）

2020 下半年案例：疫情主题邮件诱导执行宏 → 下载执行木马后门 → 驻留后收集情报 → 进一步扩展渗透、利用感染主机攻击防疫相关信息系统 → 答案：D APT。

APT 特征：目标明确、手段多样、长期潜伏。解析要点原文：“符合 APT（高级持续性威胁）的特征”。

防护措施（按优先级，案例答题要写满要点）：

1. 禁用宏 ← 本题最直接、最应首先答出的措施（Office/Excel 禁用宏与 VBA 执行，受保护的视图，组策略统一下发）
2. 邮件防护：反垃圾邮件/邮件网关对标题、正文、附件做关键词与启发式过滤
3. 终端防护：安装防病毒/EDR，及时更新病毒库与补丁
4. 沙箱与威胁情报：可疑附件送沙箱 detonate，用威胁情报关联 IOC，在防火墙与 IDS/IPS 上阻断 C2 通信
5. 加固 Web 应用：参数化查询防 SQL 注入、WebShell 检测与代码审计
6. 日志分析与溯源：完整审计日志，登录与告警日志留存
7. 出口规则与网络隔离：最小化开放端口与出站访问，涉事主机立即隔离

2.6 应用层安全（4 题）

四道真题的答案与辨析抓手：

三、真题实例

实例 A · 2016 年下半年 · 试题一（防火墙双出口与上网行为管理）

材料要点：某企业行政部、技术部、生产部分布在三个区域，现拟将网络出口链路由单链路升级为双链路，提升 ERP 系统服务能力以及加强员工上网行为管控。防火墙设备集成了传统防火墙与路由功能。

解析要点：

• （1） 双出口链路三大作用 —— ① 带宽增加；② 链路冗余：任一链路故障时自动切换，避免业务中断；③ 负载均衡。
• （2） 链路聚合（Eth-Trunk 等）本身只能在一条逻辑链路内做哈希分担，跨两条出口链路做负载均衡需要显式指定分流规则，华为/思科的标准做法是策略路由。
• （3）（4） 防火墙三种工作模式的判别依据就是接口是否配置 IP 地址；ERP 属内部业务，部署在内部（信任）区域。**【看图确认】**图中 WEB 服务器处于内外网之间的 DMZ 位置，而 ERP 服务器接在防火墙内侧。

问题 3（4 分） 从 IP 规划方案看该地址的配置可能有哪些方面的考虑？答：可扩展性、连续性、唯一性、实用性（答到两点即可，重点是可扩展性 —— 表中 192.168.21.0（VLAN 21）空缺即为预留扩展空间）。

问题 4（3 分） 上网行为管理设备的位置是否合适？答：不合适，应部署在防火墙与核心交换机之间，采用跨接（串接）方式接入（判据见 2.1.9）。

问题 6（2 分） 视频监控与数据业务共用带宽存在哪些弊端？答：视频监控流量大会占用大量带宽，影响数据业务（尤其 ERP）的通信速率；流量突增会造成拥塞、排队与丢包；且视频系统通常未做安全防护，存在数据泄露风险。 改进方向：划分独立 VLAN 与独立出口链路，配置 QoS 优先保障关键业务，视频流量改用组播。

📌 实例 A 的价值：一道题里同时考了防火墙工作模式判别、安全区域定位、策略路由用途、上网行为管理部署位置、QoS 思路 —— 这正是下午案例“给场景问设计“的典型形态。

📌 本题的价值：日志 → 攻击类型的识别是纯模式匹配，把 eval/base64_decode/$_POST 和 union select/from admin 两组关键词记住，考场上就是秒填。

实例 B · 2018 年下半年 · 试题二（A 公司与总部互连的威胁防护、数据备份与存储）

材料要点：A 公司员工办公区域 DHCP 分配的 IP 段为 10.0.36.1/24，业务服务器 10.0.35.1，备份服务器 10.0.35.2；公司总部备份服务器 10.0.86.200。业务数据通过 SAN 存储网络集中存储在磁盘阵列上，使用 RAID 实现数据冗余。

问题 1（4 分，每空 2 分）：题干称网络威胁会导致“非授权访问、信息泄露、数据被破坏“等事件，常见威胁包括窃听、拒绝服务、病毒、木马、（1）等；常见防范措施包括访问控制、审计、身份认证、数字签名、（2）、包过滤和检测等。

解析要点：（1）只有“数据完整性破坏“属于对数据的破坏，与题干“数据被破坏“直接对应；物理链路破坏、存储介质破坏属于物理/环境层面，不属于题干所指的“非授权访问、信息泄露“这类网络威胁；电磁干扰是电磁兼容问题。 （2）“数字签名“保证完整性与不可否认性，与之并列且同为保障数据机密性/安全性的手段应为数据加密；数据备份属于容灾范畴而非针对威胁的防护手段。

问题 2（6 分，每空 2 分）：管理员在入侵检测设备上发现威胁日志（日志特征显示攻击请求由内网主机主动向外发起、访问了可疑 URL 并有回连行为），可判断网络威胁为（3），应采取（4）、（5）等措施处理。

问题 3（4 分，每空 1 分）：完善 IPSec VPN 隧道第二阶段协商（Quick Mode，交换 TS 流量选择器）的配置。

📌 本题的价值：一道案例同时考了三件事 —— 威胁与防护措施的辨析、IDS 处置措施的选择（源主机 vs 目标主机、IDS vs 上网行为管理）、IPSec TS 掩码位数。这三块是本专题案例的固定配方。

实例 C · 2020 年下半年 · 试题二 · 问题 2（攻击日志分析与 APT）

材料要点：网络中心部署有业务系统、网站、邮件系统，业务数据通过 SAN 存储网络集中存储在磁盘阵列上；部署有防火墙、入侵检测系统、Web 应用防火墙、上网行为管理系统、反垃圾邮件系统等。

问题：图 2-1 访问日志所示为（3）攻击，图 2-2 访问日志所示为（4）攻击。邮件系统收到大量标题含疫情相关字样的邮件，附件为含宏的 excel 文件，诱导用户执行宏后下载并执行木马后门，驻留程序收集目标信息、进一步扩展渗透、利用感染电脑攻击防疫相关的信息系统，上述攻击手段为（5）攻击，应该采取（6）等措施进行防范。

📌 本题的价值：日志 → 攻击类型的识别是纯模式匹配，把 eval/base64_decode/$_POST 和 union select/from admin 两组关键词记住，考场上就是秒填。

实例 D · 2022 年上半年 · 试题一 · 问题 4（VPN 方式选择）

题干：如果路由器与总部网络的线路中断，在保证数据安全的前提下，分支机构可以在客户端采用什么方式访问总部网络？在防火墙上采用什么方式访问总部网络？

答案：客户端采用 SSL VPN；防火墙上采用 IPSec VPN。

解析要点原文：前提是“保证数据安全“，因此必须使用 VPN 技术，在公共 Internet 上建立加密隧道。 客户端用 SSL VPN：工作在应用层（TLS/HTTPS），用户只需用浏览器或轻量客户端即可建立加密隧道，无需安装驱动与专用 VPN 协议栈，部署简单、兼容性好，适合线路中断后的临时远程接入。 防火墙上用 IPSec VPN：防火墙与总部设备之间是站点到站点互联，IPSec 工作在网络层，可直接在两个公网 IP 之间建隧道（含 ESP 加密与 AH 认证、支持 NAT 穿越），性能与安全性都优于应用层方案。

📌 本题的价值：“问客户端还是问防火墙“就是送分点 —— 客户端 = SSL VPN，防火墙 = IPSec VPN，不要互串。

四、易错点清单

五、真题自测（10 题）

第 1 层 · 概念识记（4 题）

Q1.1（单选）下列关于网络边界防火墙的“默认拒绝“安全策略说法正确的是（　）。

A. 对所有流量进行检测，仅放行 IP 白名单的流量
B. 仅允许符合安全策略的流量通过，其他流量一律阻断
C. 仅允许与特征库匹配的流量通过，其他流量一律阻断
D. 该策略仅对 Untrust 区域到 Trust 区域的流量有效

Q1.2（单选）下列网络安全设备中，主要分析网络流量的内容并根据特征库发出告警，但无法阻断非法流量的是（　）。

A. 入侵防御系统       B. 统一威胁管理       C. 防火墙       D. 入侵检测系统

Q1.3（单选）关于 IPSec 的描述中，不正确的是（　）。

A. IPsec 认证头（AH）不提供数据加密服务
B. IPsec 封装安全载荷（ESP）的主要功能是加密，认证是其可选功能
C. IPsec 的认证头添加在 TCP 封装内部
D. IPsec 工作在网络层

Q1.4（单选）下列（　）不能提供应用层安全服务。

A. S-HTTP       B. PGP       C. MIME       D. SET

第 2 层 · 机制理解（3 题）

Q2.1（简答）为什么 ACL 配置中“精确的 deny 规则“必须放在“宽泛的 permit 规则“之前？华为 ACL 的编号范围如何对应规则类型？

rule 5  deny   source 10.1.1.0 0.0.0.255      ← 精确：只封这一个网段
rule 10 permit source 0.0.0.0  0.0.0.0        ← 宽泛：放通其余全部

Q2.2（简答）IDS 与 IPS 的核心区别是什么？为什么“部署入侵检测系统阻断 SQL 注入攻击“是错误的说法？

Q2.3（简答）某用户能登录互联网即时聊天软件但打不开网页、更换 DNS 后恢复正常、直接输入 IP 地址也能正常登录。请判断故障类型并说明判断依据；另说明上网行为管理设备应该部署在什么位置、为什么。

第 3 层 · 命令与配置（2 题）

Q3.1（填空）在交换机上配置 ACL：

[SW] (1) 2000
[SW-acl-2000] rule 5 deny source 123.1.1.0 0.0.6.0
[SW-acl-2000] rule 10 permit

问：（1）处应填什么？该 ACL 属于哪一类？下列网络中会被阻止的是哪一个？

A. 123.1.4.0      B. 123.1.3.0      C. 123.1.1.0      D. 123.1.5.0

0.0.6.0  二进制 =  00000000 00000000 00000110 00000000
                  第1字节     第2字节     第3字节    第4字节
                              ↑ 第1、2位为 1

Q3.2（填空）为实现防火墙（NGFW-2）与对端设备建立 OSPF 邻居（防火墙接口 G0/0/2 属于 trust 域，对端为 NGFW-1），补全安全策略与 NAT 源地址转换配置：

[NGFW-2] firewall zone trust
[NGFW-2-zone-trust] add interface GigabitEthernet 0/0/2
[NGFW-2] security-policy
[NGFW-2-policy-security] rule name policy1
[NGFW-2-policy-security-rule-policy1] source-zone trust
[NGFW-2-policy-security-rule-policy1] destination-zone (1)
[NGFW-2-policy-security-rule-policy1] service protocol (2)
[NGFW-2-policy-security-rule-policy1] action (3)

-- 出互联网的源 NAT：内网 10.21.0.0/16 → 公网 61.2.7.2 --
[NGFW-2] nat address-group 0
[NGFW-2-address-group-0] address 61.2.7.2 61.2.7.2
[NGFW-2] nat-policy
[NGFW-2-nat-policy] rule name nat-internet
[NGFW-2-nat-policy-rule-nat-internet] source-zone trust
[NGFW-2-nat-policy-rule-nat-internet] destination-zone (4)
[NGFW-2-nat-policy-rule-nat-internet] source-address 10.21.0.0 mask 255.255.0.0
[NGFW-2-nat-policy-rule-nat-internet] action (5)
[NGFW-2-nat-policy-rule-nat-internet] source-address
[NGFW-2-nat-policy-rule-nat-internet-address-group] address-group 0

-- 校验命令 --
[NGFW-2] (6) nat session

第 4 层 · 真题原题（1 题）

Q4.1（2020 年下半年 · 案例 · 6 分）某单位部署有业务系统、网站、邮件系统，配备防火墙、入侵检测系统、Web 应用防火墙、上网行为管理系统、反垃圾邮件系统等。某日网络管理员监测到部分境外组织借疫情对我国信息系统频繁发起攻击。请根据以下访问日志判断攻击类型，并指出最应首先采取的防范措施。

• 图 2-1：132.232.** 访问 www.xxx.com/default/save.php，行为 eval(base64_decode($_POST, ...)) 已被拦截
• 图 2-2：访问 www.xxx.com/NewsType.php?SmallClass=union select 0,username+CHAR(124)+password from admin
• 邮件：标题含疫情相关字样，正文诱导用户执行宏，附件为含宏的 excel 文件，随后下载执行木马后门，驻留程序收集目标信息、进一步扩展渗透、利用感染电脑攻击防疫相关的信息系统

（3）图 2-1 为（　）攻击；（4）图 2-2 为（　）攻击；（5）上述邮件手段为（　）攻击；（6）应采取（　）等措施进行防范。

(3) ______   (4) ______   (5) ______   (6) ______

六、复习建议

优先级排序

三个动作建议

1. 把“能 / 不能“画成一张三列对照表（IDS vs IPS、IDS vs WAF、IDS vs 上网行为管理），每列写“部署方式 / 能否阻断 / 有无 URL 拦截“。本专题一半的概念陷阱都在这张表里。

   设备	部署	阻断	URL 黑名单
   IDS	旁路	❌	❌
   IPS	串联	✅	视产品
   WAF	串联/旁路（应用层）	✅（Web 攻击）	✅
   上网行为管理	串接必经路径	✅	✅

2. 把题库里所有出现的华为 USG 命令按视图提示符抄一遍，重点是链条式结构：

   [NGFW-2] → [NGFW-2-zone-trust] → [NGFW-2-policy-security]
             → [NGFW-2-policy-security-rule-policy1]
   [L2TP-User] → [L2TP-User-Virtual-Template1] → [L2TP-User-l2tp1] → [L2TP-Server-l2tp1]
   

   视图提示符是下午案例的评分点，写错不给分。

3. 每道配置题问自己四问：在哪个视图？匹配条件缺哪一项？动作是 permit 还是 deny？查询命令是 display 还是别的？

   例如 ACL：先问编号段（决定 basic/advanced）→ 再问通配掩码每一位是“精确“还是“忽略“ → 最后问“这条 deny 前面有没有更宽泛的 permit 会把它吃掉“。 把顺序搞反，整条 ACL 就失效了。

返回：07-网络安全基础与加密 · 下一专题：09-TCP-IP传输层与应用层

本文档所有题目、答案、命令均摘自题库真实数据（23 考期 / 96 道真题），统计脚本见 qbwork/export_kpdata.py。 ACL 编号范围、通配掩码计算规则、等级保护五级名称与安全区域划分等为教材通用知识，已在正文中与题库真题分别标注；文中未出现任何题库之外的“真题“。

返回：00-汇总索引 · 上一专题：网络安全基础与加密 · 下一专题：TCP/IP 传输层与应用层