23 · 下午大题知识点图谱 —— 安全与可靠性

覆盖 6 个知识点 · 累计命中 128/44 次 · 近 5 年（2021上~2026上，11 考期 / 44 道大题） 命令全部华为 VRP / USG 格式（display 不是 show）。素材来源：kpmap/下午大题知识点图谱-安全与可靠性.json。 📌 「分布式存储与备份」虽然也命中 26 次，但归属 24 篇（规划与存储），本篇不重复。

本篇知识点与 7 天定位

7 天定位以 20-下午大题知识点图谱-总览.md 的路线表为准，本表是它的展开。

为什么这一篇必须写最扎实：防火墙与 ACL 命中 33 次（75.0%），与「交换机配置」并列全篇第 3；但它和交换篇的考法完全不同——交换篇考「作用 + 命令骨架」，安全篇考的是「该采取什么措施」和「怎么保证可靠性」。

近 5 年 44 道大题的设问方式分布（全局）与本篇两条主线的年度趋势：

填地址/掩码 25(56.8%) │ 问作用/功能 22(50.0%) │ 问选型/对比 16(36.4%)
问措施/规范 14(31.8%)←主线一│ 简述/说明要点 14(31.8%) │ 问故障原因 13(29.5%)
问冗余/可靠性 13(29.5%)←主线二 │ 补全配置命令 13(29.5%) │ 带宽估算 9(20.5%)

设问方式        2021 2022 2023 2024 2025 2026
问措施/规范        2    2    1    4    3    2
问冗余/可靠性      2    5    3    1    2    0
补全配置命令       4    2    3    3    1    0   ← 几乎退场

本篇第一原则：不背 ACL 规则，背「措施」。 真实设问长这样：「异地备份使用互联网传输数据，应采用 (9) 措施保障数据传输安全」——题干已经告诉你问的是「措施」，答案必须是技术手段名词，不是命令。

知识点 1 · 防火墙与 ACL ← 命中 33/44（75.0%）

① 考情定位

命中 33 次，11 个考期全部命中（2021上~2026上），与「交换机配置」并列全篇第 3；asks 40 条、blanks 25 条、cmds 40 条。

设问方式分布（素材 cats）——「问作用/功能（25）」+「问措施/规范（21）」= 46 次，超过设问总数的一半，是本知识点的绝对主线。它不考你会不会写 security-policy，考你看到一句需求能不能说出该用哪个功能。

★ 问作用/功能 25（「(2) 功能」考功能识别，不是命令）｜★ 问措施/规范 21（「禁止…」「保障…」「提高…」→ 措施名词） 问故障原因 17｜填地址/掩码 15（网关/网段/反掩码）｜问选型/对比 14｜问冗余/可靠性 12｜简述/说明要点 12 补全配置命令 11（⚠️ 只在 2022下 出现过一次挖空骨架）｜带宽/容量估算 7

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 「功能识别」是最大题型，题干已经告诉你答案的形状。2021下「动态分配 IP 地址 → 开启 (2) 功能」→ 原答案 DHCP。题干里「动态分配 IP 地址」六个字就等于把答案送给你。同型题：2022上「开启防火墙相关防护功能」→ 攻击防护类功能。
2. 安全域划分是送分题，2021 上原卷把三个域的中英文全给了。(1) 非信任区域（untrust，也称外部区域/outside）、(2) 信任区域（trust，也称内部区域/inside）、(3) DMZ（非军事区/隔离区）。
3. 「禁止 X 访问 Y」= ACL 过滤。2021上原答案 （9）ACL 过滤（访问控制列表）。注意题干说「在核心交换机上」——防火墙和交换机都能做 ACL，看清问的是哪台设备。
4. 攻击判断 + 至少三种措施是固定模板。2022下「判断攻击类型 + 至少三种应对措施」——先答攻击类型（DoS/DDoS、SYN Flood、SQL 注入、ARP 欺骗），再答措施。
5. 「配置安全策略」考六要素不是命令。2023上素材给骨架：source-zone ISP1 / destination-zone trust / destination-address 10.10.10.10 / service protocol tcp destination-port 9980 / action permit；原答案空依次 （1）10.10.10.10、（2）tcp、（4）permit。
6. 部署位置选择题（2023上）答案是「接入层」：接入认证设备要靠近用户、逐终端控制、带宽小，放 DMZ 完全失去意义。

③ 必背清单

• 1 untrust（非信任区域）（接互联网/公网一侧，可信度最低；2021上 (1)）｜2 trust（信任区域）（接内网办公终端一侧，可信度高；2021上 (2)；2021下 (6)）
• 3 DMZ（非军事区/隔离区）（接对外服务器（Web/Mail/DNS），既不完全信也不完全不信；2021上 (3)）｜4 local（本地管理域）（设备自身管理口所在的域，不是业务流量；2024上「由 trust 到 local 的配置」）
• 5 DHCP 功能（防火墙为办公区用户动态分配 IP → 开 DHCP；2021下 (2) 原答案）｜6 ACL 过滤（「禁止某终端访问某服务器」的标准手段；2021上 (9)）
• 7 basic ACL 2000–2999（只看源 IP，范围小、速度快；acl number 2000）｜8 advanced ACL 3000–3999（看五元组（源/目的 IP、协议、源/目的端口）；acl number 3000）
• 9 反掩码（通配符）（0.0.0.255 = /24（0 = 必须匹配，1 = 忽略），与子网掩码相反；2022下 ACL 原文）｜10 ACL 匹配顺序（华为按配置顺序自上而下命中即止 → 精确 deny 必须写在宽松 permit 前面；顺序颠倒则精确规则永不生效）
• 11 安全策略六要素（源安全域/目的安全域/源地址/目的地址/服务（协议+端口）/动作；2023上 rule name http）｜12 NAT hairpin（回流）（内网主机访问内网服务器的公网地址时也要转换；2023上 rule name nat-hairpin）
• 13 广播抑制 broadcast-suppression（设广播流量门限百分比，超限多余广播帧直接丢弃 → 抑制广播风暴、保证其他正常业务的转发带宽；2022下 素材原文）

④ 理解清单（能讲清的机制）

1. 为什么要分安全域：本质是给流量分类，策略是「源域→目的域」的白名单，不分类就没法写规则。为什么对外服务器不能放 trust？因为它被互联网直接访问（最容易被攻破）却又要主动访问外网，双向需求决定它必须独立成「半信任」域。判据：看这个接口连的东西「可不可信、会不会主动访问外网」。
2. basic 和 advanced ACL 差在哪（最高频错点）：basic 只匹配源 IP，快，但挡不住「同网段内不许访问某服务器」；advanced 匹配五元组，要看端口就必须用它。判断方法：题干出现端口号/协议名 → 必须 advanced；只说「某网段」→ basic 够用。
3. 为什么精确 deny 要放在宽松 permit 前面：华为 ACL 是顺序匹配、命中即止（不是「所有规则跑一遍取最严格」）。若先写 rule 1 permit ip source 192.168.1.0 0.0.0.255 destination any，来自 192.168.1.10 去财务服务器的报文在 rule 1 就被放行，后面那条精确 deny 永远读不到。更稳做法：末尾写 deny ip source any destination any 兜底。
4. 防火墙策略和交换机 ACL 能否互相替代：能，但部署位置决定谁更合适。要逐用户、逐应用精细管控 → 防火墙策略（能识别应用层）；要同网段内粗粒度隔离 → 交换机 ACL 更快、更省会话资源。2021上明确说「在核心交换机上」，考的就是这个边界。
5. DHCP 为什么必须由防火墙（或服务器）做：DHCP 是广播协议（Discover/Request 是 255.255.255.255），终端广播默认不跨网段也不被防火墙转发，所以每个网段都要有 DHCP 中继/服务器，或由防火墙 DHCP 功能按接口/地址池统一分配。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

这不是题目，是检查你自己懂不懂的问题。 复述型

追因型

迁移型 · 反向型

知识点 2 · 高可靠与容错 ← 命中 26/44（59.1%）

① 考情定位

命中 26 次，11 个考期全部命中；asks 39 条、blanks 32 条、cmds 40 条。核心问题是**「这个故障怎么防 / 靠什么技术保住业务」，不是「这个协议怎么配」。趋势上「问冗余/可靠性」2022 年冲到 5 次（全篇最高）后回落，但「问措施/规范」2024 年冲到 4 次（全篇最高）**——两者合起来看，命题在从「冗余名词」转向「措施与规范」。

设问方式分布（素材 cats）——问措施/规范 19（「提高网络可靠性」「保障不中断」）｜问冗余/可靠性 16（MTBF/MTTR、四种关键链路冗余）

问作用/功能 16（「VRRP 技术实现 (4) 功能」）｜填地址/掩码 13（网关地址、浮动静态路由）｜问选型/对比 12（VRRP vs 堆叠）｜问故障原因 11（VRRP 切换原因、链路故障）｜简述/说明要点 10（冗余配置方式有哪几种）｜补全配置命令 10（2021下/2022下 的 standby 挖空）｜带宽/容量估算 9（堆叠背板带宽、百兆够不够）

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 「四种关键链路冗余」是本知识点唯一必须逐字背的名词序列。2022上原题：「常见的关键链路冗余有接口备份、（3）、（4）和双机热备份技术」——题干已给出首尾两个，中间两个要你填。结合素材中的 standby（接口备份）、浮动静态路由，以及「STP/RSTP 通过阻塞端口消除环路存在浪费带宽的缺点」，中间两项通常答堆叠与链路聚合（Eth-Trunk）。→ 完整序列：接口备份、堆叠、链路聚合、双机热备份。
2. MTBF 和 MTTR 是「指标」不是「技术」。原题把英文全称和中文全译都给了，你要做的是：MTBF 越大越好、MTTR 越小越好，两者共同决定可用性 A = MTBF /(MTBF + MTTR)。答不出这个公式，题目只答了一半。
3. VRRP 的功能就是「冗余网关」。2021上 (4) 原答案 「冗余网关（网关冗余/网关高可用）」；(5) 心跳线；(6) 「传递 VRRP 协议报文，监测主备交换机状态，实现主备切换」。三个空是一条链，必须连着答。
4. VRRP 与堆叠的区别（2025下）是最新一题，也是最常考的对比题：VRRP 是「两台设备各自独立、对外提供一个虚拟网关」，堆叠是「多台设备合成一台逻辑设备」。前者保护网关/IP 层单点，后者同时保护设备与背板单点且共享背板带宽。
5. 「上联失效时优先级自动减 30」的原理要能讲。这是VRRP 跟踪（track）上联接口的标准用法，目的是防止主设备上联断了却还占着 Master 身份。
6. 「加链路还要配什么避免二层环路」是组合题。2024上原文 → 答案：生成树协议（STP/RSTP/MSTP），因为增加物理连线 = 增加环路。冗余 + 生成树必须成对答。

③ 必背清单

• 1 MTBF（平均故障间隔时间，Mean Time Between Failures，越大越好；2022上 原题面）｜2 MTTR（平均修复时间，Mean Time to Repair，越小越好；2022上 原题面）
• 3 可用性 A = MTBF/(MTBF+MTTR)（只做到 MTBF 大没用，必须同时压低 MTTR；由上两条推导）｜4 可靠性两条腿（故障检测技术 + 链路冗余（原题原话）；2022上 原题面）
• 5 关键链路冗余四种（接口备份、堆叠、链路聚合（Eth-Trunk）、双机热备份；2022上 (3)(4)）｜6 接口备份（standby）（一块主板失效时由另一块板接管，同一设备内，秒级；standby interface GigabitEthernet 1/0/2 priority 30）
• 7 双机热备份（两台设备互为主备，同一时刻一台转发，切换秒级；2022上 原题面）｜8 链路聚合 Eth-Trunk（多条物理链路捆绑成一条逻辑链路，既提带宽又提供冗余；2024下 方案二原文）
• 9 VRRP（实现冗余网关；两台设备共用一个虚拟网关地址；2021上 (4)）｜10 心跳线（主备之间的检测线；传递 VRRP 协议报文，监测主备状态，实现主备切换；2021上 (5)(6)）
• 11 抢占模式 + 抢占延时（主设备恢复后是否抢回 Master；延时防震荡；2021下 (10)；2022下「20s」）｜12 优先级跟踪上联（减 30）（上联失效 → 优先级自动减 30 → 让备份及时抢占；2021下 (11)）
• 13 浮动静态路由（同一目标配两条路由、不同 preference；主链路断时自动改走备份；2021下 (4)）｜14 BFD 快速故障检测（毫秒级检测链路故障，比协议自身超时快得多；2021下 (5) = bfd）
• 15 NQA 联动（NQA 做 ICMP 连通性探测，联动静态路由实现主备切换；2022上 (3)）｜16 MSTP 多生成树（快速收敛 + 提供多个冗余转发路径，避免 STP「阻塞端口浪费带宽」；2022下 原题面）
• 17 堆叠 vs VRRP（堆叠=合成一台设备（保护设备+背板，共享背板）；VRRP=两台设备+虚拟网关（保护网关单点）；2025下 (3)）

④ 理解清单（能讲清的机制）

1. MTBF 和 MTTR 是一对「此消彼长」的指标：只提 MTBF 不提 MTTR 是半答——一年坏一次但要修一周，可用性并不高。真正的杠杆是缩短 MTTR，这也是现在强调自动化检测 + 自动切换（BFD/NQA/VRRP 抢占延时）而不是「买更结实的设备」的原因。
2. 四种链路冗余各自保护什么：接口备份保护接口/板卡（设备内，粒度最细）；双机热备份保护单台整机；链路聚合保护单条物理链路并顺带提升带宽；堆叠保护设备 + 背板。口诀：接口级 → 设备级 → 链路级。
3. VRRP 的运行机制（三步）：①两台设备配同一个 VRID 和虚拟 IP；②按优先级选举 Master，Master 周期性发 VRRP 通告（这就是心跳线的作用）；③Master 挂掉 → Backup 在超时（Hold Time，约 3× 通告间隔）后接管并开始发通告。这就是为什么心跳线必须在二层直连或独立链路——否则通告发不出去，只能等超时。
4. 为什么 VRRP 需要「抢占延时」（2022下原文已解释）：原题面「为了防止震荡，设置 20s 抢占延时」。震荡场景是 Master 上联闪断 1 秒 → 切到 Backup → 恢复 → 又切回来，每次切换都伴随丢包，高频震荡的业务影响可能大于单次故障。
5. 加冗余链路为什么必须配生成树：加一条线 = 多了一个二层环路可能。冗余的目的是「有一条断时走另一条」，但环路在 STP 未收敛前会先引发广播风暴。所以答案永远是**「加链路（冗余）+ 配 MSTP（消除环路）」成对出现**，而 MSTP 更好，因为它不阻塞多余端口、让冗余链路真的能转发。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

追因型

迁移型 · 反向型

知识点 3 · 认证与数字签名 ← 命中 24/44（54.5%）

① 考情定位

命中 24 次，10 个考期命中（2021下 未命中）；asks 40 条、blanks 30 条、cmds 40 条。**形态和「防火墙与 ACL」一样：问措施，不问命令。**典型问法：「配置 BGP 和 OSPF 基本功能（以 RA 和 RB 为例），并启用 RC 和 RD 之间的认证，以提升安全性」——题干给目的，答案写认证方式。

设问方式分布（素材 cats）——问措施/规范 20（本知识点最高项。「以提升安全性」「启用认证」）

问作用/功能 14（「认证的作用」「签名的作用」）｜简述/说明要点 12（「SSL 如何利用两类算法实现机密性」）｜填地址/掩码 11（认证相关地址规划（多为联动））｜问选型/对比 10（认证方式选型、证书问题原因）｜问故障原因 8（认证失败、OSPF 邻居建不起来）｜问冗余/可靠性 6（认证设备部署位置）｜补全配置命令 9（认证方式配置挖空）｜带宽/容量估算 6（联动项）

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 2023上那题的答案在素材里已经是标准答案级。原答案 (5)：「OSPF 支持三种认证方式：简单认证（simple，明文/密文口令）、MD5 密文认证、HMAC-SHA 密文认证」。配套命令原文：authentication-mode simple ruankao（口令以密文 cipher 保存，安全性较高）、authentication-mode simple plain ruankao（关键字 plain 表示明文显示和保存，存在安全隐患）。→ 必背 simple 与 plain 的区别。
2. 「全网认证接入」（2021下/2022下，两次）考认证方式选型。2021下原答案：(3) C（Router）、(4) B（Portal 认证）。Portal 是最常见的准入认证形态。
3. 认证设备部署位置（2023上）答案是「接入层」：最靠近用户，能逐终端、逐 MAC/端口精确管控，带宽需求小；放核心层则所有流量都要穿过认证设备（成为瓶颈），放 DMZ 更是位置错误。
4. SSL 与两类算法（2024上）是经典简答，答案固定：非对称（RSA）用于身份认证与密钥协商（握手阶段，能验证服务器身份）；对称（AES/3DES）用于数据传输阶段（速度快，扛得住大数据量）。一句话：非对称「握手」，对称「传输」。
5. 「证书出问题」类故障题（2025下）要求「至少 2 种原因」：证书已过期、域名与证书 CN/SAN 不匹配、证书链不完整（缺中间 CA）、自签名证书不受信任、客户端系统时间不对。
6. 静态 ARP 绑定 + 设备侧功能（2024上） 是「防 ARP 欺骗」组合：终端侧绑静态 ARP，交换机/网关侧开 ARP 检测 / DHCP Snooping / IP 源校验。

③ 必背清单

• 1 签名用私钥、验签用公钥（私钥只有签名者有 → 证明「是他发的」；公钥公开 → 任何人都能验；数字签名本质）｜2 签名不保密内容（签名是对摘要签名，能确认「内容没被改」，内容本身不需保密；与加密的区别）
• 3 对称 vs 非对称（对称：加解密同一把钥匙，速度快；非对称：公钥加密私钥解密 / 私钥签名公钥验签，慢但可分发公钥；2024上 原题面）｜4 SSL/TLS 的分工（非对称握手（认证 + 协商会话密钥）→ 对称传输（数据加密）；2024上 (2)）
• 5 OSPF 三种认证方式（simple（简单口令）、MD5 密文认证、HMAC-SHA 密文认证；2023上 (5) 原答案）｜6 authentication-mode simple（口令以密文 cipher 保存，安全性较高；2023上 命令原文）
• 7 authentication-mode simple plain（plain = 明文保存，便于查看但有安全隐患；2023上 命令原文）｜8 Portal 认证（准入认证的常见形态；「全网认证接入」的标准答案；2021下 (4) = B（Portal 认证））
• 9 认证设备部署在接入层（逐终端管控、带宽小；核心层会成瓶颈、DMZ 位置错；2023上 (2)(3)）｜10 证书三要素（Subject（主体/域名）、Issuer（签发者 CA）、Validity（有效期）；证书链 = 服务器证书 → 中间 CA → 根 CA（根证书在系统/浏览器信任库），缺中间 CA 就会提示证书有问题；2025下 证书题）
• 11 静态 ARP 绑定 + ARP 检测（终端静态绑定 + 设备侧 ARP 检测 / DHCP Snooping / IP 源校验；2024上 (2)(3)）｜12 AAA（认证 Authentication + 授权 Authorization + 记账 Accounting；认证类总概念）

④ 理解清单（能讲清的机制）

1. 为什么签名用私钥、验签用公钥（不能反）：签名要证明「这条消息是我发的，且别人无法冒充」。私钥只有签名者自己保存 → 只有他能生成这个签名 → 身份不可否认；公钥任何人都可以拿到 → 能验证，但拿不到私钥就无法伪造。如果反过来（用公钥签名），人人都能签名，签名毫无意义。
2. 签名、摘要、加密三者的分工：摘要（Hash）把任意长度数据变成固定长度短摘要，单向不可逆，作用是「比对内容是否被改」；数字签名是对摘要用私钥签名 → 得到完整性 + 真实性 + 不可否认性；加密提供机密性。加密解决「不让别人看」，签名解决「证明是谁发的且没被改」。
3. AH / ESP / IKE 三个缩写（本题最高频错点）：AH（认证头，协议号 51）只提供认证 + 完整性，不加密，且IP 头部分字段也会被校验，因此 NAT 会破坏 AH；ESP（封装安全载荷，协议号 50）提供加密 + 可选认证，隧道模式下 NAT 不影响；IKE 不是数据保护机制，它负责协商密钥与建立隧道（Phase 1 建隧道、Phase 2 交换 IPsec SA）。一句话：AH 只认证、ESP 加密、IKE 协商。
4. 「证书链」为什么必须完整：服务器通常只持有自己的证书 + 中间 CA 证书，不持有根CA 证书（根 CA 私钥极安全）。客户端自上而下验证：服务器证书 → 中间 CA → 根 CA（在本机信任库）。任何一环缺失，浏览器就报「证书存在问题」。
5. 认证 vs 授权 vs 记账（AAA）：认证 = 你是谁；授权 = 你能干什么；记账 = 你做了什么。「全网认证接入」只用第一层，但后面通常紧跟授权（VLAN/策略）和记账（日志）。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

追因型

迁移型 · 反向型

知识点 4 · VPN 与 IPSec ← 命中 21/44（47.7%）

① 考情定位

命中 21 次，10 个考期命中（2023上 未命中）；asks 40 条、blanks 35 条、cmds 40 条。问法非常稳定：「简要说明在 RouterA 与 RouterB 之间建立 IPSec VPN 隧道的配置要点」（2022下 原题面）——每年都是这一类。而 2026 上它的「问冗余/可靠性」已归零，说明新题重心从「建 VPN」转向「VPN 怎么和冗余配合」。

设问方式分布（素材 cats）——问措施/规范 15（本知识点最高项。「应采用什么措施保障安全」）

问作用/功能 14（「IPSec 的作用」「IKE 的作用」）｜问故障原因 11（建不起隧道、邻居不通）｜问选型/对比 10（AH vs ESP、传输模式 vs 隧道模式）｜问冗余/可靠性 9（链路冗余 + VPN 组合题）｜补全配置命令 7（⚠️ 主要集中在 2022下那道「配置要点」）｜填地址/掩码 7（公网地址、remote/local-address）｜简述/说明要点 7（「简要说明建立 IPSec VPN 隧道的配置要点」）｜带宽/容量估算 5（隧道开销）

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 「配置要点」题的答案骨架是固定五步（2022下 原题面，素材给出完整命令序列）：①公网接口配 IP（interface GigabitEthernet 0/0/x + ip address <公网IP> <掩码>）→ ② 定义 IKE 对等体（ike peer PEER_A / ike-version 2 / pre-shared-key cipher ******** / remote-address <RouterB公网IP> / local-address <RouterA公网IP>）→ ③ 定义 IPSec 提议（ipsec proposal PROPOSAL_A / encapsulation-mode tunnel / transform esp esp-3des esp-sha2-256 / ah-group 14）→ ④ 定义 IPSec 策略（ipsec policy POLICY_A 10 isakmp / security acl 3000 / pfs dh-group14）→ ⑤ 在公网接口上应用策略（ipsec policy POLICY_A）。→ 口诀：接口有地址 → IKE 对等体 → 提议 → 策略 → 挂到接口。
2. encapsulation-mode tunnel vs transport：素材给的是 tunnel（隧道模式），把整个原始 IP 包作为 ESP 负载再封一个新 IP 头（额外开销）；传输模式只加密载荷、保留原 IP 头（开销小但不保护 IP 头，且要求两端 IP 可直达）。
3. AH 与 ESP 的选择（最高频错点）：素材同一段命令里同时出现 transform esp esp-3des esp-sha2-256（ESP + 加密算法 + 认证算法）和 ah-group 14（AH + DH group 14）。AH 只认证不加密（且不兼容 NAT），ESP 加密+认证（兼容 NAT）。凡是要过 NAT 或要加密，就选 ESP。
4. pfs dh-group14（PFS，完美前向保密）：每次会话重新协商密钥，即使长期密钥（PSK）泄露，历史流量仍无法解密。这是「应采用什么措施提高安全性」的高分答案。
5. VPN 与冗余是组合考点：2022下问题4 把「接入层链路冗余 + IPSec VPN」放在同一道题；2021上 (9) 把「加密/VPN」当备份传输安全的措施。VPN 解决「机密性 + 完整性 + 身份认证」，冗余解决「可用性」。
6. 「trust 到 local」的配置（2024上）说明防火墙也要跑动态路由：NGFW 要与 NGFW-1、CORE-2 建立 OSPF 邻居，必须先在 local 域放通 OSPF 协议。这考的是「防火墙的三域放通原则」。

③ 必背清单

• 1 IPSec 的作用（在公网上建立加密隧道，提供机密性 + 完整性 + 身份认证；2022下 (2)）｜2 AH（协议号 51）（只做认证 + 完整性，不加密；校验部分 IP 头 → NAT 会破坏 AH；ah-group 14）
• 3 ESP（协议号 50）（加密 + 可选认证；隧道模式下 NAT 不影响；transform esp esp-3des esp-sha2-256）｜4 IKE（协商密钥、建立隧道，不是数据保护机制；Phase1 建隧道 / Phase2 交换 SA；ike peer PEER_A）
• 5 IKE 版本（ike-version 2 即 IKEv2；IKEv1 是两阶段（主模式 + 野蛮模式）；2022下）｜6 隧道模式 tunnel（封装整个原始 IP 包 + 新 IP 头；开销大、适应性好、最常用；encapsulation-mode tunnel）
• 7 传输模式 transport（只加密载荷，保留原 IP 头；开销小、不保护 IP 头、要求两端直连；2022下 反面）｜8 PFS（完美前向 secrecy）（每次会话重新协商密钥，PSK 泄露也解不开历史流量；pfs dh-group14）
• 9 PSK 预共享密钥（pre-shared-key cipher —— cipher = 密文保存；2022下）｜10 IKE 对等体五要素（对等体名、ike-version、PSK、remote-address（对端公网 IP）、local-address（本端公网 IP）；2022下 命令序列）
• 11 IPSec 提议 proposal（定义封装模式 + 加密算法 + 认证算法 + DH group；ipsec proposal PROPOSAL_A）｜12 IPSec 策略 policy（定义引用的提议 + 触发流量（ACL）+ PFS；序号小的优先匹配；ipsec policy POLICY_A 10 isakmp）
• 13 security acl 3000（策略的触发条件：只有匹配这个 advanced ACL 的流量才进隧道；2022下）｜14 L2TP over IPSec（L2TP 提供隧道与认证，IPSec 提供加密与完整性，两者叠加才既通又安全；L2TP over IPSec 要点）
• 15 SSL VPN vs IPSec VPN（SSL VPN 走 443 端口、无需客户端；IPSec VPN 性能高但两端都要设备；两者都不解决可用性；VPN 选型题）

④ 理解清单（能讲清的机制）

1. AH 与 ESP 的本质差异（一句话判据）：AH 只认证不加密，且认证范围包含部分 IP 头（源/目的 IP、协议号）→ NAT 会修改源 IP → 接收端重算校验必然失败 → AH 过不了 NAT。ESP 加密 + 认证，隧道模式下原始 IP 头被整体封装在密文里，外层 IP 头可以被 NAT 随便改 → ESP 过 NAT 没问题。
2. IKE 到底在做什么（不是加密，是「谈判」）：IPSec 需要两把共享密钥（加密 + 认证）和两边策略一致，但两端隔着公网。IKE 就是那个协商协议：Phase 1 建立 IKE SA（认证身份、协商保护 IKE 自身的密钥）；Phase 2 在 IKE SA 保护下协商 IPsec SA。一句话：IPSec 是「用」，IKE 是「谈」。
3. 提议 vs 策略 vs 对等体，别搞混：IKE 对等体 = 找到对方是谁；IPSec 提议 = 用什么算法；IPSec 策略 = 谁用这个提议 + 保护哪些流量（ACL）+ PFS，并绑定序号。流量先匹配序号小的——与 ACL 的「顺序命中」是同一设计哲学。
4. 隧道模式为什么比传输模式常用：传输模式保留原 IP 头，但原 IP 头里可能有内网地址，泄露就暴露内网结构；且两端必须三层直达（不能过 NAT）。隧道模式把整个原包当负载封装，天然适配 NAT 和跨网段，代价是封装开销 + MTU 分片问题。
5. VPN 与冗余是两条正交的线：攻击者把链路打断 → 需要冗余（VRRP、链路聚合、浮动静态路由）；攻击者在链路上窃听 → 需要 VPN。两者叠加才既「打不断」又「偷不到」。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

追因型

迁移型 · 反向型

知识点 5 · 报文摘要与数字证书 ← 命中 12/44（27.3%）

① 考情定位

命中 12 次，7 个考期命中（2021下、2022上、2025上、2026上 未命中）——本篇最低命中；asks 40 条、blanks 30 条、cmds 40 条。这个知识点一旦出现几乎必是「简答/对比/故障原因」——它不考命令，只考数字和判断。

设问方式分布（素材 cats）——

问作用/功能 9（摘要的作用、证书的作用）｜问选型/对比 9（摘要算法对比、算法选型）｜问故障原因 9（证书报错、ARP 欺骗、带宽利用率 100%）｜问措施/规范 7（病毒处置与整改）｜填地址/掩码 6（联动项）｜补全配置命令 4（骨架级）｜简述/说明要点 4（SSL 简答）｜带宽/容量估算 3（带宽扩容）｜问冗余/可靠性 2（少量）

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 本知识点真正高频的是「日志/现象 → 判断攻击类型 → 给措施」。2022下「判断攻击类型 + 至少三种应对措施」、2024上「静态 ARP 绑定 → ARP 欺骗」、2024下「感染病毒类型 + 至少 3 点措施」、2025下「处置 + 整改各至少 2 点」——四次不同考期、同一个模板。答案必须分类给出。
2. 2025下把「处置 vs 整改」拆成两问，是新的命题形态，说明安全题正在从「背措施」转向「分层次答措施」：处置（应急） = 隔离/下线感染主机、阻断恶意 IP、封禁端口、启用防护功能、清查日志；整改（长期） = 打补丁、装防病毒/EDR、配置安全策略、最小权限、部署准入认证、定期审计与备份。
3. 「带宽利用率 100% → 业务变慢」的三个方案（2024下）：①增加链路做带宽扩容；②链路聚合把多条捆成一条逻辑链路（原题方案二原文）；③多出口负载/策略路由分流。三方案任选，但必须写出「为什么这条能解决利用率 100%」。
4. 摘要算法考的是数字，不是命令：MD5=128 位、SHA-1=160 位（已不安全）、SHA-256=256 位。问「哪个最安全」答 SHA-256。
5. 证书类故障题的三个高频方向（2025下）：有效期、域名匹配、证书链/信任。格式是「至少回答 2 种原因」。

③ 必背清单

• 1 MD5（报文摘要，输出 128 位（16 字节）；已不安全（可人为构造碰撞）；摘要算法必考）｜2 SHA-1（输出 160 位（20 字节）；已被攻破，不再用于安全场景；摘要算法必考）
• 3 SHA-256（输出 256 位（32 字节）；当前安全基线；transform esp esp-3des esp-sha2-256）｜4 SHA-384/512（输出 384/512 位，更强但开销更大；对比题备用）
• 5 摘要的单向性（只能正向算，不可逆；改一个比特结果完全不同；摘要本质）｜6 摘要不等于加密（摘要不需要密钥，人人能算；只保证完整性，不保证机密性；高频概念辨析）
• 7 证书 = 公钥 + 身份（把公钥与主体身份绑定，解决「这个公钥是谁的」；2025下 证书题）｜8 证书链（服务器证书 → 中间 CA → 根 CA（根证书在系统/浏览器信任库）；2025下）
• 9 SSL/TLS 握手流程（TCP 三次握手 → ClientHello/ServerHello → 交换证书 → 协商会话密钥 → 切换为对称加密；2024上 (2)）｜10 ARP 欺骗的两种手法（伪造 ARP 应答（冒充网关、冒充主机）→ 造成中间人或主机离线；2024上 (1) 判断）
• 11 ARP 欺骗的应对（终端静态 ARP 绑定 + 设备侧 ARP 检测 / DHCP Snooping；2024上 (2)(3)）｜12 病毒处置 vs 整改（处置=隔离、阻断、止损；整改=补丁、防护、策略、审计、备份；2024下 (6)、2025下 (11)）
• 13 带宽 100% 的三个解法（增加链路扩容 / 链路聚合 / 多出口负载分流；2024下 (9)(10)）｜14 DoS / DDoS 应对（开启防火墙攻击防护、限速、黑洞路由/黑洞过滤、流量清洗；2022上「开启防火墙相关防护功能」）

④ 理解清单（能讲清的机制）

1. MD5 / SHA-1 到底「坏」在哪里：摘要算法的安全底线是抗碰撞（找不到两份不同数据产生同一摘要）。MD5 已被人为构造出碰撞，SHA-1 也已被攻破。所以MD5 只能用于非安全性场景的校验（文件完整性粗校、缓存键），SHA-1 也不应用于证书与签名；证书、签名、VPN 一律用 SHA-256 及以上。一句话：「算摘要」不等于「保安全」——摘要不加密、也没有密钥。
2. 证书链验证的完整过程：浏览器拿到服务器证书 → 向上找签发者（Issuer） → 找中间 CA 证书 → 再找根 CA 证书 → 在本机信任库里核对。根 CA 私钥永不离线使用，所以服务器不持有根证书；只下发自己一张证书，客户端就找不到中间 CA → 报「证书存在问题」。另两个高频：过期（Validity）与域名不匹配（CN/SAN）。
3. SSL 握手为什么要两类算法：非对称解决「验证服务器身份 + 安全传递会话密钥」，前提是公钥必须能被验证（靠证书）；对称解决「高效加密海量数据」，但对称密钥必须先安全送到客户端手里，这一步只能靠非对称。流程：非对称握手（身份验证 + 密钥协商）→ 对称传输。
4. ARP 欺骗为什么会造成「主机掉线」：攻击者持续伪造「网关的 MAC ↔ 某 IP」映射并广播（ARP 广播特性天然可被冒充），受害主机 ARP 表被污染 → 把数据发给攻击者。若攻击者只攻击别人、放过自己，受害主机之间就无法互访，表现为部分主机突然上不了网。防御两条腿：静态绑定（治标）+ 设备侧检测/源 IP 校验（治本）。
5. 「处置」和「整改」为什么必须分开答：处置是事件响应（现在止血）：隔离主机、封禁 IP、加策略、清日志；整改是根因治理（以后不再发生）：打补丁、装防护、配置安全策略、最小权限、异地备份。只答处置 → 漏洞还在；只答整改 → 业务还在受害。两栏各写两点是最稳的答法。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

追因型

迁移型

反向型

知识点 6 · 网络地址转换 NAT ← 命中 12/44（27.3%）

① 考情定位

命中 12 次，8 个考期命中（2025上、2026上 未命中）；asks 37 条、blanks 27 条、cmds 40 条。NAT 在本篇里几乎从不单独考，总是与防火墙安全域/安全策略捆绑出现，更像「防火墙考题里的一个空」。设问核心永远是「为什么要 NAT」和「NAT 靠什么解决地址冲突」，这两问是概念题，答案固定。

设问方式分布（素材 cats）——问作用/功能 8（「为什么需要 NAT」「NAT 的作用」）

填地址/掩码 7（网段、inside 地址）｜问故障原因 7（内网不能上网、解析异常）｜问选型/对比 7（静态/动态/端口映射选型）｜补全配置命令 6（nat server policy 骨架）｜简述/说明要点 4（部署位置选择）｜问措施/规范 4（「安全策略放行」配套）｜带宽/容量估算 3（端口数估算）｜问冗余/可靠性 2（少量）

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 2025下把 NAT 做成了三张表的填空，是本知识点最完整的一次考法：表1 FW 安全域规划 → (1) 内网办公区接口 ETH3 对应的安全域 = trust；表2 NAT 配置规划 → (3) 第 1 条策略（ISP、TRUST → DMZ，TCP，目的端口 80）的目的 IP = 内部 WEB 服务器的私网地址；表3 安全策略规划 → (4) 第 2 条策略（目的安全域 DMZ、UDP、目的 IP 192.168.17.101/32、目的端口 53，即 DNS 服务仅对内网开放）的源安全域 = trust（因为「仅对内网开放」）。→ 这一组空把「安全域 → NAT → 安全策略」三层串起来了，是最值得反复看的题型。
2. 「让内网用户正常访问 Internet」= 出向 NAT + 出向放行。2021下 (7) 原答案 10.1.1.0 24 就是要匹配的内网网段；2023上素材给出 action source-to-destination（源地址=内网网段，目的地址=any）。答措施时两样都要说：NAT 转换 + 安全策略放行。
3. 「允许互联网用户访问 Server」= 服务器映射（NAT Server），不是出向 NAT。2021下素材命令原文：nat server policy <策略名> protocol tcp global <公网IP> <公网端口> inside <内网IP> <内网端口> unr-route——一个公网 IP + 端口映射到一个内网 IP + 端口，最后 unr-route 让回包直接路由（免去回程 NAT 的二次查找）。
4. 「内网用户不能上网」类故障的排查顺序：①NAT 地址池是否有可用公网地址 → ②安全策略是否放行出向 → ③默认路由是否有下一跳 → ④返回路径（unr-route）是否配置。2021下 (1) 原答案就是「路由模式」——防火墙接口模式也必须是路由模式才能做 NAT。

③ 必背清单

• 1 NAT 的三个目的（①缓解 IPv4 地址枯竭；②隐藏内部网络结构（安全）；③简化地址管理；概念题）｜2 NAT 靠什么解决内网 IP 冲突（端口复用（PAT/NAPT）+ 转换表：改写源 IP 和源端口，用「内网私有地址:端口 → 公网地址:端口」的转换表区分会话；概念题）
• 3 静态 NAT（1:1）（内网主机与公网地址固定一一对应；适合对外提供服务的服务器、需要固定出口的用户；NAT 三类型对比）｜4 动态 NAT（地址池）（从地址池中动态分配公网地址；用完回收；适合普通上网用户；NAT 三类型对比）
• 5 端口映射 / NAT Server（公网地址的特定端口映射到内网地址的特定端口；让互联网能访问内网服务器；2021下 nat server policy ... unr-route）｜6 PAT（NAPT）（动态 NAT + 端口复用；一个公网 IP 支撑成百上千内网主机，家用路由器默认模式；概念题）
• 7 出向 NAT（内网主动访问互联网；nat outbound / USG 的 nat address-group + 出向策略；概念题）｜8 unr-route（回包直接路由，不做回程 NAT 的地址转换，省一次查表；2021下 命令原文）
• 9 NAT hairpin（回流）（内网主机访问内网服务器的公网地址时也要 trust → trust 转换；2023上 rule name nat-hairpin）｜10 NAT 与安全策略的关系（NAT 只改地址/端口，不决定放不放行；放行靠安全策略，两者都要配；2021下「完成 NAT、安全策略等配置」）
• 11 安全域映射（2025下）（内网办公区接口 → trust；服务器区/对外区 → dmz；外网口 → untrust。DNS 放通：目的域 dmz、UDP、端口 53、源域 trust；WEB 放通：TCP、端口 80（HTTPS 则 443）；2025下 (1)(3)(4)）｜12 私网地址段（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16；填地址题）

④ 理解清单（能讲清的机制）

1. 为什么需要 NAT（三个层次的理由）：根本原因是 IPv4 地址是 32 位、公网地址已耗尽，NAT 让成千上万内网主机共享一个公网地址；安全价值是对外只暴露一个公网 IP，攻击者无法知道内网网段划分和主机数量；管理价值是内网可自由变更网段而不影响外部，多出口场景还能统一出口。
2. NAT 靠什么解决内网 IP 冲突（最常被问糊的一问）：内网都用同一个私网网段（如 192.168.1.0/24），到了公网源地址全都一样，回包无法区分是谁发的。解决：在转换时同时改写「源 IP + 源端口」，为每条会话分配一个唯一端口，并维护转换表（如 192.168.1.10:5001 → 203.0.113.5:40001；192.168.1.20:5001 → 203.0.113.5:40002）。回包到达时按目的端口反查转换表，还原成对应内网主机。→ 所以端口复用（PAT/NAPT）才是关键，而不是单纯的地址替换。
3. 静态 NAT / 动态 NAT / 端口映射 三者对比：静态 NAT（1:1）地址固定绑定，适合必须固定对外地址的场景（对外服务器、VPN 互联固定出口）；动态 NAT（地址池）从地址池取址、不需要时立刻释放，适合只需上网、不需被访问的用户；端口映射（NAT Server）按端口把公网流量转到内网主机端口，适合一个公网 IP 对外提供多个不同服务。一句话：静态管「身份」，动态管「上网」，端口映射管「对外服务」。
4. NAT 不等于放行（最常见的逻辑错误）：做了 NAT 不代表内网就能上网——安全策略还必须放行。2021下原题面写得很清楚：「需要在防火墙上完成 NAT、安全策略等配置」。反过来放行了但没做 NAT → 内网没有公网地址，出不去。排查顺序：路由 → NAT（地址池/映射）→ 安全策略 → 返回路径。
5. NAT 与路由模式 / hairpin：NAT 只能发生在路由（3 层）场景，2021下 (1) 原答案就是「路由模式」——接口做成二层透明桥接就无法做 NAT，这是 NAT 类故障题的第一个检查点。另外内网 PC 访问公司公网地址时，出向 NAT 会把源地址也改成服务器自己的公网地址，服务器看到的来源是它自己，可能直接丢弃 → 需单独建一条**trust → trust** 的 NAT 策略（rule name nat-hairpin）。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

追因型

迁移型

反向型

本篇命令填空速记（只列 blanks/cmds 里真实出现过的）

原则：不背全篇默写，只记「哪一段会出现空、空里填什么类型的东西」。趋势已证明「补全配置命令」在 2026 年为 0 次。

A. 填空类原题答案（2021上 / 2021下 / 2022上，含标准答案）

B. 冗余配置命令原文（2022上 素材原文）

[RA-GigabitEthernet1/0/1] standby interface GigabitEthernet 1/0/2 priority 30
[RA-GigabitEthernet1/0/1] standby interface GigabitEthernet 1/0/3 20
[RA-GigabitEthernet1/0/1] standby timer delay 10 10
[RA] ip route-static 192.168.100.0 24 10.1.1.2

preference 100  track nqa admin isp2  下一跳 40.24.0.4  ← 最优先（ISP2）
preference 110  track nqa admin isp1  下一跳 30.23.0.3  ← 次优先（ISP1）
preference 120  无 track              下一跳 50.15.0.5  ← 兜底（5G 应急）

解析：进入 BFD 进程视图的命令是 bfd，故 (5) 填 bfd（后续视图提示符为 [R3-bfd] 可作印证）。

C. ACL 命令原文（2022下 / 2023上 素材原文）

basic（2000–2999）—— 只匹配源 IP

[R1] acl 2000
[R1-acl-basic-2000] rule deny source 10.3.0.0 0.0.0.255
[R1-acl-basic-2000] rule permit

advanced（3000–3999）—— 匹配五元组

acl number 3000
rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

反向掩码：0.0.0.255 = /24（0 = 必须匹配，1 = 忽略）

D. 防火墙安全策略与 NAT 命令原文（2021下 / 2023上 素材原文）

[USG-policy-security] rule name http
[USG-policy-security-rule-http] source-zone ISP1
[USG-policy-security-rule-http] destination-zone trust
[USG-policy-security-rule-http] destination-address 10.10.10.10
[USG-policy-security-rule-http] service protocol tcp destination-port 9980
[USG-policy-security-rule-http] action permit

rule name nat-hairpin
 source-zone trust
 destination-zone trust
 destination-address Server公网地址
 action source-to-destination
 source-address 内网网段
 destination-address 内网Server地址

nat server policy <策略名> protocol tcp global <公网IP> <公网端口> inside <内网IP> <内网端口> unr-route

interface GigabitEthernet 0/0/1
port-security enable
port-security-mac-num mac-number 1

E. IPSec VPN 配置五步（2022下 素材原文）

① 公网接口配地址：interface GigabitEthernet 0/0/x + ip address <公网IP> <掩码> ② IKE 对等体：ike peer PEER_A / ike-version 2 / pre-shared-key cipher ******** / local-address <RouterA公网IP> / remote-address <RouterB公网IP> ③ IPSec 提议：ipsec proposal PROPOSAL_A / encapsulation-mode tunnel / transform esp esp-3des esp-sha2-256 / ah-group 14 ④ IPSec 策略：ipsec policy POLICY_A 10 isakmp / security acl 3000 / pfs dh-group14 ⑤ 挂到公网接口：ipsec policy POLICY_A

F. 认证与广播抑制（2022下 / 2023上 素材原文，注释即题面）

authentication-mode simple ruankao
  → 配置的是简单认证，口令在配置文件中以密文（cipher）形式保存，安全性较高
authentication-mode simple plain ruankao
  → 关键字 plain 表示口令在设备配置文件中以明文形式显示和保存，便于查看但存在安全隐患

broadcast-suppression
  → 命令给端口设置了一个广播流量门限百分比，超过门限的多余广播帧直接丢弃，
    从而抑制广播风暴、保证其他正常业务的转发带宽

本篇速查：三句话总纲

1. 安全这一篇考的是「该采取什么措施」和「怎么保证可靠性」，不是背命令。「补全配置命令」已从 2021 年 4 次归零到 2026 年 0 次；「问措施/规范」+「问冗余/可靠性」是本篇唯一在上升的组合。
2. 看到题干关键词就能推出答案：「动态分配 IP」→ DHCP；「禁止…访问…」→ ACL 过滤；「至少坏 2 块」→ RAID 6；「不中断业务拿某时刻副本」→ 快照；「至少三种应对措施」→ 攻击类型 + 分类措施。
3. 概念题三个高频问：为什么需要 NAT（地址枯竭 + 隐藏结构 + 简化管理）、NAT 靠什么解决内网冲突（端口复用 + 转换表）、为什么签名用私钥（只有签名者能签 → 身份不可否认）。这三题几乎每年换皮考一次，必须能一口气讲完。