2026年防火墙策略配置题库及答案

2026年防火墙策略配置题库及答案某企业办公网划分了研发部、财务部、外部访客三个安全域，要求研发部可以主动访问财务部的业务系统，财务部不能主动访问研发部的核心代码服务器，外部访客仅能访问互联网，不能访问任何内部域。按照最小权限原则配置防火墙策略，下列优先级最高的策略应该是哪一项？A.允许研发部访问财务部业务系统的策略B.拒绝财务部访问研发部核心服务器的策略C.拒绝外部访客访问内部域的策略D.允许所有域访问互联网的策略答案：A。解析：防火墙策略是按优先级从上到下匹配，命中即停止，最小权限原则下，需要把明确允许的合规业务策略优先放前面，再放拒绝策略，最后放默认拒绝。本题中允许核心业务访问的策略需要最高优先级，避免被前面的拒绝规则误拦截，因此选A。配置基于五元组的防火墙访问控制策略时，下列哪项参数组合可以唯一标识一条流量会话？A.源IP地址、目的IP地址、源端口、目的端口、协议号B.源IP地址、目的IP地址、源MAC、目的MAC、协议号C.源端口、目的端口、源IP、目的IP、入接口D.源IP、目的IP、协议号、出接口、源端口答案：A。解析：五元组的标准定义就是源IP地址、目的IP地址、源端口、目的端口、传输层协议号，五个参数可以唯一标识一条TCP/IP网络中的会话，因此选A。2025年更新的《网络安全等级保护第三版要求》中，三级等保要求防火墙对于访问控制策略需要满足哪项要求？A.仅需要保留允许业务通行的策略，移除所有冗余无用策略B.每半年至少梳理一次策略，清除过期冗余策略C.每一年至少梳理一次策略，仅需要记录变更不要求清除D.默认策略为允许所有流量，仅针对明确违规流量做拒绝答案：B。解析：等保2.0第三版明确要求三级信息系统的防火墙访问控制策略，需要至少每半年梳理一次，及时移除过期、冗余的策略，最小权限原则下默认策略应为拒绝，因此正确选项是B。下列关于防火墙NAT策略和访问控制策略的配置关系描述正确的有哪些？A.防火墙先匹配访问控制策略，再进行NAT地址转换，配置策略时需要使用转换后的地址编写规则B.不同厂家防火墙对策略匹配和NAT的处理顺序不同，部分厂家先做NAT再匹配访问控制策略，需要用转换前的地址编写规则C.配置源NAT策略后，访问控制策略只需要根据内网真实源地址配置规则即可，不需要考虑转换后的公网地址D.配置目的NAT策略后，外部访问的目的地址是公网地址，访问控制策略需要允许访问该公网目的地址的流量答案：BD。解析：不同厂商防火墙对NAT和ACL的处理流程存在差异，华为、PaloAlto等厂商是先做NAT再匹配访问控制，而思科ASA是先匹配ACL再做NAT，因此A错误，B正确；源NAT场景下，先NAT再匹配策略的厂商需要使用转换后的源地址编写规则，因此C错误；目的NAT中外部用户访问的目的地址是转换前的公网地址，防火墙匹配策略时需要先允许该目的地址的流量，再做地址转换，因此D正确。配置防火墙地域封锁策略时，下列哪些场景适合配置该策略？A.企业业务仅面向国内大陆用户开放，需要阻止所有来自境外的访问B.企业近期遭受大量来自某省IP段的DDoS攻击，需要快速封锁该区域所有IP的访问C.企业研发网需要阻止所有来自互联网动态IP段的访问D.企业远程办公仅允许公司分配的指定IP段接入，需要拒绝其他所有IP接入答案：AB。解析：地域封锁策略是基于IP地址的地理位置归属进行批量封锁，适合对整个区域的访问做控制，A选项封锁境外、B选项封锁攻击来源区域都适合使用地域封锁策略；C选项动态IP段不存在固定的地域归属，不能用地域封锁，D选项仅开放指定IP段应该用白名单策略，直接拒绝其他不符合条件的，不需要用地域封锁，因此正确选项是AB。下列关于防火墙默认策略的配置，符合最小权限原则的做法有哪些？A.内部安全域之间互访的默认策略设置为拒绝，仅开放明确需要的业务访问B.同一个部门内部的用户所在安全域，默认策略可以设置为允许，减少策略数量C.内部域访问互联网的默认策略设置为拒绝，仅允许企业业务需要的互联网访问出站D.互联网访问内部域的默认策略设置为拒绝，仅开放对外提供服务的端口和IP答案：ACD。解析：最小权限原则要求仅开放必要的访问权限，即使同一个部门内部，也可能存在不同权限的终端和服务器，默认放开所有互访不符合最小权限，因此B错误；ACD的配置都符合仅开放必要权限，默认拒绝所有未明确允许的访问，符合最小权限原则，因此正确。判断题：防火墙策略配置中，允许策略的优先级一定低于拒绝策略，这样可以保证违规流量被正确拦截。答案：错误。解析：防火墙策略的优先级是管理员手动配置的，实际业务中需要把明确允许的合法业务策略放在拒绝策略前面，避免合法流量被误拦截，比如需要先允许特定IP访问某个端口，再拒绝所有其他IP访问该端口，如果拒绝优先级更高，会把合法流量也拦截，因此该说法错误。配置SNAT策略时，如果多个SNAT规则都匹配同一条流量，防火墙会匹配掩码最长（优先级最高）的SNAT规则执行转换。答案：正确。解析：防火墙地址转换策略和访问控制策略一样，都是按最长匹配、优先级匹配原则，多个规则匹配同流量时，选择优先级更高或前缀更长的规则执行，因此该说法正确。基于应用识别的防火墙策略配置中，只要应用识别出流量是对应应用，就可以命中策略，不需要再匹配五元组信息。答案：错误。解析：基于应用识别的策略是五元组+应用标识的双重匹配，需要先匹配五元组信息，再匹配应用类型，只有两者都符合才会命中策略，因此该说法错误。某金融企业新建网银业务系统，对外提供服务，网络架构为：互联网入口→边界防火墙→DMZ区→网银前端服务器→核心防火墙→内网网银后端数据库服务器，已知网银前端对外提供HTTPS服务，公网IP为0，内网地址为0，后端数据库内网地址为0，仅允许网银前端服务器访问数据库的1521端口，要求外部互联网仅能访问网银前端的443端口，任何其他区域都不能主动访问数据库，所有内部办公网用户可以访问互联网，不能直接访问DMZ区的网银前端，也不能直接访问后端数据库。请回答以下问题：问题1：请写出边界防火墙需要配置的所有策略条目（按优先级排序）答案：边界防火墙的安全域分为互联网域、DMZ域、内网办公域，策略优先级从高到低依次为：1.配置目的NAT策略，将访问公网IP0的流量目的地址转换为内网地址0；2.允许互联网域访问DMZ域0的TCP443端口；3.允许DMZ域访问内网核心区0的TCP1521端口；4.允许内网办公域访问互联网域的所有合规出站流量；5.拒绝内网办公域访问DMZ域的所有流量；6.拒绝互联网域访问DMZ域、内网域的所有其他流量；7.默认拒绝所有未明确允许的跨域流量。问题2：请写出核心防火墙需要配置的访问控制策略，符合最小权限原则答案：核心防火墙连接DMZ区和内网核心区，策略按优先级排序：1.允许DMZ区的0访问内网核心区0的TCP1521端口；2.拒绝所有其他区域访问0的所有端口流量；3.允许内网办公区访问互联网的流量正常转发；4.默认拒绝所有未明确允许的流量。问题3：该企业要求每季度做一次策略冗余检测，请列举至少三种常见的冗余防火墙策略类型答案：常见的冗余策略包括：1.过期策略：已经下线的业务对应的访问规则，连续六个月以上没有流量命