华为HCIP安全方向专项练习

华为HCIP安全方向专项练习一、单项选择题（总共10题，每题2分，总分20分）1.在华为HCIP安全方向中，关于防火墙策略配置的正确描述是（）。A.规则顺序从上至下，优先匹配最先触发的规则B.策略名称必须以数字开头，且长度不超过16个字符C.动作类型仅支持允许（permit）和拒绝（deny）两种选项D.NAT转换规则必须配置在访问控制策略之前生效解析：正确答案为A。华为防火墙策略遵循顺序匹配原则，规则从上至下逐条执行，最先匹配到的规则优先应用。选项B错误，策略名称可包含字母、数字和下划线，且无长度限制；选项C错误，华为防火墙支持多种动作类型，如日志记录、丢弃等；选项D错误，NAT规则通常配置在访问控制策略之后，用于对允许流量进行地址转换。2.华为USG系列防火墙采用哪些技术实现状态检测？（）A.基于IP地址和端口的深度包检测B.结合主机的MAC地址和会话状态跟踪C.仅依赖预设规则库进行静态匹配D.通过加密算法验证数据完整性解析：正确答案为A。华为防火墙通过深度包检测（DPI）技术，结合IP地址、端口、协议等信息建立会话状态表，动态跟踪合法流量。选项B错误，状态检测不依赖MAC地址；选项C错误，状态检测是动态的而非静态；选项D错误，完整性验证属于VPN功能范畴。3.在配置VPN时，华为推荐使用哪种加密算法实现高安全性？（）A.3DESB.AES-128C.RC4D.ChaCha20解析：正确答案为B。华为HCIP安全方向强调高安全性配置，AES-128是目前主流的工业级加密算法，兼具安全性和性能。选项A的3DES效率较低；选项C的RC4已被证明存在安全隐患；选项D的ChaCha20虽安全但应用场景相对较少。4.华为AC+LC架构中，AC负责哪些核心功能？（）A.用户认证和策略下发B.设备状态监控和日志收集C.网络拓扑发现和自动配置D.VPN隧道建立和加密处理解析：正确答案为A。AC（AccessController）作为控制器，集中管理认证、计费和策略分发，是AC+LC架构的核心。选项B属于LC（LocalController）职责；选项C是网络管理功能；选项D是安全设备特性。5.在配置AAA认证时，华为推荐使用哪种协议实现集中管理？（）A.TACACS+B.RADIUSC.SSHD.LDAP解析：正确答案为A。华为HCIP安全方向强调TACACS+协议的高安全性和命令级认证能力，优于RADIUS的属性级认证。选项B的RADIUS应用广泛但安全性较低；选项C/选项D属于远程接入技术，非AAA协议。6.华为防火墙中的QoS策略优先级如何设置？（）A.数字越大优先级越高B.字符串名称按字母顺序排列C.默认策略优先级最高D.与访问控制策略优先级一致解析：正确答案为A。华为QoS策略采用数字编号，编号越小优先级越高，类似访问控制策略的配置逻辑。选项B错误，名称不影响优先级；选项C错误，默认策略无特殊优先级；选项D错误，QoS策略独立于访问控制。7.在配置NAT时，以下哪种场景最适合使用源NAT（SNAT）？（）A.内部网络访问外部资源B.外部网络访问内部服务器C.VPN隧道流量转换D.防火墙日志收集解析：正确答案为A。源NAT用于将内部私有IP转换为公网IP，实现内部主机访问互联网。选项B需配置目的NAT（DNAT）；选项C需结合VPN协议特性；选项D与NAT无关。8.华为防火墙支持哪些安全域类型？（）A.信任域、不信任域、DMZ域B.内部域、外部域、管理域C.公网域、私网域、专用域D.安全域、管理域、隔离域解析：正确答案为A。华为防火墙采用经典的三域模型：信任域（内部网络）、不信任域（外部网络）、DMZ域（服务器区），符合安全设计原则。其他选项均为非标准分类。9.在配置入侵防御系统（IPS）时，以下哪种策略优先级最高？（）A.预定义攻击特征库B.用户自定义规则集C.威胁情报更新模块D.设备默认安全策略解析：正确答案为B。华为IPS支持策略级优先级配置，用户自定义规则（白名单）通常高于系统默认规则。选项A是检测基础；选项C是数据来源；选项D是基础防护。10.华为防火墙的H3COS系统支持哪些日志审计功能？（）A.实时流量分析、违规行为统计B.命令记录、用户操作审计C.VPN连接状态监控D.设备硬件故障预警解析：正确答案为B。H3COS系统提供全面的日志审计功能，包括用户登录、配置变更等操作记录，符合安全合规要求。选项A属于流量分析范畴；选项C/选项D属于其他功能模块。二、判断题（总共10题，每题2分，总分20分）1.华为防火墙支持双向ACL，即入站和出站流量可使用同一规则集。（√）解析：华为防火墙ACL规则可同时应用于入站和出站方向，实现双向控制，符合网络设计需求。2.VPN网关配置时，IKEv2协议比IPSec更适用于大规模部署。（×）解析：IPSec更适用于大规模部署，IKEv2更适合移动终端场景，两者无绝对优劣。3.华为AC+LC架构中，LC负责终端设备的二层管理功能。（×）解析：LC负责终端接入和本地策略执行，二层管理属于交换机功能。4.AAA认证失败时，设备默认拒绝所有用户访问。（√）解析：华为防火墙遵循最小权限原则，认证失败将导致访问拒绝，需配置默认允许策略覆盖。5.NAT转换会导致内部网络无法访问外部DNS服务器。（×）解析：NAT转换可配置DNS映射，确保内部用户正常解析外部域名。6.防火墙QoS策略必须与访问控制策略绑定才能生效。（×）解析：QoS策略独立于访问控制，可基于源/目的IP、端口等参数动态调整带宽。7.IPS检测到攻击时，默认会阻断恶意流量。（×）解析：IPS检测到攻击后，默认仅记录日志，需配置阻断动作。8.华为防火墙支持基于用户身份的差异化安全策略。（√）解析：通过AAA认证后，可下发与用户身份绑定的个性化策略，实现精细化管控。9.VPN网关配置时，IKEv1协议比IKEv2更安全。（×）解析：IKEv2采用更安全的加密算法和认证机制，优于IKEv1。10.防火墙日志默认存储在设备内存中，需配置外接Syslog服务器才能长期保存。（×）解析：日志可本地存储或发送至Syslog服务器，内存仅用于临时缓存。三、填空题（总共10题，每题2分，总分20分）1.华为防火墙策略配置时，规则动作类型“__丢弃__”表示阻止匹配流量通过设备。2.VPN网关配置时，IKEv1协议使用__主模式__和__野蛮模式__进行安全交换。3.华为AC+LC架构中，__RADIUS__协议用于传输用户认证信息。4.防火墙QoS策略中，__流量分类__功能用于识别特定流量。5.NAT转换时，__源NAT__将内部私有IP转换为公网IP。6.IPS检测攻击时，__威胁特征库__存储攻击模式信息。7.华为防火墙支持__双向ACL__，可同时控制入站和出站流量。8.AAA认证流程包括__认证__、__授权__和__计费__三个阶段。9.VPN网关配置时，__IKE策略__定义IKE版本和加密算法。10.防火墙日志审计功能可记录__用户登录__、__配置变更__等操作。四、简答题（总共8题，每题2分，总分16分）1.简述华为防火墙状态检测的工作原理。参考答案：状态检测通过建立会话状态表，动态跟踪合法流量，仅允许符合会话状态的流量通过。当检测到异常流量时，自动阻断并记录日志。2.比较TACACS+和RADIUS协议的主要区别。参考答案：TACACS+采用命令级认证，安全性更高；RADIUS采用属性级认证，效率更高。TACACS+不支持计费功能，RADIUS支持。3.解释华为AC+LC架构中，AC的主要职责。参考答案：AC集中管理认证、策略下发和用户计费，实现全网统一的访问控制，减轻LC负担。4.简述NAT转换的三种基本类型。参考答案：静态NAT（一对一）、动态NAT（地址池）、端口地址转换（PAT，多对一）。5.防火墙QoS策略配置时，如何实现流量优先级控制？参考答案：通过定义流量分类规则，结合优先级值（数字越小优先级越高），实现差异化带宽分配。6.IPS检测到攻击时，有哪些典型响应动作？参考答案：阻断攻击流量、发送告警通知、记录日志、执行自定义脚本等。7.解释华为防火墙安全域的概念及作用。参考答案：安全域是逻辑划分的网络区域，通过策略控制域间流量，实现分层防御。8.VPN网关配置时，IKE策略包含哪些关键参数？参考答案：IKE版本（v1/v2）、加密算法（AES/DES）、认证方式（预共享密钥/数字证书）、安全协议（ESP/AH）。五、应用题（总共8题，每题4分，总分24分）1.某企业网络采用华为USG6400防火墙，内部网络/24需要访问互联网，配置源NAT实现访问。要求：（1）配置接口GigabitEthernet0/0为外部接口；（2）配置接口GigabitEthernet0/1为内部接口；（3）创建地址池public_ip，包含00-00。参考答案：（1）system-viewinterfaceGigabitEthernet0/0ipaddress24descriptionexternaltraffic-filterinboundaclnameOUTBOUNDquit（2）interfaceGigabitEthernet0/1ipaddress24descriptioninternalquit（3）ippoolpublic_ip0000quit2.配置华为防火墙实现双向访问控制：（1）允许内部用户访问外部HTTP服务（端口80）；（2）拒绝外部用户访问内部FTP服务（端口21）。参考答案：traffic-filterinboundaclnameINBOUNDrule5permitsourcezonetrustdestinationzoneuntrustprotocoltcpport80quittraffic-filteroutboundaclnameOUTBOUNDrule10denysourcezoneuntrustdestinationzonetrustprotocoltcpport21quit3.配置华为AC+LC架构，实现基于用户角色的访问控制：（1）创建用户组manager，允许访问所有资源；（2）创建用户组guest，仅允许访问互联网。参考答案：user-groupmanageradduserzhangsanadduserlisiquituser-groupguestadduserwangwuquitaaasession-id3000user-groupmanagerservice-typedefaultquitaaasession-id3001user-groupguestservice-typehttphttpsftpquit4.配置华为防火墙QoS策略，优先保障VoIP流量：（1）识别VoIP流量（UDP端口2000-2001）；（2）分配带宽100M。参考答案：traffic-filterinboundaclnameVOIPrule10permitsourceanydestinationanyprotocoludpportrange2000-2001quitqospolicypolicy1class-mapclass1matchinboundaclnameVOIPservice-policyservice1quitqosservice-policyservice1shapeaverage100000000burst2000000quit5.配置华为防火墙IPS策略，检测并阻断SQL注入攻击：（1）启用IPS功能；（2）创建安全策略，检测SQL关键字并阻断。参考答案：firewall-policytypeipsnameSQL_INJECTIONsourcezonetrustdestinationzoneuntrustactiondroprule10source-content"unionselect"rule20source-content"or1=1"quit6.配置华为防火墙实现NAT转换：（1）内部主机0访问外部网站，使用动态NAT；（2）内部服务器00对外提供服务，使用静态NAT。参考答案：ippoolnat_pool0050interfaceGigabitEthernet0/0natoutboundsourceaddresstranslationnat_poolquitinterfaceGigabitEthernet0/1natoutbounddestinationaddresstranslationstatic0000quit7.配置华为防火墙实现VPN网关功能：（1）配置IKEv2VPN，使用预共享密钥；（2）允许内部网络访问远程办公网。参考答案：vpngatewayvpngw1typeikev2local-addressremote-addressikepolicy10pre-shared-keycisco123auth-modepre-shared-keyquitfirewall-policytypevpnnameVPN_ACCESSsourcezonetrustdestinationzoneuntrustactionpermitquit8.配置华为防火墙实现日志审计：（1）将安全日志发送至Syslog服务器00；（2）配置日志级别为警告及以上。参考答案：syslogserver00syslogprioritywarningquit标准答案及解析一、单项选择题1.A2.A3.B4.A5.A6.A7.A8.A9.B10.B二、判断题1.√2.×3.×4.√5.×6.×7.×8.√9.×10.×三、填空题1.丢弃2.主模式野蛮模式3.RADIUS4.流量分类5.源NAT6.威胁特征库7.双向ACL8.认证授权计费9.IKE策略10.用户登录配置变更四、简答题1.参考答案：状态检测通过建立会话状态表，动态跟踪合法流量，仅允许符合会话状态的流量通过。当检测到异常流量时，自动阻断并记录日志。2.参考答案：TACACS+采用命令级认证，安全性更高；RADIUS采用属性级认证，效率更高。TACACS+不支持计费功能，RADIUS支持。3.参考答案：AC集中管理认证、策略下发和用户计费，实现全网统一的访问控制，减轻LC负担。4.参考答案：静态NAT（一对一）、动态NAT（地址池）、端口地址转换（PAT，多对一）。5.参考答案：通过定义流量分类规则，结合优先级值（数字越小优先级越高），实现差异化带宽分配。6.参考答案：阻断攻击流量、发送告警通知、记录日志、执行自定义脚本等。7.参考答案：安全域是逻辑划分的网络区域，通过策略控制域间流量，实现分层防御。8.参考答案：IKE版本（v1/v2）、加密算法（AES/DES）、认证方式（预共享密钥/数字证书）、安全协议（ESP/AH）。五、应用题1.参考答案：（1）system-viewinterfaceGigabitEthernet0/0ipaddress24descriptionexternaltraffic-filterinboundaclnameOUTBOUNDrule5permitsourcezonetrustdestinationzoneuntrustquit（2）interfaceGigabitEthernet0/1ipaddress24descriptioninternalquit（3）ippoolpublic_ip0000quit2.参考答案：traffic-filterinboundaclnameINBOUNDrule5permitsourcezonetrustdestinationzoneuntrustprotocoltcpport80quittraffic-filteroutboundaclnameOUTBOUNDrule10denysourcezoneuntrustdestinationzonetrustprotocoltcpport21quit3.参考答案：user-groupmanageradduserzhangsanadduserlisiquituser-groupguestadduserwangwuquitaaasession-id3000user-groupmanagerservice-typedefaultquitaaasession-id3001user-groupguestservice-typehttphttpsftpquit4.参考答案：traffic-filterinboundaclnameVOIPrule10permitsourceanydestinationanyprotocoludpportrange2000-2001quitqospolicypolicy1class-mapclass1matchinboundaclnameVOIPservice-policyservice1quitqosservice-policyservice1shapeaverage100000000burst2000000quit5.参考答案：firewall-policytypeipsnameSQL_INJECTIONsourcezonetrustdestinationzoneuntrustactiondroprule10source-content"unionselect"rule20sour