华为HCIP习题集（完整版）

华为HCIP习题集（完整版）一、单项选择题（每题2分，共20分）1.在华为HCIP-Security认证的考试中，关于SSL/TLS协议的握手过程，以下哪项描述是正确的？A.客户端首先发送ClientHello消息，但不会携带服务器支持的加密套件列表B.服务器在收到ClientHello后，必须选择客户端提出的最高版本SSL/TLS协议进行通信C.在握手过程中，如果客户端支持PSK（预共享密钥）认证，服务器必须使用该方式建立连接D.ServerHello消息中包含的随机数（MasterSecret的种子）是客户端生成的，用于防止重放攻击2.华为AR路由器在进行BGP路由策略配置时，使用“local-preference”属性的主要目的是什么？A.控制路由在AS内部的不同出口之间的负载均衡B.限制路由条目的最大跳数，防止路由环路C.优先选择经过特定下一跳地址（IP）到达的路由D.提高BGP路由的本地优先级，使其在iBGP邻居间具有更高的优先级3.在华为CloudEngine交换机上部署ACI（AccessControlInfrastructure）架构时，以下哪种场景最适合使用L3Out技术？A.当需要将数据中心核心交换机直接连接到ISP接入路由器，实现跨区域路由直连B.在多租户环境中，允许不同VXLAN之间的路由互通，但不希望引入额外的路由器设备C.当数据中心出口带宽不足，需要通过核心交换机进行路由流量转发优化D.用于实现VXLAN网络之间的二层隔离，防止广播风暴扩散4.华为VRP（VirtualRoutingandForwarding）系统中的冗余组（RedundancyGroup）配置，关于“Preemption”特性的描述，以下哪项是正确的？A.当主设备故障时，备份设备会立即接管控制权，无需等待预设的故障检测时间B.Preemption特性仅适用于VRRP协议，不适用于HSRP或GLBP等冗余协议C.启用Preemption后，即使主设备恢复正常，也不会重新抢占控制权D.该特性会增加冗余组的收敛时间，因为需要额外的状态检测周期5.在华为HCIP-Datacom认证中，配置OSPF的“NetworkType”时，以下哪种网络类型允许在路由器直连链路上形成全连接的广播网络？A.NBMA（Non-BroadcastMulti-Access）B.P2P（Point-to-Point）C.Broadcast（广播网络）D.P2MP（Point-to-Multipoint）6.华为CloudEngine交换机支持多种VXLAN封装类型，其中“VXLANEVPN”技术主要解决了什么问题？A.减少了VXLAN网络的传输延迟，通过优化MAC地址学习机制B.实现了VXLAN网络与传统以太网网络的混合部署，无需设备升级C.提高了VXLAN隧道的带宽利用率，通过动态调整MTU大小D.解决了VXLAN网络中的广播域隔离问题，防止MAC泛洪7.在配置华为AR路由器的NAT（NetworkAddressTranslation）策略时，以下哪项操作会导致“地址池耗尽”错误？A.同时配置了源NAT（SNAT）和目的NAT（DNAT）策略，且地址池容量不足B.仅配置了动态NAT，但访问控制列表（ACL）中允许了所有IP地址的转换C.在VPN场景下，使用了静态NAT映射，但未配置正确的隧道协议参数D.NAT策略中配置了错误的访问控制列表名称，导致策略始终被忽略8.华为AR路由器支持多种VPN技术，其中L2TPv3协议的主要优势是什么？A.支持多协议封装，可以在同一隧道中传输IP、IPX等多种网络层协议B.默认使用GRE隧道进行封装，无需额外的配置开销C.提供了比IPsec更高级的加密算法，安全性更高D.免费开源，适用于预算有限的中小型企业9.在华为CloudEngine交换机上进行堆叠配置时，关于“StackLink”链路的描述，以下哪项是正确的？A.必须使用专用的高速光纤链路，带宽至少为10GbpsB.支持冗余链路配置，但只能选择两条物理链路进行捆绑C.堆叠控制器（Stack-AC）会自动为所有成员设备分配相同的MAC地址D.当StackLink链路故障时，堆叠网络会切换到非堆叠模式运行10.华为AR路由器配置BFD（BidirectionalForwardingDetection）检测协议时，以下哪项参数对检测精度影响最大？A.检测间隔（DetectionInterval）的设置值B.检测超时（DetectionTimeout）的配置时间C.BFD协议版本的选择（如BFDv1或BFDv2）D.BFD邻居的本地地址和远端地址是否在同一网段二、填空题（每空2分，共20分）1.在华为HCIP-Security认证中，配置防火墙策略时，如果需要允许特定IP地址组的用户访问内部服务器，应使用______表来控制流量方向，并配合______动作实现访问授权。2.华为AR路由器配置VPN时，如果使用GRE隧道封装IPsec，需要在接口视图下同时配置______协议和______协议的参数。3.在ACI架构中，______是连接核心交换机与接入交换机的逻辑链路，通过______技术实现二层和三层信息的统一管理。4.配置VRP冗余组时，______参数用于设置主设备故障后，备份设备进入控制状态的最短时间，而______参数则用于控制主设备恢复后是否重新抢占控制权。5.OSPF协议中的______区域是一种特殊的区域，所有路由信息都会汇总到区域边界路由器（ABR），以减少路由表的规模。6.华为CloudEngine交换机上的VXLANEVPN技术，通过______机制实现了VXLAN网络中的MAC地址自动发现和路由信息交换。7.在配置NAT策略时，如果需要将内部私有IP地址永久映射到公网IP，应使用______转换方式，并在访问控制列表中明确指定需要转换的IP地址范围。8.L2TPv3协议通过______头部实现了对封装在GRE隧道中的数据包的识别，同时支持______和______两种认证方式。9.华为交换机堆叠配置中，Stack-AC设备通过______链路与其他成员设备建立高速通信，并负责维护堆叠网络的______信息。10.BFD协议通过发送______报文，并在收到远端设备的响应后，根据______和______参数判断链路状态是否正常。三、判断题（每题2分，共20分）1.在华为AR路由器上配置ACL时，如果使用“remark”命令添加备注信息，该信息会直接影响路由策略的执行结果。（×）2.华为CloudEngine交换机上的VXLAN封装类型包括VXLAN、NVGRE和GVRP，其中NVGRE最适合用于大规模数据中心网络。（√）3.当华为AR路由器配置了NAT策略后，所有经过该路由器的流量都会经过地址转换，即使该流量不需要访问外部网络。（×）4.在ACI架构中，Spine交换机只能作为MLAG（Multi-ChassisLinkAggregation）组的主动设备，无法配置为备用设备。（×）5.OSPF协议中的Stub区域不允许存在ASBR（AutonomousSystemBoundaryRouter），以防止外部路由进入该区域造成路由环路。（√）6.华为VRP系统中的冗余组配置，如果同时启用Preemption和FastFailover特性，备份设备会在主设备故障后的1秒内接管控制权。（√）7.在配置L2TPv3VPN时，如果未正确设置隧道端口的MTU值，可能会导致数据包在隧道中分片，降低传输效率。（√）8.华为交换机堆叠配置中，Stack-AC设备会为所有成员设备分配唯一的MAC地址，即使这些设备原本属于不同的VLAN。（×）9.BFD协议的检测精度主要受限于网络延迟，因此在高延迟链路上无法实现快速故障检测。（×）10.在华为HCIP-Security认证中，配置入侵防御（IPS）策略时，如果使用“deny”动作，该策略会立即阻断所有匹配的攻击流量。（√）四、简答题（每题2分，共16分）1.简述华为AR路由器配置BGP路由策略时，使用“as-path-preference”和“local-preference”属性的区别和适用场景。2.在ACI架构中，Spine-Leaf交换机之间如何实现二层和三层的统一管理？请说明核心原理。3.配置华为VRP冗余组时，如果需要实现主备设备之间的数据同步，应启用哪些关键特性？4.OSPF协议中的“TotallyStubby”区域与“Not-Adv-Routes”区域有何区别？在哪些场景下适合使用这两种区域？5.华为CloudEngine交换机上的VXLANEVPN技术，如何实现跨VXLAN的广播、未知单播和组播流量转发？6.在配置NAT策略时，如果需要支持端口复用（PortTranslation），应如何设计访问控制列表和NAT转换规则？7.L2TPv3协议与IPsec结合使用时，有哪些常见的配置问题和解决方法？8.华为交换机堆叠配置中，如果需要实现堆叠网络的远程管理，应如何配置Stack-AC的冗余和备份策略？五、应用题（每题4分，共24分）1.某企业网络采用华为AR路由器部署VPN，要求实现以下需求：-使用GRE隧道封装IPsec，允许内部网段10.1.0.0/16通过VPN访问外部合作伙伴网络10.2.0.0/16-配置NAT策略，将内部私网IP地址转换为公网IP203.0.113.1/32-设置访问控制列表，仅允许IP地址为192.168.1.100的用户访问合作伙伴网络请给出主要配置命令和关键参数说明。2.在华为CloudEngine交换机上进行ACI部署时，要求实现以下功能：-Spine交换机组使用MLAG技术实现冗余，所有端口加入Eth-Trunk1-接入交换机通过Eth-Trunk2连接到Spine，并配置PFC（Priority-basedFlowControl）防止流量抖动-创建VXLAN网络VXLAN-100，并将部门A的VLAN10和部门B的VLAN20加入该网络请给出核心配置命令和关键参数说明。3.某数据中心网络采用华为VRP系统部署冗余组，要求实现以下功能：-配置冗余组ID为1，主设备为Router-A，备份设备为Router-B-设置主设备故障后，备份设备在5秒内接管控制权，并保持该状态60秒-配置FastFailover特性，使主设备恢复后能立即重新抢占控制权请给出主要配置命令和关键参数说明。4.在华为AR路由器上配置OSPF路由策略时，要求实现以下需求：-创建OSPF进程ID为100，区域0包含所有核心路由器-将网络10.3.0.0/16配置为Stub区域，不允许外部路由进入-配置OSPF重分发，将静态路由192.168.1.0/24导入OSPF，并设置管理距离为120请给出主要配置命令和关键参数说明。5.华为交换机部署VXLANEVPN技术时，要求实现以下功能：-创建VXLAN网络VXLAN-200，并将VLAN30和VLAN40加入该网络-配置EVPN学习，使所有接入交换机能自动学习VXLAN网络中的MAC地址和IP地址-设置VXLAN隧道接口的MTU为1500，并启用VXLAN隧道优化功能请给出核心配置命令和关键参数说明。6.在配置华为AR路由器的NAT策略时，要求实现以下需求：-配置源NAT（SNAT），将内部网段10.4.0.0/16的所有流量转换为公网IP203.0.113.1/32-设置端口复用，使用TCP/8080和UDP/443端口进行NAT转换-配置访问控制列表，仅允许IP地址为192.168.2.50的用户使用NAT请给出主要配置命令和关键参数说明。【标准答案及解析】一、单项选择题答案1.C解析：SSL/TLS握手过程中，客户端在ClientHello消息中携带服务器支持的加密套件列表，服务器选择最高优先级且客户端支持的套件进行通信。PSK认证是可选的，并非必须。ServerHello消息中的随机数由服务器生成，用于生成MasterSecret。2.A解析：local-preference用于在AS内部的不同出口之间进行负载均衡，优先选择本地AS路径的路由。BGP不限制跳数，限制跳数的是IGP协议。DNAT用于将公网IP映射到内部服务器，不涉及出口选择。iBGP不使用local-preference。3.B解析：L3Out适用于数据中心核心交换机直接连接ISP路由器，实现跨区域路由直连。多租户场景需要VXLAN互通，但无需额外路由器。L3Out不用于带宽优化或二层隔离。4.A解析：Preemption特性允许主设备恢复后重新抢占控制权，但需要主设备优先于备份设备启动。VRRP、HSRP和GLBP都支持Preemption。Preemption不增加收敛时间，而是减少故障切换后的恢复时间。5.C解析：NetworkType决定OSPF路由器的邻居关系类型。Broadcast适用于传统以太网广播网络。NBMA和P2P适用于点对点链路。P2MP适用于多点对点链路。6.A解析：VXLANEVPN通过MAC地址自动学习机制，减少了VXLAN网络的传输延迟。VXLAN与传统以太网混合部署需要配置VXLANoverEthernet。动态MTU调整是手动操作，非自动优化。VXLANEVPN不解决广播域隔离问题。7.A解析：同时配置SNAT和DNAT会导致地址池被双向消耗。动态NAT需要ACL精确控制，否则可能全量转换。静态NAT需要隧道协议支持。错误ACL名称会导致策略被忽略，但不会导致地址池耗尽。8.A解析：L2TPv3支持多协议封装，可传输IP、IPX等。默认使用GRE，但可配置为其他封装。IPsec提供加密，但L2TPv3本身不比IPsec更安全。L2TPv3是商业协议，非免费开源。9.D解析：StackLink链路可以是铜缆或光纤，带宽至少1Gbps。支持冗余链路，但数量不限。堆叠控制器分配不同MAC地址，每个成员设备有唯一MAC。堆叠网络故障时，会切换到非堆叠模式。10.B解析：BFD检测精度主要受限于超时值，超时值越短，检测越快。BFDv2比BFDv1支持更多功能，但精度影响相同。本地和远端地址是否同一网段不影响BFD检测。二、填空题答案1.访问控制，策略执行2.GRE，IPsec3.Bundle-Ether，EVPN4.DeadTime，Preemption5.TotallyStubby6.EVPN7.StaticNAT8.L2TP，PAP，CHAP9.StackLink，系统状态10.EchoRequest，检测间隔，检测超时三、判断题答案1.×解析：remark命令仅添加备注，不影响策略执行。备注信息用于调试和记录，不参与策略匹配。2.√解析：NVGRE通过GRE封装，更适合大规模数据中心，因为GRE开销较小。VXLAN和GVRP在大规模部署时会产生更多隧道流量。3.×解析：NAT策略仅对需要访问外部网络或被外部访问的流量生效。内部流量如果不需要穿越NAT边界，不会经过转换。4.×解析：Spine交换机可以配置为MLAG组的主动或备用设备。MLAG允许Spine参与链路聚合，提高冗余性。5.√解析：Stub区域禁止ASBR，防止外部路由进入。允许ABR汇总路由，但禁止外部路由注入。6.√解析：Preemption允许主设备恢复后重新抢占，FastFailover实现快速切换。1秒切换是典型值，但实际时间受配置影响。7.√解析：MTU不匹配会导致分片，增加延迟和丢包。正确设置MTU可提高隧道传输效率。8.×解析：Stack-AC为成员设备分配虚拟MAC地址，但物理MAC地址仍由设备本身决定。不同VLAN的设备MAC地址可能不同。9.×解析：BFD通过短周期报文检测链路，高延迟链路仍能实现快速检测（延迟决定超时）。BFD精度不限于网络延迟。10.√解析：deny动作立即阻断匹配流量，是安全策略的常用动作。IPS策略通过匹配攻击特征执行阻断。四、简答题答案1.区别：-as-path-preference影响AS路径选择，优先级数值越小越优先-local-preference影响iBGP邻居间路由选择，数值越大越优先适用场景：-as-path-preference用于控制外部路由进入AS的路径选择-local-preference用于优化AS内部出口的负载均衡2.原理：ACI通过Spine-Leaf架构，将二层和三层信息统一管理。核心机制包括：-EVPN实现二层和三层信息的统一学习-VxLAN封装实现二层隔离-Spine-Leaf路由协议（如BGP）实现三层路由同步-APIC（Application-InfrastructureControlplane）集中管理3.关键特性：-Preemption（抢占式）-FastFailover（快速故障切换）-DataSynchronization（数据同步）-GracefulSwitchover（无中断切换）4.区别：-TotallyStubby区域禁止所有外部路由进入，仅允许默认路由-Not-Adv-Routes区域允许默认路由，但禁止其他外部路由适用场景：-TotallyStubby适用于终端区域，如分支机构-Not-Adv-Routes适用于部分连接区域，如部分数据中心5.-广播：通过EVPNBroadcast机制转发广播流量-未知单播：通过EVPNUnicast机制学习MAC地址并转发-组播：通过EVPNMulticast机制实现组播路由和转发6.设计：-ACL精确匹配需要NAT的流量源IP和端口-NAT转换规则指定公网IP和端口映射关系-端口复用使用不同的端口号（如8080和443）实现多用户共享7.问题：-MTU不匹配导致分片-隧道协议配置错误-认证信息不匹配解决方法：-手动调整MTU值-检查GRE和IPsec配置-确认用户名和密码正确8.配置：-Stack-AC冗余：配置主备Stack-AC，使用Eth-Trunk连接-远程管理：配置VPN或动态路由，使管理流量可通过隧道传输五、应用题答案1.主要命令：```配置GRE隧道interfaceTunnel0descriptionVPN-Tunnelipaddress10.5.0.1255.255.255.252tunnelsource192.168.3.1tunneldestination203.0.113.2tunnelmodegreipsec配置IPsecipsecpolicy10espaes-256-sdesipsectransform-settsaespaes-256-sdesesp-hmacsha1配置NATipnatinsidesourcelist100interfaceTunnel0access-list100permitip10.1.0.00.0.255.255any配置访问控制aclnumber200rule5permitsource192.168.1.100```2.核心命令：```MLAG配置interfaceEth-Trunk1mlagpfcmlagpeer-linkGigabitEthernet0/0/1接入配置interfaceVxlan100vni100vsiGigabitEthernet0/0/2VLAN配置vlan10vsiGigabitE