2026年安全设备策略配置实操考核试题

2026年安全设备策略配置实操考核试题一、单项选择题（每题2分，共20分）1.在华为USG系列防火墙中，安全区域Trust与Untrust之间的默认数据流动方向是？A.Trust到Untrust默认拒绝，Untrust到Trust默认拒绝B.Trust到Untrust默认放行，Untrust到Trust默认拒绝C.Trust到Untrust默认拒绝，Untrust到Trust默认放行D.Trust到Untrust默认放行，Untrust到Trust默认放行答案：A解析：华为USG防火墙未配置安全策略时，所有区域间流量默认全部拒绝，必须显式配置策略后才能通信。2.配置安全策略时，源地址使用通配符掩码55，其匹配含义是？A.匹配任意源地址B.匹配所有C类地址C.匹配规则中指定IP地址前24位相同、后8位任意的网段D.匹配所有私网地址答案：C解析：通配符掩码中0表示必须严格匹配，255表示任意匹配。55表示前24位固定，后8位不限制。3.防火墙会话表老化时间设置过短，可能导致下列哪种现象？A.正常长连接被中断，业务反复重连B.防火墙CPU利用率持续升高C.所有报文被直接丢弃D.防火墙自动重启答案：A解析：老化时间过短会提前清除空闲会话，使数据库连接、SSH会话等长连接在后续报文到达时查不到会话而被丢弃。4.使用NAT实现私网用户访问公网资源时，通常配置哪种转换？A.目的NAT（DNAT）B.源NAT（SNAT）C.双向NATD.一对一静态NAT答案：B解析：私网访问公网时，把报文源地址由私网地址转换为公网地址，属于源NAT。目的NAT常用于对外发布内网服务。5.某安全策略动作为“告警”时，防火墙对匹配报文的处理方式是？A.阻止报文并记录日志B.放行报文并记录日志C.仅记录日志，不处理报文D.将报文镜像到审计接口答案：B解析：下一代防火墙的“告警”动作代表放行并产生告警日志，“阻断”动作才丢弃报文。两者都具备审计记录能力。6.某企业需将内网Web服务器0发布到互联网，使外网用户通过公网地址访问该服务器，应优先配置？A.源NAT策略B.目的NAT策略C.源地址过滤策略D.应用带宽策略答案：B解析：外网访问内网服务器时，需将公网地址转换成内网服务器地址，该过程由目的NAT完成。7.配置多条安全策略时，决定匹配优先顺序的核心原则是？A.允许策略放在最前，拒绝策略放在最后B.拒绝策略放在最前，允许策略放在最后C.具体的、范围小的策略放在前，宽泛的策略放在后D.按策略创建时间的先后自动排序答案：C解析：防火墙按顺序逐条匹配策略，将精细化规则前置可避免被后续宽泛规则抢先命中。8.关于防火墙双机热备（HA），下列说法正确的是？A.主备设备的配置必须手动逐条同步B.开启会话同步后，主备切换时已有连接不中断C.备用设备在正常情况下也转发业务流量D.两台设备可以配置不同的虚拟服务IP地址答案：B解析：开启会话同步后，主设备的会话表实时同步到备用设备，切换时备用设备可直接找到会话并继续转发。选项C描述的是负载分担模式，主备模式下备设备不转发业务流量。9.远程管理防火墙设备时，下列哪种协议最安全？A.TelnetB.HTTPC.SSHD.FTP答案：C解析：SSH对传输内容进行加密，可防止管理口令在网络中被窃听。Telnet、HTTP、FTP均为明文传输。10.配置公网地址0的80端口映射到内网服务器0的8080端口，该操作属于？A.目的NAT与端口转换B.源地址转换C.端口镜像D.端口聚合答案：A解析：将公网地址的端口映射到内网服务器的另一端口，同时完成目的地址与目的端口转换，属于目的NAT的端口转换形式。二、多项选择题（每题3分，共15分）1.下一代防火墙相较于传统包过滤防火墙的增强能力包括？A.应用层协议识别与管控B.基于用户的访问控制C.深度包检测（DPI）D.路由协议自动学习答案：ABC解析：应用识别、用户维度控制、深度包检测是下一代防火墙的核心能力。路由协议学习属于传统网络层路由功能，并非下一代防火墙特有的增强方向。2.下列属于安全策略配置最佳实践的有？A.在策略末尾配置默认拒绝规则B.合并为宽泛网段以减少策略条目C.定期审计策略命中率，清理冗余策略D.为临时放行策略设置有效期答案：ACD解析：B与最小权限原则相悖。过度合并网段会扩大流量放行范围，策略应基于业务需求细化；临时策略必须设置生命周期，避免遗留安全隐患。3.某终端无法访问服务器端口，以下哪些排查步骤是合理的？A.检查防火墙会话表中是否有对应会话B.检查安全策略的匹配计数是否增长C.直接重启防火墙恢复业务D.检查服务器端口是否正常监听答案：ABD解析：排查应逐层定位，先看策略命中与会话建立情况，再看服务器自身状态。直接重启防火墙会中断全部业务，且无法定位根因。4.防火墙安全策略的“五元组”通常包括？A.源地址B.目的地址C.源端口D.目的端口E.协议答案：ABCDE解析：五元组即源IP、目的IP、源端口、目的端口、传输层协议，是安全策略匹配的基础要素。5.关于防火墙策略匹配机制，下列描述正确的有？A.策略按从上到下的顺序逐条匹配B.匹配到第一条符合条件的策略后停止继续匹配C.所有策略都会匹配一遍，最终执行最后一条策略的动作D.未命中任何策略时报文默认丢弃答案：ABD解析：防火墙采用“首条匹配”机制，命中第一条策略后即结束查找。若所有策略均未命中，报文被隐式拒绝。三、判断题（每题1.5分，共15分）1.新配置的安全策略保存后，对新建会话立即生效，对已建立会话不产生影响。答案：正确解析：已建立会话继续按原有会话表项转发，新策略只对策略生效后新建的连接起作用。2.防火墙默认所有区域间互访均为放行，只需对需要拒绝的流量配置阻断策略即可。答案：错误解析：防火墙默认安全模型为“未明确允许即拒绝”，区域间默认不存在放行流量，必须显式创建允许策略。3.状态型防火墙收到报文时，若会话表中无对应会话，则将报文直接转发到目的地。答案：错误解析：无会话的首包需先匹配安全策略并建立会话，匹配失败则被丢弃，不会直接转发。4.配置IPSecVPN时，需要确保安全策略放行UDP500与UDP4500端口。答案：正确解析：UDP500承载IKE协商报文，UDP4500用于NAT场景下的ESP封装传输。5.防火墙丢弃事件日志中只记录丢弃时间和接口名称，不包含源目IP地址。答案：错误解析：完整的安全日志至少包含源IP、目的IP、端口、协议、动作、接口与时间等信息，否则无法支撑事后溯源。6.引用地址组可以将多条策略合并，减少策略条目数，便于统一维护。答案：正确解析：地址组是对同类地址对象的逻辑聚合，合理使用可降低策略复杂度。7.防火墙管理接口不能配置外网地址，否则存在严重安全隐患。答案：错误解析：管理接口可以配置外网地址，但应通过管理ACL限定管理源地址范围，并启用SSH等加密管理方式，而非一概禁止。8.安全组属于状态型防护，允许出方向的流量时，对应回程流量自动放行。答案：正确解析：安全组基于连接状态自动放行合法回程流量，无需为回程单独配置规则。9.配置源NAT将私网地址转换为公网地址后，回程流量仍需额外配置目的NAT才能回到私网。答案：错误解析：状态型防火墙依据会话表自动完成回程报文的反向地址转换，无需额外配置目的NAT。10.配置安全策略时，将具体的、特定地址的规则放在宽泛规则之后，可以保证精确匹配。答案：错误解析：防火墙按顺序匹配，宽泛规则在前会优先命中并覆盖后续精确规则，因此精确规则应前置。四、简答题（每题10分，共30分）1.简述安全策略配置中“最小权限”原则的含义，并列举至少4条落地措施。答案：最小权限原则指默认拒绝所有未显式允许的流量，仅放行业务运行所必需的最小通信范围，从而降低攻击面。落地措施包括：（1）在策略末尾配置默认拒绝规则，保证未命中策略的流量被丢弃；（2）精确配置源地址、目的地址、服务与端口，避免滥用any；（3）按业务实际需要拆分来源网段，不使用大网段放行；（4）定期审计策略命中率与日志，清理长期零命中策略；（5）为临时放行策略设置有效期，到期自动失效或提醒回收。解析：最小权限是安全策略配置的核心原则，强调的是“默认拒绝、显式放行、精确匹配、定期收敛”。仅配置默认拒绝还不够，还必须同步治理策略冗余与过度宽泛放行的问题。2.防火墙双机热备（HA）中，开启会话同步的作用是什么？请说明主备切换时已有连接不中断的原理。答案：会话同步的作用：将主设备的会话表项通过独立的心跳/同步链路实时备份到备用设备，使备用设备在接管后仍具备完整的连接状态信息。主备切换时连接不中断的原理：（1）主设备在建立、更新、删除会话时，同步地将对应表项发送给备用设备；（2）主设备故障后，虚拟服务IP漂移到备用设备；（3）备用设备已持有同步过来的会话表，后续报文到达后可直接匹配会话继续转发；（4）由于无需重新执行策略匹配与地址转换，业务连接得以保持。解析：未开启会话同步时，备用设备不感知已有连接，切换后客户端须重新发起连接，数据库、视频会议等长连接业务会明显中断。会话同步是保障HA切换平滑性的关键配置。3.简述NAPT（端口复用）与一对一静态NAT的主要区别，并说明各自适用场景。答案：NAPT（端口复用）：•多个私网地址共享一个或少量公网地址，通过端口号区分不同连接；•节省公网IP地址资源，但单个公网地址可承载的并发连接数有限；•适用于大量内部用户访问互联网的典型上网场景。一对一静态NAT：•一个公网地址固定映射一个内网地址，不涉及端口转换；•公网地址消耗较多，但内外映射关系固定；•适用于对外提供服务的服务器，如Web服务器、邮件服务器等。解析：选择何种NAT方式主要取决于业务方向与公网地址资源。出方向高并发访问场景优先考虑NAPT，入方向固定服务发布场景优先使用一对一NAT或目的NAT端口映射。五、案例分析题（每题10分，共20分）1.某单位防火墙串联在办公网与互联网之间，办公网使用/24网段。市场部反馈无法访问外网Web页面，但即时通讯软件正常工作。已知防火墙策略末尾配置了默认拒绝规则。请写出排查思路并说明可能原因。答案：排查重点应围绕HTTP/HTTPS流量展开，按以下维度逐步定位：（1）源地址维度确认市场部终端IP是否命中放行策略，检查该网段是否被策略中“拒绝”动作先行命中；查看策略匹配计数是否增长。（2）服务端口维度确认放行策略中是否包含TCP443、TCP80端口；检查应用识别或URL过滤功能是否将Web流量误判后阻断。（3）NAT维度确认市场部网段是否包含在源NAT转换规则中，检查公网地址池是否耗尽，查看NAT会话建立情况。（4）会话与日志维度查看防火墙会话表中是否存在对应TCP443会话；若会话未建立，结合丢弃日志定位被哪条策略或哪一环节拦截。（5）路由维度检查防火墙默认路由是否指向正确的运营商下一跳，外网接口链路是否正常。解析：即时通讯可用说明基础网络与NAT大概率正常，问题更可能集中在Web业务相关的应用层策略、端口放行或URL过滤上。通过“会话表、策略计数、丢弃日志”三件套可快速收敛问题范围。2.某公司将内网服务器0的Web服务发布到互联网，防火墙公网接口地址为0，已配置目的NAT策略将0的80端口映射到0的80端口，同时放行了Untrust到Trust区域的HTTP流量。外网用户仍然无法访问，请分析可能的原因并给出进一步排查方向。答案：可能原因包括：（1）目的NAT策略未生效检查NAT策略是否绑定正确接口与安全区域，确认匹配条件是否完整，查看NAT转换计数与NAT会话是否正常创建。（2）公网地址归属问题确认0是否真实配置在该防火墙接口上，运营商是否已将该地址路由指向本设备。（3）策略命中计数无增长若Untrust到Trust的安全策略命中计数始终为0，说明报文可能未到达该策略，需检查上游路由或接口区域是否正确。（4）服务器自身状态异常确认