2026年网络安全防护网络设备配置测试卷附答案

2026年网络安全防护网络设备配置测试卷附答案一、单项选择题（每题2分，共15题，30分）1.在华为防火墙的默认安全区域中，优先级最高的区域是（）A.LocalB.TrustC.DMZD.Untrust答案：A解析：Local区域代表防火墙自身，默认优先级为100；Trust、DMZ、Untrust的优先级分别为85、50、5。2.状态检测防火墙与传统包过滤防火墙相比，最根本的区别是（）A.支持更多的应用协议B.建立并维护会话表，依据连接状态动态放行回程报文C.支持网络地址转换功能D.可以识别并阻断所有应用层攻击答案：B解析：状态检测的核心是会话表，属于同一连接的回程流量可根据会话状态自动匹配放行，而传统包过滤逐包孤立匹配。3.某网段需要容纳254台主机，最合适的子网掩码是（）A.B.28C.92D.答案：A解析：对应/24，可用主机数为284.在华为VRP系统中，高级访问控制列表（ACL）的编号范围是（）A.2000~2999B.3000~3999C.1000~1999D.4000~4999答案：B解析：基本ACL编号为2000~2999，高级ACL编号为3000~3999。5.IPSecVPN中，IKE协议协商使用的默认端口是（）A.TCP500B.UDP500C.TCP4500D.UDP4500答案：B解析：IKE默认使用UDP500端口；NAT穿越场景下使用UDP4500。6.在防火墙默认策略下，从Trust区域发往Untrust区域的报文（）A.被允许通过B.被拒绝通过C.由路由表是否匹配决定D.被镜像到日志服务器答案：B解析：华为防火墙缺省安全策略为拒绝所有，即使方向为Trust→Untrust，也需显式配置安全策略放行。7.下列攻击中，属于拒绝服务攻击的是（）A.SYNFloodB.SQL注入C.ARP欺骗D.端口扫描答案：A解析：SYNFlood通过发送大量SYN报文占满目标半连接队列，使合法用户无法建立TCP连接。8.在ACL中，通配符（反掩码）55表示（）A.匹配所有IP地址B.匹配前24位相同的IP地址C.匹配后24位相同的IP地址D.仅匹配一台主机答案：B解析：反掩码中0表示对应位必须相同，255表示对应位任意；55说明IP地址前24位固定。9.以串接方式部署在网络链路中，能够对检测到的攻击流量进行实时阻断的设备是（）A.入侵检测系统（IDS）B.入侵防御系统（IPS）C.漏洞扫描器D.日志审计系统答案：B解析：IPS在线部署，可在检测到攻击时直接阻断；IDS多为旁路监听，主要产生告警。10.对网络设备进行远程管理时，比Telnet更安全的协议是（）A.SNMPv1B.HTTPC.SSHD.FTP答案：C解析：SSH对管理会话进行加密传输，Telnet、HTTP、FTP均为明文协议。11.防火墙会话表（SessionTable）中五元组不包括（）A.源IP地址B.目的IP地址C.MAC地址D.协议号答案：C解析：五元组包括源IP、目的IP、源端口、目的端口和协议号，不含MAC地址。12.某企业需要将Web服务器对外发布，同时希望隔离来自互联网的攻击，通常应将服务器放置在（）A.Trust区域B.Untrust区域C.DMZ区域D.Local区域答案：C解析：DMZ专门用于放置对外提供服务的服务器，既允许有限的外网访问，又与内网隔离。13.目的NAT（端口映射）主要用于实现（）A.多台内网主机共享一个公网地址访问InternetB.公网用户访问位于内网或DMZ的服务器C.隐藏内网拓扑结构D.对报文进行加密传输答案：B解析：目的NAT将公网IP/端口映射为服务器私网IP/端口，实现外到内的服务发布；多台主机共享公网地址属于源NAT。14.防火墙双机热备需要同步的数据不包括（）A.配置文件B.会话表C.用户认证表D.业务报文内容答案：D解析：双机热备同步状态信息（会话、认证、配置），保证故障切换时业务连续，但不会同步用户业务数据。15.下列措施中，防范内部网络ARP欺骗攻击最有效的是（）A.交换机上部署DHCPSnooping并结合IP-MAC绑定B.提高交换机端口速率C.扩大内网子网范围D.开启防火墙状态检测答案：A解析：DHCPSnooping可建立可信的IP-MAC-端口绑定关系，结合ARP检测能有效抑制伪造ARP报文。二、多项选择题（每题2分，共10题，20分）1.防火墙安全策略中，可以作为匹配条件的有（）A.源安全区域B.目的IP地址C.服务（协议与端口）D.用户答案：ABCD解析：安全策略支持从区域、地址、用户、服务、时间等多个维度定义匹配条件，灵活控制流量。2.下列属于防火墙常见部署模式的有（）A.路由模式B.透明模式C.混合模式D.集中管理模式答案：ABC解析：防火墙可工作在路由、透明（二层桥接）或混合模式；集中管理模式是管理方式，不属于部署模式。3.关于访问控制列表（ACL）的描述，正确的有（）A.规则按照配置顺序自上而下匹配B.基本ACL可以同时匹配源IP地址和目的IP地址C.高级ACL支持基于协议类型和端口号的匹配D.高级ACL的编号范围为3000~3999答案：ACD解析：基本ACL只依据源IP地址进行匹配，B错误；高级ACL可组合源/目的IP、协议、端口等条件。4.IPSecVPN能够提供的安全服务包括（）A.数据加密B.数据完整性校验C.对端身份认证D.防重放攻击答案：ABCD解析：IPSec通过ESP/AH协议组合实现加密、完整性、源认证与防重放。5.防火墙双机热备中，用于实现主备切换和状态同步的关键技术有（）A.VRRP/VGMPB.会话表备份C.配置自动同步D.日志定期清理答案：ABC解析：双机热备依靠VRRP/VGMP实现故障倒换，通过HRP同步会话表与配置；日志清理与高可用无关。6.针对DDoS攻击，下列防护措施中有效的有（）A.部署流量清洗设备B.配置黑洞路由C.启用SYNCookieD.只提高服务器CPU配置答案：ABC解析：流量清洗、黑洞路由和SYNCookie都能从不同层面缓解DDoS；单纯增强服务器性能无法抵御大流量攻击。7.下列设备中，通常以串接方式部署在网络链路上的有（）A.防火墙B.入侵防御系统（IPS）C.入侵检测系统（IDS）D.Web应用防火墙（WAF）答案：ABD解析：IDS通常旁路监听，不影响业务链路；防火墙、IPS、WAF一般串接部署以实时控制或阻断流量。8.在防火墙上规划安全策略时，通常包括的步骤有（）A.划分安全区域B.定义地址对象C.定义服务对象D.确定策略动作答案：ABCD解析：安全策略规划需要先明确区域、地址和服务对象，再确定允许/拒绝动作及策略放置顺序。9.关于ESP协议的描述，正确的有（）A.可提供加密、完整性校验和防重放B.使用IP协议号50C.使用IP协议号51D.传输模式下不修改原始IP头答案：ABD解析：IP协议号51对应AH协议；ESP协议号为50，传输模式仅封装传输层及以上数据，不改变原IP头。10.在边界部署防火墙后仍需要部署其他安全设备的原因包括（）A.防火墙难以识别应用层攻击B.防火墙无法防御来自内部的攻击C.防火墙不能对用户行为进行深度审计D.防火墙不能完全替代防病毒和WAF功能答案：ABCD解析：防火墙侧重访问控制和状态检测，应用层防护、内网审计和恶意代码过滤需要与其他安全设备协同完成。三、判断题（每题1分，共10题，10分）1.华为防火墙默认将所有接口划分在Untrust区域，管理员需根据业务需求将接口加入对应安全区域。答案：正确2.在防火墙上完成配置后，无需保存配置，重启后配置仍然生效。答案：错误3.会话表是防火墙实现状态检测的核心数据结构。答案：正确4.AH协议可以对IP报文提供加密传输功能。答案：错误解析：AH协议只提供认证与完整性校验，不提供加密功能；数据加密由ESP协议提供。5.将服务器放置在DMZ区域后，内网用户访问该服务器也需要通过安全策略控制。答案：正确6.防火墙的包过滤功能可以识别并阻断所有应用层攻击。答案：错误解析：包过滤主要基于网络层和传输层信息检查，应用层攻击需要IPS、WAF等专业设备深度检测。7.静态NAT将内部地址与公网地址进行一对一映射，适合为需要固定公网地址的服务器提供地址映射。答案：正确8.IPSecVPN通常比SSLVPN更适合站点到站点的固定互联场景。答案：正确9.在防火墙上配置黑洞路由，可以将目的地址为攻击目标的流量直接丢弃，作为紧急缓解DDoS的手段。答案：正确10.网络安全设备的管理接口应直接接入Untrust区域，以便管理员从互联网远程管理。答案：错误解析：管理接口应连接到独立的管理网段，并通过ACL限定管理员的源地址，避免暴露在不可信区域。四、简答题（每题5分，共4题，20分）1.简述防火墙安全策略的组成要素，并说明安全策略的匹配原则。答案：（1）组成要素：源安全区域、目的安全区域、源地址/地址组、目的地址/地址组、服务（协议与端口）、用户、动作（允许/拒绝）以及时间等。（2）匹配原则：防火墙按照策略配置顺序从前向后逐条匹配，报文命中某条策略后立即执行相应动作，不再继续匹配后续策略。解析：没有命中任何策略的报文由防火墙缺省动作处理。华为防火墙缺省动作为拒绝，因此应显式配置必要的放通策略。2.常见的NAT技术有哪几类？分别适用于什么场景？答案：（1）源NAT（SNAT）：对报文源地址进行转换，常配合NAPT实现多台内网主机共享公网地址访问Internet，同时隐藏内部地址。（2）目的NAT（DNAT）：对报文目的地址/端口进行转换，常用于将公网地址的某端口映射到内部服务器，实现服务发布。（3）双向NAT：同时转换源地址和目的地址，适用于网络地址重叠或需要双向地址映射的互联场景。解析：除上述基本分类外，NAT还包括静态NAT、动态NAT、EasyIP等具体实现形式，答题时说明分类及应用即可。3.简述IPSecVPN建立连接的主要过程。答案：（1）定义需要保护的数据流，即触发VPN建立的感兴趣流量；（2）IKE第一阶段协商建立ISAKMPSA，完成设备身份认证和密钥材料交换；（3）IKE第二阶段协商建立IPSecSA，确定加密算法、认证算法、封装模式及安全参数；（4）IPSecSA建立后，对感兴趣流量按协商参数进行加密、完整性校验和封装，实现安全传输。解析：IPSecVPN可分为IKE协商（控制平面）和数据封装（数据平面）两个阶段，答题时体现两阶段IKE协商即可。4.企业边界防火墙用于保护内部网络时，通常如何划分安全区域？答案：（1）内网用户终端所在网段划分到Trust区域；（2）对外提供服务的服务器（如Web、Mail服务器）划分到DMZ区域；（3）互联网侧对应Untrust区域；（4）防火墙自身的管理流量属于Local区域。解析：区域划分后还需分别配置Trust→Untrust、Untrust→DMZ、Trust→DMZ等安全策略，确保各区域按业务规则互访。五、综合配置题（每题10分，共2题，20分）1.某企业部署一台防火墙实施边界安全防护，接口与网段规划如下：•GE0/0/1连接内网/24，计划划入Trust区域；•GE0/0/2连接DMZ区/24，Web服务器地址为0；•GE0/0/3连接互联网，公网接口地址为/30，对应Untrust区域。现要求：（1）内网用户可以访问Internet；（2）互联网用户可以通过公网地址的80端口访问DMZ区的Web服务器；（3）内网用户不允许访问DMZ区数据库服务器0的3306端口，但允许访问Web服务器。请写出防火墙配置的基本步骤（包括区域划分、接口地址、安全策略和NAT策略的关键配置）。答案：以下配置以华为USG系列防火墙为例。（1）划分安全区域并添加接口：firewallzonetrust

addinterfaceGigabitEthernet0/0/1

firewallzonedmz

addinterfaceGigabitEthernet0/0/2

firewallzoneuntrust

addinterfaceGigabitEthernet0/0/3（2）配置接口IP地址及默认路由：interfaceGigabitEthernet0/0/1

ipaddress

interfaceGigabitEthernet0/0/2

ipaddress

interfaceGigabitEthernet0/0/3

ipaddress52

iproute-static（3）定义地址对象：ipaddress-setdmz-webtypeobject

address0055

ipaddress-setdmz-dbtypeobject

address0055（4）配置安全策略（按顺序匹配）：security-policy

rulenamedeny_trust_to_db

source-zonetrust

destination-zonedmz

destination-addressaddress-setdmz-db

serviceprotocoltcpdestination-port3306

actiondeny

rulenamepermit_trust_to_web

source-zonetrust

destination-zonedmz

destination-addressaddress-setdmz-web

serviceprotocoltcpdestination-port80

actionpermit

rulenamepermit_trust_to_untrust

source-zonetrust

destination-zoneuntrust

actionpermit

rulenamepermit_untrust_to_web

source-zoneuntrust

destination-zonedmz

destination-addressaddress-setdmz-web

serviceprotocoltcpdestination-port80

actionpermit（5）配置源NAT和目的NAT：nat-policy

rulenamenapt_internet

source-zonetrust

destination-zoneuntrust

actionsource-nateasy-ip

interfaceGigabitEthernet0/0/3

natserverweb_serverprotocoltcpglobal80inside080（6）执行save保存配置。解析：本题的关键点有三处：-安全策略按顺序匹配，因此拒绝数据库的规则必须排在允许规则之前；若未配置显式拒绝，防火墙缺省deny也能阻止该流量，但显式拒绝便于记