八月份安全面试战报分享~

Greyson

一、1.4、描述TCP三次握手的过程，以及开启状态监测功能时如何建立会话
按主干答，讲了3次握手4次断开，
追问：
1、你简单的说一下会话表里面有什么内容？
   以画了一个会话表
2、你在工作过程中，见过几种policyname的表示？  
   我说两种，一种是正常匹配安全策略，policyname显示安全策略的名字，一种是---，表示不受安全策略控制的会话
8 ^! Q. j' N+ _# D* q9 H3、有哪些会话不受安全策略控制？
   开启接口网管功能，访问接口的流量，做了双机热备的时候，主机同步到备机的会话，在备机上看到就是---，考官说还有吗？我说由ASPF产生的会话表也是--，又问还有吗？
   把你知道的都说出来，我又说了同一个安全区域内互访的流量也是
4、同一个接口的流量需要放行安全策略吗？
   我说不用，同一个安全区域内的流量互访才需要放行，我举了个例子，防火墙起2个不同网段的三层口，不同网段之间互访需要放行安全策略，考官：也就是同一个安全区域内不同接口互访
   需要放行策略对吧，我说是的
( d( {4 F7 ~) G0 x( N+ i5、那一个接口加入到多个安全区域的情况下，怎么处理呢？  
   我说一个接口只能加入到一个安全区域
6、什么情况下MAC地址为全0？
   答了3点：arp解析下一跳地址失败时，访问自身接口的流量，虚拟系统访问根系统的时候，根墙上是全0
& i! m1 s9 f2 e9 w二、3.10、IPSec和NAT
& n+ @3 x( A. _9 u: n按主干答，先分析两个场景，配置上需要注意的地方，然后开始讲怎么部署，最后讲安全策略怎么放行
1、你刚刚说到传输模式不支持NAT，隧道模式支持，为什么，？
. {1 N3 T0 a- i" ]   讲了TCP校验和再做完NAT后重新校验的时候，会校验失败，隧道模式是在原有数据包头前插入一个新的IP头，所以没有影响
2、对于场景二，FW1和FW2要放行什么策略？
6 F9 m4 i: ?% X4 J; D( w. p0 o   主干的时候已经讲了，又重新回答，FW1 放行UDP500,ESP,业务流量，FW2刚开始回答要放行UDP500,ESP,考官问为什么要放心esp的流量，当时反应过来说不是esp是udp4500
0 p8 h( Q+ r) k4 ~/ `3、你刚刚说要no-nat掉IPSEC的业务流量，不然会匹配不上感兴趣流，那可不可以把IPSEC的感兴趣流配置成NAT后的公网地址呢？为什么
" p6 r+ _' H" x- [; t   我先回答不可以，对方收到解封装后露出新的IP头也是公网的，匹配不上感兴趣流，考官又说，那把对端的感兴趣流也配置成公网的呢？我想了一下说不知道，但应该是会有问题的，考官没说什么
三、1.3、两台虚拟系统如何实现互访，请描述设计和配置，有问到老虚拟防火墙的问题路由，包过滤等
$ E4 y  s7 T6 S# }按照主干，先讲了什么是虚拟系统，什么是虚拟接口，又讲了资源分配的三种方式，开始画图讲怎么部署 路由---策略
2 N, U, t- ?* M9 d8 Y1、虚拟系统里面有一个引流表，是干什么用的？
   虚拟系统访问根系统时，两个系统都会创建会话，但匹配上引流表后，根墙就不会创建会话而是直接转发，能够节约会话资源，简化配置，根墙不用放行安全策略
  h9 A/ S! i. u& z2 J' ]# |2、那在配置引流表的时候，有没有什么需要注意的？
, g9 A  @' d. G. F$ `- f0 X! E   讲了配置NAT和VPN的话，可能会影响业务，引流表只会根据收到的一个报文进行转发，对于像vpn解封装后得到的报文匹配上引流表后，也不会转发的
3、虚拟系统之间互访，根墙要不要配置路由，安全策略？
) \8 e9 t& j+ K, A9 q4 d9 }   回答路由需要配置，安全策略不用
$ I' P+ X7 c. u6 j

考官点评
1、既然你都说到了，策略名字是---的时候，是不受安全策略控制的，回去再自己查一下，还有哪些是不受安全策略控制的会话，比如hrp的数据同步，就不受安全策略控制，我这里只是举个例子
2、你说了传输模式不支持nat是因为tcp里面的校验和会检验失败，所以不支持，但传输模式是支持nat的，回去你自己做一下实验
! k# J+ A1 F$ f- A3、对于你说的同一个安全区域内，要不要放行安全策略，以及从同一个接口内进来和出去的流量要不要放策略，回去再自己查一下文档。

7 G, A* [6 P/ v( y5 R8 Z$ `& |/ B提供数通安全云计算面试一对一辅导，解决讲师少学员多的问题，稳定题库视频持续更新提供噢！全程考证计划联系VX：Greyson-lin

: d% U) L- `" [3 Q: H

LeeH0523

感谢分享，学习到了

lei.mao@finecom

我关心的是兄弟你过没过，祝福你吧

larry0828

最后过了没有？

keluhexiaoq