24 道安全基础练习题及答案

1. 1. 一名安全研究员发布了一个脚本：它向交换机的管理服务发送精心构造的数据包，触发一个已知的缓冲区溢出，并为发送者打开一个特权 shell。按照标准安全术语，这个脚本本身属于什么？

   • A.针对交换机的一种威胁
   • B.交换机中的一个漏洞
   • C.针对该缺陷的漏洞利用✓ 答案
   • D.对该溢出的缓解措施

   漏洞利用（exploit）是指利用漏洞的工具或技术。本题中，缓冲区溢出缺陷是漏洞，有人用该脚本攻击交换机的可能性是威胁，打补丁或限制对管理服务的访问是缓解措施。脚本本身就是漏洞利用。

   编号 QB-38U5J4依据： Cisco CCNA 200-301 Exam Topics — 5.1 Key security concepts (threats, vulnerabilities, exploits, mitigation)报告此题的问题

2. 2. 边缘路由器的 syslog 显示，一小时内针对 admin 账户出现了数千次 SSH 登录尝试，每次使用的都是不同的常见单词或公开泄露列表中出现过的密码。这是哪种攻击？哪项控制措施最能降低其成功几率？

   • A.中间人攻击；在边缘 VLAN 上启用 DHCP 嗅探
   • B.侦察扫描；在所有外部接口上禁用 CDP
   • C.暴力破解攻击；对配置中的密码做 type 7 加密
   • D.字典攻击；使用长口令短语并在多次失败后锁定✓ 答案

   使用单词表或泄露列表中的密码进行猜测属于字典攻击；暴力破解则是尝试所有可能的组合。长且不常见的口令短语不在列表中，而失败锁定或登录速率限制会限制攻击者可猜测的次数。type 7 编码只是在配置文件中隐藏密码，对在线猜测毫无作用。

   编号 QB-HQANS2依据： Cisco CCNA 200-301 Exam Topics — 5.1 Key security concepts (password attacks and mitigation)报告此题的问题

3. 3. 一台公共 Web 服务器被来自多个国家、数以万计的被入侵家用路由器和 IP 摄像头的流量压垮。每个来源只发送适量流量，封锁少数几个源地址没有明显效果。这种攻击最准确的分类是什么？

   • A.由蠕虫病毒执行的网络侦察扫描
   • B.一种中间人方式的流量中继攻击
   • C.来自单个伪造主机的 DoS 攻击
   • D.由僵尸网络发起的 DDoS 攻击✓ 答案

   分布式拒绝服务（DDoS）攻击同时利用大量被入侵的设备（僵尸网络），因此没有哪个来源流量特别大，封锁单个地址几乎无效；普通 DoS 只来自一个来源。侦察是收集信息而不是耗尽资源，中间人攻击是拦截流量而不是淹没目标。

   编号 QB-28GTC3依据： Cisco CCNA 200-301 Exam Topics — 5.1 Key security concepts (DoS and DDoS attacks)报告此题的问题

4. 4. 安全团队每季度向员工发送逼真的模拟钓鱼邮件，点击链接的人会看到一个关于识别钓鱼的简短提醒页面。打印机旁的海报上也有类似提示。这些活动属于安全计划中的哪个要素？

   • A.用户安全意识计划✓ 答案
   • B.物理访问控制措施
   • C.正式的用户培训课程
   • D.安全事件响应计划

   用户安全意识通过持续、非正式的提醒（如模拟钓鱼活动和海报）让员工时刻保持安全意识。用户培训是有固定内容、按计划进行的正式教学；物理访问控制用工牌、门锁和防尾随门保护设施；事件响应则涉及攻击发生后组织如何应对。

   编号 QB-MQCNA6依据： Cisco CCNA 200-301 Exam Topics — 5.2 Security program elements (user awareness, training, physical access control)报告此题的问题

5. 5. 路由器 EDGE-1 的运行配置中同时有一行值为 BlueFox7 的 enable password 和一行值为 Harbor!88 的 enable secret。技术员在用户 EXEC 提示符下输入 enable。哪个密码能让会话进入特权 EXEC 模式？

   • A.只有 Harbor!88，即 enable secret 的值✓ 答案
   • B.两个值都可以，因为两行同时生效
   • C.只有 BlueFox7，即 enable password 的值
   • D.两个都不行，须先删除其中一行

   当两条命令同时存在时，IOS 使用 enable secret 而忽略 enable password。enable secret 以单向哈希形式存储，这正是它被优先推荐、并且会覆盖较旧、较弱的 enable password 的原因。

   编号 QB-58JTV6依据： Cisco CCNA 200-301 Exam Topics — 5.3 Device access control using local passwords报告此题的问题

6. 6. 审计员在查看一台交换机的配置备份时发现，启用 service password-encryption 后，console 和 VTY 密码以 'password 7 0822455D0A16' 的形式存储。对这些条目的正确评估是什么？

   • A.依赖 NVRAM 中所存密钥的 AES 加密
   • B.同时还能保护 Telnet 会话的加密
   • C.加盐单向哈希，强度等同 enable secret
   • D.可逆的 type 7 编码，很容易被解码✓ 答案

   service password-encryption 只应用 type 7，这是一种很弱的可逆编码，免费工具可瞬间解码；它只能防止别人随意偷看配置。它不是哈希，也不使用 AES 密钥，对 Telnet 会话中输入的密码毫无保护作用，这些密码仍以明文在网络上传输。

   编号 QB-KQZA55依据： Cisco CCNA 200-301 Exam Topics — 5.3 Device access control using local passwords报告此题的问题

7. 7. 审计期间，一份针对路由器 TCP 23 端口管理会话的抓包显示管理员的用户名和密码均为可读文本。哪项更改能修复这一暴露问题？

   • A.VTY 线路仅允许 SSH，它使用加密的 TCP 22✓ 答案
   • B.保留 Telnet，但对存储的密码做 type 7 加密
   • C.保留 Telnet，但改到 TCP 22 端口以实现加密
   • D.改用基于 TCP 80 的 HTTP 网页界面进行管理

   Telnet（TCP 23）以明文发送所有内容，包括凭据；SSH（TCP 22）则加密整个会话，因此将 VTY 线路限制为仅允许 SSH 即可消除暴露。type 7 只改变密码在配置中的存储方式；80 端口上的 HTTP 同样是明文（需要使用 443 端口的 HTTPS）；把 Telnet 换到其他端口并不会增加加密。

   编号 QB-487GQ5依据： Cisco CCNA 200-301 Exam Topics — 2.8 Network device management access (Telnet, SSH, HTTP, HTTPS)报告此题的问题

8. 8. 一家公司正在为其网络运维人员选择一种登录方式，要求必须算作真正的多因素认证。下列哪种组合符合要求？

   • A.智能卡工牌再加 PIN 码✓ 答案
   • B.密码再加一个单独的 PIN 码
   • C.指纹识别再加人脸扫描
   • D.两台服务器上的两个密码

   多因素认证要求来自至少两个不同类别的因素：你知道的、你拥有的、你本身的特征。智能卡属于你拥有的，PIN 属于你知道的。密码和 PIN 都是知识因素，指纹和人脸都是生物特征，两个密码仍然只是一个类别。

   编号 QB-EQ8N9X依据： Cisco CCNA 200-301 Exam Topics — 5.4 Password alternatives (multifactor authentication)报告此题的问题

9. 9. 某公司的密码策略强制所有用户每 30 天更换一次密码。服务台报告显示，用户的应对方式是使用 Spring1!、Summer1!、Autumn1! 这类可预测的模式。哪项修改最符合 NIST 当前的密码策略指南？

   • A.登录时显示密码提示，以减少重置请求
   • B.要求使用长口令短语，并拦截已泄露的密码✓ 答案
   • C.把更换周期缩短到 14 天，并强制使用符号
   • D.将长度上限设为 8 位，方便用户记住密码

   NIST 指南更看重长度（口令短语），并要求将新密码与已泄露和常用密码列表比对；除非有被盗用的证据，否则不建议强制定期更换，因为强制更换恰恰会导致这种可预测的模式。缩短周期会让问题更严重，限制长度会削弱密码，而密码提示会向攻击者泄露信息。

   编号 QB-X7ETUX依据： NIST SP 800-63B memorized secret verifier requirements; Cisco CCNA 200-301 Exam Topics — 5.4 Password policy elements报告此题的问题

10. 10. 一个有 40 名员工的分支机构需要通过互联网与总部建立始终在线的加密连接。管理层不希望在分支机构的 PC 上安装或启动任何 VPN 软件。哪种方案合适？

    • A.每台 PC 都装客户端的远程访问 IPsec VPN
    • B.两台路由器之间不加 IPsec 的普通 GRE 隧道
    • C.两台边缘路由器之间的站点到站点 IPsec VPN✓ 答案
    • D.每个用户在浏览器中打开的无客户端 TLS VPN

    站点到站点 VPN 连接的是整个网络：边缘路由器或防火墙对站点间的流量进行加密，隧道始终保持建立，终端主机无需 VPN 客户端。远程访问 VPN（无论基于客户端还是通过浏览器的无客户端方式）都是按需为单个用户服务；单独的 GRE 只提供隧道，不提供任何加密。

    编号 QB-XG33R3依据： Cisco CCNA 200-301 Exam Topics — 5.5 IPsec remote access and site-to-site VPNs报告此题的问题

11. 11. 正在为两台安全网关配置 IPsec。设计要求每个数据包的载荷对在互联网上抓包的人不可读，并且要经过完整性校验。必须使用哪种 IPsec 协议来承载流量？

    • A.AH，IP 协议号 51
    • B.IKE，UDP 端口 500
    • C.ESP，IP 协议号 50✓ 答案
    • D.GRE，IP 协议号 47

    ESP 通过加密提供机密性，同时提供完整性、来源认证和防重放。AH 提供完整性和认证，但不加密，载荷仍然可读。GRE 是不带加密的隧道协议；IKE 只负责协商安全关联和密钥，并不承载受保护的数据。

    编号 QB-EZVV53依据： IETF RFC 4303 (ESP) and RFC 4302 (AH); Cisco CCNA 200-301 Exam Topics — 5.5 IPsec VPNs报告此题的问题

12. 12. 一条标准 ACL 条目必须匹配 172.16.8.0/22 中的所有源地址，且不能匹配其他地址。与网络地址 172.16.8.0 搭配的通配符掩码应是哪个？

    • A.255.255.252.0
    • B.0.0.3.255✓ 答案
    • C.0.0.1.255
    • D.0.0.7.255

    通配符掩码是子网掩码的反码。/22 的掩码是 255.255.252.0，用 255.255.255.255 减去它得到 0.0.3.255，使第三个八位组可以在 8 到 11 之间变化。0.0.7.255 匹配的是 /21（172.16.8.0 到 172.16.15.255），0.0.1.255 只匹配 /23，而 255.255.252.0 是子网掩码本身，作为通配符会忽略网络位。

    编号 QB-YGEDW4依据： Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (wildcard masks)报告此题的问题

13. 13. 路由器 R1 的 G0/0 连接用户 LAN 10.1.50.0/24，并通过 WAN 链路连到路由器 R2；R2 的 G0/1 连接服务器 LAN 10.9.9.0/24。必须阻止 10.1.50.0/24 中的用户访问服务器 LAN，但他们仍需能访问互联网和所有其他站点。将使用一条先 deny 10.1.50.0 0.0.0.255 再 permit any 的标准 ACL。它应该应用在哪里？

    • A.R1 WAN 接口的出方向，即通往 R2 的链路
    • B.R2 G0/1 的出方向，即面向服务器 LAN 的接口✓ 答案
    • C.R1 G0/0 的入方向，即面向用户 LAN 的接口
    • D.R2 G0/1 的入方向，即面向服务器 LAN 的接口

    标准 ACL 只匹配源地址，因此放在靠近源的位置（R1 G0/0 入方向或 R1 WAN 出方向）会让这些用户无法访问该点之后的所有目的地。放在靠近目的地的位置，即朝向服务器 LAN 的出方向，只会影响前往那里的流量。R2 G0/1 入方向过滤的是来自服务器的数据包，而不是发往服务器的流量。相比之下，扩展 ACL 应放在靠近源的位置。

    编号 QB-FZ88B4依据： Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (ACL placement)报告此题的问题

14. 14. 为阻止一个访客子网，工程师创建了一条只有一个条目 deny 192.168.5.0 0.0.0.255 的标准 ACL，并将其应用在路由器 LAN 接口的出方向。随即，任何子网的主机都无法访问该 LAN。原因是什么？

    • A.标准 ACL 只有应用在入方向时才会生效
    • B.通配符应为 255.255.255.0 才能匹配该子网
    • C.末尾的隐式 deny 丢弃了所有未匹配的流量✓ 答案
    • D.标准 ACL 编号须为 100-199 才能过滤子网

    每个 ACL 末尾都有一条不可见的 deny any，因此只包含 deny 条目的 ACL 不允许任何流量通过；在 deny 之后加一条 permit any 即可解决。标准 ACL 可以应用在任一方向，0.0.0.255 是 /24 的正确通配符，1-99 是有效的标准 ACL 编号范围（100-199 用于扩展 ACL）。

    编号 QB-ZGSQ36依据： Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (implicit deny)报告此题的问题

15. 15. 管理员希望只有管理子网 10.99.0.0/24 中的主机能够向路由器 CORE-1 发起 SSH 会话，无论连接从哪个接口到达，同时不影响经过路由器转发的流量。哪种方法能实现这一点？

    • A.在管理接口上启用端口安全功能
    • B.在管理端口的出方向上应用扩展 ACL
    • C.在路由器的 VTY 线路上应用标准 ACL✓ 答案
    • D.在每个接口的出方向上应用标准 ACL

    应用在 VTY 线路上的 ACL（使用 access-class 而不是 ip access-group）只过滤终结在路由器自身虚拟终端线路上的会话，无论它们从哪个接口进入，且不影响转发流量。接口出方向 ACL 过滤的是离开路由器的流量，而不是以路由器为目的地的会话；端口安全是交换机上限制端口 MAC 地址的功能。

    编号 QB-GZKJG5依据： Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (filtering VTY access)报告此题的问题

16. 16. 必须允许 10.20.0.0/16 中的主机通过 UDP 向服务器 198.51.100.53 发送标准 DNS 查询。下列哪条扩展 ACL 条目应用在面向这些主机的接口入方向时，恰好允许这类流量？

    • A.permit udp host 198.51.100.53 10.20.0.0 0.0.255.255 eq 53
    • B.permit udp 10.20.0.0 255.255.0.0 host 198.51.100.53 eq 53
    • C.permit udp 10.20.0.0 0.0.255.255 host 198.51.100.53 eq 69
    • D.permit udp 10.20.0.0 0.0.255.255 host 198.51.100.53 eq 53✓ 答案

    扩展 ACL 条目的顺序是协议、源、目的，然后是目的端口。DNS 查询发往 UDP 53 端口，/16 的源需要通配符 0.0.255.255。69 端口是 TFTP；把 255.255.0.0 当作通配符会匹配错误的地址；交换源和目的则匹配的是来自服务器的流量，而不是发往服务器的查询。

    编号 QB-2H5397依据： Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (extended ACL entries, well-known ports)报告此题的问题

17. 17. 在路由器 BR-2 上执行 show access-lists，显示如下扩展 ACL，该 ACL 应用于 LAN 接口的入方向： 10 deny tcp any host 203.0.113.10 eq 23 (14 matches) 20 permit ip 10.0.0.0 0.255.255.255 any (95812 matches) 30 permit tcp 10.0.0.0 0.255.255.255 any eq 80 (0 matches) 所有 LAN 主机都使用 10.x.x.x 地址，并且一直在浏览网页。为什么条目 30 的匹配数为零？

    • A.条目 30 只会在末尾的隐式 deny any 之后才被检查
    • B.条目 20 先匹配了这些网页流量，条目 30 永远轮不到✓ 答案
    • C.命中计数器只会在拒绝数据包的条目上增加
    • D.该 ACL 是入方向的，所以看不到主机的网页流量

    ACL 自上而下处理，遇到第一个匹配即停止。所有源自 10.0.0.0/8 且不是发往 203.0.113.10 的 Telnet 的数据包都会匹配范围更大的条目 20，因此条目 30 是多余的，永远不会被评估。permit 条目同样计数，LAN 接口入方向的 ACL 确实能看到主机流量，而隐式 deny 之后不会再评估任何条目。

    编号 QB-HZXVN6依据： Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (top-down first-match processing)报告此题的问题

18. 18. 一个命名扩展 ACL 包含序列号为 10、20 和 30 的条目。工程师需要添加一条新的 deny 条目，要求它在条目 10 之后、条目 20 之前被评估，且不能造成任何中断。正确的做法是什么？

    • A.把条目加在末尾，IOS 会按精确程度重新排序
    • B.在同一接口上再应用一个包含该条目的 ACL
    • C.删除整个 ACL，再按新顺序重新输入所有条目
    • D.在该 ACL 中以序列号 15 输入这条新条目✓ 答案

    命名 ACL 支持序列号，因此序列号为 15 的条目会被插入到 10 和 20 之间，而 ACL 在此期间保持生效。删除并重新输入 ACL 会造成一段没有过滤的空窗期；IOS 不会按精确程度对扩展条目重新排序；每个接口每个方向每种协议只能应用一个 ACL，第二个只会替换第一个。

    编号 QB-3HGDE8依据： Cisco CCNA 200-301 Exam Topics — 5.6 Configure and verify access control lists (named ACLs and sequence numbers)报告此题的问题

19. 19. 一台交换机已在全局和 VLAN 20 上启用 DHCP 嗅探。合法的 DHCP 服务器位于交换机上行端口 G1/0/48 之外，且没有任何接口被配置为信任端口。当 VLAN 20 中的客户端请求地址时会发生什么？

    • A.从上行端口到达的服务器 OFFER 和 ACK 报文被丢弃✓ 答案
    • B.从接入端口到达的客户端 DISCOVER 报文被丢弃
    • C.在 VLAN 20 也启用 DAI 之前，所有端口都保持信任
    • D.客户端能获得租约，但绑定表暂时保持为空

    启用 DHCP 嗅探后，所有端口默认都是非信任端口，非信任端口会丢弃 OFFER、ACK、NAK 等 DHCP 服务器报文。由于通往真实服务器的上行端口不受信任，服务器的回复被丢弃，所有客户端都无法获得地址。客户端报文在非信任端口上是允许的，因此将上行端口设为信任即可解决问题。

    编号 QB-JZA8U7依据： Cisco CCNA 200-301 Exam Topics — 5.7 Layer 2 security features (DHCP snooping)报告此题的问题

20. 20. 在 VLAN 30 上启用动态 ARP 检测（DAI）后，通过 DHCP 获取地址的 PC 仍正常工作，但手动配置静态 IP 地址的网络打印机失去连接。VLAN 30 已启用 DHCP 嗅探，且上行端口为信任端口。原因是什么？

    • A.DAI 只检查 trunk 上的 ARP，所以接入端口被阻断
    • B.除非启用端口安全，否则 DAI 会丢弃所有 ARP 应答
    • C.打印机超过了默认的每秒 15 个 ARP 速率限制
    • D.打印机没有可用于验证其 ARP 的 DHCP 嗅探绑定✓ 答案

    DAI 会将从非信任端口收到的 ARP 报文与 DHCP 嗅探绑定表进行比对。使用静态地址的主机从未经过 DHCP，因此没有绑定，其 ARP 被丢弃；解决办法是为它们配置 ARP ACL 或静态绑定。超过速率限制会使端口进入 err-disabled 状态，打印机很少触发；DAI 在非信任接入端口上工作，与端口安全无关。

    编号 QB-82Z6XR依据： Cisco CCNA 200-301 Exam Topics — 5.7 Layer 2 security features (dynamic ARP inspection)报告此题的问题

21. 21. 某接入端口启用了端口安全，最大 MAC 地址数为 2。接入第三台设备时，其帧被丢弃，系统生成 syslog 消息，安全违规计数器增加，而端口对前两台设备保持正常工作。配置的是哪种违规模式？

    • A.shutdown（关闭）
    • B.protect（保护）
    • C.restrict（限制）✓ 答案
    • D.sticky（粘滞）

    restrict 模式会丢弃未授权 MAC 地址的帧，发送日志或 SNMP 通知，并增加违规计数器，同时保持端口开启。protect 也丢弃帧，但不记录日志、不增加计数器；shutdown（默认模式）会使整个端口进入 err-disabled 状态。sticky 是一种 MAC 学习方式，不是违规模式。

    编号 QB-RH6CHS依据： Cisco CCNA 200-301 Exam Topics — 5.7 Layer 2 security features (port security violation modes)报告此题的问题

22. 22. 某交换机端口配置了端口安全和 sticky MAC 学习。该端口学到了一台工作站的 MAC 地址；第二天在有人保存配置之前，交换机被断电重启。重启后学到的地址消失了。为什么？

    • A.sticky 地址默认在五分钟后从地址表中老化
    • B.sticky 地址写入运行配置，而运行配置未被保存✓ 答案
    • C.sticky 学习只在配置为 trunk 模式的端口上保留
    • D.端口一旦进入 err-disabled，sticky 地址就被清除

    sticky 学习只会把动态学到的 MAC 地址转换为运行配置中的安全条目。除非将运行配置复制到启动配置，否则重启会丢弃这些条目。sticky 条目默认不会老化，端口安全通常配置在接入端口上，而 err-disabled 事件也不会删除 sticky 条目。

    编号 QB-92CH4T依据： Cisco CCNA 200-301 Exam Topics — 5.7 Layer 2 security features (port security sticky MAC learning)报告此题的问题

23. 23. 一家企业希望由中央服务器控制管理员对路由器和交换机的登录，对每一条 CLI 命令单独授权，并加密每个 AAA 数据包的全部内容。哪种协议及传输方式满足这些要求？

    • A.基于 TCP 49 端口的 TACACS+✓ 答案
    • B.基于 UDP 1812 端口的 TACACS+
    • C.基于 UDP 1812 端口的 RADIUS
    • D.基于 TCP 49 端口的 RADIUS

    TACACS+ 运行在 TCP 49 端口上，加密整个数据包内容，并将认证、授权和审计分开，因而可以对设备管理进行逐条命令授权。RADIUS 使用 UDP（1812/1813），只加密密码，并将认证与授权合并，更适合 802.1X 和 VPN 用户等网络接入场景。

    编号 QB-SHHPPT依据： IETF RFC 8907 (TACACS+) and RFC 2865 (RADIUS); Cisco CCNA 200-301 Exam Topics — 5.8 AAA concepts报告此题的问题

24. 24. 一名服务台技术员用自己的凭据登录交换机 ACC-7，凭据由中央 AAA 服务器验证通过。她可以执行 show 命令，但当她尝试进入全局配置模式时，服务器拒绝了该命令。是哪项 AAA 功能在阻止她？

    • A.对 AAA 会话载荷进行加密
    • B.对其允许执行的命令进行授权✓ 答案
    • C.对其登录凭据进行身份认证
    • D.对其输入的命令进行审计记录

    身份认证已经成功，因为她用经过验证的凭据登录了。授权决定已认证用户可以做什么，因此服务器拒绝某条具体命令属于授权决策。审计只记录她做了什么，加密则保护 AAA 流量，并不决定允许哪些命令。

    编号 QB-A2QU9U依据： Cisco CCNA 200-301 Exam Topics — 5.8 Authentication, authorization, and accounting concepts报告此题的问题

练习题依据思科公布的 CCNA 200-301 考试大纲及其背后的 IEEE 与 IETF 标准编写。Cisco 和 CCNA 是 Cisco Systems, Inc. 的商标；本网站与思科无关联，也未获其认可。考试大纲会定期修订——报考前请查阅最新的官方大纲。 关于 CCNA 考试（思科）→