网络安全
网络安全的考查集中在协议层次上的攻击手法与防护设备的能力边界：防火墙、IDS/IPS、VPN、网络隔离与链路层攻击，题目常给一个部署要求让考生选择设备类型、部署位置或封装模式。
攻击与协议层次
- 链路层：ARP 欺骗（伪造网关 MAC 做中间人）、MAC 泛洪、VLAN 跳跃（双重打标签、交换机欺骗）。
- 网络层：IP 欺骗、ICMP 重定向、分片攻击、路由协议劫持。
- 传输层：SYN Flood、端口扫描、会话劫持。
- 应用层：DNS 劫持与缓存投毒、HTTP 洪水、反射放大（借 DNS/NTP 放大流量）。
设备能力边界
- 包过滤防火墙：只看五元组，无状态，快但无法识别会话是否合法。
- 状态检测防火墙：维护会话表，可丢弃伪造 ACK 等不符合握手序列的包。
- 应用代理/下一代防火墙：可做应用识别、URL 过滤、入侵防御，开销与时延更大。
- IDS 旁路部署只告警；IPS 串联部署可阻断，但引入时延与单点故障风险。
- 网闸（单向导入）用于不同密级网络间摆渡；DMZ 放置对外服务器，内外网访问均受策略控制。
IPsec 与 TLS
- AH 只做认证与完整性，不加密；ESP 提供加密，可选认证。要求保密就必须用 ESP。
- 传输模式保护上层载荷、保留原 IP 头；隧道模式封装整个原 IP 包，用于站点到站点 VPN。
- IKE 第一阶段建立 ISAKMP SA（主模式或野蛮模式），第二阶段建立 IPsec SA。
- TLS 握手协商密码套件、验证证书，用非对称算法协商会话密钥，之后用对称加密传输数据。
工作示例
总部与分支机构经公网互联，要求两端私网地址互通且流量全程加密并防篡改。选择：IPsec 隧道模式加 ESP（加密与认证同时满足），IKE 自动协商密钥。理由：只用 AH 时私网地址虽被封装但内容明文，不满足保密要求；用传输模式则原私网 IP 头暴露，也不适用于网关间互联。部署位置选在两侧出口防火墙或路由器之间。
高频陷阱
- 认为状态检测防火墙能防应用层攻击，它防的主要是状态违例。
- 把 IDS 当阻断设备，IDS 接在镜像口只能告警。
- 解释反射放大时只谈僵尸网络规模，忽略放大倍数这一关键成因。