华为安全H12-721认证考试题库（原题导出）Word文档格式.docx
《华为安全H12-721认证考试题库（原题导出）Word文档格式.docx》由会员分享，可在线阅读，更多相关《华为安全H12-721认证考试题库（原题导出）Word文档格式.docx（157页珍藏版）》请在冰点文库上搜索。
D、VRRP报文是单播报文
7.防火墙上只能存在一个VGMP组。
8.防火墙提供了丰富的健康检查机制，可以提高链路和服务的质量，提升用户的
使用体验。
健康检查可以对以下哪些选项进行探测
A、链路时延
B、链路可用性
C、服务可用性
D、IP可用性
9.数字签名是通过采用散列算法生成数字指纹,从而实现保证数据传输的完整性
A、、正确
B、、错误
10.当服务器之间的性能差异较大，可以采用以下哪种算法进行负载均衡?
A、简单轮询算法
B、加权轮询
C、最小连接算法
D、源IPhash算法
11.防火墙提供的整体最大带宽限制和整体带宽保证，可以有效限制企业非关健
业务流量占用的带宽，但不可以针对关键业务的流量进行保证。
12.IPSec不能封装组播数据。
13.管理员在华为USG6000产品上开启了虚拟系统功能并创建了唯一的一个虚拟
系统vsys1，若属于vsys1的用户想要访问根系统的某个服务器，则在虑拟系统
vsys1的路由表中，出接口是哪个接口?
A、virtual-if0
B、vlan-ifo
C、virtual-if1
D、vlan-if1
14.在根据链路优先级主备备份的选路方式中，如果没有开启过载保护，当主链
路的链路出现拥塞时，会发生什么情况?
A、自动启用备用链路分担流量。
B、根据默认的过裁保护值将流量分担到备用链路。
C、不启用备用链路，主链路维续转发流量。
D、主备链路根据链路的优先级比值分担流量
15.97、如下图所示为L2TPoverlPSec应用场景，下列关于IPSec保护数据流的
配置正确的是哪项?
A、
A.[LNSJaclnumber2001[LNS-acl-basic-2001]rulepermitudpsource10.10.1.00.
0.0.255
B、
B.[LNS]acInumber3001[LNS-acl-adv-3001]rulepermitsource10.10.1.00.0.0.
255destination10.10.2.00.0.255
C、
C.[LNS]aclnumber3001LNS-ac-adv-3001]rulepermittcpsource-port1701
D、
D.[LNS]aclnumber3001[LNS-acl-adv-3001]rulepermitudpsource-porteq1701
D
16.关于虚拟系统的特点，以下哪—选项的描述是错误的?
A、座拟系统中的Virtual-if接口会自动加入安全区域中
B、创建虚拟系统并分配接口，该接口会自动绑定vpn-instance
C、创建虚拟系统会自动生成同名的vpn-instance
D、创建虚拟系统会自动生成virtual-if接口
17.IPSec不能封装组播数据。
18.会话保持可以基于哪种算法实现
A、最小连接算法
B、源IPhash算法
C、简单轮询算法
D、加权轮询算法
19.配置ISP选路功能前，管理员需要把每个ISP网络内的IP地址分别写入不同
的ISP地址文件，以下哪一选项是ISP地址文件的格式?
A、.csv
B、.odfc
C、pdt
D、.doc
20.以下哪一项可以为华为防火墙等设备提供丰富的报表功能，从而方便用户了
解设备的实时和历史安全信息以及网络攻击状况？
A、、AgileController
B、、UMA
C、、ATIC.
D、、ELog
21.在双机热备环境下，如果存在数据包来回路径不一致的现象，以下哪种情况
不会导致丢包?
A、没有启用会话快速同步功能
B、心跳线带宽不足
C、关闭了状态监测功能
D、指定错误的心跳线端口
22.关于IKE动态协商方式中策略模板的特点，以下哪一选项的描述是错误的？
A、本端配置了策略模板时不能发起协商，只能作为协商响应方接受对端的协商
请求，一般在总部配置策略模板方式。
B、策略模板视图中定义需要协商的各参数，未定义的可选参数由发起方来决定，
而响应方会接受发起方的建议。
C、当通信对端的IP地址不固定或预先未知的情况下不可以使用策略模板。
D、采用策略模板可以简化多条IPSec隧道建立时的配置工作量。
23.防火墙提供的整体最大带宽限制和整体带宽保证，可以有效限制企业非关健
24.双机热备组网图如下所示，图中PC1的网关地址应该为主用设备的接口IP
地址，即10.100.10.2/24。
25.52、关于服务器负载均衡技术，在防火墙上执行的命令和得到的输出如下:
以下哪一选项的描述是正确的?
A.该负戴均衡策略采用的是加权最小连接算法。
B.该负戴均衡策略的真实服务器均属于强制不可用状态。
C.该负裁均衡策略采用的是会话保持算法。
D.该负戴均衡策略启用了服务健康检查功能，采用的检测报文是ICMP报文。
26.关于带宽限制的说法，哪个是错误的?
A、公网接口是特指华为USG6000FF品连接Internet的口。
B、入方向（inbound）流量是指从公网接口流向私网接口的流量。
受入方向带宽
的限制。
C、出方向（outbound）流量是指的从私网接口流向公网接口的流里。
受出方向带
宽的限制
D、应拟系统全部流量=入方向流量+出方向流量+私网接口到私网接口的流量+公
网接口到公网接口的流量。
27.SIP协议使用SDP消息建立会话,SDP消息里含有远端地址或多播地址
A、对
B、错
28.下列哪些命令不属于IPSec故障排错时常用的命令?
A、displayipsecstatistics
B、displayipsecsession
C、displayikesa
D、displayipsecsa
29.策略路由的配置顺序很重要，需要先配置匹配条件宽泛的策略，再配置匹配
条件精确的策略。
30.以下关于VRRP报文的描述，正确的是哪—项?
A、VRRP报文的目的地址是224.0.0.18
B、VRRP使用TCP报文
C、VRRP使用UDP报文
D、VRRP报文是广播播报文
31.管理员给虚拟系统vsysa分配接口G1/0/0时，发现分配失败，不可能的原因
是
A、G1/0/0已经被分配给其他虚拟系统。
B、该接口是全二层口，无法直接分配给虚拟系统。
C、该接口已被加入其他虚拟系统的安全区域中。
D、接口未处于UP状态。
32.管理员给虚拟系统vsysa分配接口G1/0/0时，发现分配失败，以下哪一项一
定不是分配失败的原因?
B、接口处于Down状态。
C、该接口是个二层口，无法直接分配给虚拟系统。
D、该接口已被加入其他感拟系统的安全区域中。
33.在IKEV1协商中,关于野蛮模式与主模式的区别,以下哪项说法是错误的?
A、主模式在预共享密钥方式下不支持NAT穿越，而野蛮模式支持
B、主模式协商消息为6个野蛮模式为3个。
C、在NAT穿越场景下，对等体ID不能使用IP地址
D、主模式加密了身份信息的交换信息，而野蛮模式没有加密身份信息
34.如图所示为防火墙双机热备组网环境，在该组网环境中，当主、备设备配置
不同步，以下哪条命令是用于手工同步命令配置？
A、Hrpmirrorsessionenable
B、Hrpsyncconnection-status
C、Hrpauto-sync
D、Hrpsyncconfig
35.网络扩展功能建立SSLVPN隧道的方式有两种:
可靠传输模式和快速传输模式。
下列对于这两种方式的描述正确的是哪—项?
A、可靠传输模式中，远端用户在传输数据前不需要与虚拟网关建立SSLVPN隧道。
B、快速传输模式中，远端用户在传输数据前需要与虚拟网关建立SSLVPN隧道。
C、快速传输模式中，SSLVPN采用QUIC（QuickUDPInternetConnections）协议封
装报文，并以TCP协议作为传输协议。
D、可靠传输模式中，SSLVPN采用SSL协议封装报文，并以UDP协议作为传输协
议
36.下列关于IPsec说法错误的是哪项?
A、传输模式下，ESP不对IP数据包头进行验证
B、AH只能验证数据报不能对其进行加密
C、ESP可以支持NAT穿越
D、AH协议使用3DES算法进行数据验证
37.防火墙双机热备中，以下哪—项的报文不是通过心跳线发送的?
A、VRRP报文
B、配置和表项备份报文
C、VGMP报文
D、配置一致性检查报文
38.网络扩展功能建立SSLVPN隧道的方式有两种可靠传输模式和快速传输模式。
下列对于这两种方式描述错误的是哪项?
A、可靠传输模式中，SSLVPN采用SSL协议封装报文，并以TCP协议作为传输协
议。
B、快速传模式中，SSLVPN采用QuIC（QuickUDPInternetConnections）协议封装
报文，并以UDP协议作为传输协议
C、可靠传输模式中，远端用户在传输数据前需要与虚拟网关建立SSLVPN隧道。
D、快速传输模式中，远端用户在传输数据前不需要与虚拟网关建立SSLVPN隧道。
39.如图所示为双机热备组网环境，其中备份组1和2加入VGMP管理组USG-A
为主设备USG-8为备用设备。
若USG-A发生了故障，如断电等，USG-B状态会从
Slave切换为Master，当USGA恢复后，状态又重新切换为Master，流量中断一
段时间才恢复。
造成该现象的原因是什么?
A、USGA故障恢复后其VRRP备份组优先级没有及时恢复
B、没有配置hrptrack.
C、两台防火增为负裁分担方式。
在同一备份组下既配置了Master，也配置了S
lave
D、在USG土没有配置hrpmrrorsessionenable
40.以下哪些选项不可以作为策略路由的匹配条件?
A、源安全区域
B、入接口
C、DSCP优先级
D、下一跳地址
41.全局选路是指到达目的网络有多条等价路由时，华为USG6000防火墙可以根
据管理员设置的链路带宽、权重、优先级或者自探测到的链路质量动态地选择出
接口，实现链路资源的合理利用和用户体验的提升
42.以下关于防火墙中父子策略配置带宽通道限制的描述，错误的是哪—项?
A、子策略的连接数限制不能小于父策略
B、同一组父子策略中，不能引用同一个带宽通道
C、子策略的最大带宽不能大于父策略
D、同一组父子策略中，限流方式只能同时为“分别设置上下行带宽”或者“设
置总带宽”，二者不能共同存在
43.虚拟系统和VPN实例关系，以下哪个选项的描述是错误的?
A、创建虚拟系统时，会自动生成相同名字的VPN实例。
B、虚拟系统底层转发依赖于自动生成的VPN实例，上层配置业务时无需与vpn
实例挂钩。
C、自动生成的VPN实例和手工配置的VPN实例一样，都需要在接口下绑定vpn
实例。
D、管理员也可使用ipvpn-instance命令手动创建VPN实例，用于路由隔离。
44.对weblink的描述,以下哪项是正确的?
A、webLink功能适用于任问操作系统和浏览器
B、WebLink不进行加密和适配，只“转发”远程用户的Web源请求
C、WebLink需要加密和适配的环节，因此业务处理效率较慢
D、Webink需要加密和适配的环节，因此安全性更高。
45.USG防火墙上创建了虚拟系统vsys1，以下虚拟系统管理员的用户格式，正确
的是哪一项？
A、、adminuser
B、、Adminuservsysl
C、、adminuser#vsysl
D、、Adminuservsysl
46.华为WAF5000产品使用以下哪种技术来应对盗链、跨站请求伪造等特殊Web
攻击?
A、签名匹配技术
B、行为状态链检测技术
C、非法链接过洁技术
D、异常状态跟踪技术
47.BFD支持异步检测模式和同步检测模式。
48.L2TP认证方式有三种:
代理认证、强制CHAP认证和LCP重协商。
其中，LCP
重协商的优先级最低，代理认证优先级最高。
49.GREOverlPSec隧道可以实现IPX报文的传输。
50.一个接口只能应用一个健康检查策略，但一个健康检查策略可以被应用在多
个接口上
51.根据双机热备组网图，关于双机热备抢占功能，以下哪个说法是错误的？
A、VRRP备份组本身具有抢占功能。
如图，当USGA出现故障并恢复后，USGA会
使用抢占功能重新变为master状态。
B、VGMP管理组的抢占功能和VRRP备份组类似，当管理组中出现故障的备份组
故障恢复时，管理组的优先级也将恢复。
C、缺省情况下，抢占功能关闭
D、当VRRP备份组加入到VGMP管理组后，备份组上原来的抢占功能将失效，抢
占行为发生与否必须由VGMP管理组统一决定
52.防火墙输出的威胁日志、内容日志、策略命中日志、邮件过滤日志、URL过
滤日志l以及审计日志等全部属于下列哪科日志类别?
A、会话日志
B、丢包日志
C、业务日志
D、系统日志
53.华为UMA统一运维审计产品通过集中管理、监控与审计企业所有运维人员的
操作行为，可以有效降低网络设备、服务器、数据库、业务系统等资源的内部运
维风险。
以下关于华为UMA产品的描述，错误的是哪一项
A、自动代填后业务系统账号，每个运维人员可以管理多个账号，避免多账号借
用带来的风险
B、支持细粒度查询，避免恶意运维操作，实现麦任定位
C、实现对命令行字符、图形操作、文件传输、数据库、KVM等运维操作过程的
文本记录和视须记录
D、提供业务系统定期修改、加密发送、备份下载等功能，减少密码维护工作量
54.SSLVPN基本上不受接入位置限制，可以从众多Internet接入设备、任何远
程位置访问网络资源。
55.在接口下由ipbindingvpn-instancevpn-instancename邦定的虚拟系统实例
不是随着虚拟系统创建而产生的，需要手工绑定。
56.以下哪—项不属于SSLVPN端口转发功能的特点?
A、、只需标准浏览器，不用安装客户端
B、、所有数据流都经过加密认证
C、、实现文件级的访问权限控制
D、、对用户进行统一的授权和认证
57.关于Radius协议的特点，以下哪些选项的描述是正确的
A、认证和授权端口号可以是1645
B、使用UDP协议传输Radius报文
C、使用Radius协议传输用户账号和密码时要对账号进行加密处理
D、认证和授权端口号可以是1811
58.USG6000防火墙上为三台FTP服务器配置了负载均衡功能，三台实服务器的
地址和权重值分别为10.1.1.3/24（weight16），10.1.1.4/24（weight32），10.1.
1.5/24,（weight16），虚服务器地址为202.152.26.123/24。
一台主机地址为20
2.152.26.3/24的PC对该FTP服务器发起访问。
在防火墙上运行displayfirew
allsessiontable命令，下列哪一种情况说明成功实现了负裁均衡功能?
A、<
USG≥displayfrewallsessiontableCurrenttotalsessions:
1FtpVPN:
publi
c->
public202.152.26.3:
3327-10.1.1.4:
21
B、<
USG>
displayfirewall.sessiontableCurrernttotalsessions:
3FtpVPN:
pub
lic-->
3327->
202.152.26.123:
21[10.1.1.3:
21]ftpVPN:
p
ublic-->
pubic202.152.26.3.3327-->
21[10.1.1.421]ftpVPN:
public--sapublic202.152.26.3:
3327-->
21[10.1.1.5:
21]
C、<
displayfirewallsessiontableCurrenttotalsessions:
public202.15226.3:
327->
202.152.26.1:
23:
D、<
USG；
publ
ic-zpublic202.152.26.3:
3327->
210.1.1.3:
21FtpVPN:
public->
public202.152.
26.3:
210.1.1.4:
21ftpVPN:
public--public202.152.26.3:
210.1.
1.5:
59.如图所示为双机热备组网环境，其中备份组1和2加入VGMP管理组，USG_A
为主用设备，USG_B为备用设备。
若uSGA发生了故障，如断电等，USG_B状态会
从Slave切换为Master。
当USGA恢复后，状态又重新切换为Master，而此时U
SG_B状态依然为Master，造成该现象的原因是什么?
A、两台火墙负戴分担方式，在同一个备份组下既配置为了master，也配置了s
B、USGA故障恢复后其VRRP备份组优先级没有及时恢复
C、在USGA从故障恢复后，心跳线发生故障
D、没有配置hrptrack
60.关于IKEDPD说法，以下哪项是错误的?
A、用于IKEB居状态的检测。
B、IKEPeer间定时发送DPD报文
C、DPD的周期型检测模式：
如果当前距离最后一次收到对端的IPSec报的时长
已超过DPD空闲时间，则本端主动向对端发送DPD请求报文。
D、DPD的按需型检测模式只在要发送加密报文前并且距离最后一次收到对端的I
PSec报文的时长已超过DPD空闲时间时发送查询。
61.在一个Eth-Trunk接口中，通过在各成员链路上配置不同的权重，可以实现
流量赁载分担。
62.IPSecVPN使用数字证书进行身份验证时，以下哪项是不需要用来检验数字证
书是否合法的?
A、证书签名
B、CRL证书序列号
C、证书公钥
D、证书有效期
63.以下哪—项参数不是在USG防火墙带宽通道中进行配置的
A、每IP最大带宽
B、整体最大带宽
C、整体最大并发连接数限制
D、源目安全区域
64.一台防火墙设备可以创建多个虚拟网关，每个虚拟网关之间相互独立，互不
影响。
管理员可以在虚拟网关下配置各自的用户，资源和策略，进行单独管理
65.以下哪一项支持多种盗链识别算法，能有效解决单—来源盗链、分布式盗链
和网站数据恶意窃取等信息盗取行为，从而确保网站的资源只能过本站才能访问
A、IPS
B、Anti-DDos
C、WAF
D、Firewall
66.防火墙带宽策略只支持对源NAT转换前的私网IP地址实施带宽管理。
67.智能选路功能无法在防火墙双机热备的场景下使用。
68.以下关于防火墙会话日志配置的描述，错误的是哪—项?
[FW】firewallloghost1172.16.0.29002
[FW]firewallloghost2172.16.0.39002
[FW】firewalllogsessionmulti-host-modeconcurrent
[FW]firewalllogsource172.16.0.
升级会员 