HCIE知识库
AI 助教问 AI 助教
东方瑞通 · HCIE

网络安全技术

网络安全技术涵盖以太网安全（端口安全、DHCP Snooping、DAI等）与防火墙技术（状态检测、安全区域、安全策略），用于防范二层与边界攻击。

考点精讲

  1. 以太网安全主要防范二层攻击：MAC地址泛洪攻击通过限制端口学习MAC数量（端口安全）解决；DHCP Snooping通过信任口/非信任口区分DHCP报文、生成绑定表，配合DAI（动态ARP检测）和IP Source Guard防止ARP欺骗与IP伪造；风暴控制抑制广播风暴。防火墙是边界安全核心，采用状态检测机制维护会话表，按安全区域（Trust/Untrust/DMZ）划分信任等级，通过安全策略控制区域间流量，ASPF、NAT、VPN等技术提供应用层过滤与地址转换。HCIE重点考察各类二层攻击的防护手段与防火墙会话、区域、策略三要素的配置逻辑。

记忆技巧

端口安全防MAC泛洪，「限制学习数，超限就丢弃」
DHCP Snooping一句话：「信任口放行服务器、非信任口建绑定表」
防火墙三要素：区域（划分信任）、会话（状态检测）、策略（控制流量）
DAI靠绑定表验ARP，「有表放行、无表丢弃」

常见误区

  • 误以为端口安全只能设置固定MAC，实际还支持动态学习+数量限制
  • 混淆DHCP Snooping与DHCP中继：前者防攻击、后者跨网段转发
  • 误以为防火墙只做包过滤，实际核心是状态检测（有状态跟踪）
  • 误以为Trust区域一定可信，实际信任等级取决于区域间策略配置
  • 误以为DAI能防所有ARP攻击，实际依赖DHCP Snooping绑定表的准确性

真题思路

  • 【示例】 【示例】以下哪项技术可有效防御ARP欺骗攻击？
    端口安全　DAI（动态ARP检测）　DHCP中继　风暴控制
    答案：B
    解析：DAI基于DHCP Snooping绑定表校验ARP报文源IP/MAC的合法性，可有效防御ARP欺骗。端口安全防MAC泛洪，DHCP中继用于跨网段转发DHCP请求，风暴控制抑制广播风暴，均不能直接防ARP欺骗。

常见问题

Q：MAC泛洪攻击的原理与防护？

A：攻击者发送大量伪造源MAC的报文填满交换机MAC表，使其泛洪所有流量。防护：端口安全限制MAC学习数量。

Q：DHCP Snooping如何防DHCP攻击？

A：将连接合法服务器的端口设为信任口，其余为非信任口；非信任口丢弃伪造的DHCP服务器应答，并生成绑定表供DAI等使用。

Q：防火墙状态检测与包过滤的区别？

A：包过滤逐包检查，状态检测建立会话表跟踪连接状态，只放行符合已建立会话的返回流量，安全性和性能更高。

Q：什么是DMZ区域？

A：DMZ是介于信任区和非信任区之间的隔离区域，通常放置对外提供服务的服务器，与内外网分别控制访问。

相关知识

IGP高级特性 网络准入控制 大中型虚拟化园区网络设计

教材出处：第1部分 高级路由交换技术 网络安全技术

AI 助教

让 AI 助教带你深入学习，把你卡住的地方直接问它

随时为您答疑解惑

开始答疑