我的博客

5.9 网络安全基础（网络视角）

5.92026-11-03 11:22:00

本篇定位：网络安全基础是网络篇的"防护视角"——与第 7 篇信息安全互补不重复：本章只讲网络模块内考过的防火墙、ACL、物理隔离、VPN（设备/策略视角），攻击手段、密码学、法规等归第 7 篇。9 年真题直接命中 5 题（2018 多89、2019 单30、2020 单61、2023 单64、2026 单28）。2027 预测 1 题：防火墙/ACL 场景题。 数据依据：01-真题/真题文本/ + 01-真题/考点汇总/ + 05-笔记/计算机网络-模块总纲.md；答案以专业判断为准。 阅读提示：防火墙深入内容（防不了什么）→7.5 安全防御；VPN/IPSec→7.7 安全协议；ACL→7.5。

一、考点定位（本章真题统计）

考点真题锚点频次考法
防火墙2019 单30、2026 单282 年建在内网/外网交叉点；隔离内外网实现访问控制
ACL2018 多891 年可限制 MAC/IP/TCP 端口（不限制数据率）
物理隔离2020 单611 年链路层/网络层任何时刻不能直接通信
VPN2023 单641 年隧道/加密/远程接入（PPTP 的 MPPE 是加密非认证）
网络风暴防护2023 多92（5.5 已讲）交叉VLAN+ACL

命题规律：网络视角安全考"设备位置 + 策略对象 + 隔离等级"。2027 预测 1 题：防火墙特性或 ACL 辨析。核心能力：防火墙"放哪、防什么、防不了什么"三问。

二、知识框架（先搭骨架）

网络安全基础（网络视角，设备/策略层）
├── 防火墙（Firewall）
│   ├── 位置：内网与外网交叉点（边界）——2019 单30
│   ├── 作用：隔离内外部网络、实现访问控制——2026 单28
│   ├── 类型：包过滤/状态检测/应用代理
│   └── 局限（防不了）：内部攻击、不经过它的攻击、配置不当（→7.5 详解）
├── ACL（访问控制列表）
│   ├── 由路由器/防火墙执行，按规则放行/丢弃
│   ├── 可限制：源/目的 IP、MAC 地址、TCP/UDP 端口——2018 多89
│   └── 不能限制：数据率（带宽）——2018 多89 的 D 项
├── 物理隔离（2020 单61）
│   ├── 两个网络链路层、网络层任何时刻都不能直接通信
│   └── 最严格的隔离（涉密网常用）
└── VPN（虚拟专用网，2023 单64）
    ├── 公网上建立加密隧道（IPSec/PPTP/L2TP）
    ├── 远程接入/分支机构互联
    └── PPTP 的 MPPE 协议是加密（不是身份验证）

一句话记忆：防火墙在边界隔离内外网；ACL 限 IP/MAC/端口（不限带宽）；物理隔离=链路网络层都不能直接通信；VPN=公网隧道加密。

三、考点详解

3.1 防火墙（2019 单30、2026 单28）

精确定义：防火墙 = 部署在内网与外网交界处的安全设备，按策略隔离内外网络、实现访问控制（2026 单28 选 A）。

2019 单30：防火墙应建在内网与外网交叉点（边界位置）。

防火墙类型：包过滤（网络层）、状态检测（跟踪连接）、应用代理（应用层网关）。

局限（7.5 章详解，此处埋点）：防火墙防不了内部人员攻击、不经过它的攻击（拨号绕过）、配置不当的漏洞（2023 多93 考过）。

3.2 ACL 访问控制列表（2018 多89）

精确定义：ACL = 路由器/防火墙上的包过滤规则表——按规则决定数据包放行或丢弃。

ACL 能限制什么（2018 多89，选 ABC）：

  • ✅ MAC 地址（源/目的）；
  • ✅ IP 地址（源/目的）；
  • ✅ TCP 端口（如 80/443/25）；
  • ❌ **数据率（带宽）**不能限制（D 项错误——限速是 QoS/流量控制的事，不是 ACL）。

口诀：ACL 管"谁和谁、什么协议端口"，不管"多快多慢"。

3.3 物理隔离（2020 单61）

精确定义：物理隔离 = 两个网络之间在链路层、网络层任何时刻都不能直接通信（2020 单61 选 C——A/B 是只提单层的半截干扰项，D"防火墙隔离"是逻辑隔离）——最严格的安全隔离方式（涉密网络与公共网络之间常用）。

⚠️ 为什么定义说"链路层、网络层"，不说"物理层"？ "直接通信"发生在能寻址交换的层级——只要存在任何能通车的物理通路（同一根网线/同一台交换机/无线可达），就必然表现为链路层帧或网络层分组的直接通信，"任何时刻都不能"已把一切物理通路封死。故此定义与"任何时刻都不存在直连的物理通路"等效，别误读成"物理层可以连"。法规同源：《计算机信息系统国际联网保密管理规定》第六条——涉密系统"不得直接或间接地与国际互联网相联接"（间接转接也禁）。"任何时刻"的妙处：恰好兼容网闸摆渡（两侧永不同时连通、存储—转发）与人工摆渡（光盘/经批准设备，2021 单68：严禁 U 盘从互联网机直拷涉密机）。

辨析：逻辑隔离（VLAN/ACL/防火墙）= 存在受控转发路径，设备读地址转发数据，数据"过桥"；物理隔离 = 任何时刻都不存在直连路径，数据只能"摆渡过河"（网闸/人工）。

3.4 VPN 虚拟专用网（2023 单64）

精确定义：VPN = 在公共网络（因特网）上建立加密隧道，实现远程安全接入或分支机构互联的虚拟专用网络。

2023 单64（选 MPPE）：PPTP 协议中 MPPE 的作用是加密（不是身份验证）——身份验证是 MS-CHAP 等协议的事。

VPN 类型：IPSec VPN（网络层隧道）、SSL VPN（应用层，浏览器访问）、PPTP/L2TP（点对点隧道）。

记忆：VPN 三件套——隧道（封装）+ 加密（保密）+ 认证（身份）；MPPE 只负责加密。

四、易错坑汇总（命题人惯用陷阱）

  1. 防火墙位置（2019 单30）——建在内网与外网交叉点；"建在服务器内部"错误。
  2. ACL 不能限带宽（2018 多89 D 项）——"ACL 能限制数据率"是错误说法（限速是 QoS）。
  3. 物理隔离的定义（2020 单61）——链路层+网络层任何时刻都不能直接通信；"逻辑隔离也是物理隔离"错误。
  4. MPPE=加密非认证（2023 单64）——"MPPE 是身份验证协议"错误（MPPE 只加密）。
  5. 防火墙防不了内部攻击——"防火墙能防止所有网络攻击"错误（见 7.5）。
  6. VPN 不是真实专线——"VPN 是物理专用线路"错误（VPN 是公网上的逻辑隧道）。

五、横向扩展（防漏网：本章边界内、真题尚未考但可能补考的点）

说明：横向扩展覆盖"大纲范围内但 9 年真题未考过"的知识，标注【新增概率】供取舍。

  1. 防火墙三种类型【中】：包过滤/状态检测/应用代理——类型判断题（7.5 详述）。
  2. DMZ（非军事区）【低】：放对外服务的服务器（Web/邮件）的区域——架构名词。
  3. IDS vs IPS【中】：IDS 检测告警（旁路）、IPS 检测并阻断（串联）——与 7.5 衔接。
  4. IPSec 两种模式【低】：传输模式（保护载荷）/隧道模式（保护整个包）——与 7.7 衔接。
  5. VPN 隧道协议对比【中】：IPSec（网络层）/PPTP/L2TP（数据链路层）/SSL（应用层）——2022 单64 考过 IPSec 网络层。
  6. 堡垒机/跳板机【低】：运维审计设备——金融场景名词。
  7. 上网行为管理【低】：内容过滤——名词题。
  8. 等保中的网络安全要求【低】：结构安全/访问控制/入侵防范——与 7.8 等保衔接。

六、真题演练（代表性真题 + 解析）

例 1（2026 单28） 在传统意义上，用于隔离内部网络与外部网络、实现访问控制的网络安全设备是（口径已核）。 A. 防火墙　B. 路由器　C. 交换机　D. IDS

答案：A。防火墙 = 隔离内外网、实现访问控制；路由器只管转发、交换机二层转发、IDS 检测不阻断。口诀：内外隔离找防火墙。

例 2（2019 单30） 防火墙应该建在（口径已核）。 A. 内网与外网交叉点　B. 内网服务器之间 C. 每个客户端上　D. 网线上

答案：A。防火墙部署在内网与外网交叉点（边界）。口诀：防火墙守大门（边界）。

例 3（2018 多89） ACL 访问控制列表可以限制（口径已核）。 A. MAC 地址　B. IP 地址　C. TCP 端口　D. 数据率

答案：ABC。ACL 限制 MAC/IP/TCP 端口；不能限制数据率（D）——限速是 QoS 的职责。口诀：ACL 管访问、不管速率。

例 4（2020 单61） 两个网络要实现物理隔离，意味着（口径已核）。 A. 只是 IP 地址不同 B. 用防火墙隔开即可 C. 链路层、网络层任何时刻都不能直接通信 D. 不能使用同一家运营商线路

答案：C。物理隔离 = 链路层、网络层任何时刻都不能直接通信（最严格隔离）。口诀：物理隔离=物理上不通。

例 5（2023 单64） 关于 PPTP 协议中的 MPPE，正确的是（口径已核）。 A. 用于身份验证　B. 用于数据加密　C. 用于地址分配　D. 用于路由选择

答案：B。MPPE = 加密（Microsoft Point-to-Point Encryption）；身份验证另有协议（MS-CHAP）。口诀：MPPE 只管加密。

七、本章小结

  • 一条主线：防火墙（边界隔离/访问控制）→ ACL（限 MAC/IP/端口）→ 物理隔离（链路网络层都不通）→ VPN（公网隧道加密）。
  • 必背判定：防火墙位置=内外网交叉点（2019 单30、2026 单28）；ACL 不限数据率（2018 多89）；MPPE=加密（2023 单64）。
  • 衔接预告：防火墙防不了什么、IDS/IPS→7.5 安全防御；IPSec→7.7 安全协议；等保要求→7.8。
计算机专业课金管局一本通