作者：博睿谷Eva

HCIP安全认证（Huawei Certified ICT Professional-Security）的实验题侧重防火墙策略配置、VPN隧道建立、入侵防御等场景。以下是两个典型实验题示例及关键操作步骤，帮助理解考试重点。一、HCIP安全实验题示例1：防火墙基础策略与NAT配置‌

‌场景描述‌
某企业网络分为Trust区域（内网）和Untrust区域（外网）。要求配置防火墙USG6000实现以下功能：

1. 内网用户（192.168.1.0/24）可通过防火墙访问互联网（NAT转换）。
2. 允许外网用户访问内网服务器（192.168.1.100）的HTTP服务（端口80）。
3. 禁止内网用户访问外网的FTP服务（端口21）。

‌实验拓扑‌

[内网PC] -- Trust区域 -- [USG6000] -- Untrust区域 -- [外网服务器]

‌配置步骤‌

1. ‌划分安全区域‌

    
   firewall zone trust  
     add interface GigabitEthernet 1/0/1  # 连接内网的接口  
   firewall zone untrust  
     add interface GigabitEthernet 1/0/2  # 连接外网的接口  
   
   

2. ‌配置NAT策略（内网访问互联网）‌

    
   nat-policy  
     rule name NAT_OUT  
     source-zone trust  
     destination-zone untrust  
     source-address 192.168.1.0 24  
     action source-nat easy-ip  # 使用接口IP做NAT转换  
   
   

3. ‌配置安全策略（放行外网访问HTTP服务）‌

    
   security-policy  
     rule name ALLOW_WEB  
     source-zone untrust  
     destination-zone trust  
     destination-address 192.168.1.100 32  
     service http  
     action permit  
   
   

4. ‌配置安全策略（禁止内网访问FTP）‌

    
   security-policy  
     rule name DENY_FTP  
     source-zone trust  
     destination-zone untrust  
     service ftp  
     action deny  
   
   

‌验证与排错‌

• 检查NAT转换是否生效：

   
  display nat-policy statistics  # 查看NAT规则命中次数  
  
  

• 测试外网访问HTTP服务：

   
  curl http://<防火墙外网接口IP>:80  # 应返回内网服务器的页面  
  
  

‌场景描述‌
总部（USG6000）与分支（另一台USG6000）之间通过公网建立IPSec VPN，实现内网（总部：10.1.1.0/24，分支：10.2.2.0/24）互通。

‌实验拓扑‌

 
[总部内网] -- [USG6000] == 互联网 == [USG6000] -- [分支内网]

‌配置步骤‌

1. ‌配置IKE（阶段一）参数‌

    
   ike proposal 10  
     encryption-algorithm aes-256  
     dh group14  
     authentication-algorithm sha2-256  
   ike peer branch  
     pre-shared-key huawei@123  
     ike-proposal 10  
     remote-address 202.100.1.2  # 分支防火墙公网IP  
   

2. ‌配置IPSec（阶段二）参数‌

    
   ipsec proposal 20  
     esp authentication-algorithm sha2-256  
     esp encryption-algorithm aes-256  
   ipsec policy policy1 10 isakmp  
     security acl 3000  
     proposal 20  
     ike-peer branch  
   
   

3. ‌定义感兴趣流（ACL规则）‌

    
   acl 3000  
     rule permit ip source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255  
   
   

4. ‌应用IPSec策略到公网接口‌

    
   interface GigabitEthernet 1/0/2  # 连接互联网的接口  
     ipsec policy policy1  
   
   

‌验证与排错‌

• 查看VPN隧道状态：

  display ike sa          # 检查阶段一是否建立（状态应为ESTABLISHED）  
  display ipsec sa brief  # 检查阶段二是否建立  
  
  

• 测试内网互通：
  在总部内网PC执行ping 10.2.2.100，观察是否通断。

HCIP安全实验题示例3：入侵防御（IPS）与日志分析‌

‌场景描述‌
在防火墙上启用IPS功能，检测并拦截内网用户发起的SQL注入攻击。

‌配置步骤‌

1. ‌配置IPS特征库‌

    
   ips signature update  # 更新特征库到最新版本  
   
   

2. ‌启用IPS策略‌

    
   ips policy policy1  
     signature-set sql_injection  # 启用SQL注入攻击特征  
     action block  # 拦截攻击流量  
   

3. ‌应用IPS策略到内网接口‌

    
   security-policy  
     rule name IPS_CHECK  
     source-zone trust  
     destination-zone untrust  
     profile ips policy1  # 关联IPS策略  
   
   

4. ‌配置日志服务器‌

    
   info-center loghost 192.168.1.200  # 将日志发送到SIEM系统  
   
   

‌验证与排错‌

• 模拟SQL注入攻击：
  在内网PC访问外网时，URL中添加' OR 1=1 --。
• 检查拦截日志：

  display logbuffer  # 查看实时拦截记录  
  
  
  

HCIP安全实验题核心考点总结‌

1. ‌策略匹配顺序‌：防火墙规则按从上到下执行，需合理排序（如先放行必要服务，最后拒绝所有）。
2. ‌VPN参数细节‌：IKE和IPSec阶段参数必须两端一致（加密算法、DH组、PSK密钥等）。
3. ‌排错命令‌：
   • display security-policy all：查看安全策略命中情况。
   • display firewall session table：检查流量是否按预期转发。
4. ‌IPS/AV联动‌：需定期更新特征库，并验证拦截动作是否生效。

1. 使用华为eNSP模拟器或真实USG6000设备练习，熟悉命令行和Web界面操作。
2. 重点练习策略配置、VPN隧道建立、攻击日志分析三类实验，覆盖70%的考试内容。
3. 实验题限时训练：单题控制在40分钟内完成配置+验证+排错。