2025年AWS认证网络ACL在跨国企业分支机构网络隔离中的应用专题试卷及解析.pdfVIP

2025年AWS认证网络ACL在跨国企业分支机构网络隔离中的应用专题试卷及解析1

2025年AWS认证网络ACL在跨国企业分支机构网络隔

离中的应用专题试卷及解析

2025年AWS认证网络ACL在跨国企业分支机构网络隔离中的应用专题试卷及解

析

第一部分：单项选择题（共10题，每题2分）

1、某跨国企业在AWS上部署了多个VPC，分别对应不同国家的分支机构。为实

现分支机构间的网络隔离，同时允许特定流量通过，应优先使用哪种AWS服务？

A、AWSWAF

B、网络ACL（NACL）

C、安全组（SecurityGroup）

D、AWSDirectConnect

【答案】B

【解析】正确答案是B。网络ACL（NACL）是子网级别的防火墙，适用于控制进出

子网的流量，非常适合分支机构间的网络隔离场景。A选项AWSWAF主要用于Web

应用防护，不适用于网络层隔离；C选项安全组是实例级别的防火墙，控制范围更细粒

度但不适合子网间隔离；D选项AWSDirectConnect用于建立专用网络连接，不涉及

隔离策略。知识点：网络ACL的作用范围和适用场景。易错点：混淆网络ACL和安

全组的作用层级。

2、在AWS网络ACL的规则中，默认情况下所有入站和出站流量是什么状态？

A、全部允许

B、全部拒绝

C、仅允许HTTP/HTTPS

D、仅允许SSH

【答案】B

【解析】正确答案是B。网络ACL默认拒绝所有入站和出站流量，需要显式添加规

则才能允许特定流量。这是网络ACL与安全组的重要区别之一。知识点：网络ACL的

默认行为。易错点：误认为网络ACL默认允许部分流量。

3、某企业需要限制其欧洲分支机构VPC只能访问美国分支VPC的特定数据库端

口，应如何配置网络ACL？

A、在欧洲VPC的NACL出站规则中允许目标端口

B、在美国VPC的NACL入站规则中允许源端口

C、同时配置欧洲VPC出站和美国VPC入站规则

D、仅配置安全组规则即可

【答案】C

2025年AWS认证网络ACL在跨国企业分支机构网络隔离中的应用专题试卷及解析2

【解析】正确答案是C。网络ACL是有状态的，需要同时配置源VPC的出站规则

和目标VPC的入站规则才能实现双向通信。A和B选项只配置单向规则会导致流量

中断；D选项安全组无法替代网络ACL实现子网级隔离。知识点：网络ACL的无状

态特性。易错点：忽略网络ACL需要双向规则配置。

4、网络ACL规则编号的范围是多少？

A、1100

B、132766

C、100200

D、165535

【答案】B

【解析】正确答案是B。网络ACL规则编号范围是132766，数字越小优先级越高。

知识点：网络ACL规则编号范围。易错点：误记为安全组的规则编号范围。

5、某跨国企业发现其分支机构间的网络ACL规则过于复杂，应如何优化？

A、使用IP地址范围代替单个IP

B、增加更多规则

C、禁用网络ACL

D、仅使用安全组

【答案】A

【解析】正确答案是A。通过使用CIDR块表示IP地址范围可以简化规则数量。B

选项会增加复杂度；C选项会降低安全性；D选项无法替代网络ACL的子网级控制。

知识点：网络ACL规则优化技巧。易错点：忽略CIDR块的应用。

6、网络ACL与安全组的主要区别是什么？

A、网络ACL控制实例级流量，安全组控制子网级流量

B、网络ACL是无状态的，安全组是有状态的

C、网络ACL支持端口范围，安全组不支持

D、网络ACL免费，安全组收费

【答案】B

【解析】正确答案是B。网络ACL是无状态的，需要双向规则；安全组是有状态的，

返回流量自动允许。A选项描述相反；C选项两者都支持端口范围；D选项两者都免

费。知识点：网络ACL与安全组的区别。易错点：混淆有状态和无状态特性。

7、某企业需要临时允许分支机构间的所有流量进行测试，应如何快速配置网络

ACL？

A、添加允许所有流量的