2025年AWS认证子网与WAF防火墙策略配置专题试卷及解析.docxVIP

2025年AWS认证子网与WAF防火墙策略配置专题试卷及解析

2025年AWS认证子网与WAF防火墙策略配置专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在AWSVPC中，以下哪个子网类型默认不允许来自互联网的入站流量？

A、公有子网

B、私有子网

C、VPN专用子网

D、NAT网关子网

【答案】B

【解析】正确答案是B。私有子网不包含互联网网关路由，因此默认无法直接接收来自互联网的流量。公有子网（A）通过互联网网关可访问互联网；VPN专用子网（C）和NAT网关子网（D）是特定场景的子网类型，但题目问的是默认情况。知识点：VPC子网类型与互联网访问控制。易错点：混淆私有子网与无互联网访问的概念，实际私有子网可通过NAT网关出站访问互联网。

2、AWSWAF的哪种规则类型最适合阻止已知的恶意IP地址？

A、SQL注入规则组

B、IP集匹配规则

C、XSS防护规则

D、速率限制规则

【答案】B

【解析】正确答案是B。IP集匹配规则专门用于基于IP地址的黑白名单控制。SQL注入规则组（A）和XSS防护规则（C）针对应用层攻击；速率限制规则（D）控制请求频率而非IP来源。知识点：WAF规则类型的应用场景。易错点：误以为速率限制规则能替代IP集功能，但前者无法精确匹配特定IP。

3、在VPC路由表中，以下哪条路由规则允许子网访问互联网？

A、目标：0.0.0.0/0，目标：本地

B、目标：10.0.0.0/16，目标：互联网网关

C、目标：0.0.0.0/0，目标：互联网网关

D、目标：192.168.1.0/24，目标：NAT网关

【答案】C

【解析】正确答案是C。0.0.0.0/0表示所有IPv4流量，指向互联网网关是公有子网访问互联网的标准配置。选项A的本地路由是VPC内部通信；选项B的目标网段错误；选项D的NAT网关用于私有子网出站访问。知识点：VPC路由表配置原理。易错点：混淆NAT网关与互联网网关的使用场景。

4、AWSWAF的托管规则组主要优势是什么？

A、完全自定义规则逻辑

B、由AWS维护的常见攻击防护规则

C、降低WAF配置成本

D、支持跨区域部署

【答案】B

【解析】正确答案是B。托管规则组由AWS安全团队定期更新，覆盖OWASP常见威胁。完全自定义（A）是客户规则组的特点；降低成本（C）和跨区域部署（D）是次要优势。知识点：WAF规则组类型区别。易错点：误以为托管规则组不如自定义规则灵活，实际两者可结合使用。

5、以下哪种情况必须使用NAT网关？

A、公有子网中的EC2实例需要访问互联网

B、私有子网中的EC2实例需要下载系统更新

C、VPN连接需要访问本地数据中心

D、跨VPCpeering通信

【答案】B

【解析】正确答案是B。私有子网无互联网网关，需通过NAT网关实现出站访问。公有子网（A）直接通过互联网网关；VPN连接（C）使用虚拟专用网关；VPCpeering（D）是VPC间直连。知识点：NAT网关的典型应用场景。易错点：忽略私有子网出站访问的必要性。

6、AWSWAF的容量单位（WCU）主要用于衡量什么？

A、规则处理的流量大小

B、规则组的资源消耗

C、WAF的并发连接数

D、防火墙的吞吐量

【答案】B

【解析】正确答案是B。WCU是规则组复杂度的计量单位，影响定价和性能。流量大小（A）和吞吐量（D）由其他指标衡量；并发连接数（C）不是WAF的核心指标。知识点：WAF计费模型。易错点：将WCU与传统的网络性能指标混淆。

7、在VPC中创建子网时，以下哪项是必须配置的？

A、NACL规则

B、可用区

C、路由表

D、安全组

【答案】B

【解析】正确答案是B。子网必须属于特定可用区，其他选项可后续配置。NACL（A）和路由表（C）有默认值；安全组（D）绑定到实例而非子网。知识点：VPC子网创建的基本要求。易错点：误以为路由表是创建时必选项。

8、AWSWAF的日志记录功能默认存储到哪个服务？

A、S3存储桶

B、CloudWatchLogs

C、DynamoDB表

D、Kinesis流

【答案】B

【解析】正确答案是B。WAF日志默认发送到CloudWatchLogs，也可配置到S3（A）或Kinesis（D），但非默认选项。DynamoDB（C）不适用。知识点：WAF日志存储配置。易错点：忽略默认配置与可选配置的区别。

9、以下哪种WAF规则操作会直接阻止请求？

A、允许

B、计数

C、阻止

D、验证码

【答案】C

【解析】正确答案是C。阻止操作会直接拒绝请求并返回403。允许（A）放行请求；计数（B）仅记录；验证码（D）需要用户交互。知识点：WAF规则动作类型。易错点：混淆计数与阻止的实际效果。

10、在VPC中，以下哪个CIDR块范围是AWS推荐的私有地址？

A