摘要：对于【信息安全工程师】软考考试而言，试题无疑是最重要的学习资料之一。在软考备考过程中，吃透试题、掌握试题所考知识点、熟悉试题的出题思路，对我们提升分数的效果是最明显的，通过对试题的反复练习，还可以查漏补缺。今天，给大家带来【2022年11月信息安全工程师 下午试卷】部分试题的详解，一起来看看吧~



1、【问题5】(8分)DMZ区的网站服务器是允许互联网进行访问的，为了实现这个目标，王工需要对防火墙1进行有效配置。同时王工还需要通过防火墙2对网站服务器和数据库服务器进行日常运维。(1)防火墙1应该允许哪些端口通过?(2)请编写防火墙1上实现互联网只能访问网站服务器的iptables过滤规则。(3)请写出王工电脑的子网掩码。(4)为了使王工能通过SSH协议远程运维DMZ区中的服务器，请编写防火墙2的iptables过滤规则。
答案:

（1）80和443

（2）

iptables -t filter -P FORWARD DROP（DROP更改为REJECT也符合题意）

iptables -t filter -A FORWARD -d 192.168.70.140 -p tcp --dport 80 -j ACCEPT

iptables -t filter -A FORWARD -d 192.168.70.140 -p tcp --dport 443 -j ACCEPT

（3）255.255.255.0

（4）

iptables -t filter -A FORWARD -s 192.168.11.2 -d 192.168.70.140/24 -p tcp --dport 22 -j ACCEPT

iptables -t filter -A FORWARD -s 192.168.70.140/24 -d 192.168.11.2 -p tcp --sport 22 -j ACCEPT

答题解析:

（1）网站服务器提供的是web服务，使用HTTP和HTTPS，对应的默认端口是80和443。

（2）首先设置iptables防火墙默认不允许任何数据包进入，即采用白名单策略，然后在filter表的FORWARD链中添加一条允许目标端口80和443的TCP服务。规则如下

iptables -t filter -P FORWARD DROP（DROP更改为REJECT也符合题意）

iptables -t filter -A FORWARD -p tcp --dport 80 -j ACCEPT

iptables -t filter -A FORWARD -p tcp --dport 443 -j ACCEPT

（3）网工IP地址位于信息安全部计算机所在网段为192.168.11.1/24，/24就是掩码，点分十进制表示为255.255.255.0

（4）SSH协议是基于TCP的22号端口，所以在配置iptables需要设置源地址为网工办公电脑的IP地址、目标地址为DMZ区域所使用的IP地址、协议是TCP协议、目标端口是22的数据流的允许通过的规则，以及一条反向允许通过的规则。即：

iptables -t filter -A FORWARD -s 192.168.11.2 -d 192.168.70.140/24 -p tcp --dport 22 -j ACCEPT

iptables -t filter -A FORWARD -s 192.168.70.140/24 -d 192.168.11.2 -p tcp --sport 22 -j ACCEPT

查看完整试题>>>