Palo Alto 与 Fortinet NGFW 测验
最后更新：2026 年 10 月 15 日
1. 通用 GENEVE 支持是否足以证明与 AWS GWLB 兼容？
- A) 是，只要 UDP 6081 即可
- B) 否；还需核实厂商支持的集成方式和必需的 AWS 元数据
- C) 是，只要把任意管理 IP 设为对等端即可
- D) 只看产品 Logo 就够了
显示答案
答案：B) 否；还需核实厂商支持的集成方式和必需的 AWS 元数据
解释：应根据官方部署模式，匹配版本、接口、策略和元数据处理方式。
2. 设备健康检查成功能证明什么？
- A) 所有 IPS 特征码都已启用
- B) 所有客户端的 TLS 解密均正常
- C) 已配置的健康检查 endpoint 有响应，但这不能证明完整的流量检查能力
- D) N-1 业务容量充足
显示答案
答案：C) 已配置的健康检查 endpoint 有响应，但这不能证明完整的流量检查能力
解释：除健康检查外，还应使用流量检查 canary、策略/许可证检查以及应用指标。
3. 应如何使用厂商提供的健康检查示例？
- A) HTTP 80 端口适用于所有场景
- B) 任意响应端口都可以互换使用
- C) GENEVE 数据流量和健康检查必须使用同一协议
- D) 应匹配实际模板、目标组和设备响应
显示答案
答案：D) 应匹配实际模板、目标组和设备响应
解释：手册指南中关于禁止 HTTP 和健康检查配置的表述相互矛盾。应在选定版本/模板中核实 TCP/HTTPS 支持情况和实际响应，而不要直接依据含糊的指南表述自动配置。
4. 检查加密载荷需要什么条件？
- A) 受支持的解密/终止方式，以及经过测试的信任/兼容性策略
- B) 只要部署 GWLB 即可
- C) 只要有 GENEVE VNI 即可
- D) 只要目标健康即可
显示答案
答案：A) 受支持的解密/终止方式，以及经过测试的信任/兼容性策略
解释：GENEVE 并不提供加密或 TLS 终止。应验证 mTLS、证书固定、CA 信任、协议支持和例外规则。
5. ALB HTTPS 目标组是否会验证后端证书？
- A) 总是会
- B) 不会；AWS 文档明确说明 ALB 不验证目标证书
- C) 只有启用 GWLB 时才会
- D) 只有 WAF 操作为 Block 时才会
显示答案
答案：B) 不会；AWS 文档明确说明 ALB 不验证目标证书
解释：传输加密与按要求验证后端身份是两种独立的设计属性。
6. 经过节点 SNAT 后，设备可能观察到哪个地址？
- A) 不会变化的工作负载身份
- B) 始终是原始 Pod 地址
- C) 节点地址；若要归属到 Pod，需要结合 CNI/IPAM 进行关联
- D) 始终是用户的浏览器地址
显示答案
答案：C) 节点地址；若要归属到 Pod，需要结合 CNI/IPAM 进行关联
解释：应记录地址转换的位置和时间戳。即使保留了 Pod 地址，它也不是永久身份。
7. 增加相互独立的 GWLB 目标，是否会复制防火墙会话状态？
- A) 总是会
- B) 只有因为 GENEVE 使用 UDP 才会
- C) 只有因为目标位于同一个 AZ 才会
- D) 不会；状态共享需要采用经过厂商支持并测试的设计
显示答案
答案：D) 不会；状态共享需要采用经过厂商支持并测试的设计
解释：流量重新分配和状态复制是两回事。应在故障、扩缩容和升级期间测试现有/新建会话。
8. 哪种基准测试能公平比较不同设备设计？
- A) 使用实测业务流量、实际安全/解密配置、N-1 容量及延迟/错误指标
- B) 只看数据表上的最大吞吐量
- C) 只看 EC2 实例价格
- D) 只看健康检查是否成功
显示答案
答案：A) 使用实测业务流量、实际安全/解密配置、N-1 容量及延迟/错误指标
解释：应控制流量组合、许可证、功能、AZ 路径和会话条件。本次文档更新没有测量任何性能结果。