绿盟科技安全服务一面：OSPF 邻居、VRRP/VPN 与一次企业网排障

《面试题目》

1. 实习当中开展的具体工作是什么？
2. 实习中遇到的困难怎么解决的？
3. 学过路由交换吗？配过路由器交换机吗？做过什么实验？
4. OSPF 是怎么设计的？邻居建立的过程讲一下。
5. 邻居没有到达 Full 状态，可能有哪些原因？
6. ACL 是做什么的？
7. 讲一下 VRRP。
8. 讲一下 VPN。
9. 假设在企业网里，员工今天上班发现打不开百度网页，你会怎么排查？有哪些故障可能性？
10. 你对安全产品有了解吗？选一个你最了解的安全产品，讲一下它的防护原理，还有它通常部署在哪儿、能起到什么样的作用，其他产品也简单说一下。
11. 拒绝服务攻击有了解吗？说一下 SYN Flood。
12. 我看你做过渗透测试，说一下一个完整的过程吧——一般怎么开始，会用哪些工具去做什么事？
13. 你用过哪些 Linux？主要也是用于刚刚提到的这些过程吗？一些常见命令都 OK 吗？
14. 数据库呢？
15. 你在实习或学校过程中，有遇到过跟别人在意见方面有冲突的情况吗？比如你倾向方案 A、别人倾向方案 B。产生分歧你会怎么处理、怎么去解决？
16. 假设明天就安排你去一个客户那边，让你部署一台密码机，但你以前没有实施过（这是公司里卖得相对较少、比较小众的产品），你会怎么做？

《参考解析》

OSPF 邻居建立过程要按状态机讲，而不是背七种报文。 完整的顺序是：Down → Init（收到对方的 Hello，但对端邻居列表里还没有我）→ 2-Way（双方 Hello 里都看到了对方，DR/BDR 选举在这一步完成）→ ExStart（协商主从、确定 DD 序号）→ Exchange（互发 DD 描述链路状态数据库摘要）→ Loading（用 LSR/LSU 补齐自己缺失的 LSA）→ Full（数据库同步完成）。可以补一句：广播网络上非 DR/BDR 的路由器之间会停在 2-Way，这是正常现象，不算故障，能说出这一点会显得真做过实验。

邻居卡在非 Full，排查按「能不能收到 Hello」和「能不能同步数据库」两段分。 连 2-Way 都到不了，多半是底层问题：接口 up/down、VLAN 或链路不通、Hello/Dead 定时器不一致、区域 ID 不匹配、认证密钥不一致、子网掩码或 MTU 不匹配、被动接口或 ACL 把 224.0.0.5 的组播挡了。能到 Exchange 但进不了 Full，通常是 MTU 不一致导致大 DD 包被丢、LSA 校验和错误、或者路由器资源不足。回答时把「现象 → 用 display ospf peer / show ip ospf neighbor 看卡在哪个状态 → 对应哪一类原因」串起来，比罗列原因更可信。

ACL、VRRP、VPN 三个概念各自回答一句话加一个场景。 ACL 是按规则对报文做匹配过滤（源目 IP、端口、协议、时间段），用在接口的入/出方向，常用于访问控制、NAT 匹配和策略路由。VRRP 是把多台路由器虚拟成一台，共用一个虚拟 IP 和虚拟 MAC，通过优先级选举 Master 承担转发，实现网关冗余；要提抢占模式和跟踪上行链路这两个实际配置点。VPN 在企业网里最常考 IPSec，两个阶段：IKE 阶段一协商管理隧道（主模式/野蛮模式、预共享密钥或证书），阶段二协商数据隧道（AH/ESP、加密与认证算法）；站点到站点用于分支互联，远程接入则配合 SSL VPN 给个人终端用。

「打不开百度」这类排障题，考的是分层而不是答案。 先说清是先确认范围（一个人还是整个办公区、只有百度还是所有外网、有线还是无线），再从下往上查：物理层与接入（网线、AP、交换机端口、VLAN 是否正确）、IP 与网关（地址是否是本网段、能否 ping 通网关、ARP 学习是否正常）、DNS（nslookup 百度域名是否解析、DNS 服务器是否可达——这是「只有百度打不开」最高频的原因）、路由与出口（traceroute 看在出口还是运营商丢、NAT 与会话数是否打满、出口带宽或策略是否被限）、应用层（代理配置、浏览器证书、防火墙或 URL 过滤策略把域名拦了）。故障可能性按概率排：DNS 故障、出口 NAT/会话耗尽、策略误拦、链路或设备故障。

SYN Flood 的原理和防护要成对讲。 原理是攻击方向目标端口发大量源地址伪造的 SYN，服务端为每个半开连接分配资源并回 SYN-ACK，因为永远收不到 ACK，半连接队列被占满，正常用户无法建连。防护手段分几层：内核参数层面开 SYN Cookies、调大半连接队列、缩短 SYN-ACK 重试；网络设备层面用防火墙或抗 DDoS 设备做源认证（SYN 代理、首包丢弃后重试校验）、限速与黑白名单；架构层面负载均衡与清洗中心分流，业务侧限制单 IP 并发、对关键接口加验证码或令牌。答题时点一句「SYN Flood 属于消耗连接表资源的资源型攻击，所以防护核心是把半开连接的控制权从服务器挪到中间设备」。

渗透测试的完整流程按标准阶段说，并点出每个阶段的产出物。 前期交互与授权（确定目标范围、时间窗、禁止事项，拿到书面授权——这一步是合规底线）、信息收集（域名与子域名、端口与服务、指纹识别、目录与接口探测，工具用 nmap、子域名枚举、目录扫描）、漏洞发现与验证（漏扫加手工验证，避免只报扫描器结果）、漏洞利用与权限提升（在授权范围内验证可利用性、拿到权限后做本地提权与信息收集）、横向移动与驻留（凭据收集、内网探测）、痕迹清理与报告（复现步骤、危害评级、修复建议）。可以强调一句：真实项目里最容易出问题的是范围界定和风险控制，不是工具会用多少。

「明天去客户那里部署没做过的密码机」是道考察工作方式的题。 稳妥的答法是四步：先找资料和内部资源（产品手册、实施指导书、厂商支持、做过的同事），把部署前置条件列出来（机柜与供电、网络位置与旁路/串联方式、证书与密钥管理流程、业务系统对接方式）；再和客户确认现场条件与时间窗；到现场按手册分步实施，每一步做验证与记录，遇到不确定的先停下来确认而不是硬试；最后做交付文档和交接培训。要补一句风险意识：密码机涉及密钥，操作前必须确认密钥的产生、备份与恢复流程，避免误操作导致业务密钥不可恢复。

行为题的答法：冲突要落在「依据」和「共识机制」上。 回答框架是当时的分歧点是什么、双方各自的依据（性能数据、安全要求、交付时间、维护成本）、我用什么把讨论从观点拉回事实（拉一个对照测试、列出取舍矩阵、找第三方评审）、最后结果如何以及事后关系。重点不是「我坚持了我的方案」，而是「我们最后是按一个可验证的标准定的」。面试官在这道题上想看的是你在技术分歧里会不会情绪化。

这场面试的复盘价值在于它暴露了「安全服务岗到底考什么」。 题目里真正与技术八股相关的只有网络部分，其余全在问经历、排障思路、交付能力和沟通——说明安服岗（实施/驻场方向）的筛人重点是把设备落地到客户现场的能力，而不是漏洞挖掘深度。准备这类岗位时，把简历上的实习拆成「我做了什么 → 遇到什么问题 → 怎么解决 → 结果可量化」四段，准备两三个能讲透的案例，比多背几个 CVE 更有用。