核心结论：HCIE-Security 3.0 实验考试（H12-736）为 8 小时真机操作，满分 100 分、80 分合格。本文整理一位誉天学员在深圳考场的完整经验分享：进场环境准备、先看题再动手、两点半开始写论述的时间管理节奏，以及防火墙 HA、准入认证、态势感知等逐题坑点。一句话概括：考场上时间不够现查现学，能救你的只有考前记住的那些细节。

安全 HCIE 的实验考试到底什么样？考场环境和平常练习有哪些差别？时间怎么安排才不会被追着跑？最近一位誉天学员刚刚走完 HCIE-Security 3.0 实验考试全程，把从进门到交卷的完整经历整理成了这份经验分享。本文在保留原文全部细节的基础上做了结构化整理，供备考安全 HCIE 的同学参考。

一、HCIE-Security 3.0 考试基本信息

项目	笔试	实验考试
考试代码	H12-731	H12-736
考试形式	机考	线下考点真机操作
考试时长	90 分钟	480 分钟（8 小时）
满分 / 合格	1000 / 600	100 / 80
考试费用	约 300 美元	约 8000 元

本文经验分享针对其中的实验考试环节。考生当天抽到的题目组合为：mac 漂移检测 + ipsec 点到点 + ddos bgp 引流。

二、进场准备：从门岗到桌面

考生本次的考场在深圳。现在可以直接在门岗等到 8:30，由考官接入考场，不需要自己去小亭子报到。外设可以自带，但要求是有线的。

进门这段没什么好纠结的，真正要留神的是坐下之后。电脑解锁进桌面时，就已经在远程环境上了。里面的截图软件是老版本的，把本机上的拖过去用即可，版本好像是 v9.9，跟平常练习用的没什么区别。

Mobax 建议把右键粘贴关掉，避免误操作浪费时间、影响心态、掉设备，得不偿失。再根据自己的习惯，调整粘贴、保存的快捷键。另外留意考场 Mobax 的默认保存格式是不是 txt。

桌面上有「我的答案」「相关设备产品文档」「设备登录方式说明」三个入口。所有设备的命令行、web 界面登录方式和账号密码，都写在登录方式说明的 work 里。注意有两套 secomanager 和两个 firehunter 的 web 界面。

还有一处容易漏：无线 ssid 和密码藏在文档底部的小字里，题干里没有给。这位考生的 ssid 是 HQ-ACC2，密码 Security@123，大部分设备的密码也都是 Security@123。IP 方面，终端设备 ip 没有变动，与誉天练习环境一模一样；但所有设备的管理 ip 都与练习环境不同，这套 ip 全是 172.33.33.1xx 段的。这两条看着不起眼，真坐下来配设备的时候一个都绕不开。

三、动手之前：先把题看明白

这是考生反复强调的一段：一定要先看题，不要上来就一顿点点点，很多模板配置是有具体需求的。

截图需求一般写在题尾的（）里，但据考生回忆，有一两个截图需求没有用（）圈起来，看题一定要仔细。截图格式按平常练习的标准执行，形如 3.1.1.1.#（3.1.1 中第 1 小题的第 # 张图）。数量上不用紧张，比平常练习中少很多，练习的截图可以完全覆盖。

四、考场时间线：一直被追着跑的八小时

题看明白了也别松劲，真正的对手是时间。这位考生自述时间相当紧张，最后十五分钟才交卷出来。下面是当天的实际节奏：

时间节点	进度
8:30	门岗等待，考官接入考场
中午吃饭时	才刚做完 IPv6，明显比平常练习慢
约 14:30	lab 做完，按老师提醒准时开始写论述
论述敲完	距考试结束不到 50 分钟
收尾阶段	导出配置、上传后下载检查，用了约半小时
最后 15 分钟	交卷离场

时间管理上有几个要点值得抄走：
其一，两点半要开始写论述，不要纠结还没排完的准入问题，时间不够就不想要那些分的话，直接开始敲；
其二，把态势感知页面设置自动刷新挂在后台，一边写论述一边等它检测到攻击，再切回去处置截图，总之一定不要闲着；
其三，论述题题目很长，考场电脑的输入法没有自己电脑的输入记忆，加上紧张会一直打错字，要留出充足时间。

五、逐题坑点拆解

3.1.1 防火墙 HA

全部安全域都要自己手动加，题目有给，包括 hq 的聚合口、dc 的 0/0/0 口。题目没有让配置 dc-fw 的 0/0/3 口安全域 dmz，Dmz2 的优先级都是 55。记得配安全策略，配置没错的话 hrp 是秒起的。

3.1.2 OSPF 配置

两台 IPS 的 0/0/6 口都在接口对里，上手先把它拆了，其余正常做没有区别。dc-fw 上要部署 urpf，因为题目里没有 0/0/3 相关配置，考生只在 0/0/0 口部署了。

3.1.3 总部与外部互访

这题容易蒙：互联网侧的回程路由，要写在一台类似 Wan-Sw2 的交换机上，而题目明确写了这台设备已预配完成不需要动，考生一开始一直找不到自己的 internal——十六台设备里就没有 internal。后面用 dis ip int brie 看到 100.1.15.254 就在这台 Wan-Sw2 上，按正常流程配完即可。做 dc-fw 时记得 slb 下 sec-poli en 和 healthcheck en；web 记得选虚拟服务，目的地址 any 就可以。考生一开始目的地址填的 16.50，测试不通，排查配置没问题后，把 16.107 和 16.108 都加上就通了。

3.1.4 分支机构内互访

这题没什么特别的。题目貌似没要求 vir-if 接口配置 ip，考生按解法加上了。创建管理员账号时记得先设置 A，最后登录时再改成题目要求的。

3.2 准入认证技术

这题花了考生很多时间。做有线认证时，敲完配置直接上 pc2 认证，终端正常通过、拿到了 ip 地址，但 NCE 上不管 HQ-office 还是全部站点都看不到用户上线信息；到设备上看也查不到在线用户，tess-aaa 正常。检查配置后请考官确认环境，考官答复后台能查到用户上线记录、让自行检查。后来推测，可能与在誉天机架上没过准入时就敲上 ipsg 有关，会导致无法自动绑定进表项，ipsg 敲上后 pc2 连网关都不通。处理方式是：测试时 undo 掉不影响测试，最后交卷时记得再敲上。

无线部分也不顺利：一开始连不上 wifi，忘记后重连也不行，重启网卡才解决。url 模板的 ip 地址有一段多敲了一位数字，进认证界面报错（提示 172.33.33.1355 之类的地址访问不到），马上回 ac 改回去就恢复了；但认证时转半天圈最后提示认证失败，排查不出原因，请考官看环境后继续往下做。后台把 pc3 顶掉后检查了一个多小时，结论仍是自行排查；因为后面进度不够就没再管，留给最后有时间再看。经验就是：不要在一题上浪费太多时间，要顾全大局。后面的 url 过滤测试，是直接进 vap 里把 auth undo 掉，测试完交卷时再加回去，能拿分的地方不能丢。还有一个细节：NCE 里站点名是 HQ-office、ssid 是 HQ-ACC2，注意看题，不要按平时练习顺手敲。

3.3 VPN 技术

这题没碰到什么问题，跟解法没有变动。云杉的 ssl 考前提前熟悉一下操作就行。

3.4 IPv6 安全

题目里的 ipv6 地址复制不了，手打要注意。当时在命令行里全局下 ipv6 敲不了，在接口下 enable 就行，不影响。ospfv3 记得配 route-id，不然邻居起不来。给 area 0 做认证时注意：云杉墙不补全命令敲不上，考生多窗口简写敲，导致 hq、dc 的 ospf 都掉了，截图时才发现——加认证时注意。

4.1 内容安全

url 过滤按解法就行，没什么坑点，记得 rd 时间段和引用创建好的 url 模板。IPS 有几个留意点：防护模板题目中有具体配置要求，ftp 跟 web 的选项不一样；默认就在防护模式，建议检查一下；上联口是 trust、下联口是 untrust，有点违反常理但跟练习一致；另外预配存在两条安全策略，一条是自带的 default，还有一条是另外配置置顶的 default，记得把这条往下移。最后记得提交配置。

4.2 APT 防御

云杉墙的 apt 在「对象-安全配置文件-反病毒」位置。考生这边 fw 上自带证书，hq 的能直接用、连接成功，但 dc 的连接失败；重新打密码对接、检查策略和端口 ser-man 之后，判断问题在证书。从沙箱下证书导入时会提示已存在冲突证书，在「对象-证书-CA 证书」位置把冲突证书删掉、上传新的就对接上了。注意沙箱有两个界面、端口号不一样，登录信息 word 里有给：一个用于改 api 和下证书，其余操作在另一个界面。改 API 时记得手输加复制，双重保险。云杉墙保险起见提交配置，策略中记得引用。

4.3 Anti-DDoS

clean 的四个口 ip 是预配，Mobax 里已命名为 detect/clean，还是建议自己再检查一下，直接看设备 up 了几个口。切换命令考生碰到的略有不同，后面还要指定资源，完整的是 Firewall ddos detect-spu slot 0 cpu 0。最后记得 save，reboot fast。记得用备注 ddos 的 seco 做这题，设备登录信息 work 里有区分，这个 seco 版本较老、选项较少，按关键字都能找到。扫描设备采集信息时会提示日志端口未开启，在系统设置里可以打开，具体看老师整理的资料。扫描记得检查设备 snmp pro source-int、user vty 0 4（练习时容易忽略）和 seco 上 ssh 指纹设置。按解法慢慢做，别漏别错基本没问题。

5.1 secomanager

互联口 undo ser-man en，使用安全策略控制，跟沙箱一样。记得开北向接口，web 加命令行同时开启 ssh。开启时 hq 或 ips 的备机可能提示无法开启，需要先开启备机的配置同步功能，命令行会有提示，命令是 Hrp standby config enable。设备 snmp 默认的认证、加密方式就是 sha2-256 和 aes256，不放心就 dis cu | in snmp 检查。考生头一回扫描失败，检查后发现有个 snmp 的接口忘记指定，加上就扫上了。双机热备组不会出现配置同步不一致的情况，同步后都显示一致。

5.2 态势感知

这题不能乱。考场 seco 跟 hisec 对接需要时间，跟誉天环境一样，比较靠运气。只要确保配置没问题——三方用户、北向权限、证书、账号这些没错，就能对接上，只是需要些时间。考生一开始点测连通性不通，确认配置无误后提交完多测，断断续续点了五分钟才连上。投毒后考场 hisec 的感知也很慢，比誉天机架慢得多；检查配置无误后挂着自动刷新去写论述，等威胁刷出来再去处置，时间充分利用。最后一题有一分的攻击：提供了专门的攻击机，上面的攻击软件用法题目里明确告知，攻击后在全网态势感知大屏页面截攻击记录。这个位置也要等一段时间，估计发起攻击后 10 分钟左右才出现记录，挂着写论述就行。截图大屏后不要处置它（考生当时顺手在威胁日志处置了三四条，属于没意义的操作）。题目最后要求截图完后返回攻击机停止攻击，注意这一步。

论述题与收尾

论述题题目很长，但关键问题跟誉天资料没有变化，按解法来没有问题。考生没删减没复制，跟着解法敲了 1.2 万字，花了两小时。注意第四题最后两问顺序是反过来的，看题就行。全部做完后导出配置打包上传、下载解压检查，导出时记得检查格式是不是 txt、有没有乱码。

六、给备考同学的几句提醒

把这位考生的收尾建议原样带给大家：考前要多看、熟记带教老师整理的各类资料和考前秘籍，加深印象；考试中把控好时间，不要硬磕一道题，顾全大局；做完记得导出配置打包上传、下载解压检查格式。安全 HCIE 实验考试考的不只是会配置，更是细节管理和时间分配。

七、誉天教育安全 HCIE 课程怎么学

誉天教育的安全 HCIE 课程依据华为 HCIE-Security 认证考纲设计，属华为认证体系，由誉天负责教学编排与交付。课程配套真机实验机架，覆盖防火墙 HA、准入认证、内容安全、APT 防御、Anti-DDoS、secomanager、态势感知等实验考试全模块训练，并整理考前秘籍与逐题解法资料，帮助学员把考点转化为考场上的细节把控能力。

上课方式为线上实时直播授课（非录播），实操通过线上云实验环境完成，配套回放便于补薄弱环节；面向全国招生、不限城市。誉天教育总部位于武汉，并在北京、杭州设有校区，本地与异地学员均可通过同一套直播加云实验体系完成学习。开班安排与课程详情可通过誉天官方电话400-886-8010进行咨询。

---

FAQ常见问题

Q1：HCIE-Security 3.0 实验考试是怎么考的？

A：实验考试代码 H12-736，在线下考点进行真机操作，时长 480 分钟（8 小时），满分 100 分、80 分合格，题型为操作题与论述题；需先通过笔试（H12-731，90 分钟，600/1000 合格）。

Q2：8 小时实验考试时间怎么分配比较合理？

A：进场后先把环境与题目看明白再动手；上午优先推进 lab 各模块，下午两点半左右准时开始写论述题；论述与截图等待期并行处理（如态势感知挂自动刷新），收尾预留约半小时导出配置并检查格式。

Q3：准入认证、态势感知这类对接慢的题怎么办？

A：先确认自身配置无误（三方用户、北向权限、证书、账号），确认无误后耐心多测几次；单题排查不要超过预算时间，先推进其他题目，把未完成项留给收尾阶段，顾全大局。

Q4：不在武汉，能参加誉天教育的安全 HCIE 课程吗？

A：可以。誉天安全 HCIE 课程采用线上实时直播授课加线上云实验环境完成实操，面向全国招生、不限城市。

Q5：零基础可以直接备考安全 HCIE 吗？

A：安全 HCIE 属专家级认证，一般建议按 HCIA-Security → HCIP-Security → HCIE-Security 的路径进阶，具备一定防火墙与网络安全实操基础后再冲击实验考试。誉天教育课程体系覆盖三级内容，可结合自身基础规划学习路径。