網(wǎng)絡(luò)工程師案例分析

13.2強(qiáng)化練習(xí)

以下列舉了歷年網(wǎng)絡(luò)工程師考試中出題頻率較高的試題類型，分別是涉及到網(wǎng)絡(luò)系統(tǒng)分析與設(shè)計(jì)類、應(yīng)用服務(wù)

器、網(wǎng)絡(luò)設(shè)備配置（路由器、交換機(jī)）、網(wǎng)絡(luò)安全等考點(diǎn)。

試題一（共15分）閱讀以下說(shuō)明，回答問題1至問題3,將解答填入答題紙對(duì)應(yīng)的解答欄內(nèi)。

【說(shuō)明】某校園無(wú)線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖13-1所示。

圖13-1

該網(wǎng)絡(luò)中無(wú)線網(wǎng)絡(luò)的部分需求如下：1.學(xué)校操場(chǎng)要求部署AP,該操場(chǎng)區(qū)域不能提供外接電源。

2.學(xué)校圖書餌報(bào)告廳要求高帶寬、多接入點(diǎn)。3.無(wú)線網(wǎng)絡(luò)接入要求有必要的安全性。

【問題1】（4分）

根據(jù)學(xué)校無(wú)線網(wǎng)絡(luò)的需求和拓?fù)鋱D可以判斷，連接學(xué)校操場(chǎng)無(wú)線AP的是（1）交換機(jī)，它可以通過(guò)交換機(jī)的（2）

口為AP提供直流電。

【問題2】（6分）

1.根據(jù)需求在圖書館報(bào)告廳安裝無(wú)線A?如果采用符合IEEE802.11b規(guī)范的AP,理論上可以提供（3）Mb/s的傳

輸速率；如果采用符合IEEE802.11g規(guī)范的AP,理論上可以提供最高（4）Mb/s的傳輸速率。如果采用符合（5）規(guī)

范的AP,由于將MIM。技術(shù)和（6）調(diào)制技術(shù)結(jié)合在一起，理論上最高可以提供600Mbps的傳輸速率。

（5）備選答案A.IEEE802.11aB.IEEE802.11eC.IEEE802.11!D.IEEE802.11n

（6）備選答案A.BFSKB.QAMC.OFDMD.MFSK

2.圖書館報(bào)告廳需要部署10臺(tái)無(wú)線AP,在配置過(guò)程中發(fā)現(xiàn)信號(hào)相互干擾嚴(yán)重，這時(shí)應(yīng)調(diào)整無(wú)線AP的（7）設(shè)置,

用戶在該報(bào)告廳內(nèi)應(yīng)選擇（8）,接入不同的無(wú)線AP.

（7）~（8）備選答案A瀕道B.功率C.加密模式D.操作模式E.SSID

【問題3】（5分）

若在學(xué)校內(nèi)一個(gè)專項(xiàng)實(shí)驗(yàn)室配置無(wú)線AP,為了保證只允許實(shí)驗(yàn)室的PC機(jī)接入該無(wú)線AP,可以在該無(wú)線AP上設(shè)置

不廣播（9）,對(duì)客戶端的（10）地址進(jìn)行過(guò)濾，同時(shí)為保證安全性，應(yīng)采用加密措施。無(wú)線網(wǎng)絡(luò)加密主要有三種方

式：（11）、WPA/WPA2,WPA-PSK/WPA2-PSK.在這三種模式中，安全性最好的是（12）,其加密過(guò)程采用了TKIP和（13）

算法。（13）備選答案A.AESB.DESC.IDEAD.RSA

試題二（共15分）

閱讀下列說(shuō)明，回答問題1至問題5,將解答填入答題紙對(duì)應(yīng)的解答欄內(nèi)。

【說(shuō)明】

網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖13-2所示。

圖13-2

【問題1】（4分）

網(wǎng)絡(luò)A的WWW服務(wù)器上建立了一個(gè)Web站點(diǎn)，對(duì)應(yīng)的域名是<>.DNS服務(wù)器

1上安裝WindowsServer2003操作系統(tǒng)并啟用DNS服務(wù)。為了解析WWW服務(wù)器的域名，在圖13-3所示的對(duì)話框

中，新建一個(gè)區(qū)域的名稱是（1）;在圖13-4所示的對(duì)話框中，添加的對(duì)應(yīng)的主機(jī)"名稱"為（2）。

區(qū)域名春

的名次，什么？

.這可能是名堀吸單

滕r矗曲牒鬻船舜哪髀

蒲關(guān)區(qū)域名M瞬陽(yáng)值■，謂單擊“超助”.

|<上一涉0"|里浦|一助|

圖13-3

圖13-4

【問題2】（3分）

在DNS系統(tǒng)中反向查詢（ReverseQuery）的功能是（3）。為了實(shí)現(xiàn)網(wǎng)絡(luò)A中WWW服務(wù)器的反向查詢，在圖

13-5和13-6中進(jìn)行配置，其中網(wǎng)絡(luò)ID應(yīng)填寫為（4）。主機(jī)名應(yīng)填寫為（5）。

圖13-5

圖13-6

【問題3】（3分）

DNS服務(wù)器1負(fù)責(zé)本網(wǎng)絡(luò)區(qū)域的域名解析，對(duì)于非本網(wǎng)絡(luò)的域名，可以通過(guò)設(shè)置"轉(zhuǎn)發(fā)器"，將自己無(wú)法解析的名

稱轉(zhuǎn)到網(wǎng)絡(luò)C中的DNS服務(wù)器2進(jìn)行解析。設(shè)置步驟：首先在"DNS管理器"中選中DNS服務(wù)器，單擊鼠標(biāo)右鍵，選

擇"屬性"對(duì)話框中的"轉(zhuǎn)發(fā)器"選項(xiàng)卡，在彈出的如圖13-7所示的對(duì)話框中應(yīng)如何配置

圖13-7

【問題4］（2分）

網(wǎng)絡(luò)C的WindowsServer2003Server服務(wù)器上配置了DNS服務(wù)，在該服務(wù)器上兩次使用nslookup

命令得到的結(jié)果如圖所示，由結(jié)果可知，該服務(wù)器

13-8DNS(6)o

I'^DocumentsandSettings\Administnuor>nslookupwww.sohHeom

Server

Address:5120222.18

Non-authorititivcanswer

Name:pgcnbjtOI.a.sohu.co<n

Addresses:222.35250J37.222.35250.138,39,222.35,250.132

33,222.355.250.135,36

Aliases:,d7a$ohacora

C:\DocumcntsandScftingsl^dministrator>miookup

Server

Address:5UO2.22.I8

Non-authohutiveanswer:

Name:

Addresses:222.35250.135,22235.250.136,222.35250.137,222.35.250,138

2232.222355250.134

Aliases:,

圖13-8

(6)的備選答案：A.啟用了循環(huán)功能B.停用了循環(huán)功能C.停用了遞歸功能D.啟用了遞歸功能

【問題5】(3分)

在網(wǎng)絡(luò)B中，除PC5計(jì)算機(jī)以外，其它的計(jì)算機(jī)都能訪問網(wǎng)絡(luò)A的WWW服務(wù)器，而PC5計(jì)算機(jī)與網(wǎng)絡(luò)B內(nèi)

部的其它PC機(jī)器都是連通的。分別在PC5和PC6上執(zhí)行命令ipconfig,結(jié)果信息如圖13-9和圖13-10所示：

Ethernetadapter本地連接：

Connection-specificDNSSuffix?：

!PAddress......................?x00

SubnetMask..........................：255.255255.0

DefaultGateway................：192.168.13

圖13-9

Ethernetadapter本地連接，

Connection-specificDNSSuffix?:

IPAddress..................t47

SubnetMask.............................

DefaultGateway...................

圖13-10

請(qǐng)問PC5的故障原因是什么如何解決

試題三(共15分)

閱讀以下說(shuō)明，回答問題1至問題4,將解答填入答題紙對(duì)應(yīng)的解答欄內(nèi)。

【說(shuō)明】

某公司總部和分支機(jī)構(gòu)的網(wǎng)絡(luò)配置如圖13-11所示。在路由器R1和R2上配置IPSec

安全策略，實(shí)現(xiàn)分支機(jī)構(gòu)和總部的安全通信。

圖13-11

【問題1】(4分)

圖13-12中(a)、(b)、(c)、(d)為不同類型IPSec數(shù)據(jù)包的示意圖，其中(1)和(2)工作在隧道模式；(3)

和(4)支持報(bào)文加密。

原始TP頭AH頭數(shù)據(jù)

原始IP頭ESP頭數(shù)據(jù)

新IP頭AH頭原始IP頭數(shù)據(jù)

新IP頭ESP頭原始IP頭數(shù)據(jù)ESP尾

圖13-12

【問題2】(4分)

下面的命令在路由器R1中建立IKE策略，請(qǐng)補(bǔ)充完成命令或說(shuō)明命令的含義。

RI(config)#cryptoisakmppolicy110進(jìn)入ISAKMP配置模式

RI(config-isakmp)#encryptiondes(5)

RI(config-isakmp)#(6)采用MD5散列算法

RI(config-isakmp)ttauthenticationpre-share(7)

RI(config-isakmp)#group1

RI(config-isakmp)ttlifetime(8)安全關(guān)聯(lián)生存期為1天

【問題3】(4分)

R2與R1之間采用預(yù)共享密鑰"12345678"建立IPSec安全關(guān)聯(lián)，請(qǐng)完成下面配置命令。

RI(config)ttcryptisakmpkey12345678address(9)

R2(config)ttcryptisakmpkey12345678address(10)

【問題4】(3分)

完成以下ACL配置，實(shí)現(xiàn)總部主機(jī)和分支機(jī)構(gòu)主機(jī)的通信。RI(config)#access-list110permit

iphost(11)host(12)R2(config)#access-list110permitiphost(13)host

試題四(共15分)

閱讀以下說(shuō)明，回答問題1至問題4,將解答填入答題紙對(duì)應(yīng)的解答欄內(nèi)。

【說(shuō)明】

某公司通過(guò)PIX防火墻接入Internet,網(wǎng)絡(luò)拓?fù)淙鐖D13-13所示。

圖13-13

在防火墻上利用show命令杳詢當(dāng)前配置信息如下:

PIX#showconfig

nameifethOoutsidesecurityO

nameifethIinsidesecuritylOO

nameifeth2dmzsecurity40

fixupprotocolftp21(1)

fixupprotocolhttp80

ipaddressoutside248

ipaddressinside

ipaddressdmz

global(outside)16

nat(inside)100

routeoutside51（2）

【問題1】（4分）解釋（1）、（2）處畫線語(yǔ)句的含義。

【問題2］（6分）根據(jù)配置信息，填寫表13-1.

表13-1

域名稱接口名稱IP地址IP地址掩碼

mstdeedil(3)

outsideeth：2(4)

癡7(5)(6)

【問題3】（2分）

根據(jù)所顯示的配置信息，由inside域發(fā)往Internet的IP分組，在到達(dá)路由器R1時(shí)的源IP地址是（7）。

【問題4】（3分）

如果需要在dmz域的服務(wù)器（IP地址為10.10.0,100）對(duì)Internet用戶提供Web服務(wù)（對(duì)外公開IP地址為

3）,請(qǐng)補(bǔ)充完成下列配置命令。

PIX（config）#static（dmz,outside）（8）（9）

PIX（config）#conduitpermittcphost（10）eqwwwany

試題五（共15分）

閱讀以下說(shuō)明，回答問題1至問題3,將解答填入答題紙對(duì)應(yīng)的解答欄內(nèi)。

【說(shuō)明】在大型網(wǎng)絡(luò)中，通常采用DHCP完成基本網(wǎng)絡(luò)配置會(huì)更有效率。

【問題1】(1分)

在Linux系統(tǒng)中,DHCP服務(wù)默認(rèn)的配置文件為(1)?

(1)備選答案：

A./etc/dhcpd.confB./etc/dhcpd.configC./etc/dhcp.confD./etc/dhcp.config

【問題2】(共4分)

管理員可以在命令行通過(guò)(2)命令啟動(dòng)DHCP服務(wù)；通過(guò)(3)命令停止DHCP服務(wù)。

(2)、(3)備選答案：

A.servicedhcpdstartB.servicedhcpdupC.servicedhcpdstopD.servicedhcpddown

【問題3】(10分)

在Linux系統(tǒng)中配置DHCP服務(wù)器，該服務(wù)器配置文件的部分內(nèi)容如下：

subnetnetmask{

optionrouters54;

optionsubnet-mask;

optionbroadcast-address55;

optiondomain-name-servers;

range0000;

default-lease-time21600;

max-lease-time43200;

hostwebserver{

hardwareethernet52:54:AB:34:5B:09;

fixed-address00;

}

)

在主機(jī)webserver上運(yùn)行ifconfig命令時(shí)顯示如圖13-14所示，根據(jù)DHCP配置，填寫空格中缺少的內(nèi)容。

cthOLinkcnc?pEthernetHWiddr(4)

metad4r:CS)BcMt：l91l68.L25SNUik：(6)

UPBROADCASTRUNNINGMULTICASTMTU1500Metnc:1

RXpckcts-0CTree**0dropped：0overruns0frameX)

TXpackeu：4errors：。dropped:。ovenuns：。camerO

colli$iom:0(xqvcvekn100

RXbxtesO(OOb)TXbyte168(168.0b)

IntcnupdOBaseaddress^>xl0a4

IoLinkcncapLocalLoopback

inct>ddrMask255.OQQ

UPLOOPBACKRUNNINGMTO16436Mctncl

RXpickets'397errors:。dropped:。<ncnuns:0frame:。

TXpockcts:397crrorsX)dropped0cncrrunsX)earner;。

colliS3om;0uqueuelcn：0

RXbyte26682(26.0Kb)TXbytes26682(260Kb)

圖13-14ifconfig命令運(yùn)行結(jié)果

該網(wǎng)段的網(wǎng)關(guān)IP地址為(7),域名服務(wù)器IP地址為(8)。

試題一分析

問題1解析：

根據(jù)學(xué)校無(wú)線網(wǎng)絡(luò)的需求在學(xué)校操場(chǎng)要求部署AP,該操場(chǎng)區(qū)域不能提供外接電源，由此可以判斷連接學(xué)校操場(chǎng)

無(wú)線AP的是POE(PoweroverEthernet)交換機(jī)，是一種可以在以太網(wǎng)

</zh-tw/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF>中通過(guò)雙絞線

<http:〃/zh-tw/%E5%8F%8C%E7%BB%9E%E7%BA%BF>來(lái)為連接設(shè)備提供電源的技術(shù)。它可以通過(guò)交換

機(jī)的以太口為AP提供直流電。

問題2解析：

IEEE802.il先后提出了以下多個(gè)標(biāo)準(zhǔn)，最早的802.11標(biāo)準(zhǔn)只能夠達(dá)到l~2Mbps的速度，在制訂更高速度的標(biāo)準(zhǔn)

時(shí)，就產(chǎn)生了802.11a和802.11b兩個(gè)分支,后來(lái)又推出了802.11g的新標(biāo)準(zhǔn),如表13-2所示。

表13-2無(wú)線局域網(wǎng)標(biāo)準(zhǔn)

標(biāo)準(zhǔn)運(yùn)行都斐數(shù)據(jù)速率

802.112.4GHz的ISM頻段擴(kuò)頻通信技術(shù)1Mbps和2Mbps

802.11b2.4GHz的ISM頻段CCK技術(shù)11Mbps

802.11a5GHzU-NH頻段0FDM調(diào)制技術(shù)54Mbps

802.11g2.4GHz的ISM頻段OFDM調(diào)制技術(shù)54Mbps

MIMO（多入多出）與OFDM

802.Un支持雙頻段600Mbps

技術(shù)

注：ISM是指可用于工業(yè)、科學(xué)、醫(yī)療領(lǐng)域的頻段；U-NII是a指用于構(gòu)建國(guó)家信息基礎(chǔ)的無(wú)限制頻段。

圖書館報(bào)告廳需要部署10臺(tái)無(wú)線AP,在配置過(guò)程中發(fā)現(xiàn)信號(hào)相互干擾嚴(yán)重，這時(shí)應(yīng)調(diào)整無(wú)線AP的頻道設(shè)置,

用戶在該報(bào)告廳內(nèi)應(yīng)選擇SSID,接入不同的無(wú)線AP.其中SSID為用來(lái)標(biāo)識(shí)不同的無(wú)線網(wǎng)絡(luò)信號(hào)。如圖13-15所示：

無(wú)線網(wǎng)絡(luò)基本設(shè)置

本頁(yè)面設(shè)置路由器無(wú)線網(wǎng)絡(luò)的基本參數(shù)和安全認(rèn)證選項(xiàng).

SSID號(hào)：|TP-LIHK_717948

頻段：|6▼]

模式：54Mbps(802.11g)▼

也開啟無(wú)線功能

21允許SS1D廣播

圖13-15

問題3解析：

若在學(xué)校內(nèi)一個(gè)專項(xiàng)實(shí)驗(yàn)室配置無(wú)線AP,為了保證只允許實(shí)驗(yàn)室的PC機(jī)接入該無(wú)線AP,可以在該無(wú)線AP上設(shè)置

不廣播SSID.通常無(wú)線AP默認(rèn)開啟SSID廣播，在其覆蓋范圍內(nèi)，所有具備無(wú)線網(wǎng)卡的計(jì)算機(jī)都可以查看并連接到該

網(wǎng)絡(luò)，如將其SSID廣播禁用，則只有知道正確SSID的計(jì)算機(jī)才能連接至該無(wú)線網(wǎng)絡(luò)，這樣可達(dá)到安全限制的目的。

同時(shí)對(duì)客戶端的MAC地址進(jìn)行過(guò)濾，如圖13-16所示：

無(wú)線網(wǎng)絡(luò)地址過(guò)泥設(shè)置

本頁(yè)設(shè)置MAC地址過(guò)濾來(lái)控制計(jì)算機(jī)對(duì)本無(wú)線網(wǎng)絡(luò)的訪問.

注意：64位密鑰、128位密鑰和152位密鑰（16進(jìn)制形式）只有在安全認(rèn)證方式為開

放系統(tǒng)、共享密鑰或自動(dòng)選擇而且設(shè)置默式密鑰時(shí)才有效（否則視為允許通過(guò)）.

MAC地址過(guò)濾功能：已關(guān)閉|啟用過(guò)濾|

過(guò)濾規(guī)則顯示內(nèi)容：

?允許列表中生效規(guī)則之外的MAC地址訪問本無(wú)線網(wǎng)絡(luò)與描述

您禁止列表中生效規(guī)則之外的MAC地址訪問本無(wú)線網(wǎng)絡(luò)。密鑰

「IDMAC地址1狀態(tài)/類型；描述編輯

|添加新條目|所添―|一：，~~||~|

|上一貫|貴T|?]

圖13-16

單擊"添加新條目":如圖13-17

無(wú)線網(wǎng)絡(luò)MAC地址過(guò)謔設(shè)置

本頁(yè)設(shè)置MK地址過(guò)濾來(lái)控制計(jì)算機(jī)對(duì)本無(wú)線網(wǎng)絡(luò)的訪問。

注意：64位密鑰、128位密鑰和152位密鑰（16進(jìn)制形式）只有在安全認(rèn)證方式為開

放系統(tǒng)、共享密鑰或自動(dòng)選擇而且設(shè)置默認(rèn)密鑰時(shí)才有效（否則視為允許通過(guò)）。

MAC地址：00-0A-EB-00-07-5F|

描述：實(shí)驗(yàn)室PC1

類型：128位密鑰▼

密鑰：叩J

狀態(tài)：生效▼

圖13-17

無(wú)線網(wǎng)絡(luò)加密主要有三種方式：WEP、WPA/WPA2,WPA-PSK/WPA2-PSK.在這三種模式中，安全性最好的是

WPA-PSK/WPA2-PSK,其加密過(guò)程采用了TKIP和AES算法。如圖13-18所示：

?開啟安全設(shè)置

安全類型：^EP7

安全選項(xiàng)：'A'EF

WPA/WPA2

密鑰格式選擇：WPA-PSK/WPA2-FSK

選擇64位密鑰需輸入16進(jìn)制數(shù)字符10個(gè)，或者ASCII

碼字符5個(gè).選擇128位密鑰需輸入16進(jìn)制數(shù)字符26

密碼長(zhǎng)度說(shuō)明：

個(gè)，或者ASCII碼字符13個(gè).選擇152位密鑰需輸入16

進(jìn)制數(shù)字符32個(gè)，或者ASCII碼字符16個(gè).

圖13-18

其中WEP加密是無(wú)線加密中最早使用的加密技術(shù)，也是目前最常用的，大部分網(wǎng)卡都支持該種加密。但是后

來(lái)發(fā)現(xiàn)WEP是很不安全的，802.11組織開始著手制定新的安全標(biāo)準(zhǔn)，也就是后來(lái)的802.11i協(xié)議。IEEE802.11i規(guī)

定使用802.lx認(rèn)證和密鑰管理方式，在數(shù)據(jù)加密方面，定義了TKIP（TemporalKeyIntegrityProtocol）,CCMP

（Counter-Mode/CBC-MACProtocol）和WRAP（WirelessRobustAuthenticatedProtocol）三種加密機(jī)制。其中TKIP采

用WEP機(jī)制里的RC4作為核心加密算法，可以通過(guò)在現(xiàn)有的設(shè)備上升級(jí)固件和驅(qū)動(dòng)程序的方法達(dá)到提高WLAN安

全的目的。CCMP機(jī)制基于AES加密算法和CCM（Counter-Mode/CBC-MAC）認(rèn)證方式，使得WLAN的安全程度大大

提高，是實(shí)現(xiàn)RSN的強(qiáng)制性要求。由于AES對(duì)硬件要求比較高，因此，CCMP無(wú)法通過(guò)在現(xiàn)有設(shè)備的基礎(chǔ)上進(jìn)行升

級(jí)實(shí)現(xiàn)。WRAP機(jī)制基于AES加密算法和OCB（OffsetCodebook）,是一種可選的加密機(jī)制。

試題一參考答案

【問題1］（4分）(1)PoE或者802.3af(2)以太或者Ethernet

【問題2］（6分）(3)11(4)54(5)D(6)C(7)A(8)E.

【問題3］（5分）(9)SSID(10)MAC(11)WEP(12)WPA-PSK/WPA2-PSK(13)A.

試題二分析

問題1解析：本題考查的為Windows2003平臺(tái)下DNS服務(wù)器的配置，Windows2003中新建區(qū)域，是為了

讓域名能和指定的IP地址建立起對(duì)應(yīng)關(guān)系。這個(gè)時(shí)候應(yīng)該填寫其根域名，因此（1）應(yīng)該填寫.根據(jù)問題1

的要求，要能夠正確解析本地Web站點(diǎn)的域名，因此圖13-4中添加的主機(jī)的名稱即空（2）應(yīng)該為www.

問題2解析：DNS的反向查詢就是用戶用IP地址查詢對(duì)應(yīng)的域名。在圖13-5的網(wǎng)絡(luò)ID中，要以DNS服務(wù)

器所使用的IP地址前三個(gè)部分來(lái)設(shè)置反向搜索區(qū)域。圖13-2中，網(wǎng)絡(luò)A中的DNS服務(wù)器的IP地址是"”,

則取用前三個(gè)部分就是"210.43.16".因此，（4）填入210.43.16

而主機(jī)名填寫相應(yīng)的域名即可，即<>.

問題3解析：DNS服務(wù)器1負(fù)責(zé)本網(wǎng)絡(luò)區(qū)域的域名解析，對(duì)于非本網(wǎng)絡(luò)的域名，可以通過(guò)設(shè)置"轉(zhuǎn)發(fā)器",

將自己無(wú)法解析的名稱轉(zhuǎn)到網(wǎng)絡(luò)C中的DNS服務(wù)器2進(jìn)行解析。設(shè)置步驟:首先在"DNS管理器"中選中DNS服務(wù)器，

單擊鼠標(biāo)右鍵，選擇"屬性"對(duì)話框中的"轉(zhuǎn)發(fā)器"選項(xiàng)卡，在選項(xiàng)卡中選中"啟用轉(zhuǎn)發(fā)器"，在IP地址欄輸入"8",

單擊"添加"按鈕，然后單擊"確定"按鈕關(guān)閉對(duì)話框。

問題4解析：如圖13-8所示，如<http:〃/>對(duì)應(yīng)于多個(gè)IP地址時(shí)DNS每次解析

的順序都不同，則表示其啟用了循環(huán)功能。

問題5解析：由網(wǎng)絡(luò)拓?fù)鋱D可知，PC5和PC6屬于同一網(wǎng)段，導(dǎo)致PC5不能正確訪問WWW服務(wù)器的原因在于

的默認(rèn)網(wǎng)關(guān)配置錯(cuò)誤，導(dǎo)致數(shù)據(jù)包到達(dá)不了正確的網(wǎng)關(guān)，將默認(rèn)網(wǎng)關(guān)IP地址修改為正確網(wǎng)關(guān)地址""即可。

試題二參考答案

【問題1](5分)(1)(2)www

【問題2](3分)(3)用IP地址查詢對(duì)應(yīng)的域名(4)210.43.16(5)<>

【問題3】(3分)選中"啟用轉(zhuǎn)發(fā)器，在IP地址欄輸入"8",單擊"添加"按鈕，然后單擊"確定"按鈕關(guān)

閉對(duì)話框。

【問題4](2分)(6)A或啟用了循環(huán)功能

【問題5](3分)PC5的默認(rèn)網(wǎng)關(guān)配置錯(cuò)誤(2分)，將默認(rèn)網(wǎng)關(guān)IP地址修改為"".

試題三分析

問題1解析：

IPSec有隧道和傳送兩種工作方式。在隧道方式中，用戶的整個(gè)IP數(shù)據(jù)包被用來(lái)計(jì)算ESP頭，且被加密，ESP

頭和加密用戶數(shù)據(jù)被封裝在一個(gè)新的IP數(shù)據(jù)包中；在傳送方式中，只是傳輸層(如TCP、UDP、ICMP)數(shù)據(jù)被用

來(lái)計(jì)算ESP頭，ESP頭和被加密的傳輸層數(shù)據(jù)被放置在原IP包頭后面。當(dāng)IPSec通信的一端為安全網(wǎng)關(guān)時(shí)，必須采

用隧道方式。

IPsec使用兩種協(xié)議來(lái)提供通信安全一一身份驗(yàn)證報(bào)頭(AH)和封裝式安全措施負(fù)載(ESP)o

身份驗(yàn)證報(bào)頭(AH)可對(duì)整個(gè)數(shù)據(jù)包(IP報(bào)頭與數(shù)據(jù)包中的數(shù)據(jù)負(fù)載)提供身份驗(yàn)證、完整性與抗重播保護(hù)。

但是它不提供保密性，即它不對(duì)數(shù)據(jù)進(jìn)行加密。數(shù)據(jù)可以讀取，但是禁止修改。

封裝式安全措施負(fù)載(ESP)不僅為IP負(fù)載提供身份驗(yàn)證、完整性和抗重播保護(hù)，還提供機(jī)密性。傳輸模式中

的ESP不對(duì)整個(gè)數(shù)據(jù)包進(jìn)行簽名。只對(duì)IP負(fù)載(而不對(duì)IP報(bào)頭)進(jìn)行保護(hù)。ESP可以獨(dú)立使用，也可與AH組合使

用。

問題2解析：

VPN的基本配置：

配置信息描述：

一端服務(wù)器的網(wǎng)絡(luò)子網(wǎng)為/24,路由器為;另一端服務(wù)器為/24,路由器為.

主要步驟：

1.確定一個(gè)預(yù)先共享的密鑰(保密密碼)(以下例子保密密碼假設(shè)為testpwd)

2.為SA協(xié)商過(guò)程配置IKE.

3.配置IPSec.

(1)配置IKE

CsaiR(config)#cryptoisakmppolicy1"policy1表示策略1,假如想多配幾VPN,可以寫成policy2、policy3--

CsaiR(config-isakmp)#group1〃group命令有兩個(gè)參數(shù)值：1和2.參數(shù)值1表示密鑰使用768位密鑰，參數(shù)

值2表示密鑰使用1024位密鑰，顯然后一種密鑰安全性高，但消耗更多的CPU時(shí)間。在通信比較少時(shí)，最好使用

group1長(zhǎng)度的密鑰。

CsaiR(config-isakmp)#authenticationpre-share〃告訴路由器要使用預(yù)先共享的密碼。

CsaiR(config-isakmp)#lifetime3600〃對(duì)生成新SA的周期進(jìn)行調(diào)整。這個(gè)值以秒為單位，默認(rèn)值為86400

(24小時(shí))。值得注意的是兩端的路由器都要設(shè)置相同的SA周期，否則VPN在正常初始化之后，將會(huì)在較短的一

個(gè)SA周期到達(dá)中斷。

CsaiR(config)#cryptoisakmpkeytestaddress〃返回到全局設(shè)置模式確定要使用的預(yù)先共享密鑰

和指歸VPN另一端路由器IP地址，即目的路由器IP地址。相應(yīng)地在另一端路由器配置也和以上命令類似，只不過(guò)

把IP地址改成.

(2)配置IPSec

CsaiR(config)#access-list130permitip5555〃在這里使用的訪問列表

號(hào)不能與任何過(guò)濾訪問列表相同，應(yīng)該使用不同的訪問列表號(hào)來(lái)標(biāo)識(shí)VPN規(guī)則。

CsaiR(config)#cryptoipsectransform-setvpnlah-md5-hmacesp-desesp-md5-hmac〃這里在兩端路由器唯一

不同的參數(shù)是vpnl,這是為這種選項(xiàng)組合所定義的名稱。在兩端的路由器上，這個(gè)名稱可以相同，也可以不同。以

上命令是定義所使用的IPSec參數(shù)。為了加強(qiáng)安全性，要啟動(dòng)驗(yàn)證報(bào)頭。由于兩個(gè)網(wǎng)絡(luò)都使用私有地址空間，需要

通過(guò)隧道傳輸數(shù)據(jù)，因此還要使用安全封裝協(xié)議。最后，還要定義DES作為保密密碼鑰加密算法。

CsaiR(config)#cryptomapshortsec60ipsec-isakmp〃Map優(yōu)先級(jí)，取值范圍1~65535,值越小，優(yōu)先級(jí)越高。

參數(shù)shortsec是我們給這個(gè)配置定義的名稱，稍后可以將它與路由器的外部接口建立關(guān)聯(lián)。

CsaiR(config-crypto-map)#setpeer〃這是標(biāo)識(shí)對(duì)方路由器的合法IP地址。在遠(yuǎn)程路由器上也

要輸入類似命令，只是對(duì)方路由器地址應(yīng)該是.

CsaiR(config-crypto-map)#settransform-setvpnl

CsaiR(config-crypto-map)#matchaddress130〃這兩個(gè)命令分別標(biāo)識(shí)用于VPN連接的傳輸設(shè)置和訪問列表。

CsaiR(config)#interfaces0

CsaiR(config-if)#cryptomapshortsec〃將剛才定義的密碼圖應(yīng)用到路由器的外部接口。

最后一步保存運(yùn)行配置，最后測(cè)試這個(gè)VPN的連接，并且確保通信是按照預(yù)期規(guī)劃進(jìn)行的。

問題3解析：

詳見問題2解析。

問題4解析：

詳見問題2解析。

試題三參考答案

【問題1】(4分,各1分)(1)(2)c、d(順序可交換)(3)(4)b、d(順序可交換)

【問題2】(4分,各1分)(5)加密算法為DES(6)hashmd5(7)認(rèn)證采用預(yù)共享密鑰

(8)86400

【問題3】(4分,各2分)(9)(10)

【問題4】(3分,各1分)(11)(12)(13)

試題四分析

問題1解析：

fixup命令作用是啟用，禁止，改變一個(gè)服務(wù)或協(xié)議通過(guò)pix防火墻，由fixup命令指定的端口是PIX防火墻要偵

聽的服務(wù)。見下面例子：

例：Pix525(config)#fixupprotocolftp21

啟用FTP協(xié)議，并指定FTP的端口號(hào)為21.

設(shè)置指向內(nèi)網(wǎng)和外網(wǎng)的靜態(tài)路由采用route命令:

定義一條靜態(tài)路由。route命令配置語(yǔ)法：

route(if_name)00gateway_ip[metric]

其中參數(shù)解釋如下：

if_name表示接口名字，例如inside,outside;

Gateway_ip表示網(wǎng)關(guān)路由器的ip地址；

[metric]表示到gateway_ip的跳數(shù)，通常缺省是1.

例：Pix525(config)#routeoutside00681

設(shè)置ethO口的默認(rèn)路由，指向68，且跳步數(shù)為1.

問題2解析：

防火墻通常具有一般有3個(gè)接口，使用防火墻時(shí)，就至少產(chǎn)生了3個(gè)網(wǎng)絡(luò)，描述如下：

內(nèi)部區(qū)域(內(nèi)網(wǎng))。內(nèi)部區(qū)域通常就是指企業(yè)內(nèi)部網(wǎng)絡(luò)或者是企業(yè)內(nèi)部網(wǎng)絡(luò)的一部分。它是互連網(wǎng)絡(luò)的信任區(qū)

域，即受到了防火墻的保護(hù)。

外部區(qū)域(外網(wǎng))?外部區(qū)域通常指Internet或者非企業(yè)內(nèi)部網(wǎng)絡(luò)。它是互連網(wǎng)絡(luò)中不被信任的區(qū)域，當(dāng)外部區(qū)

域想要訪問內(nèi)部區(qū)域的主機(jī)和服務(wù)，通過(guò)防火墻，就可以實(shí)現(xiàn)有限制的訪問。

非軍事區(qū)(DMZ,又稱?；饏^(qū))。是一個(gè)隔離的網(wǎng)絡(luò)，或幾個(gè)網(wǎng)絡(luò)。位于區(qū)域內(nèi)的主機(jī)或服務(wù)器被稱為堡壘主機(jī)。

一般在非軍事區(qū)內(nèi)可以放置Web、Mail服務(wù)器等。?；饏^(qū)對(duì)于外部用戶通常是可以訪問的，這種方式讓外部用戶可

以訪問企業(yè)的公開信息，但卻不允許它們?cè)L問企業(yè)內(nèi)部網(wǎng)絡(luò)。

由配置信息，ipaddressoutside248

ipaddressinside

ipaddressdmz

可知ethl的IP地址為,ethO的IP地址為2,子網(wǎng)掩碼為48,dmz接口的名稱

為eth2,IP地址為.

問題3解析：

Global命令把內(nèi)網(wǎng)的IP地址翻譯成外網(wǎng)的IP地址或一段地址范圍。

Global命令的配置語(yǔ)法：

global(if_name)nat_idip_address-ip_address[netmarkglobal_mask]

其中參數(shù)解釋如下：

if_name表示外網(wǎng)接口名字，例如outside;

Nat_id用來(lái)標(biāo)識(shí)全局地址池，使它與其相應(yīng)的nat命令相匹配；

ip_address-ip_address表示翻譯后的單個(gè)ip地址或一段ip地址范圍；

[netmarkglobal_mask]表示全局ip地址的網(wǎng)絡(luò)掩碼。

由配置命令：

global(outside)16

nat(inside)100

可以看出由inside域發(fā)往Internet的IP分組，在到達(dá)路由器R1時(shí)的源IP地址是6.

問題4解析：

配置靜態(tài)IP地址翻譯(static)

如果從外網(wǎng)發(fā)起一個(gè)會(huì)話，會(huì)話的目的地址是一個(gè)內(nèi)網(wǎng)的ip地址，static就把內(nèi)部地址翻譯成一個(gè)指定的全局

地址，允許這個(gè)會(huì)話建立。

static命令配置語(yǔ)法：

static(internal_if_nameexternal_if_name)outside_ip_addressinside_ip_address

其中參數(shù)解釋如下：

internal_if_name表示內(nèi)部網(wǎng)絡(luò)接口，安全級(jí)別較高。如inside;

external_if_name為外部網(wǎng)絡(luò)接口，安全級(jí)別較低。如outside等；

outside_ip_address為正在訪問的較低安全級(jí)別的接口上的ip地址；

inside_ip_address為內(nèi)部網(wǎng)絡(luò)的本地ip地址。

例：Pix525(config)#static(inside,outside)2

表示IP地址為的主機(jī)，對(duì)于通過(guò)PIX防火墻建立的每個(gè)會(huì)話，都被翻譯成2這個(gè)全局地

址，也可以理解成static命令創(chuàng)建了內(nèi)部IP地址和外部ip地址2之間的靜態(tài)映射。

管道命令(conduit用來(lái)允許數(shù)據(jù)流從具有較低安全級(jí)別的接口流向具有較高安全級(jí)別的接口，例如允許從外部

到DMZ或內(nèi)部接口的入方向的會(huì)話。對(duì)于向內(nèi)部接口的連接，static和conduit命令將一起使用，來(lái)指定會(huì)話的建

立。

conduit命令配置語(yǔ)法：

conduitpermit|denyglobaljpport[-port]protocolforeignjp[netmask]

【參數(shù)說(shuō)明】

permit|deny:允許|拒絕訪問.

globaljp指的是先前由global或static命令定義的全局ip地址,如果globaljp為0,就用any代替0;如果globaljp

是一臺(tái)主機(jī)，就用host命令參數(shù)。

port指的是服務(wù)所作用的端口，例如www使用80,smtp使用25等等，我們可以通過(guò)服務(wù)名稱或端口數(shù)字來(lái)指

定端口。

protocol指的是連接協(xié)議，比如：TCP>UDP、ICMP等。

foreignjp表示可訪問globaljp的外部ip.對(duì)于任意主機(jī)，可以用any表示。如果foreignjp是一臺(tái)主機(jī)，就用

host命令參數(shù)。

試題四參考答案

【問題1】(4分)

(1)啟用ftp服務(wù)(2)設(shè)置ethO口的默認(rèn)路由，指向5,且跳步數(shù)為1

【問題2】(6分)(3)(4)48(5)eth2(6)

【問題3】(2分)(7)6

【問題4](3分)(8)3(9)00(10)3

試題五分析

問題1解析：

在Linux下配置DHCP,主要工作是對(duì)相關(guān)文件進(jìn)行解析。在Linux系統(tǒng)中，DHCP服務(wù)默認(rèn)的配置文件為

/etc/dhcpd.conf,它是一個(gè)遞歸下降格式的配置文件，有點(diǎn)像C的源程序風(fēng)格，由參數(shù)和聲明兩大類語(yǔ)句構(gòu)成，參數(shù)

類語(yǔ)句主要告訴DHCPd網(wǎng)絡(luò)參數(shù)，如租約時(shí)間、網(wǎng)關(guān)、DNS等；而聲明語(yǔ)句則用來(lái)描述網(wǎng)絡(luò)的拓?fù)?，表明網(wǎng)絡(luò)上的

客戶，要提供給客戶的IP地址，提供一個(gè)參數(shù)組給一組聲明等。

問題2解析：

可以使用以下命令來(lái)啟動(dòng)、停止和重啟DHCP服務(wù)器程序：

[root@liblroot]#servicedhcpd[start|stop|restart]

或[root@liblroot]#etc/init.d/dhcpd