201905网工下午真题

第 1 题

（问题3非典型试题，但值得学习）

阅读以下说明，回答问题1至问题4，将解答填入答题纸对应的解答栏内。
【说明】
某企业分支与总部组网方案如图1-1所示，企业分支网络规划如表1-1所示。



企业分支与总部组网说明：
1. 企业分支采用双链路接入Internet，其中ADSL有线链路作为企业分支的主Internet 接口； 3G/LTE Cellular无线链路作为企业分支的备用Internet接口。
2. 指定Router1作为企业出口网关，由Router1为企业内网用户分配IP地址。
3. 在Router1上配置缺省路由，使企业分支内网的流量可以通过xDSL和3G/LTE Cellular无线链路访问Internet。
4. 企业分支与总部之间的3G/LTE Cellular无线链路采用加密传输。


【问题1】（每空2分，共4分）
依据组网方案，为企业分支Router1配置互联网接口板卡，应该在是（ 1 ）和（ 2 ）单板中选择配置。
（1） ～ （2）备选答案：

A. xDSL B.以太WAN C. 3G/LTE D. E3/T3
【问题2】（每空2分，共6分）
在Router1上配置DHCP服务的命令片段如下所示，请将相关内容补充完整。
[Huawei] dhcp enable
[Huawei] interface vlanif 123
[Huawei-Vlanif123] dhcp select global    // （ 3 ）
[Huawei-Vlanif123 ] quit
[Huawei] ip（ 4 ）lan
[Huawei-ip-pool-lan] gateway-list（ 5 ）
[Huawei-ip-pool-lan] network 192.168.100.0 mask 24
[Huawei-ip-pool-lan] quit
【问题3】（每空1分，共6分）
在Router1配置上行接口的命令如下所示，请将相关内容补充完整。
#配置NAT地址转换
[Huawei] acl number 3002
[Huawei-acl-adv-3002] rule 5 permit ip source 192.168.100.0 0.0.0.255
[Huawei-acl-adv-3002] quit
[Huawei] interface virtual-template 10                  // （ 6 ）
[Huawei-Virtual-Template 10] ip address ppp-negotiate
[Huawei-Virtual-Template 10] nat outbound （ 7 ）
[Huawei-Virtual-Template 10] quit

#配置ATM接口
[Huawei] interface atm 1/0/0
[Huawei-Atm1/0/0] pvc voip 1/35        //创建 PVC （ATM 虚电路）
[Huawei-atm-pvc-Atm1/0/0-1/35-voip] map ppp virtual-template 10 //配置PVC上的PPPoA映射
[Huawei-atm-pvc-Atm1/0/0-1/35-voip] quit
[Huawei-Atm1/0/0] standby interface cellular 0/0/0          // （ 8 ）
[Huawei-Atm1/0/0] quit

#配置APN与网络连接方式
[Huawei] apn profile 3gprofile
[Huawei-apn-profile-3gprofile] apn wcdma
[Huawei-apn-profile-3gprofile] quit
[Huawei] interface cellular 0/0/0
[Huawei-Cellular0/0/0] mode wcdma  （ 9 ）        //配置3G modem
[Huawei-Cellular0/0/0] dialer enable-circular        //使能轮询DCC功能
[Huawei-Cellular0/0/0] apn-profile （ 10 ）          //配置3G Cellular 接口绑定APN模板
[Huawei-Cellular0/0/0] shutdown
[Huawei-Cellular0/0/0] undo shutdown
[Huawei-Cellular0/0/0] quit

#配置轮询DCC拨号连接
[Huawei] dialer-rule
[Huawei-dialer-rule] dialer-rule 1 ip permit
[Huawei-dialer-rule] quit
[Huawei] interface cellular 0/0/0
[Huawei-Cellular0/0/0] link-protocol ppp
[Huawei-Cellular0/0/0] ip address ppp-negotiate
[Huawei-Cellular0/0/0] dialer-group 1
[Huawei-Cellular0/0/0] dialer timer idle （ 11 ）
[Huawei-Cellular0/0/0] dialer number *99#
[Huawei-Cellular0/0/0] nat outbound 3002
[Huawei-Cellular0/0/0] quit
【问题4】（每空2分，共4分）
在现有组网方案的基础上，为确保分支机构与总部之间的数据传输安全，配置（ 12 ）协议，实现在网络层端对端的（ 13 ）。
（12）备选答案：
A. IPSec B. PPTP C. L2TP D. SSL

答案与解析

  • 试题难度：一般
  • 知识点：案例分析>广域网配置
  • 试题答案：

    【问题1】（每空2分）
    （1）A（2）C
    【问题2】  （每空2分）
    （3）使能接口采用全局地址池的DHCP服务器功能
    （4）pool
    （5）192.168.100.1
    【问题3】  （每空1分）
    （6）创建虚拟接口
    （7）3002
    （8）配置3G接口为备份接口
    （9）wcdma-only
    （10）3gprofile
    （11）100
    【问题4】  （每空2分）
    （12）IPSEC
    （13）数据加密和认证

  • 试题解析：

    【问题1】  
    由于企业是通过ADSL和3G/LTE cellular双链路接入因特网，所以在路由器上采用的模块A和模块C。
    【问题2】  
    [Huawei] dhcp enable //使能DHCP服务器
    [Huawei] interface vlanif 123
    [Huawei-Vlanif123] dhcp select global //使能接口采用全局地址池的DHCP服务器功能
    [Huawei-Vlanif123] quit
    [Huawei] ip pool lan //配置DHCP地址池
    [Huawei-ip-pool-lan] gateway-list 192.168.100.1 //配置DHCP客户端出口网关地址
    [Huawei-ip-pool-lan] network 192.168.100.0 mask 24
    [Huawei-ip-pool-lan] quit
    【问题3】  
    配置NAT转换：
    [Huawei] acl number 3002 //配置进行NAT的ACL
    [Huawei-acl-adv-3002] rule 5 permit ip source 192.168.100.0 0.0.0.255
    [Huawei-acl-adv-3002] quit
    [Huawei] interface virtual-template 10 //创建虚拟接口
    [Huawei-Virtual-Template10] ip address ppp-negotiate //配置接口动态获取IP地址
    [Huawei-Virtual-Template10] nat outbound 3002 //在接口上对匹配ACL 3002的报文做NAT
    [Huawei-Virtual-Template10] quit。
    配置ATM接口：
    [Huawei] interface atm 1/0/0 //配置ATM接口
    [Huawei-Atm1/0/0] pvc voip 1/35 //创建PVC
    [Huawei-atm-pvc-Atm1/0/0-1/35-voip] map ppp virtual-template 10 //配置PVC
    上的PPPoA映射
    [Huawei-atm-pvc-Atm1/0/0-1/35-voip] quit
    [Huawei-Atm1/0/0] standby interface cellular 0/0/0 //配置3G接口为备份接口,优先级默认为0
    [Huawei-Atm1/0/0] quit

    配置APN和网路连接方式：
    本示例中，假设对接的3G网络为WCDMA网络，现要接入WCDMA的PS域，需要配置拨号串为“*99#”。（CDMA2000的配置可参考《AR产品文档》。）
    APN的名称需要和运营商给定的一致，现假设接入的APN名称为“wcdma”。
    [Huawei] apn profile 3gprofile //创建APN模板3gprofile，并进入APN模板视图
    [Huawei-apn-profile-3gprofile] apn wcdma //配置APN为wcdma
    [Huawei-apn-profile-3gprofile] quit
    [Huawei] interface cellular 0/0/0
    [Huawei-Cellular0/0/0] mode wcdma wcdma-only //配置3G modem只选择WCDMA网络
    [Huawei-Cellular0/0/0] dialer enable-circular //使能轮询DCC功能（DCC指路由器之间通过公用交换网进行互连时所采用的路由技术。可以提供按需拨号服务）。
    [Huawei-Cellular0/0/0] apn-profile 3gprofile //配置3G Cellular接口绑定APN模板
    [Huawei-Cellular0/0/0] shutdown
    [Huawei-Cellular0/0/0] undo shutdown
    [Huawei-Cellular0/0/0] quit
    在Cellular接口或Cellular通道接口上绑定APN模板后，需要执行shutdown和undo shutdown或restart命令重启接口，配置才能生效。

    配置轮询DCC拨号
    [Huawei] dialer-rule //进入Dialer-rule视图
    [Huawei-dialer-rule] dialer-rule 1 ip permit //配置拨号访问组1允许IPv4协议的数据报文，指定引发DCC呼叫的条件
    [Huawei-dialer-rule] quit
    [Huawei] interface cellular 0/0/0 //进入3G Cellular接口视图
    [Huawei-Cellular0/0/0] link-protocol ppp //配置链路类型为ppp。
    [Huawei-Cellular0/0/0] ip address ppp-negotiate //配置3G通道接口动态获取IP地址。
    [Huawei-Cellular0/0/0] dialer-group 1 //配置拨号接口的拨号访问组。
    [Huawei-Cellular0/0/0] dialer timer idle 100 //允许链路空闲的时间为100秒。
    [Huawei-Cellular0/0/0] dialer number *99# //配置拨号串为“*99#”。
    [Huawei-Cellular0/0/0] nat outbound 3002 //在接口上对匹配ACL 3002的报文做NAT
    [Huawei-Cellular0/0/0] quit
    【问题4】  
    在网络层实现端到端的数据加密和认证需要配置IPSEC协议。

第 2 题

（经典试题，请认真学习）

以下说明，回答问题1至问题3，将解答填入答题纸对应的解答栏内。
【说明】
图2-1为某公司数据中心拓扑图，两台存储设备用于存储关系型数据库的结构化数据和文档、音视频等非结构化文档，规划采用的RAID组合方式如图2-2、图2-3所示。



【问题1】（每空1分，共6分）
图2-2所示的RAID方式是（1），其中磁盘0和磁盘1的RAID组成方式是（2）。 当磁盘1故障后，磁盘（3）故障不会造成数据丢失，磁盘（4）故障将会造成数据丢失。
图2-3所示的RAID方式是（5），当磁盘1故障后，至少再有（6）块磁盘故障， 就会造成数据丢失。
【问题2】（每空1.5分，共6分）
图2-2所示的RAID方式的磁盘利用率是（7） %，图2-3所示的RAID方式的磁盘利用率是（8）%。
根据上述两种RAID组合方式的特性，结合业务需求，图（9）所示RAID适合存储安全要求高、小数量读写的关系型数据库；图（10）所示RAID适合存储空间利用率要求高、大文件存储的非结构化文档。
【问题3】（每空2分，共8分）
该公司的Web系统频繁遭受DDoS和其他网络攻击，造成服务中断、数据泄露。图2-4为服务器日志片段，该攻击为（11），针对该攻击行为，可部署（12）设备进行防护；针对DDoS （分布式拒绝服务）攻击，可采用（13）、（14）措施，保障Web系统正常对外提供服务。


（11）备选答案：
A.跨站脚本攻击 B. SQL注入攻击
C.远程命令执行 D. CC攻击
（12）备选答案：
A.漏洞扫描系统            B.堡垒机
C. Web应用防火墙       D.入侵检测系统
（13）～（14）备选答案： 

A.部署流量清洗设备 B.购买流量清洗服务
C.服务器增加内存 D.服务器增加磁盘
E.部署入侵检测系统 F.安装杀毒软件

答案与解析

  • 试题难度：一般
  • 知识点：案例分析>网络存储
  • 试题答案：

    【问题1】（每空1分）
    （1）RAID10
    （2）RAID1
    （3）2或3
    （4）0
    （5）RAID5
    （6）1
    【问题2】  （每空1.5分）
    （7）50
    （8）75
    （9）2-2
    （10）2-3
    【问题3】  （每空2分）
    （11）B
    （12）C
    （13）A
    （14）B

  • 试题解析：

    【问题1】
    很明显图2-2这个RAID方式是RAID10，先做RAID1，再做RAID0。
    磁盘1故障后，磁盘2或3故障不会造成数据丢失，只有磁盘0也发生故障，才会导致数据丢失。
    图2-3所示的RAID方式为RAID5，磁盘1故障后，至少再有1块磁盘故障，就会造成数据丢失。
    【问题2】 
    图2-2所示的RAID10方式的磁盘利用率是50%，图2-3所示的RAID5磁盘利用率为N/（N+1），N为磁盘数目，最小取3，本题中是四块磁盘，所以利用率是75%。
    RAID 10在数据重构方面优于RAID5，RAID5在空间利用率优于RAID10。
    【问题3】 
    根据服务器日志文件显示的信息可以判断出SQL注入攻击。
    针对SQL注入攻击一般可以结合WEB应用防火墙进行防护，还可以结合IPS等设备，最重要的是对用户的输入继续过滤。
    针对DDOS攻击，可以采用部署流量清洗设备和购买流量清洗服务，该设备对进入客户服务器的数据流量进行实时监控，及时发现包括DOS攻击在内的异常流量。在不影响正常业务的前提下，清洗掉异常流量。

第 3 题

（经典试题，请认真学习）

阅读以下说明，回答问题1至问题4，将解答填入答题纸对应的解答栏内。
【说明】
如图3-1所示在Windows Server 2008 R2网关上设置相应的IPSec策略，在Windows Server 2008 R2网关和第三方网关之间建立一条IPSec隧道，使得主机A和主机B之间建立起安全的通信通道。


【问题1】（每空2分，共6分）
两台计算机通过IPSec协议通信之前必须先进行协商，协商结果称为SA （Security Association）。IKE （Internet Key Exchange）协议将协商工作分为两个阶段，第一阶段协商（1）模式SA （又称IKE SA），新建一个安全的、经过身份验证的通信管道，之后在第二阶段中协商（2）模式SA （又称IPSec SA）后，便可以通过这个安全的信道来通信。使用（3）命令，可以查看协商结果。
（1）～（2）备选答案

A.主 B.快速 C.传输 D.信道
（3）备选答案
A. display ike proposal B. display ipsec proposal
C. display ike sa D. display ike peer
【问题2】（每空2分，共4分）
在Windows Server 2008 R2网关上配置IPSec策略，包括：创建IPSec策略、（4）、（5）以及进行策略指派4个步骤。
（4）～（5）备选答案

A.配置本地安全策略 B.创建IP安全策略
C.创建筛选器列表 D.设置账户密码策略
E.配置隧道规则 F.构建组策略对象
【问题3】（每空2分，共6分）
在主机A和主机B之间建立起安全的通信通道，需要创建两个筛选器列表，一个用于匹配从主机A到主机B （隧道1）的数据包，另一个用于匹配从主机B到主机A （隧道2）的数据包。在创建隧道1时需添加“IP筛选列表”，图3-2所示的“IP筛选器属性”中“源地址”的“IP地址或子网”应该填（6），“目的地址”的“IP地址或子网”应该填（7）。配置隧道1不筛选特定的协议或端口，图3-3中“选择协议类型”应该选择（8）。


图3-2


图3-3

【问题4】（每空2分，共4分）
IPSec隧道由两个规则组成，每个规则指定一个隧道终结点。为从主机A到主机B的隧道配置隧道规则时，图3-4中所示的“IPv4隧道终结点”应该填写的IP地址为（9）。 在配置新筛选器时，如果设置不允许与未受到IPSec保护的计算机进行通信，则图3-5“安全方法”配置窗口所示的配置中需要做出的修改是（10）。


图3-4


图3-5

答案与解析

  • 试题难度：一般
  • 知识点：案例分析>其他服务配置
  • 试题答案：

    【问题1】（每空2分）
    （1）A
    （2）B
    （3）C
    【问题2】  （每空2分）
    （4）C
    （5）E
    【问题3】  （每空2分）
    （6）192.168.5.2或192.168.5.2/32
    （7）192.168.6.3或192.168.6.3/32
    （8）任何
    【问题4】  （每空2分）
    （9）202.1.1.2
    （10）需要把第一个√去掉

  • 试题解析：

    【问题1】  
    IKE定了两个阶段1的交换模式：主模式和野蛮模式。主模式是IKE强制实现的阶段1的交换模式，可以提供完整性的保护。主模式一共会有3个步骤，6条消息，第一个步骤就是策略协商（加密算法、散列算法、验证方法、DH组信息、IKE生存时间等）。第二个步骤就是进行DH交换、第三个步骤对DH交换进行校验。
    在主模式中，通信双方需要知道对端的IP地址，但是如果是在拨号网络中，IP地址无法事先确认，就不能使用这种方法，为了解决这个问题，后来又有了野蛮模式，用的3条信息，但是IKE野蛮模式功能有限，安全性差，只是在VPN早期用到，现在IPSEC VPN解决这个问题的方法有很多，所以野蛮模式很少用。
    还定义个一个阶段的2的交换模式：快速模式。协商IPSEC SA使用的安全参数，创建IPSEC SA，使用AH或ESP来加密IP数据流。
    显示当前已建立的安全通道SA的信息：display ike sa
    查看IKE对等体的配置情况：display ike peer
    显示每个IKE提议配置的参数：display ike proposal
    查看IPSec安全提议的信息：display ipsec proposal
    根据题目是查看协商结果：display ike sa
    【问题2】  
    在Windows Server 2008中配置IPSEC策略，包括：创建IPSEC策略、创建IP筛选器列表、配置隧道规则以及策略指派4个步骤。书本原话。
    【问题3】  
    由于是在主机A和主机B之间建立安全的通信信道，隧道1表示从A到B，隧道2表示从B到A，那么在隧道1中IP筛选器属性中源地址应该填写：192.168.5.2。目的地址填写：192.168.6.3。
    配置隧道1不筛选特点的协议或端口，协议类型选择“任何”。
    【问题4】  
    从主机A到主机B的隧道配置隧道规则，隧道终结点应该填写的IP地址是202.1.1.2。
    ●“接受不安全的通信，但总是用IPSec响应”：接受由其它计算机初始化的不受保护的通信，但在本机应答或初始化时总是使用安全的通信。　　
    ●“如果无法建立安全连接，则允许回退到不安全的通信”：允许来自或到其它计算机的不受保护的通信。　　
    ●“会话密钥完全向前保密”：确保会话密钥和密钥材料不被重复使用。
    如果要设置不允许和未受到IPSEC保护的计算机进行通信，需要把第一个√去掉。

第 4 题

（经典试题，请认真学习）

阅读以下说明，回答问题1至问题3，将解答填入答题纸对应的解答栏内。
【说明】
公司的两个分支机构各有1台采用IPv6的主机，计划采用IPv6-over-IPv4自动隧道技术实现两个分支机构的IPv6主机通信，其网络拓扑结构如图4-1所示。


【问题1】（每空1分，共5分）
根据说明，将RouterA的配置代码补充完整。
……
<Huawei> （1）
[Huawei] sysname （2）
[RouterA]（3）                              //开启IPv6报文转发功能
[RouterA] interface s0
[RouterA-s0] ip address 12.1.1.1（4）
[RouterA-s0] quit
[RouterA] interface gigabitethernet 0/0/1
[RouterA-GigabitEthernet0/0/1 ] （5）address 2002:: 1/64
[RouterA-GigabitEthernet0/0/1 ] quit

......
【问题2】（每空1分，共6分）
根据说明，将RouterA的配置代码或者代码说明补充完整。

......
[RouterA] interface tunnel 0/0/1                // （6）
[RouterA-Tunnel0/0/1 ]  （7）ipv6-ipv4  （8）//指定 Tunnel 为自动隧道模式
[RouterA-Tunnel0/0/1 ] ipv6 （9）
[RouterA-Tunnel0/0/1 ] ipv6 address ::12.1.1.1/96     // （10）
[RouterA-Tunnel0/0/1 ] source s0                  //（11）
[RouterA-Tunnel0/0/1 ] quit

......
【问题3】（每小题2分，共4分）
1. 问题2中，Tunnel接口使用的地址为IPv4（12）IPv6地址；
（12）备选答案
A.兼容 B.映射
2. 192.168.1.1是否存在对应的IPv6地址，为什么？

答案与解析

  • 试题难度：一般
  • 知识点：案例分析>IPV6
  • 试题答案：

    【问题1】（每空1分）
    （1）system-view
    （2）RouterA
    （3）ipv6
    （4）255.255.255.0
    （5）ipv6
    【问题2】 （每空1分）
    （6）创建Tunnel接口或语意相同的表述均可得分
    （7）tunnel-protocol
    （8）auto-tunnel
    （9）enable
    （10）设置Tunnel接口的IPv6地址
    （11）指定Tunnel的源接口
    【问题3】 （每空2分）
    （12）A
    （13）不存在，IPv4兼容IPv6地址要求IPv4地址为公网地址。

  • 试题解析：

    【问题1】  
    <HUAWEI>system-view //进入系统视图
    [HUAWEI]sysname RouterA //设备命名为RouteA
    [RouterA]ipv6 //开启IPV6报文转发功能
    [RouterA]interface s0
    [RouterA-s0]ip address 12.1.1.1 255.255.255.0 //配置S0口的IP地址和掩码
    [RouterA]interface g0/0/1
    [RouterA-G0/0/1]ipv6 address 2002::1/64
    【问题2】  
    [RouterA]interface tunnel 0/0/1 //创建隧道接口
    [RouterA-tunnel0/0/1] tunnel-protocol ipv6-ipv4 auto-tunnel //指定Tunnel为自动隧道模式。
    [RouterA-tunnel0/0/1]ipv6 enable //只是使能了接口的IPv6功能，路由器不能对IPv6报文进行转发。
    [RouterA-tunnel0/0/1]ipv6 address ::12.1.1.1/96 //设置Tunnel接口的IPv6地址。
    [RouterA-tunnel0/0/1]source s0 //指定Tunnel的源接口
    【问题3】  
    1、IPv4兼容地址，是一种内嵌有IPv4公用地址的IPv6地址。
    在IPv4兼容地址中，把IPv4的32位公用地址内嵌到IPv6地址的后32位中去；书写时，采用0:0:0:0:0:0:w.x.y.z格式或者是::w.x.y.z格式, 这种地址原来用在自动隧道技术体制中。使用这种地址的结点用的是双协议栈，既支持IPv4也支持IPv6。但在2006年发布的RFC文档中取消了这种地址，也就是从IPv4向IPv6的转换过程中不再使用这种地址。
    IPv4映射地址，是又一种内嵌IPv4地址的IPv6地址；这种地址前80位全是0，接着的16位全是1，最后嵌入IPv4地址。书写时，采用0:0:0:0:0:FFFF:w.x.y.z或者是::FFFF:w.x.y.z格式, IPv4映射地址只是把IPv4地址转换为IPv6地址的形式，但IPv6设备并不能识别这种地址。IPv4映射地址不能用作IPv6数据包的源地址或目标地址。
    2、不存在，IPv4兼容IPv6地址要求IPv4地址为公网地址。

results matching ""

    No results matching ""