网络工程师下午练习试题Word下载.docx
《网络工程师下午练习试题Word下载.docx》由会员分享，可在线阅读，更多相关《网络工程师下午练习试题Word下载.docx（14页珍藏版）》请在冰豆网上搜索。
执行下列步骤：
1．确定一个预先共享的密钥（保密密码）（保密密码假设为ccidedu）
2．为SA协商过程配置IKE。
3．配置IPSec
Shelby（config）#cryptoisakmppolicy1//policy1表示策略1，假如想多配几个VPN，可以写成policy2、policy3---
Shelby（config-isakmp）#group1//使用group1长度的密钥，group命令有两个参数值：
1和2。
参数1表示密钥使用768位密钥，参数值2表示密钥使用1024位密钥。
Shelby（config-isakm）#authenticationpre-share___
（1）____
Shelby（config-isakm）#ifetime3600//对生成新SA的周期进行调整。
这个值以秒为单位，默认值为86400，也就是一天。
值得注意的是两端的路由器都要设置相同的SA周期，否则VPN在正常初始化之后，将会在较短的一个SA周期到达中断。
Shelby（config）#cryptoisakmpkeyccideduaddress200.20.25.1//返回到全局设置模式确定要使用的预先共享密钥和指归VPN另一端路由器IP地址，即目的路由器IP地址。
相应地在另一端路由器配置也和以上命令类似，只不过把IP地址改成100.10.15.1。
配置IPSec
Shelby（config）#access-list130permitip192.168.1.00.0.0.255172.16.10.00.0.0.255__
（2）__
Shelby（config）#cryptoipsectransform-setvpn1ah-md5-hmacesp-desesp-md5-hmac__（3）__
Shelby（config）#cryptomapshortsec60ipsec-isakmp//为定义生成新保密密钥的周期，如果攻击者破解了保密密钥，他就能够解使用同一个密钥的所有通信。
基于这个原因，我们要设置一个较短的密钥更新周期。
比如，每分钟生成一个新密钥。
这个命令在VPN两端的路由器上必须匹配。
参数shortsec是我们给这个配置定义的名称，稍后可以将它与路由器的外部接口建立关联。
Shelby（config-crypto-map）#setpeer200.20.25.1__（4）__
Shelby（config-crypto-map）#settransform-setvpn1__（5）__
Shelby（config-crypto-map）#matchaddress130//访问列表
Shelby（config）#interfaces0
Shelby（config-if）#cryptomapshortsec//将刚才定义的密码图应用到路由器的外部接口。
问题1、请简述IPSec协议
问题2、解释__（n）__处标有下划线的部分含义。
【参考答案】
1、IPSec提供了两种安全机制：
认证和加密。
认证机制使IP通信的数据接收方能够确认数据发送方的真实身份以及数据在传输过程中是否遭篡改。
加密机制通过对数据进行编码来保证数据的机密性，以防数据在传输过程中被窃听。
IPSec协议组包含AuthenticationHeader（AH）协议、EncapsulatingSecurityPayload（ESP）协议和InternetKeyExchange（IKE）协议。
其中AH协议定义了认证的应用方法，提供数据源认证和完整性保证；
ESP协议定义了加密和可选认证的应用方法，提供可靠性保证。
在实际进行IP通信时，可以根据实际安全需求同时使用这两种协议或选择使用其中的一种。
AH和ESP都可以提供认证服务，不过，AH提供的认证服务要强于ESP。
IKE用于密钥交换。
2、
（1）采用预共享密钥认证方法
（2）建立访问控制列表
（3）配置名为vpn1的交换集，指定ah-md5-hmacesp-desesp-md5-hmac三种变换
（4）指定允许的ipsec对等体的ip地址为200.20.25.1
（5）此加密图使用交换集vpn1
综合练习：
请先看下面的叙述，然后回答问题1，问题2，问题3。
VLAN（VirtualLocalAreaNetwork）的中文名为“虚拟局域网”。
VLAN是一种将局域网设备从逻辑上划分（不是从物理上划分）成一个个网段，从而实现虚拟工作组的新兴数据交换技术。
这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。
但又不是所有交换机都具有此功能，只有VLAN协议的第三层以上交换机才具有此功能。
VLAN技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑的划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。
由于它是从逻辑上划分，而不是从物理上划分，所以同一个VLAN内的各个工作站没有限制在同一物理范围内，即这些工作站可以在不同物理LAN网段。
某公司有100台计算机左右，主要使用网络的部门有：
生产部（20），财务部（15），人事部（8）和信息中心（12）四大部分，如图所示。
（图中另外两台交换机未画）
网络的基本结构为：
整个网络中干部分采用3台网管型交换机（分别命名为：
Switch1,Switch2和Switch3，各交换机根据需要下接若干个集线器，主要用于非VLAN用户，如行政文书，临时用户等），一台Cisco路由器，整个网络都通过路由器与外部互连网进行连接。
1user（s）nowactiveonManagementConsole.
UserInterfaceMenu
[M]Menus
[K]CommandLine
[I]IPConfiguration
EnterSelection
CLIsessionwiththeswitchisopen.
ToendtheCLIsession,enter[Exit].
#configt
Enterconfigurationcommends,oneperline.EndwithCNTL/Z
（config）#
下面Switch1的配置代码如下：
（config）#hostnameSwitch1
Switch1（config）#enablepasswordlevel15
Switch1（config）#
Switch1（config）#vlan2nameProd
Switch2（config）#vlan3nameEcom
Switch3（config）#vlan4nameEmpl
Switch4（config）#vlan5nameInfo
VLAN端口号应用配置如下：
（1）名为”Switch1”的交换机的VLAN端口号配置如下：
Switch1（config）#inte0/2
Switch1（config-if）#vlan-membershipstatic2
Switch1（config-if）#inte0/3
Switch1（config-if）#inte0/4
Switch1（config-if）#inte0/20
Switch1（config-if）#inte0/21
Switch1（config-if）#
（2）名为”Switch2”的交换机的VLAN端口号配置如下：
Switch2（config）#inte0/2
Switch2（config-if）#vlan-membershipstatic3
Switch2（config-if）#inte0/3
Switch2（config-if）#inte0/4
Switch2（config-if）#inte0/15
Switch2（config-if）#inte0/16
Switch2（config-if）#
（3）名为”Switch3”的交换机的VLAN端口号配置如下（它包括两个VLAN组的配置），
Switch3（config）#inte0/2
Switch3（config-if）#vlan-membershipstatic4
Switch3（config-if）#inte0/3
Switch3（config-if）#inte0/4
Switch3（config-if）#inte0/8
Switch3（config-if）#inte0/9
Switch3（config-if）#
下面是VLAN5（Info）的配置代码：
Switch4（config）#inte0/10
Switch2（config-if）#vlan-membershipstatic5
Switch4（config-if）#inte0/11
Switch4（config-if）#vlan-membershipstatic5
Switch4（config-if）#inte0/12
Switch4（config-if）#inte0/20
Switch4（config-if）#inte0/21
Switch4（config-if）#
问题1：
VLAN在交换机上的实现方法，可以大致划分为_
（1）_、_
（2）_、_（3）_、_（4）_、_（5）_和按用户定义、非用户授权划分VLAN.
问题2：
请把下面表填写完整，并指出Switch1,
升级会员 