网络安全期末考试题库答案Word文档格式.docx

1、1. 反子网掩码和子网掩码的格式相似，但取值含义不同：1表示对应的IP地址位需要比较，0表示对应IP地址为忽略比较。 （X） 2.扩展访问控制列表是访问控制列表应用范围最广的一类，在华为防火墙ACL中，扩展访问控制列表范围为3000-3099。（X） 3. OSI七层模型中，传输层数据称为段（Segment），主要是用来建立主机端到端连接，包括TCP和UDP连接。 （） 4.在配置域间缺省包过滤规则时，zone1和zone2的顺序是随意的。（） 5.路由器收到数据文件时，若没有匹配到具体的路由表时，可按照默认路由表进行转发。6. IPV6使用128bit的IP地址，能满足未来很多年的IP地址需

2、求，是代替IPV4的最终方案。7. 当配置NAT地址转换是使用了Address-group 1 没有加no-pat这个命令意味着使用的是NAPT的转换方式 （） 8. inbound方向的NAT使用一个外部地址来代表内部地址，用于隐藏外网服务器的实际IP地址。9. 防火墙中不存在两个具有相同安全级别的安全区域。10.非对称密钥算法的优点是密钥安全性高，缺点是密钥分发问题。三、简答题1什么是Outbound方向NAT，其转换方式有哪几种？出方向是指数据由高安全级别的安全区域向低安全级别安全区域传输的方向。三种转换方式：1、一对一地址转换2、多对多地址转换3、多对一地址转换2请简要描述常见的网络安

3、全攻击方式有哪些，并简要描述其防范方式1、数据嗅探 防范方式：1.验证 2.改变网络结构 3.反嗅探工具 4.加密2、非法使用 防范方式：1.过滤 2.验证 3.加密 4.关闭服务和端口3、信息篡改 防范方式：1.明文加密 2.数据摘要 3.数字签名 4、拒绝服务 防范方式：1.屏蔽IP 2.流量控制 3.协议防范 4.侦测 5.策略5、社会工程 防范方式：1.技术层面 2.管理层面 6、BUG和病毒 防范方式：1.补丁 2.定时扫描 3.审计 4.终端保护3简述ACL与ASPF的区别与联系ACLASPF配置较繁琐简单设计实现复杂对系统性能影响速度快消耗部分系统资源多通道协议的支持不支持支持安

4、全性低高4。防火墙的工作模式主要有哪几种，特点是什么1、路由模式特点：如果防火墙通过网络层对外连接（接口具有IP地址），则防火墙工作在路由模式2、透明模式 特点：如果防火墙通过数据链路层对外连接（接口无IP地址），则认为防火墙工作在透明模式3、混合模式 如果防火墙既存在工作在路由模式接口（接口具有IP地址），又存在工作在透明模式的接口（接口无IP地址），则认为防火墙工作在混合模式。5. 请列举出二层VPN和三层VPN区别是什么，并分别列举哪些属于二层VPN，哪些属于三层VPN区别：二层VPN工作在协议栈的数据链路层，三层VPN工作在协议栈的网络层二层VPN：PPTP（点到点隧道协议）、L2F（

5、二层转发协议）、L2TP（二层隧道协议）三层VPN：GRE VPN、IPSec VPN6访问控制列表作用及分类在防火墙应用中，访问控制列表是对经过防火墙的数据流进行网络安全访问的基本手段，决定了后续的应用数据流是否被处理。访问控制列表根据通过报文的源地址、目的地址、端口号、上层协议等信息组合定义网络中的数据流。分类：1、标准访问控制列表 ACL2000-29992、扩展访问控制列表 ACL3000-3999四配置题1、实验四：配置防火墙WEB管理实验步骤1：把Ethernet 1/0/0接口加入VLAN，并将VLAN接口加入安全区域。#输入用户名admin#输入密码Admin123#切换语言模

6、式为中文模式 language-mode chinese system-view# 创建编号为5的VLAN。USG2100 vlan 5USG2100-vlan5 quit# 配置Ethernet 1/0/0的链路类型并加入VLAN。USG2100 interface Ethernet 1/0/0USG2100-Ethernet1/0/0 port access vlan 5USG2100-Ethernet1/0/0 quit# 创建VLAN 5所对应的三层接口Vlanif 5，并配置Vlanif 5的IP地址，配置VLAN接口。USG2100 interface vlanif 5USG210

7、0-Vlanif5 quit# 配置Vlanif 5加入Trust区域。USG2100 firewall zone trustUSG2100-zone-trust add interface Vlanif 5USG2100-zone-trust quit步骤2：配置域间过滤规则。USG2100 acl 2001USG2100-acl-basic-2001 quitUSG2100 acl 2002USG2100-acl-basic-2002 quitUSG2100 firewall interzone trust localUSG2100-interzone-local-trust aspf p

8、acket-filter 2001 outboundUSG2100-interzone-local-trust aspf packet-filter 2002 inbound步骤3：启用Web管理功能（默认情况下是打开的）。USG2100 web-manager enable步骤4：配置Web用户。USG2100 aaaUSG2100-aaa local-user Xunfang password simple Xunfang123USG2100-aaa local-user Xunfang service-type webUSG2100-aaa local-user Xunfang leve

9、l 3USG2100-aaa quit步骤5：配置PC的IP地址。2、实验七：配置IPSEC VPN配置USG2100 A# 进入系统视图。# 配置本端设备的名称。USG2100 sysname USG2100 AUSG2100 A vlan 5USG2100 A-vlan5 quitUSG2100 A interface Ethernet 1/0/0 USG2100 A-Ethernet1/0/0 port access vlan 5USG2100 A-Ethernet1/0/0 quit# 创建VLAN 5所对应的三层接口Vlanif 5，并配置Vlanif 5的IP地址。配置VLAN接口

10、。USG2100 A interface vlanif 5USG2100 A firewall zone trustUSG2100 A-zone-trust add interface Vlanif 5USG2100 A-zone-trust quit# 进入Ethernet 0/0/0视图。USG2100 A interface Ethernet 0/0/0# 配置Ethernet 0/0/0的IP地址。# 退回系统视图。USG2100 A-Ethernet0/0/0 quit# 进入Untrust区域视图。USG2100 A firewall zone untrust# 配置Etherne

11、t 0/0/0加入Untrust区域。USG2100 A-zone-untrust add interface Ethernet 0/0/0USG2100 A-zone-untrust quit# 配置ACL规则，允许Host 1所在网段的主机访问Host 2所在网段的主机。USG2100 A acl 3000USG2100 A-acl-adv-3000 quit# 配置ACL规则，允许Host 2所在网段的主机访问。USG2100 A acl 3001USG2100 A-acl-adv-3001 quit# 进入Trust和Untrust域间视图。USG2100 A firewall int

12、erzone trust untrust# 配置域间包过滤规则。USG2100 A-interzone-trust-untrust aspf packet-filter 3000 outboundUSG2100 A-interzone-trust-untrust aspf packet-filter 3001 inboundUSG2100 A-interzone-trust-untrust quit# 配置域间缺省包过滤规则。USG2100 A firewall packet-filter default permit all#说明：配置所有安全区域间缺省过滤规则为允许，使其能够协商SA。#

13、配置名为tran1的IPSec提议。USG2100 A ipsec proposal tran1# 配置安全协议。USG2100 A-ipsec-proposal-tran1 transform esp# 配置ESP协议的认证算法。USG2100 A-ipsec-proposal-tran1 esp authentication-algorithm md5# 配置ESP协议的加密算法。USG2100 A-ipsec-proposal-tran1 esp encryption-algorithm desUSG2100 A-ipsec-proposal-tran1 quit# 创建IKE提议10。

14、USG2100 A ike proposal 10# 配置使用pre-shared-key验证方法。USG2100 A-ike-proposal-10 authentication-method pre-share# 配置使用MD5验证算法。USG2100 A-ike-proposal-10 authentication-algorithm md5# 配置ISAKMP SA的生存周期为5000秒。USG2100 A-ike-proposal-10 sa duration 5000USG2100 A-ike-proposal-10 quit# 进入IKE Peer视图。USG2100 A ike

15、 peer a# 引用IKE安全提议。USG2100 A-ike-peer-a ike-proposal 10# 配置隧道对端IP地址。# 配置验证字为“abcde”。USG2100 A-ike-peer-a pre-shared-key abcde验证字的配置需要与对端设备相同。USG2100 A-ike-peer-a quit# 创建安全策略。USG2100 A ipsec policy map1 10 isakmp# 引用ike-peer a。USG2100 A-ipsec-policy-isakmp-map1-10 ike-peer a# 引用名为tran1的安全提议。USG2100

16、A-ipsec-policy-isakmp-map1-10 proposal tran1# 引用组号为3000的ACL。USG2100 A-ipsec-policy-isakmp-map1-10 security acl 3000USG2100 A-ipsec-policy-isakmp-map1-10 quit# 进入以太网接口视图。# 引用IPSec策略。USG2100 A-Ethernet0/0/0 ipsec policy map1配置USG2100 Blanguage-mode chineseUSG2100 sysname USG2100 BUSG2100 B vlan 5USG21

17、00 B-vlan5 quitUSG2100 B interface Ethernet 1/0/0 USG2100 B-Ethernet1/0/0 port access vlan 5USG2100 B-Ethernet1/0/0 quitUSG2100 B interface vlanif 5USG2100 B firewall zone trustUSG2100 B-zone-trust add interface Vlanif 5USG2100 B-zone-trust quitUSG2100 B interface Ethernet 0/0/0USG2100 B firewall zo

18、ne untrustUSG2100 B-zone-untrust add interface Ethernet 0/0/0USG2100 B-zone-untrust quit# 配置ACL规则，允许Host 2所在网段的主机访问Host 1所在网段的主机。USG2100 B acl 3000USG2100 B-acl-adv-3000 quit# 配置ACL规则，允许Host 1所在网段的主机访问。USG2100 B acl 3001USG2100 B-acl-adv-3001 quitUSG2100 B firewall interzone trust untrustUSG2100 B-i

19、nterzone-trust-untrust aspf packet-filter 3000 outboundUSG2100 B-interzone-trust-untrust aspf packet-filter 3001 inboundUSG2100 B-interzone-trust-untrust quitUSG2100 B firewall packet-filter default permit all# 创建名为tran1的IPSec提议。USG2100 B ipsec proposal tran1USG2100 B-ipsec-proposal-tran1 transform

20、esp# 配置ESP协议认证算法。USG2100 B-ipsec-proposal-tran1 esp authentication-algorithm md5# 配置ESP协议加密算法。USG2100 B-ipsec-proposal-tran1 esp encryption-algorithm desUSG2100 B-ipsec-proposal-tran1 quit# 创建号码为10的IKE提议。USG2100 B ike proposal 10# 配置使用pre-shared key验证方法。USG2100 B-ike-proposal-10 authentication-metho

21、d pre-share# 配置采用MD5验证算法。USG2100 B-ike-proposal-10 authentication-algorithm md5# 配置ISAKMP SA生存周期为5000秒。USG2100 B-ike-proposal-10 sa duration 5000USG2100 B-ike-proposal-10 quit# 创建名为a的IKE Peer。USG2100 B ike peer a# 引用IKE提议。USG2100 B-ike-peer-a ike-proposal 10# 配置对端IP地址。USG2100 B-ike-peer-a pre-shared

22、-key abcdeUSG2100 B-ike-peer-a quit# 创建IPSec策略。USG2100 B ipsec policy map1 10 isakmp# 引用IKE Peer。USG2100 B-ipsec-policy-isakmp-map1-10 ike-peer a# 引用IPSec提议。USG2100 B-ipsec-policy-isakmp-map1-10 proposal tran1USG2100 B-ipsec-policy-isakmp-map1-10 security acl 3000USG2100 B-ipsec-policy-isakmp-map1-1

23、0 quitUSG2100 B-Ethernet0/0/0 ipsec policy map1USG2100 B-Ethernet0/0/0 quit3、实验八：配置防火墙GRE隧道USG2100 A-Ethernet1/0/0 port access vlan 5USG2100 A-Vlanif5 quit# 创建Tunnel1接口。USG2100 A interface tunnel 1# 配置Tunnel1接口的IP地址。# 配置Tunnel封装模式。USG2100 A-Tunnel1 tunnel-protocol gre# 配置Tunnel1接口的源地址（USG2100 A的Ethernet 0/0/0的IP地址）。# 配置Tunnel1接口的目的地址（USG2100