全国职业院校技能大赛网络搭建与应用竞赛试题第10套.docx

1、全国职业院校技能大赛网络搭建与应用竞赛试题第10套2015年全国职业院校技能大赛网络搭建与应用竞赛试题(第10套)2015年全国职业院校技能大赛网络搭建与应用竞赛（总分1000分）赛题说明一、竞赛内容分布“网络搭建与应用”竞赛共分二个部分，其中：第一部分：网络搭建及安全部署项目，占总分的比例为45%；第二部分：服务器配置及应用项目，占总分的比例为55%；二、竞赛注意事项（1）禁止携带和使用移动存储设备、计算器、通信工具及参考资料。（2）请根据大赛所提供的比赛环境，检查所列的硬件设备、软件清单、材料清单是否齐全，计算机设备是否能正常使用。（3）本试卷共有两个部分。请选手仔细阅读比赛试卷，按照试卷

2、要求完成各项操作。（4）操作过程中，需要及时保存设备配置。比赛结束后，所有设备保持运行状态，不要拆、动硬件连接。（5）比赛完成后，比赛设备、软件和赛题请保留在座位上，禁止将比赛所用的所有物品（包括试卷和草纸）带离赛场。（6）所有需要提交的文档均放置在桌面的PC1“比赛文档”文件夹中，禁止在纸质资料上填写与竞赛无关的标记，如违反规定，可视为0分。（7）裁判以各参赛队提交的竞赛结果文档为主要评分依据。所有提交的文档必须按照赛题所规定的命名规则命名，文档中有对应题目的小标题，截图有截图的简要说明，否则按无效内容处理。（8）与比赛相关的工具软件放置在D盘的tools文件夹中。三、竞赛项目背景及网络拓扑

3、1. 项目描述下图是某集团公司在天津设有总公司，在上海设有分公司，为了实现信息交流和资源共享，需要构建一个跨越两地的集团网络。总公司采用节点和链路冗余的网络架构及双出口的网络接入模式，采用防火墙接入互联网络，保护内网用户资源，采用路由器接入城域网专用链路来传输业务数据流。总公司为了安全管理每个部门的用户，使用VLAN技术将每个部门的用户划分到不同的VLAN中。上海分公司采用路由器接入互联网络和城域网专用线路，分公司的内网用户接入采用无线接入方式访问网络资源。为了保障总公司与分公司业务数据传输的高可用性，租用广域网专用线路ISP为主链路，采用基于IPSEC-VPN技术作为因特网链路的备份链路，以

4、实现业务流量的高可用性。总公司与分公司网络采用OSPF路由协议；而总公司防火墙与内网路由器的连接采用RIP路由协议，集团网络具体拓扑结构如图1所示。2. 网络拓扑规划网络拓扑结构规划如图1所示。图1 网络拓扑结构图本次公司的网络构建包括总公司和分公司的两个部分。总公司局域网核心采用双交换机的构架，通过VRRP结合MSTP技术实现负载均衡和链路备份。两台核心交换机分别连接到核心路由器，核心路由器连接到网络出口防火墙，同时核心路由器通过ISP专线连接到分公司的出口路由器。总公司的网络出口使用防火墙分别连接到ISP和VPN设备，通过配置防火墙来实现内网用户访问Internet以及保护内网的安全。总公

5、司和分公司之间的办公用户通过VPN建立的隧道相互通信，有效的保证了数据传输的安全性。服务器集中放置在网络中心机房，直接连接到核心交换机。分公司的网络的出口路由器分别连接到ISP和VPN设备，通过部署防火墙来保护内网的安全，内网的用户分别通过专网或VPN建立的安全隧道来访问总公司的资源。四、工程建设的内容本工程项目主要建设内容为：1.总公司与分公司布线系统建设总公司与分公司内部局域网的布线系统搭建，包括数据及语音的布线系统。2.总公司局域网建设总公司网络构建（有线双核心网络）、可用性及安全规则部署。3.分公司局域网建设分公司网络构建（无线网络）、可用性及安全规则部署。4.总公司与分公司广域网互联

6、建设总公司与分公司之间采用数据专线、VPN方式互联。5.总公司应用平台建设在总公司的网络中心机房，部署Windows 2003 Server、Windows2008 Server及LINUX服务器系统，并在此之上架设DNS、WEB、DHCP、FTP、MAIL、CA认证、Apache、NFS、KVM安装等应用服务。第一部分 网络配置项目(450分)【注意事项】1、设备console线有两条。交换机， AC，防火墙使用同一条console线，路由器使用另外一条console线。2、设备配置完毕后，保存最新的设备配置。保存文档方式分为两种：a)交换机和路由器要把show running-config

7、的配置保存在PC1桌面的相应文档中，文档命名规则为：设备名称.doc,例如：RT1路由器文件命名为：RT1.doc，然后放入到PC1桌面上“比赛文档”文件夹中b)防火墙等截图方式的设备，把截图的图片放到同一word文档中，文档命名规则为：设备名称.doc,例如：防火墙FW1文件命名为：FW1.doc, 保存后放入到PC1桌面上“比赛文档”文件夹中。一、网络设备配置要求1. 设备连接关系:表1-3 网络设备1连接到设备2表设备一设备二设备一端口设备二端口线缆类型RT1FW1GE0/5E0/1双绞线RT1RT2GE 0/4GE 0/4双绞线RT1SW1GE0/2E1/0/1双绞线RT1SW2GE0

8、/3E1/0/1双绞线RT2RT3S0/1S0/2V35RT2SW2GE0/2E1/0/2双绞线RT3FW2GE0/3E0/1双绞线RT3WSGE0/4E1/0/1双绞线SW1SW2E1/0/14-15E1/0/14-15双绞线SW1SW3E1/0/21E1/23双绞线SW1SW4E1/0/23E1/23双绞线SW2SW3E1/0/21E1/24双绞线SW2SW4E1/0/24E1/24双绞线SW4PC-AE1/1NIC双绞线SW4PC-BE1/2NIC双绞线SW4PC-CE1/3NIC双绞线SW4PC-DE1/4NIC双绞线WSAPE1/0/2LAN口双绞线2网络设备IP地址自行分配表。表1

9、-4网络设备IP地址表设备设备名称设备接口IP地址/路由器RT1GigaEthernet0/2GigaEthernet0/3GigaEthernet0/4GigaEthernet0/5RT2Serial0/1GigaEthernet0/2GigaEthernet0/4RT3Serial0/2GigaEthernet0/3GigaEthernet0/4三层交换机SW1VLAN1000 (Ethernet1/0/1)VLAN3000(Ethernet1/0/14-15)VLAN10 SVIVLAN20 SVIVLAN30 SVIVLAN40 SVI管理VLAN50 SVI服务器群VLAN100(E

10、thernet1/0/10-13)SW2VLAN2000 (Ethernet1/0/1)VLAN3000(Ethernet1/0/14-15)VLAN10 SVIVLAN20 SVIVLAN30 SVIVLAN40 SVI管理VLAN50 SVI二层交换机SW3管理VLAN50 SVISW4管理VLAN50 SVI防火墙1FW1Ethernet0/1Ethernet0/3139.4.17.1/24防火墙2FW2Ethernet0/1Ethernet0/3139.4.17.2/24无线控制器WSVLAN600 SVIVLAN700 SVI3. 服务器IP地址自行分配表:表1-5服务器IP地址分配

11、表宿主机虚拟主机名称域名信息服务角色系统及版本信息IPv4地址信息PC-AWin2003-A1WWW服务器CA服务器Windows Server 2003 R2Win2003-A2WWW服务器Windows Server 2003 R2Win2008-A1DC域控制器Windows Server 2008 R2PC-BWin2008-B1FTP服务器Windows Server 2008 R2Win2003-B1DDHCP服务器Windows Server 2003 R2WindowsXP工作站WindowsXPPC-CWin2003-C1DNS服务器Windows Server 2003 R

12、2Win2008-C1只读域控制器Windows Server 2008 R2Centos-C1Apache服务器Centos 6.5Centos-C2dns. BIND域名服务器NFS共享服务器Centos 6.5PC-DCentos-D1ftp. FTP服务器Centos 6.5Centos-D2Mail. MAIL服务器Centos 6.5二、网络搭建部分： 1. 物理连接与IP地址划分（1）按照网络拓扑图制作以太网网线跳线，用于SW1、SW2、RT1、SW3设备的连接，并增加标识。要求符合T568A和T568B的标准，其线缆长度适中；（2）根据“拓扑结构图”和“表1-4:网络设备IP地

13、址分配表”和“表1-5：服务器IP地址分配表”所示，请对网络中的所有网络设备接口和服务器分别规划部署IP地址。总公司中整个网络互联地址规划使用172.16.0.0/16地址段, 为了节省IP资源，请按下面需求做到合理分配，目前市场部有91名员工、工程部有110名员工、软件部和系统集成部两个部门都有121名员工，服务器的网段为00.0/24。上海分公司使用172.16.200.0/23地址段,保证上海分公司行政部至少有100台主机，销售部至少有40台主机。天津总公司与上海分公司所有设备互联地址使用/30的掩码进行分配。并把分配后的地址填入上述表1-4及表1-5分配表中的空白处。注意：要求网络地址

14、根据上述题目要求合理规划；网关地址规划为本网段的最后一个地址。2.交换机配置（1）为交换机设备命名，命名规则参考为表1中的“设备名称”，设备名称的命名规则与拓扑图图示名称相符；（2）在两台三层交换设备上开启telnet管理功能，使用安全IP技术，只允许管理VLAN的主机对三层交换设备进行管理，同时要求每台网络设备只允许6条线路管理网络设备，管理设备使用telnet用户，口令为2015telnet，enable密码为2015network；（3）依据“拓扑结构图”和1-6表，在交换机上完成VLAN配置和端口分配, 不允许不必要的VLAN通过； 表1-6VLAN接口地址表设备VLAN名称VLAN

15、ID接口SW1Link_to_管理vlan50Ethernet1/20Link_to_RT11000Ethernet1/0/1Link_to_SW23000Ethernet1/0/14-15SW2Link_to_管理vlan50Ethernet1/20Link_to_RT12000Ethernet1/0/1Link_to_SW13000Ethernet1/0/14-15SW3Link_to_管理vlan50任意Link_to_ SW1/SW2trankEthernet 1/23-24SCB（市场部）10Ethernet 1/0/1-5GCB（工程部）20Ethernet 1/0/6-10RJB

16、（软件部）30Ethernet 1/0/11-15XTJCB（系统集成部）40Ethernet 1/0/16-20SW4Link_to_管理vlan50任意Link_to_PC-A、PC-B、PC-C、PC-D100Ethernet 1/1-4Link_to_ SW1trunkEthernet 1/23Link_to_ SW2trunkEthernet 1/24（4）天津总公司两个核心交换机SW1和SW2之间使用双线路连接，分别下联到接入交换机SW3，采用基于VLAN生成树协议，实现网络中的二层的负载均衡和冗余备份。交换机创建两个实例：分别为Instance 10和Instance 20，其中

17、Instance 10关联VLAN 10和VLAN20，Instance 20关联VLAN 30和VLAN40。SW1为缺省Instance0和Instance10的根交换机，为Instance20备份交换机；SW2为Instance20根交换机，为缺省Instance0和Instance10的备份交换机，按需求设置STP优先级为8192。同时结合VRRP技术实现VLAN10、VLAN20、VLAN30、VLAN40内的用户网关的冗余备份。设置SW1为VLAN10、20的Master路由器，设置SW2为VLAN30、40的Master路由器。要求VRRP组中高优先级设置为120，同时开启抢占特

18、性。将各VLAN的虚拟IP地址规划填入下表1-7所示： 表1-7 VLAN虚拟IP地址表VLAN-IDVRRP备份组号（VRID）VRRP虚拟IP地址VLAN1010VLAN2020VLAN3030VLAN4040（5）将SW1三层交换机Ethernet 1/0/14和Ethernet 1/0/15接口与SW2三层交换机Ethernet1/0/14和Ethernet1/0/15接口配置为动态模式的端口聚合；（6）总部服务器群直接连接在交换机SW4的Ethernet1/1-4端口上，需要在两个端口上限制接入服务器的数量，Ethernet1/3限制为2台，Ethernet1/4限制为4台，超过后将

19、关闭该端口；（7）在所有交换设备上，使用系统登录标题：“welcome login guoshai2015!”。在10分钟内，没有任何输入信息，网络设备连接超时。3. 路由器配置（1）为路由设备命名，命名规则参考为表1中的“设备名称”，设备名称的命名规则与拓扑图图示名称相符；（2）在每个路由器设备与其它网络设备连接的接口都要进行描述；（3）根据网络拓扑图所示，为了保障专用线路的链路安全，需要在ISP（RT2与RT3之间）连接的链路上配置PPP协议，采用双向CHAP的验证方式，速率为1024000bps，用户名分别为RT2和RT3，密码均为7654321；（4）天津总公司内网采用OSPF动态路由

20、协议，防火墙FW1与路由器RT1之间采用RIP协议，通过专线实现与分公司的互联互通，请自行规划设备RouterID，并填入下表1-8： 表1-8VLAN虚拟IP地址表设备名称RouterIDRT1RT2RT3SW1SW2（5）集团公司网络采用了OSPF和RIP两种动态路由协议，合理规划开销值，实现集团总公司访问外网数据流主走RT1，备走RT2；到分公司内网数据流主走RT2，备走RT1；（6）在RT2上使用队列拥塞管理技术，使内网访问分公司的正常数据流优先级最高，Telnet数据流优先级最低；（7）在RT3上配置上海分公司网段访问集团公司资源的下载速率最大为2Mbps；并为分公司访问集团公司时设

21、置QOS，分别为VLAN600保留20%的带宽、VLAN700保留10%的带宽。4. 无线配置（1）上海分公司用户采用无线接入方式，其中VLAN600用户的SSID为SH001，协议为802.11b，信道为1；无线控制器做为DHCP服务器为VLAN600用户动态分配IP地址，地址租约时长为1天。用户接入无线网络时采用WEP认证方式，其口令为012345678；（2）VLAN700用户的SSID为SH002，协议为802.11g，信道为6；使用无线控制器做为DHCP服务器，为VLAN700用户动态分配IP地址和网关，地址租约时长为3天。用户接入无线网络时需要采用WPA-personal加密方式，

22、其口令为1234567890；（3）配置AP下可以连接的无线用户数是20，用户的老化时间为6分钟；（4）激活无线网络的二层隔离，实现同一个AP下无线局域网内用户不能互相访问，配置该AP下可以连接的无线网络用户数为20；（5）配置无线局域网用户上行速度为512Kbps，下行速度为2Mbps，突发速度为4Mbps；（6；（7）黑名单过滤策略之前，MAC地址0D03.0D03.0D03的无线客户已经加入无线网，配置AC删除这个非法用户。注意：新建参赛号+无线.doc文件，将无线配置后的关键步骤界面截图保存，并存放在主机F盘上以自己参赛号命名文件夹中。-提交的截图：将截图粘贴到“工位号_网络无线配置文

23、档.doc”中，标记为“(1)网络无线相关配置截图”，并对截图进行必要的说明，保存到指定位置。-三、网络安全部分： 1. 防火墙配置（1）集团公司内网VLAN20、VLAN30用户可以通过防火墙FW-1做NAT访问Internet，并将总公司内网WWW服务器映射到外网接口。上海分公司所有用户可以通过防火墙FW-2做NAT访问Internet；（2）集团公司和上海分公司内网的Web服务器分别需要对外提供服务；（3）为了保障总公司内网的安全性，在FW-1上做以下防护部署：端口扫描攻击防护功能，在3 秒时间内，有5个以上相同IP 地址的TCP SYN 包请求，则发出警报，但允许数据包通行；在防火墙的

24、在安全网关上配置在安全网关上配置网页关键字规则，禁止公司工程部网段，访问含“X”和“S”两个词汇的网页，并对试图访问的行为进行记录；IP地址欺骗攻击防护功能；配置Ping of Death 攻击防护功能；配置Land攻击防护功能；配置WinNuke攻击防护功能；（5）在防火墙上创建允许从管理网段地址到任意地址的ICMP 服务的策略规则；（6）在FW1中禁止UDP的4500端口以及TCP的6300端口的双向数据包通信。-防火墙提交的截图：用户配置防火墙的所有关键配置点信息(包括FW1和FW2)。将截图粘贴到“工位号_防火墙配置文档.doc”中，标记为“防火墙配置相关截图”，并对截图进行必要的说明

25、。 -2、VPN配置（1）为了保障总公司与分公司之间传输业务数据流，当总公司与分公司之间的ISP专线中断后，需要采用互联网链路为备份链路，在天津总公司与上海分公司的两端防火墙上配置VPN，采用置GRE over IPSec功能，采用esp-md5-3des-g2提议部署实现总部与分公司之间信息通过Internet的安全传输；（2）在天津总公司出口防火墙上配置SSL方式远程接入 VPN，允许远程办公用户可以访问服务群WWW、FTP资源，其使用的合法用户名为vpn10、vpn11和vpn12，其共同口令为2015SEC，其拨入的计算获取的IP地址段为172.16.150.0/24。-VPN提交截图

26、：用户配置VPN的所有信息(包括VPN1和VPN2)，包含配置过程中出现的每一个界面都需要截图；将截图粘贴到“工位号_VPN配置文档.doc”中，标记为“VPN配置相关截图”，并对截图进行必要的说明。-3. 网络系统安全配置（1）所有启用OSPF协议的接口上都使用MD5认证，认证密钥为：1234567。为了加快路由协议的收敛时间以及故障恢复时间。调整RIP时钟的更新时间为15秒，失效时间70秒，刷新时间100秒；（2）为了规范总公司员工的上网行为，规定总公司办公区员工（vlan12网段）在周一到周五上班时间 (8:30-17:30) ，除了和总公司以及分公司的内部网络通信之外，只能使用公网的h

27、ttp、ftp、mail和dns服务，其它时间不进行限制，请在RT1上配置访问控制列表；（3）分别在RT1上配置访问控制列表，用于禁止外网访问内网的138、139和445端口；（4）在SW3上设置，配置VLAN20端口安全功能，每个接口的最大连接数为5，如果违规则关闭接口；（5）请将软件部某开发终端主机IP地址与MAC地址绑定（该终端的MAC地址为：47-01-39-04-17-ff,IP地址可参考表1-4中软件部的一个可用IP地址）；（6）请配置SW4交换机的Ethernet 1/10-20端口为802.1X认证端口，交换机的管理地址、终端的IP地址、认证服务器的地址请根据前面规划进行设置；（7）对服务器群资源进行震荡波、SQL蠕虫病毒的防护。【结果文件的提交】在RT1、RT2、RT3、SW1、SW2、SW3、SW4上运行show running-config，将运行结果粘贴到“工位号_网