1、中级网络工程师下午试题-7-2 及答案解析(总分：75.00，做题时间：90 分钟)一、试题一(总题数：1，分数：15.00)说明 最佳管理的园区网通常是按照分级模型来设计的。在分级设计模型中，通常把网络设计分为 3 层，即核心层、汇聚层和接入层。下图所示的是某公司的网络拓扑图，但该公司采用的是紧缩核心模型，即将核心层和汇聚层由同一交换机来完成。 （分数：15.00）(1).在分级设计模型中，核心层的的目的是 1，其主要工作是 2。因此核心层必须具有 3 及 4，并提供故障隔离功能，具有迅速升级能力和 5 以及好的可管理性等。（分数：3.75）(2).公司网络中的设备或系统应放在 DMZ 中的
2、有 1，应放在内网中的有 2。 A存储商业机密的数据库服务器 B邮件服务器 C存储资源代码的 PC D应用网关 E存储私人信息的 PC F电子商务系统（分数：3.75）(3).在上图中，两台三层交换机 4507R 互为备份，它们之间是通过多条双绞线连接，构成了网络环路，但不会产生广播风暴而影响网络的稳定性，是因为 1。如果希望在这多条双绞线中既要实现链路冗余，又要实现负载均衡，可通过 2、 3、 4 实现。（分数：3.75）(4).在分级设计模型中，路由功能主要由 1 层来完成。（分数：3.75）二、试题二(总题数：1，分数：15.00)说明 VPN 是通过公用网络 Internet 睁分布在
3、不同地点的终端连接而成的专用网络。目前大多采用 IPsec 实现IP 网络上端点间的认证和加密服务。（分数：15.00）(1).某公司的网络拓扑结构如下图所示，采用 VPN 来实现网络安全。请简要叙述从公司总部主机到分支机构主机通过 IPSec 通信过程。 （分数：7.50）_(2).某路由器的部分配置信息如下所示，请解释其中标有下划线部分的含义(“/”后为注释内容)。 *配置路由器信息 version 12.0 hostname SecRouter boot svstem flash c1700-osy56i-mz_120-3-T3.bin /应用 IKE 共享密钥进行认证 crypto_i
4、sakmp_policy_100_ 1 hash md5 2 authentication_pre-share_ 3 /与远端 IP 为 172.16.2.1 的对等体的共享密钥为“mcns“ crypto isakmp key mcns address 172.16.2.1 4 crypto ipsec transform-set 1&2 esp-des esp-md5-hmac 5 /配置加密图 /指定用 IKE 来建立 IPSec 安全关联，以保护由该加密图条目所指定的数据流 crypto map sharef 10 ipsec-isakmp 6 set peer 172.16.2.1
5、7 set transform-set 1&2 8 match address 151 /配置接口 interface seria10 ip address 172.16.1.1 255.255.255.252 ip access-group 101 in crypto map sharef 9 interface FastEthernet0 end（分数：7.50）三、试题三(总题数：1，分数：15.00)说明 某公司在国际网互联中心申请了 210.45.12.0/24 一个 C 的 IP 地址，域名为 。该公司有一台该 Web 服务器(IP 地址为 210.45.12.11，主机名为 S1
6、)、一台 FTP 服务器(IP 地址为 210.45.12.12，主机名为 S2)、一台 MAIL 服务器(IP 地址为 210.45.12.13，主机名为 S3)和一台 DNS 服务器(IP 地址为210.45.12.14，主机名为 S4)。若你是该公司的网络管理员，使用一台装有 Windows Server 2003 服务器作为 DNS 服务器。（分数：15.00）(1).该 DNS 服务器的类型是 1。（分数：3.00）(2).该 DNS 服务器的正向搜索区域是 1；反向搜索区域是 2。正向搜索区域的作用是 3，反向搜索区域的作用是 4。（分数：3.00）(3).现已在正向搜索区域中添加
7、了一些主机记录，但用户的浏览器地址栏中输入“http:/”可以访问该公司的主页，但输入“http:/”却不能访问该公司的主页，可能的原因是 1，解决的办法是 2。（分数：3.00）(4).原来该公司的用户的电子邮件的地址格式是“XXX”，现在想把它改为“XXX”邮件服务器的地址、邮件地址格式和多台邮件服务器的优先级可通过 1 指定，邮件地址格式可通过 2 来定义。因此，可以先删除这一记录，再添加一条 3，但 4 处不要填写任何内容。下图是新建邮件交换器资源记录对话框。 （分数：3.00）(5).若在反向搜索域添加了一个指针(PTR)记录，该记录的作用是 1。（分数：3.00）四、试题四(总题数
8、：1，分数：15.00)说明 利用 VLAN 技术可以把物理上连接的网络从逻辑上划分为多个不同的虚拟子网，可以对各个子网实施不同的管理策略。下图是在网络中划分 VLAN 的连接示意图。 （分数：15.00）(1).下面的命令是在交换机 Switch1 上创建一个名字为 classroom 的虚拟局域网(VLAN ID 为 2)的配置命令，请给出空白处的配置内容： Switch1 # 1 Switch1 (config) # 2 (创建 Vlan2) Switch1 (config-vlan) # name classroom (将 Vlan2 命名为 classroom) Switch1 (c
9、onfig-vlan) # 3 (完成并退出) Switch1 #（分数：3.75）(2).如果希望在 Switch1 中创建的 VLAN 信息也能在 Switch2 中使用，则分别在 Switch1、Switch2 上执行下列命令，请给出空白处的配置内容： Switch1 # vlan database (设置 VLAN 配置子模式) Switch1 (vlan) #vtp 1 Switch1 (vlan) # vtp domain abc (设置域名) Switch1 (vlan) # exit (退出 VLAN 配置模式) Switch2# vlan database (设置 VLAN
10、配置子模式) Switch2 (vlan) # vtp 2 Switch2 (vlan) # vtp domain abc (设置域名) Switch2 (vlan) # exit (退出 VLAN 配置模式)（分数：3.75）(3).使 Switch 1 的千兆端口允许所有 VLAN 通过的配置命令如下，请给出空白处的配置内容： Switchl (config) # interface gigabit0/1 (进入端口配置模式) Switchl (config-if) # switchport 1 Switchl (config-if) # switchport 2 (设置封装协议为 dot
11、1q)（分数：3.75）(4).将 Switch2 的端口 10 划入 classroom 的配置命令如下，请给出空白处的配置内容： Switchl (config) # interface fastEthernet0/10 (进入端口 10 配置模式) Switchl (config-if) # switchport 1 Switchl (config-if) # switchport 2（分数：3.75）五、试题五(总题数：1，分数：15.00)说明 某公司的分支机构通过一条 DDN 专线接入到公司总部，地址分配和拓扑结构如下图所示。在两台路由器之间可以使用静态路由，也可以使用动态路由。
12、（分数：15.00）(1).下面是分支机构路由器 R1 的配置命令列表，在空白处填写合适的命令/参数，实现 R1 的正确配置。 Routeren Routerconf term Router (config) # hostname Rl Router (config) # int e0 R1 (config-if) # ip address 1 R1 (config-if) # no shutdown R1 (config-if) # int s0 R1 (config-if) # ip address 2 R1 (config-if) # no shutdown R1 (cenfig-if)
13、 # clock rate 56000 R1 (config-if) # exit R1 (config) # ip routing R1 (config) # ip route 3 R1 (config) # ip classless R1 (config) # exit R1 #ccpy run start（分数：5.00）(2).下面是公司总部的路由器 R2 的配置命令列表，在空白处填写合适的命令参数，实现 R2 的正确配置。 Routeren Router#conf term Router (config) # hostname R2 R2 (config-if) # int S0 R
14、2 (config-if) # ip address 1 R2 (config-if) # no shutdown R2 (config-if) # exit R2 (config) # ip routing R2 (config) # ip route 2 R2 (config) # ip classless R2 (config) # exit R2# copy run start（分数：5.00）(3).在问题 1 和问题 2 中，所使用的是静态路由协议。当该公司有多个分支机构，决定使用动态路由协议OSPF。下面是分支机构路由器 R1 的配置命令列表，在空白处填写合适的命令/参数，实现
15、R1 的正确配置。(注：点对点链路的 area 为 2，分支机构局域网的 area 为 3。) R1en R1 # conf term R1 (config) #n o ip route R1 (config) # router 1 R1 (config-router) # network 2 area 2 R1 (config-router) # network 3 area 3 R1 (config-router) # exit R1#copy run start（分数：5.00）中级网络工程师下午试题-7-2 答案解析(总分：75.00，做题时间：90 分钟)一、试题一(总题数：1，分数
16、：15.00)说明 最佳管理的园区网通常是按照分级模型来设计的。在分级设计模型中，通常把网络设计分为 3 层，即核心层、汇聚层和接入层。下图所示的是某公司的网络拓扑图，但该公司采用的是紧缩核心模型，即将核心层和汇聚层由同一交换机来完成。 （分数：15.00）(1).在分级设计模型中，核心层的的目的是 1，其主要工作是 2。因此核心层必须具有 3 及 4，并提供故障隔离功能，具有迅速升级能力和 5 以及好的可管理性等。（分数：3.75）解析：高速数据交换 交换数据包 高可靠性 冗余性 较少的时延 解析 在分级设计模型中，核心层的的目的是高速数据交换，其主要工作是交换数据包。因此核心层必须要有高可
17、靠性及冗余性，并提供故障隔离，具有迅速升级能力和较少的时延，以及好的可管理性等。(2).公司网络中的设备或系统应放在 DMZ 中的有 1，应放在内网中的有 2。 A存储商业机密的数据库服务器 B邮件服务器 C存储资源代码的 PC D应用网关 E存储私人信息的 PC F电子商务系统（分数：3.75）解析：BDF ACE 解析 该公司的防火墙的结构应当属于屏蔽子网结构。在这个结构中，DMZ(非军事区)是周边防御网段，它受到安全威胁不会影响到内部网络，足放置公共信息的最佳位置，通常把 WWW、FTP、电子邮件等服务器都存放在该区域。 要保证公司的商业机密避免外部网络的用户直接访问，同时避免内部网络未
18、经授权的用户访问，所有有商业机密的数据库服务应该放在内部网络中，确保安全。同样的道理，那些存储代码的 PC 机和存储私人信息的 PC 也要放在内部网络中。而邮件服务器、电子商务系统、应用网关等，既要内部主机可以访问，又要外部网络的用户可以访问，并且要保证安全，所以它们可以放在 DMZ。(3).在上图中，两台三层交换机 4507R 互为备份，它们之间是通过多条双绞线连接，构成了网络环路，但不会产生广播风暴而影响网络的稳定性，是因为 1。如果希望在这多条双绞线中既要实现链路冗余，又要实现负载均衡，可通过 2、 3、 4 实现。（分数：3.75）解析：生成树协议 STP 修改 VLAN 的 port
19、-priority(端口优先级) 修改端口的 STP 路径值(cost) 端口聚合技术 解析 由于交换机中都运行了生成树协议 STP，若出现环路时，STP 会自动将一些端口阻断，从而形成了一个没有环路的树。要实现负载均衡，可以通过修改 VLAN 的 port-priortiy(端口优先级)来实现，也可以修改端口的 STP 路径值(cost)，使不同 VLAN 的生成树一样，从而实现负均衡。除此之外，还可以通过端口聚合技术，将多条链路看成一条链路。(4).在分级设计模型中，路由功能主要由 1 层来完成。（分数：3.75）解析：汇聚层解析 核心层的功能主要是实现骨干网络之间的优化传输，骨干层设计任
20、务的重点通常是冗余能力、可靠性和高速的传输。网络的控制功能最好尽量少在骨干层上实施。汇聚层的功能主要是连接接入层节点和核心层中心，需要将大量低速的链接(接入层设备的链接)通过少数宽带的链接接入核心层，以实现通信量的收敛，提高网络中聚和点的效率，同时减少核心层设备可选择的路由路径的数量。并可以汇聚层为设计模块，实现网络拓扑变化的隔离，增强网络的稳定性。接入层是用户与网络的接口。由此可见，路由功能主要由汇聚层来完成。二、试题二(总题数：1，分数：15.00)说明 VPN 是通过公用网络 Internet 睁分布在不同地点的终端连接而成的专用网络。目前大多采用 IPsec 实现IP 网络上端点间的认
21、证和加密服务。（分数：15.00）(1).某公司的网络拓扑结构如下图所示，采用 VPN 来实现网络安全。请简要叙述从公司总部主机到分支机构主机通过 IPSec 通信过程。 （分数：7.50）_正确答案：()解析：操作过程可以分成 5 个主要步骤： IPSec 过程启动根据配置 IPSec 对等体(公司总部主机和分支机构主机)中的 IPSec 安全策略，指定要被加密的数据流，启动 IKE(Internet 密钥交换)过程。 IKE 阶段 1在该连接阶段，IKE 认证 IPSec 对等体，协商 IKE 安全关联(SA)，并为协商 IPSec 安全关联的参数建立一个安全传输道路。 IKE 阶段 2I
22、KE 协商 IPSec 的 SA 参数，并在对等体中建立起与之匹配的 IPSecSA。 数据传送根据存储在 SA 数据库中的 IPSec 参数和密钥，在 IPSec 对等体间传送数据。 IPSec 隧道终止通过删除或超时机制结束 IPSec SA。(2).某路由器的部分配置信息如下所示，请解释其中标有下划线部分的含义(“/”后为注释内容)。 *配置路由器信息 version 12.0 hostname SecRouter boot svstem flash c1700-osy56i-mz_120-3-T3.bin /应用 IKE 共享密钥进行认证 crypto_isakmp_policy_10
23、0_ 1 hash md5 2 authentication_pre-share_ 3 /与远端 IP 为 172.16.2.1 的对等体的共享密钥为“mcns“ crypto isakmp key mcns address 172.16.2.1 4 crypto ipsec transform-set 1&2 esp-des esp-md5-hmac 5 /配置加密图 /指定用 IKE 来建立 IPSec 安全关联，以保护由该加密图条目所指定的数据流 crypto map sharef 10 ipsec-isakmp 6 set peer 172.16.2.1 7 set transform
24、-set 1&2 8 match address 151 /配置接口 interface seria10 ip address 172.16.1.1 255.255.255.252 ip access-group 101 in crypto map sharef 9 interface FastEthernet0 end（分数：7.50）解析：创建标识为“100”的 IKE 策略 采用 md5 hashing 算法 采用预共享密钥认证方法 与远端 IP 为 172.16.2.1 的对等体的共享密钥为“mcns” 配置名为 1&2 的交换集，指定 esp-des 和 esp-md5-hmac 两
25、种变换 分配给该加密图集的名称为 sharef，序号为 10 指定允许的 IPSec 对等体的 IP 地址为 172.16.2.1 此加密图使用交换集 1&2 此接口使用名为 sharef 的加密图进行加密 解析 配置 IKE 涉及启用 IKE、创建 IKE 策略、验证配置等，其步骤如表 1 所示。 步骤 任务 命令 启用IKE R1 (config) # crypto isakmp enable 创建IKE策略 R1 (config) # crypto isakmp policy policy-number 选择加密算法 R1 (config-isakmp) # encryption des
26、 | 3des 选择认证方法 R1 (config-isakmp) # authentication pre-share | rsa-encr | rsa-slg 选择哈希散列算法 R1 (config-isakmp) # hash md5 | sha 选择DH的组标识 R1 (config-isakmp) # group 1 | 2 设置IKE协商安全联盟的 生命周期 R1 (config-isakmp) # lifetime seconds 返回特权模式 R1 (config-isakmp) # exit 配置与对等体的共R1 (config) # crypto isa享密钥 kmp ke
27、y keystring address peer-addres 配置IKE keepalive定时器 R1 (config) # crypto isakmp keepalive secs retries 三、试题三(总题数：1，分数：15.00)说明某公司在国际网互联中心申请了210.45.12.0/24一个C 的IP 地址，域名为。该公司有一台该Web服务器(IP地址为210.45.12.11，主机名为S1)、一台FTP服务器(IP地址为210.45.12.12，主机名为S2)、一台MAIL服务器(IP地址为210.45.12.13，主机名为S3)和一台DNS服务器(IP地址为210.45.
28、12.14，主机名为S4)。若你是该公司的网络管理员，使用一台装有Windows Server 2003服务器作为DNS服务器。（分数：15.00）(1).该DNS服务器的类型是 1。（分数：3.00）解析：主域名服务器 解析该大题主要考查考生对Windows Server 2003下DNS报务器配置的掌握情况。由于该区域只有一台DNS服务器，因此该服务器必须被配置为主域名服务器，在创建时，区域类型必须选择“主要区域”。(2).该DNS服务器的正向搜索区域是 1；反向搜索区域是 2。正向搜索区域的作用是 3，反向搜索区域的作用是 4。（分数：3.00）解析： 12.45.210-in-addr
29、.arpa 让DNS客户端利用主机的域名查询其 IP地址 让DNS客户端利用 IP地址查询主机的域名 解析正向搜索区域可以让DNS客户端利用主机的域名查询其 IP地址，反向搜索区域可以让DNS客户端利用 IP地址查询主机的域名。因此该服务器必须负责域的正向解析，负责210.45.12.0/24这一网络的反向解析。反向域名由两部分组成，域名前半段是其网络 ID反向书写，而区域后半段必须是in-addr.arpa。因此域名为12.45.210-in-addr.arpa。(3).现已在正向搜索区域中添加了一些主机记录，但用户的浏览器地址栏中输入“http:/”可以访问该公司的主页，但输入“http:
30、/”却不能访问该公司的主页，可能的原因是 1，解决的办法是 2。（分数：3.00）解析：没有将的别名设置为，或者设置得不正确 在正向搜索区域中增加一条别名(CNAME)记录，使得真正的名字为 解析为了使一台主机有多个域名，通常使用别名资源记录(CNAME)。题中已能实现对的解析，说明已经有该服务器的主机记录(A)，要使也能解析，需添加一条别名资源记录(CNAME)，别名为，真实主机名为。(4).原来该公司的用户的电子邮件的地址格式是“XXX”，现在想把它改为“XXX”邮件服务器的地址、邮件地址格式和多台邮件服务器的优先级可通过 1指定，邮件地址格式可通过 2来定义。因此，可以先删除这一记录，再
31、添加一条 3，但 4 处不要填写任何内容。下图是新建邮件交换器资源记录对话框。 （分数：3.00）解析：邮件交换器(MX)记录 主机名或子域 解析邮件服务器的地址、邮件地址格式和多台邮件服务器的优先级可通过邮件交换器(MX)记录指定，邮件地址格式可通过“主机名或子域”来定义。因此，可以先删除这一记录，再添加一条邮件交换器(MX)记录，但“主机或子域”处不要填写任何内容。(5).若在反向搜索域添加了一个指针(PTR)记录，该记录的作用是 1。（分数：3.00）解析：实现IP 地址向域名的映射解析 反向搜索区域可以让DNS客户端利用 IP地址查询主机的域名，因此其作用是实现IP 地址到域名的映射。
32、四、试题四(总题数：1，分数：15.00)说明利用VLAN技术可以把物理上连接的网络从逻辑上划分为多个不同的虚拟子网，可以对各个子网实施不同的管理策略。下图是在网络中划分VLAN的连接示意图。（分数：15.00）(1).下面的命令是在交换机Switch1 上创建一个名字为classroom的虚拟局域网(VLAN ID 为2)的配置命令，请给出空白处的配置内容： Switch1 # 1 Switch1 (config) # 2 (创建Vlan2) Switch1 (config-vlan) # name classroom (将Vlan2命名为classroom) Switch1 (config
33、-vlan) # 3 (完成并退出) Switch1 #（分数：3.75）解析：config terminal VLAN 2 end或Ctrl+Z 解析 该大题主要考查交换机中VLAN的配置和STP协议。创建VLAN可以在两个子模式下进行。一是在VTP配置子模式，其提示符是“Switch(vlan)#”，进入命令是“vlan database”；另一种方法是在全局配置模式下执行“VLANVLAN ID”创建一个VLAN，进入VLAN配置子模式，提示符变为“Switch(config-vlan)#”，这个子模式下，可以修改为VLAN的参数。由题目可知，此处是使用后一种方法。因此第一空的任务是进入
34、全局配置模式，命令是“config terminal”，第二空的作用是创建VLAN 2，即“VLAN2”；第三空命令是从VLAN配置子模式返回特权模式，命令是“end”或“Ctrl+Z”。注意：不能是“exit”命令，它只能返回全局配置模式。(2).如果希望在Switch1 中创建的VLAN信息也能在Switch2 中使用，则分别在Switch1、Switch2 上执行下列命令，请给出空白处的配置内容： Switch1 # vlan database (设置VLAN配置子模式) Switch1 (vlan) #vtp 1 Switch1 (vlan) # vtp domain abc (设置域名) Switch1 (vlan) # exit (退出VLAN配置模式) Switch2# vlan database (设置VLAN配置子模式) Switch2 (vlan) # vtp 2 Switch2
