1、四级网络工程师-89 及答案解析(总分：60.00，做题时间：90 分钟)一、选择题(总题数：15，分数：16.00)1.CIDR 路由汇聚后网络地址 128.39.128.0/21，不能被其覆盖的子网地址是（分数：1.00）A.128.39.129.0/22B.128.39.131.0/23C.128.39.134.0/24D.128.39.136.0/242.RIP 动态协议定时更新路由，每隔_秒更新一次。（分数：1.00）A.90B.60C.40D.303.决定局域网特性的主要技术要素包括网络拓扑结构、介质访问控制方法与 _ 。（分数：1.00）A.数据库软件B.服务器软件C.传输介质D
2、.布线结构4.下列选项中，属于路由器的工作模式的是 _ 。 用户模式 特权模式 RXBOOT 模式 全局配置模式 设置模式 其他配置模式（分数：1.00）A.B.C.D.5.P2DR 模型是一种常见的网络安全模型，其主要包括_。 检测 日志 防护 备份 策略 响应（分数：1.00）A.、B.、C.、D.、6.以下不属于 ICMP 主要功能的是_。（分数：2.00）A.通告网络错误B.修复网络错误C.路山器重定向D.获取通信子网掩码7.有若干常用的网络平台软件，但_不是网管平台软件。（分数：1.00）A.NetManagerB.Net ManagerC.SunViewD.NetView8.一个设
3、备有两个 IP 地址，一个地址是 192.123.46.219，另一个地址可能是 _ 。（分数：1.00）A.192.123.46.220B.192.123.47.219C.192.163.46.0D.以上都有可能9.下列选项中，关于 P2DR 安全模型的描述不正确的是 _ 。（分数：1.00）A.P2DR 模型包含四个主要部分：策略、防护、检测和响应B.响应包括系统恢复和信息恢复C.网络安全策略一般包括总体安全策略和具体安全规则两个部分D.策略是 P2DR 安全模型的核心10.下列选项中叙述不正确的是 _ 。（分数：1.00）A.近些年病毒感染成下降的趋势B.在实际网络运行中，数据备份与恢复
4、功能是非常重要的C.“灰色软件”包括间谍程序、广告程序、后门程序、下载程序和植入程序等D.IP 地址的动态分配与动态 DNS 的应用，使得查找垃圾邮件的来源更加困难11.一台 Cisco 交换机和一台 3COM 交换机相连，相连端口都工作在 VLAN Trunk 模式，这两个端口应该使用的 VLAN 协议是_。（分数：1.00）A.ISL 和 IEEE 802.10B.ISL 和 ISLC.ISL 和 IEEE 802.1QD.IEEE 802.1Q 和 IEEE 802.1Q12.以下给出的地址中，属于子网 197.182.15.19/28 的主机地址是_。（分数：1.00）A.197.18
5、2.15.17B.197.182.15.14C.197.182.15.16D.197.182.15.3113.下列选项中，关于交换机配置的说法不正确的是 _ 。（分数：1.00）A.机架插槽数是指模块式交换机所能安插的最大的模块数B.交换机配置不包括 MAC 地址表大小C.交换机使用缓冲区来协调不同端口之间的速率匹配D.GE/10GE 端口一般推荐全双工端口，以避免冲突，避免帧长度限制14.根据网络总体设计中物理拓扑设计的参数，确定网络中最大网段已有的和可能扩展的主机数量和_。（分数：1.00）A.网络中最多可能使用的子网掩码数量B.网络中最多可能使用的广播地址数量C.网络中最多可能使用的主机
6、地址数量D.网络中最多可能使用的子网数量15.下列选项中，关于路由表容量的说法不正确的是 _ 。（分数：1.00）A.路由器是通过核心层来决定包转发路径的B.路由表容量指标标志着该路由器可以存储最多路由表项的数量C.Internet 要求执行 BGP 协议的路由器一般要存储数 10 万条路由表项D.路由器的一个重要任务就是建立和维护一个与当前网络链路状态和结点状态相适应的路由表二、填空题(总题数：8，分数：24.00)16.物理层 10BASE-5 协议规定，粗同轴电缆的一个缆段的最大长度为 1 ，接入的最大结点数的理论值为 2 。 （分数：2.00）17.组建与成功运营一个宽带城域网遵循的基
7、本原则是：必须能够保证网络的 1 、 2 、 3 和可扩展性。 （分数：2.00）18.综合布线与 1 相比，可简化、节约大量的物资、时间和空间。 （分数：2.00）19.Internet Scanner 执行预定的或事件驱动的网络探测，包括对网络通信服务、操作系统、路由器、电子邮件、Web 服务器、 1 和应用程序的检测，从而能识别被入侵者利用来非法进入网络的漏洞。 （分数：2.00）20.电子邮件系统使用的协议主要包括 1 和 2 。 （分数：2.00）某公司使用 DHCP 服务器对公司内部主机的 IP 地址进行管理，已知： (1)该公司共有 40 个可用 IP 地址为 59.64.22.
8、1159.64.22.50。 (2)DHCP 服务器选用 Windows 2003 Server，其 IP 地址为 59.64.22.12。 (3)DHCP 客户机使用的操作系统是 Windows XP。 请回答下列问题：（分数：10.00）(1).DHCP 客户机得到图所示信息使用的命令是 1。 （分数：2.00）(2).如图所示 DHCP 服务器作用域的配置界面中，长度域输入的数值应是 1。 （分数：2.00）(3).在能为客户机分配地址之前，还必须执行的操作是 1。（分数：2.00）(4).DHCP 服务器要为一个客户机分配固定 IP 地址时，需要执行的操作是 1。（分数：2.00）(5
9、).DHCP 客户机要释放已获取的 IP 地址时，使用的命令是 1。（分数：2.00）21.为了保障内部网络的安全，某公司在 Internet 的连接处安装了 PIX 防火墙，其网络结构如图所示。 （分数：2.00）22. 1 主要用来在计算机之间传输线文件，它是 TCP/IP 协议簇的应用协议之一。 （分数：2.00）三、应用题(总题数：1，分数：20.00)23.某企业采用 Windows 2000 操作系统部署企业虚拟专用网，将企业的两个异地网络通过公共 Internet安全的互联起来。微软 Windows 2000 操作系统当中对 IPSec 具备完善的支持，图 10-1 给出了基于W
10、indows 2000 系统部署 IPSec VPN 的网络结构图。 (1)IPSec 是 IEEE 以 RFC 形式公布的组安全协议集，它包括 AH 与 ESP 两个安全机制，其中哪一种不支持保密服务。 (2)IPSec 的密钥管理包括密钥的确定和分发。IPSec 支持哪两种密钥管理方式。试比较这两种方式的优缺点。 (3)如果按照以下网络结构配置 IPSecVPN，安全机制选择的是 ESP，那么 IPSec 工作隧道模式，一般情况下，在图中所示的四个网络接口中，将哪两个网络接口配置为公网 IP，哪两个网络接口配置为内网 IP。 (4)在 Internet 上捕获并分析两个内部网络经由 Int
11、ernet 通信的 IP 数据报，在下列 3 个选项中选择正确选项填写到相应空缺处。 AESP 头 B封装后的 IP 包头 C封装前的 IP 包头 （分数：20.00）_四级网络工程师-89 答案解析(总分：60.00，做题时间：90 分钟)一、选择题(总题数：15，分数：16.00)1.CIDR 路由汇聚后网络地址 128.39.128.0/21，不能被其覆盖的子网地址是（分数：1.00）A.128.39.129.0/22B.128.39.131.0/23C.128.39.134.0/24D.128.39.136.0/24 解析：2.RIP 动态协议定时更新路由，每隔_秒更新一次。（分数：1
12、.00）A.90B.60C.40D.30 解析：解析 RIP 周期进行路由更新，将路由表广播给邻居路由器，广播周期为 30s。故选 D。3.决定局域网特性的主要技术要素包括网络拓扑结构、介质访问控制方法与 _ 。（分数：1.00）A.数据库软件B.服务器软件C.传输介质 D.布线结构解析：4.下列选项中，属于路由器的工作模式的是 _ 。 用户模式 特权模式 RXBOOT 模式 全局配置模式 设置模式 其他配置模式（分数：1.00）A.B.C.D. 解析：解析 路由器的工作模式主要有：用户模式、特权模式、设置模式、全局配置模式、其他配置模式和 RXBOOT 模式。5.P2DR 模型是一种常见的网
13、络安全模型，其主要包括_。 检测 日志 防护 备份 策略 响应（分数：1.00）A.、B.、 C.、D.、解析：解析 P2DR 安全模型是一种常见的网络安全模型，其主要由检测、防护、策略和响应等 4 个部分组成。其中，策略是模型的核心，所有的防护、检测、响应都是依据安全策略实施的。一个策略体系的建立包括安全策略的制定、评估和执行。网络安全策略一般包括总体安全策略和具体安全规则两个部分。 防护是根据系统可能出现的安全问题而采取的预防措施，这些措施通过传统的静态安全技术实现。采用的防护技术通常包括数据加密、身份认证、访问控制、授权与虚拟专用网(VPN)技术、防火墙、安全扫描和数据备份等。 当攻击者
14、穿透防护系统时，检测功能发挥作用，与防护形成互补；同时，检测是动态响应的依据。 系统一旦检测出入侵，响应系统就开始工作，进行事件处理。响应包括紧急响应和恢复处理，而恢复又包括系统恢复和信息恢复。 P2DR 模型的 4 个部分组成了一个动态的安全循环。在整体安全策略的指导和控制下，综合运用防护工具的同时，充分利用检测手段了解和评估系统的安全状态，并通过适当的反应将系统调整到“最安全”的状态。6.以下不属于 ICMP 主要功能的是_。（分数：2.00）A.通告网络错误B.修复网络错误 C.路山器重定向D.获取通信子网掩码解析：7.有若干常用的网络平台软件，但_不是网管平台软件。（分数：1.00）A
15、.NetManagerB.Net ManagerC.SunView D.NetView解析：解析 Net Manager 是 Sun 公司在 Sun 平台上的网络管理平台；OpenView 是 HP 公司的旗舰软件产品，已成为网络管理平台的典范；NetView 是 IBM 公司开发的网络管理平台。8.一个设备有两个 IP 地址，一个地址是 192.123.46.219，另一个地址可能是 _ 。（分数：1.00）A.192.123.46.220B.192.123.47.219 C.192.163.46.0D.以上都有可能解析：9.下列选项中，关于 P2DR 安全模型的描述不正确的是 _ 。（分数
16、：1.00）A.P2DR 模型包含四个主要部分：策略、防护、检测和响应B.响应包括系统恢复和信息恢复 C.网络安全策略一般包括总体安全策略和具体安全规则两个部分D.策略是 P2DR 安全模型的核心解析：解析 P2DR 模型是 TCSEC 模型的发展，也是目前被普遍采用的安全模型。P2DR 模型包含策略、防护、检测和响应 4 个主要部分。策略是模型的核心，所有的防护、检测、响应都是依据安全策略实施的。系统一旦检测出入侵，响应系统就开始工作，进行事件处理。响应包括紧急响应和恢复处理，而恢复又包括系统恢复和信息。10.下列选项中叙述不正确的是 _ 。（分数：1.00）A.近些年病毒感染成下降的趋势
17、B.在实际网络运行中，数据备份与恢复功能是非常重要的C.“灰色软件”包括间谍程序、广告程序、后门程序、下载程序和植入程序等D.IP 地址的动态分配与动态 DNS 的应用，使得查找垃圾邮件的来源更加困难解析：解析 近些年病毒感染成上升的趋势。“灰色软件”包括间谍程序、广告程序、后门程序、下载程序和植入程序等。IP 地址的动态分配与动态 DNS 的应用，使得查找垃圾邮件的来源更加困难。在实际网络运行中，数据备份与恢复功能是非常重要的。11.一台 Cisco 交换机和一台 3COM 交换机相连，相连端口都工作在 VLAN Trunk 模式，这两个端口应该使用的 VLAN 协议是_。（分数：1.00）
18、A.ISL 和 IEEE 802.10B.ISL 和 ISLC.ISL 和 IEEE 802.1QD.IEEE 802.1Q 和 IEEE 802.1Q 解析：解析 要实现 VLAN Trunk 功能，必须在直连的两台交换机端口都使用相同的 VLAN 协议。在交换设备中常用的 VLAN 协议由 ISL、IEEE 802.10 和国际标准 IEEE 802.1Q 协议。ISL 是 Cisco 内部交换链路协议，不适用于 3COM 交换机。IEEE 802.1Q 能使不同厂家交换机互联在一起，并提供 Trunk 功能，所以两台交换机连接端口可同时使用该协议。12.以下给出的地址中，属于子网 197
19、.182.15.19/28 的主机地址是_。（分数：1.00）A.197.182.15.17 B.197.182.15.14C.197.182.15.16D.197.182.15.31解析：解析 子网 197.182.15.19/28 的子网掩码是 255.255.255.240，其中： 240=(1111 0000)，19=(0001 0011)，17=(0001 0001)，14=(0000 1110)，16=(0001 0000)，31=(0001 1111)。 由于 197.182.15.16 最后 4 位二进制数全为 0，因此是该子网的网络地址；197.182.15.31 最后 4
20、位二进制数全为 1，是该子网的广播地址；197.182.15.14 与 197.182.15.19 的子网号不匹配，4 个选项中只有选项 A“197.182.15.17”是子网 197.182.15.19/28 的主机地址。13.下列选项中，关于交换机配置的说法不正确的是 _ 。（分数：1.00）A.机架插槽数是指模块式交换机所能安插的最大的模块数B.交换机配置不包括 MAC 地址表大小 C.交换机使用缓冲区来协调不同端口之间的速率匹配D.GE/10GE 端口一般推荐全双工端口，以避免冲突，避免帧长度限制解析：解析 交换机配置包括：机架插槽数、扩展槽数、最大可堆叠数、端口密度与端口类型、最小/
21、最大 GE 端口数、支持的网络协议类型、缓冲区大小、MAC 地址表大小、可管理性和设备冗余等。14.根据网络总体设计中物理拓扑设计的参数，确定网络中最大网段已有的和可能扩展的主机数量和_。（分数：1.00）A.网络中最多可能使用的子网掩码数量B.网络中最多可能使用的广播地址数量C.网络中最多可能使用的主机地址数量D.网络中最多可能使用的子网数量 解析：解析 根据网络总体设计中物理拓扑设计的参数，确定网络中最多可能使用的子网数量，以及网络中最大网段已有的和可能扩展的主机数量。15.下列选项中，关于路由表容量的说法不正确的是 _ 。（分数：1.00）A.路由器是通过核心层来决定包转发路径的 B.路
22、由表容量指标标志着该路由器可以存储最多路由表项的数量C.Internet 要求执行 BGP 协议的路由器一般要存储数 10 万条路由表项D.路由器的一个重要任务就是建立和维护一个与当前网络链路状态和结点状态相适应的路由表解析：解析 路由器是通过路由表来决定包转发路径的。路由器的一个重要任务就是建立和维护一个与当前网络链路状态和结点状态相适应的路由表。Internet 要求执行 BGP 协议的路由器一般要存储数 10 万条路由表项。二、填空题(总题数：8，分数：24.00)16.物理层 10BASE-5 协议规定，粗同轴电缆的一个缆段的最大长度为 1 ，接入的最大结点数的理论值为 2 。 （分数
23、：2.00）解析：500m 102417.组建与成功运营一个宽带城域网遵循的基本原则是：必须能够保证网络的 1 、 2 、 3 和可扩展性。 （分数：2.00）解析：可运营性 可管理性 可盈利性18.综合布线与 1 相比，可简化、节约大量的物资、时间和空间。 （分数：2.00）解析：传统布线19.Internet Scanner 执行预定的或事件驱动的网络探测，包括对网络通信服务、操作系统、路由器、电子邮件、Web 服务器、 1 和应用程序的检测，从而能识别被入侵者利用来非法进入网络的漏洞。 （分数：2.00）解析：防火墙20.电子邮件系统使用的协议主要包括 1 和 2 。 （分数：2.00）
24、解析：简单邮件传送协议 SMTP 邮局协议 POP3某公司使用 DHCP 服务器对公司内部主机的 IP 地址进行管理，已知： (1)该公司共有 40 个可用 IP 地址为 59.64.22.1159.64.22.50。 (2)DHCP 服务器选用 Windows 2003 Server，其 IP 地址为 59.64.22.12。 (3)DHCP 客户机使用的操作系统是 Windows XP。 请回答下列问题：（分数：10.00）(1).DHCP 客户机得到图所示信息使用的命令是 1。 （分数：2.00）解析：ipconfig(/all)ipconfig/all 显示所有网络适配器(网卡、拨号连
25、接等)的完整 TCP/IP 配置信息。(2).如图所示 DHCP 服务器作用域的配置界面中，长度域输入的数值应是 1。 （分数：2.00）解析：26(3).在能为客户机分配地址之前，还必须执行的操作是 1。（分数：2.00）解析：激活作用域要让客户端获得 IP，必须激活作用域。(4).DHCP 服务器要为一个客户机分配固定 IP 地址时，需要执行的操作是 1。（分数：2.00）解析：将 IP 和 MAC 地址绑定的保留操作。让客户端通过 DHCP 获取固定的 IP 地址，就是把 IP 和 MAC 地址绑定。(5).DHCP 客户机要释放已获取的 IP 地址时，使用的命令是 1。（分数：2.00
26、）解析：ipconfig/release 客户机必须释放原有 IP 才能获得新的 IP，用 config/release 释放，然后用config/renew 更新 IP，即可获得动态 IP。21.为了保障内部网络的安全，某公司在 Internet 的连接处安装了 PIX 防火墙，其网络结构如图所示。 （分数：2.00）解析：168.0.1 255.255.0 outside 144.51.42 255.255.24822. 1 主要用来在计算机之间传输线文件，它是 TCP/IP 协议簇的应用协议之一。 （分数：2.00）解析：文件传输协议三、应用题(总题数：1，分数：20.00)23.某企业
27、采用 Windows 2000 操作系统部署企业虚拟专用网，将企业的两个异地网络通过公共 Internet安全的互联起来。微软 Windows 2000 操作系统当中对 IPSec 具备完善的支持，图 10-1 给出了基于Windows 2000 系统部署 IPSec VPN 的网络结构图。 (1)IPSec 是 IEEE 以 RFC 形式公布的组安全协议集，它包括 AH 与 ESP 两个安全机制，其中哪一种不支持保密服务。 (2)IPSec 的密钥管理包括密钥的确定和分发。IPSec 支持哪两种密钥管理方式。试比较这两种方式的优缺点。 (3)如果按照以下网络结构配置 IPSecVPN，安全机
28、制选择的是 ESP，那么 IPSec 工作隧道模式，一般情况下，在图中所示的四个网络接口中，将哪两个网络接口配置为公网 IP，哪两个网络接口配置为内网 IP。 (4)在 Internet 上捕获并分析两个内部网络经由 Internet 通信的 IP 数据报，在下列 3 个选项中选择正确选项填写到相应空缺处。 AESP 头 B封装后的 IP 包头 C封装前的 IP 包头 （分数：20.00）_正确答案：()解析：(1)AH (2) 手工密钥分配 自动密钥分配 手工方式是系统管理员手工配置每个系统与其他系统进行通信时使用的密钥，适用于规模小、机器分布相对固定的环境。自动密钥管理系统可按需自动建立
29、SA 密钥，特别适用于规模大、结构多变的分布式系统的密钥使用。自动密钥管理灵活方便，但配置复杂，且需要软件协议的支持，规模小的系统没必要采用。 (3) NIC2 和 NIC3； NIC1 和 NIC4 (4) B A C (5) IPSec VPN 网络层；L2TP VPN 数据链路层 解析 (1) IPSec 包括 AH 与 ESP 两个安全机制，其中 AH协议定义了认证的应用方法，提供数据源认证和完整性保证；ESP 协议定义了加密和可选认证的应用方法，提供可靠性保证。 (2) IPSec 在两个端点之间通过建立安全联盟 SA 进行数据传输的。安全联盟可以通过手工配置的方式建立，但是当网络中
30、节点增多时，手工配置将非常困难，而且难以保证安全性。这时就要使用 IKE 自动地进行安全联盟的建立与密钥交换的过程。 (3) IPSec 工作模式支持传输模式知隧道模式 2 种，但在公共 IP 网上建立私有 IP 地址的 VPN 就只能使用隧道模式。在隧道模式中，VPN 服务器与互联网一端相连的网卡的 IP 地址应设置为公网地址，与内网相连的网卡的 IP 地址应设置为私有地址。IP 数据包由内网流入 VPN 服务器后，VPN 服务器要根据双方所协商的安全模式进行重新封装，最后经 Internet 传送到对方。 (4) 传输模式下，VPN 服务器只对 IP 数据包中 TCP/IP 报文段部分进行
31、加密和验证，而 IP 包头仍采用原始明文 IP 包头，只是做适当的修改。但在隧道模式下，VPN 服务器会对整个 IP 数据包进行加密和验证，即将原 IP 数据包看做一个整体进行加密和验证，为了能在 Internet 上正确传送，VPN 服务器还需要重新生成 IP 包头。由此可见，空处，应是重新生成 IP 包头，空处是用于加密和验证的 ESP 包头，空处是原 IP 数据包的报头。 (5) 道技术是 VPN 的基本技术，类似于点对点连接技术，它在公网建立一条数据通道(隧道)，让数据包通过主隧道传输。隧道是由隧道协议形成的，分为第 2、3 层隧道协议。第 2 层隧道协议是先把各种网络协议封装到 PPP 中，再把整个数据包装入隧道协议中。这种双层封装方法形成的数据包靠第 2 层协议进行传输。第 2 层隧道协议有 L2F，PPTP，L2TP 等。第 3 层隧道是把各种网络协议直接装入隧道协议中，形成的数据包依靠第 3 层协议进行传输。第 3 层隧道协议有 GER，IPSec 等。
