1、计算机新国家四级网络工程师（网络安全技术）章节练习 3及答案与解析 一、应用题（共 20分） 应用题必须用蓝、黑色钢笔或圆珠笔写在答题卡的相应位置上，否则无效。 1 某企业采用 Windows 2000操作系统部署企业虚拟专用网，将企业的两个异地网络通过公共 Internet安全的互联起来。微软 Windows 2000操作系统当中对 IPSec具备完善的支持，图 10-1给出了基于 Windows 2000系统部署 IPSec VPN的网络结构图。(1)IPSec是 IEEE以 RFC形式公布的 组安全协议集，它包括 AH与 ESP两个安全机制，其中哪一种不支持保密服务。 (2)IPSec的
2、密钥管理包括密钥的确定和分发。IPSec支持哪两种密钥管理方式。试比较这两种方式的优缺点。 (3)如果按照以下网络结构配置 IPSecVPN，安全机制选择的是 ESP，那么 IPSec工作隧道模式，一般情况下，在图中所示的四个网络接口中，将哪两个网络接口配置为公网 IP，哪两个网络接口配置为内网 IP。 (4)在 Internet上捕获并分析两个内部网络经由 Internet通信的 IP数据报，在下列 3个选项中选择正确选项填写到相应空缺处。 A ESP头B封装后 的 IP包头 C封装前的 IP包头(5)IPSecVPN与 L2TPVPN分别工作在 OSI/RM的哪个协议层？ 计算机新国家四级
3、网络工程师（网络安全技术）章节练习 3答案与解析 一、应用题（共 20分） 应用题必须用蓝、黑色钢笔或圆珠笔写在答题卡的相应位置上，否则无效。 1 【正确答案】 (1)AH (2) 手工密钥分配 自动密钥分配 手工方式是系统管理员手工配置每个系统与其他系统进行通信时使用的密钥，适用于规模小、机器分布相对固定的环境。自动密钥管理系统可按需自动建立 SA密钥，特别适用于规模大、结构多变 的分布式系统的密钥使用。自动密钥管理灵活方便，但配置复杂，且需要软件协议的支持，规模小的系统没必要采用。 (3) NIC2和 NIC3； NIC1和 NIC4 (4) B A C (5) IPSec VPN网络层；
4、 L2TP VPN数据链路层 【试题解析】 (1) IPSec包括 AH与 ESP两个安全机制，其中 AH协议定义了认证的应用方法，提供数据源认证和完整性保证； ESP协议定义了加密和可选认证的应用方法，提供可靠性保证。 (2) IPSec在两个端点之间通过建立安全联盟 SA进行数据传输的。安全联盟可以通过手工配置的方式建立，但是当网络中节点增多时，手工配置将非常困难，而且难以保证安全性。这时就要使用 IKE自动地进行安全联盟的建立与密钥交换的过程。 (3) IPSec工作模式支持传输模式知隧道模式 2种，但在公共 IP网上建立私有 IP地址的 VPN就只能使用隧道模式。在隧道模式中， VPN
5、服务器与互联网一端相连的网卡的 IP地址应设置为公网地址，与内网相连的网卡的 IP地址应设置为私有地址。 IP数据包由内网流入 VPN服务器后， VPN服务器 要根据双方所协商的安全模式进行重新封装，最后经 Internet传送到对方。 (4) 传输模式下， VPN服务器只对 IP数据包中 TCP/IP报文段部分进行加密和验证，而 IP包头仍采用原始明文 IP包头，只是做适当的修改。但在隧道模式下，VPN服务器会对整个 IP数据包进行加密和验证，即将原 IP数据包看做一个整体进行加密和验证，为了能在 Internet上正确传送， VPN服务器还需要重新生成 IP包头。由此可见，空 处，应是重新
6、生成 IP包头，空 处是用于加密和验证的ESP包头，空 处是原 IP数据包的报头。 (5) 道技 术是 VPN的基本技术，类似于点对点连接技术，它在公网建立一条数据通道 (隧道 )，让数据包通过主隧道传输。隧道是由隧道协议形成的，分为第 2、 3层隧道协议。第 2层隧道协议是先把各种网络协议封装到 PPP中，再把整个数据包装入隧道协议中。这种双层封装方法形成的数据包靠第 2层协议进行传输。第 2层隧道协议有 L2F， PPTP， L2TP等。第 3层隧道是把各种网络协议直接装入隧道协议中，形成的数据包依靠第 3层协议进行传输。第 3层隧道协议有 GER，IPSec等。 【知识模块】 网络安全技术
