1、软件水平考试（中级）网络工程师下午（应用技术）试题模拟试卷 32及答案与解析 一、试题一（ 15分） 0 阅读以下说明，回答问题 1 5，将答案填入对应的解答栏内。 某校园网结构如图 1-1所示，用户可以通过有线接入，也可以通过无线接入。用户接入采用web+DHCP方式，当用户连上校园网后，由 DHCP服务器为用户自动分配 IP地址，基于 web的认证成功后即可访问 Internet。认证过程采用 SSL与 RADIUS相结合的方式，以防止非法用户的盗用。 1 对 PC机无线网卡进行配置时，在图 1-2中 SSID参数的主 要作用是 _。备选答案： A操作模式 B扩展服务集 C加密等级 D工作
2、频段 2 当区域网络扩大时，网络安全就成为重点，该校园采用 RADIUS技术，对校园每个用户进行认证，保证每个终端接入的合法性。其中 RADIUS认证主要使用 (2)和 (3)认证方式。 3 在图 1-1中，教师办公室的计算机能否直接从 DHCP服务器租约 IP地址 ?若能，如何查看租约的 IP地址 ?若不能，需要对哪台设备进行如何配置 ? 4 SSL是一个协议独立的加密方案，在应用层和传输层之间提供了安全的通道。SSIL主 要包括 (4)、 (5)、 (6)、 SSIL修改密文协议等。其中 (7)的主要功能是用于在通信双方建立安全传输通道； (8)从高层接收到数据后要经过分段、压缩和加密处理
3、，最后由传输层发送出去，从而保证了数据的机密性和报文完整性。 5 SSIL协议数据封装过程包括： (下面 到 未按顺序排列 ) 附加首部数据，包括内容类型、主要版本、次要版本、压缩长度。 使用共享密钥计算报文鉴别代码 (MAC)； 可选地应用压缩； 分片，将上层交付的报文分成 214字节或更小的数据块； 使 用同步算法加密报文； 将 按照应答过程重新排序为 _。 二、试题二（ 15分） 5 阅读以下说明，回答问题 1 4，将答案填入对应的解答栏内。 某公司申请了一个 C类地址 210.45.12.0，公司的域名为 ，域名服务器地址为 210.45.12.50。公司有生产部门、市场部门、财务部分
4、、人事部门、技术部门和经理办公室，每个部门都需要划分为单独的网络，即需要划分至少 5个子网，每个子网至少支持 24台主机。 (使用固定子网掩码 ) 6 该公司的财务部有一个局域网使用了 其中一个子网，子网地址是 210.45.12.64，网关是 210.45.12.65。财务部为简化 IP地址分配，使用一台安装 Linux操作系统的PC机作为 DHCP服务器，下面是 DHCP配置文件 /etc/dhcpd.conf的主要内容： subnet 210.45.12.64 netmask (1) range (2) ; default-lease-time 86400; max-lease-time
5、 604800; option subnet-mask (3) ; option routers (4) ; option domain-name““; option broadcast-address (5) ; option domain-name-servers (6) ; host mypc hardware ethernet 00:0a:e6:b2:2f:5b; fixed-address 210.45.12.90; 7 如果客户机连续请求继续租约 IP地址都失败，那么它再租用 IP地址最长时间是_秒。 8 文件中下划线部分所起到的作用是 _。 9 管理员想查看服务器当前 IP地址的
6、租约情况，可以查看 DHCP服务器中的_文件 (绝对路径 )。 三、试题三（ 15分） 9 阅读以下说明，回答问题 1 4，将解答填入对应栏内。 虚拟专用网是虚拟私有网络 (Virtual Private Network， VPN)的简称，它是一种利用公共网络来构建的私有专用网络。对于构建 VPN来说，网络隧道 (Tunneling)技术是个关键技术。主要有两种类型的隧道协议：一种二层隧道协议，如 PPTP、 L2TP；另一种是三层隧道协议， GRE、 IPsec。另外，还有第四层隧道协议，如 SSL VPN。图 3-1所示的是某公司的总部与其分支机构连接的示意图。 10 针对不同的用户要求，
7、 VPN有三种解决方案： (1)、 (2)和 (3)。根据这三种解决方案的特点，该方案应该采用 (2)。 11 如果按照图 3-1所示的网络结构配置 IPSecVPN，它有隧道和传输两种工作方式。若 IPSec工作在隧道模式，采用安全机制选择的是 AH。在下列三个选项中选择正确选项填写到图 3-2中相应空缺处。 (a)AH头 (b)封装后的 IP包头 (c)封装前的IP头 12 VPN服务器既可以接收来自 VPN传输的数据，也可接收来自 Internet的数据。对于来自 VPN传输的数据 (7)，来自 Internet的数据 (8)。 VPN服务器是通过 (9)来区分这两种 IP数据包的。 1
8、3 如果按照图 3-1所示的网络结构配置 L2TP，则数据是通过二层协议 (10)来封装，身份认证方法是 (11)。 四、试题四（ 15分） 13 阅读以下说明，回答问题 1 3，将 答案填入对应的解答栏内。 某公司由总部和分支机构构成，通过 IPSec实现网络安全，网络拓扑结构如图 4-1所示。 路由器之间的地址分配如表 4-1所示。 14 总部端路由器的部分配置如下，解释配置中语句部分含义。 crypto isakmp policy 1 (1) authentication pre-share (2) group 2 crypto isakmp key test123 address 20
9、2.96.1.2 (3) crypto ipsec transform-set VPNtag ah-md5-hmac esp-des (4) crypto map VPNdemp 10 ipsec-isakmp set peer 202.96.1.2 (5) set transform-set VPNtag match address 101 ! interface Tunnel0 ip address 192.168.1.1 255.255.255.0 (6) no ip directed-broadcast tunnel source 202.96.1.1 tunnel destinati
10、on 202.96.1.2 (7) crypto map VPNdemo interface serial0/0 ip address 202.96.1.1 255.255.255.252 no ip directed-broadcast crypto map VPNdemo (8) ! interface Ethernet0/1 ip address 168.1.1.1 255.255.255.0 no ip directed-broadcast interface Ethernet0/0 ip address 172.22.1.100 255.255.255.0 no ip directe
11、d-broadcast ! ip classless ip route 0.0.0.0 0.0.0.0 202.96.1.2 (9) ip route 172.22.2.0 255.255.0.0 192.168.1.2 (10) access-lost 101 permit gre host 202.96.1.1 host 202.96.1.2 15 IPSec是 IETE以 RFC)侈式公布的一组安全协议集，它包括 (11)与 (12)两个安全机制，其中 (11)用于传输非机密数据。 16 IPSec工作在 OSI/RM的 (13)层，它有 (14)和 (15)两种工作模式。 五、试题五（
12、 15分） 16 阅读以下说明，回答问题 1 3，将解答填入对应的解答栏内。 某公司的分支机构通过一条 DDN专线接入到公司总部，地址分配和拓扑结构如图 5-1所示。在两台路由器之间可以使用静态路由，也可以使用动态路由。 17 下面是分支机构路由器 R1的配置命令列表 ，在空白处填写合适的命令 /参数，实现 R1的正确配置。 Router en Router conf term Router(config)#hostname R1 Router(config)#int e0 R1(config-if)#ip address (1) R1(config-if)#no shutdown R1(co
13、nfig-if)#int s0 R1(config-if)#ip address (2) R1(config-if)#no shutdown R1(config-if)#clock rate 56000 R1(config-if)#exit R1(config)#ip routing R1(config)#ip route (3) R1(config)#ip classless R1(config)#exit R1#copy run start 18 下面是公司总部的路由器 R2的配置命令列表，在空白处填写合适的命令参数 ，实现 R2的正确配置。 Router an Router#conf t
14、erm Router(config)#hostname R2 R2(config-if)#int s0 R2(config-if)#ip address (4) R2(config-if)#no shutdown R2(confiq-if)#exit R2(config)#ip routing R2(config)#ip route (5) R2(config)#ip classless R2(config)#exit R2#copy run start 19 在 问题 1和 问题 2中，所使用的是静态路由协议。当该公司有多个分支机构，决定使用动态路由协议 OSPF。下面是分支机构路由器 R1
15、的配置命令列表，在空白处填写合适的命令 /参数，实现 R1的正确配置。 (注：点对点链路的 area为2，分支机构局域网的 area为 3)。 R1 en R1#conf term R1(config)#no ip route R1(config)#router (6) R1(config-router)#network (7) area 2 R1(config-router)#network (8) area 3 R1(confiq-router)#exit R1#copy run start 软件水平考试（中级）网络工程师下午（应用技术）试题模拟试卷 32答案与解析 一、试题一（ 15分）
16、 1 【正确答案】 B 【试题解析】 在无线网卡配置中经常需要配置的参数主要有：一是 Operating Mode(操作模式 /网络类型 )，是点对点 (Adhoc)网络还是基础设施 (Infrastructure)网络；二是 ESSID(扩展服务集 ID)，即无线网络的名称；三是 Encryption Level(加密等级 )，选择 WEP加密的密钥长度 (40位或 128位 )，并设置共享密码；四是Channel(工作频段 )，当有多个无线设备时，为避免干扰需设置此选项。 2 【正确答案】 (2)口令验证协议 (PAP) (3)质询握手协议 (CHAP) 【试题解析】 RADIUS主要使用
17、口令验证协议 PAP(Password Authentication Protocol)和质询握手协议 CHAP(Challenge Handshake Authentication Protocol)。CHAP认证比 PAP认证更安全，因为 CHAP不在线路上发送明文密码，而是发送经过摘要算法加工过的随机序列，也被称为 “挑战字符串 ”。 3 【正确答案】 不能，应把路由器配置成 DHCP中继代理 【试题解析】 DHCP协议的报文都是通过广播形式传播的，因此当跨越多个网段时 ，这个广播报文将被第三层设备 (如路由器 )过滤掉了，因此要想在 DHCP客户机和服务器之间转发 DHCP报文，路由器
18、必须要支持 DHCP中继代理。 4 【正确答案】 (4)SSL记录协议 (5)SSL握手协议 (6)SSL告警协议 (7)SSL握手协议 (8)SSL记录协议 【试题解析】 SSL是一个协议独立的加密方案，在应用层和传输层之间提供了安全的通道。 SSL主要包括 SSL记录协议、 SSL握手协议、 SSL告警协议、 SSL修改密文协议等。在 SSL协议中， SSL握手协议的主要功能 是用于在通信双方建立安全传输通道； SSL记录协议的主要功能是从高层接收到数据后要经过分段、压缩和加密处理，最后由传输层发送出去，从而保证了数据的机密性和报文完整性。 5 【正确答案】 、 、 、 、 【试题解析】
19、SSL数据封装如下： 第 1步：分片，将上层交付的报文分成 214字节或更小的数据块； 第 2步：可选地应用压缩； 第 3步：使用共享密钥计算报文鉴别代码 (MAC)； 第 4步：使用同步算法加密报文； 第 5步：附加首部数据，包括内容类型、主要版本、次要版本、压缩长度。 接收方接收到数据后，将其解密、验证、解压和重新装配，最后交给高层用户。 二、试题二（ 15分） 6 【正确答案】 (1)255.255.255.224 (2)210.45.12.66 210.45.12.94 (3)255.255.255.224 (4)210.45.12.65 (5)210.45.12.95 (6)210.
20、45.12.50 【试题解析】 首先要划分子网。由于至少需要划 分 5个子网，每个子网至少支持24台主机，并使用固定子网掩码，因此需要从主机 ID中借 3位来作为子网地址(23 5)，也就说子网掩码为 255.255.255.224。这就是空 (1)需要填写的内容。 对于子网地址为 210.45.12.64来说，其地址范围为 210.45.12.65 210.45.12.94，子网的广播地址为 210.45.12.95，子网的默认网关地址为 210.45.12.65，可动态分配地址范围为 210.45.12.66 210.45.12.94。 range语句是用来指定可动态分 配地址范围，很显然
21、为 210.45.12.66210.45.12.94，即空 (2)处应填写 210.45.12.66 210.45.12.94。 option subnet-mask语句是用来指定子网掩码，很显然为 255.255.255.224。 option routers语句是用来指定子网的默认网关地址，为 210.45.12.65。 option broadcast-address语句是用来指定子网的广播地址，为 210.45.12.95。 option domain-name-servers语句是用来指定 DNS服 务器地址，题目中已经给出，为 210.45.12.50。 7 【正确答案】 6048
22、00 【试题解析】 在 linux下配置 DHCP服务器时一般要配置两个时间：一个缺省租约时间，它用来指定 DHCP客户机在租约地址后什么时间需要向 DHCP服务器续租 IP地址，缺省租约时间使用 default-lease-time语句来定义的；另一个是最大的租约时间，它用来指定 DHCP客户机在续租请求遭到 DHCP服务器拒绝时，什么时间必须放弃 IP地址租约，最大的租约时间使用 max-lease-time语句来定义的。由此可见， 此处要回答的是最大租约时间，为 604800秒。 8 【正确答案】 把 210.45.12.90固定地分配给网卡 MAC地址为 00:0a:e6:b2:2f:
23、5b的主机 【试题解析】 host语句的作用是为特定的客户机提供网络信息。文件/etc/dhcpd.conf中画线部分说明了把 210.45.12.90固定地分配给 mypc这台主机，这台主机网卡的 MAC地址是 00:0a:e6:b2:2f:5b。 9 【正确答案】 var/state/dhcp/dhcpd.leases 【试题解析】 dhcpd.leases是 DHCP客户租约的数据库文件，默认目录在/var/state/dhcp/，文件包含租约声明，每次一个租约被获取、更新或释放，它的新值就被记录到文件的的末尾。 三、试题三（ 15分） 10 【正确答案】 (1)远程访问虚拟网 (Acc
24、ess VPN) (2)企业内部虚拟网 (Intranet VPN) (3)企业扩展虚拟网 (ExtranetVPN) 【试题解析】 Access VPN是通过公用网络与企业的 Intranet和 Extranet建立私有的网络连接，为出差流动员工 、远程办公人员和远程小办公室提供 VPN服务的，通常使用二层网络隧道技术。 Intranet VPN是通过公用网络进行企业各个分布点互联，是传统的专线网或其他企业网的扩展或替代形式。利用 IP网络构建VPN的实质是通过公用网在各个路由器之间建立 VPN安全隧道来传输用户的私有网络数据，用于构建这种 VPN连接的隧道技术有 IPsec、 GRE等。结
25、合服务商提供的 QoS机制，可以有效而且可靠地使用网络资源，保证了网络质量。 Extranet VPN是通过一个使用专用连接的共享基础设施，将客户、供应商、合作伙伴或兴趣群体连接到 企业内部网。由此可见，本题中使用的是 Intranet VPN。 11 【正确答案】 (4)b (5)a (6)c 【试题解析】 传输模式下， VPN服务器只对 IP数据报中 TCP/UDP报文段部分进行加密和验证，而 IP报头仍采用原始明文 IP报头，只是做适当的修改；但在隧道模式下， VPN服务器会对整个 IP数据报进行加密和验证，即将原 IP数据报看做一个整体进行加密和验证，为了能在 Internet正确传送
26、， VPN服务器还需要重新生成 IP报头。由此可见，空 (1)处，应是重新生成 IP报头，空 (2)处 是用于验证的 AH报头，空 (3)处是原 IP数据报的报头。 12 【正确答案】 (7)进行解密和验证，并重新封装 (8)直接转发 (9)IP报头中的 IP协议号 【试题解析】 VPN服务器既可以接到来处 VPN传输来数据，也可接收来自Internet的数据。对于来自 VPN传输来数据需要进行解密和验证，并重新封装，而来自 Internet的数据则直接转发。对于 IPSec数据包， VPN服务器是通过 IP报头中的 IP协议号来标识的。若使用 AH协议，则 IP协议号为 51，若使用 ESP
27、协议，则 IP协议号为 50。 13 【正确答案】 (10)PPP (11)PPP CHAP 【试题解析】 二层隧道协议主要有三种： PPTP(Point to Point Tunneling Protocol，点对点隧道协议 )、 L2F(Layer2 Forwarding，二层转发协议 )和L2TP(Layer 2 Tunneling Protocol，二层隧道协议 )。其中 L2TP结合了前两个协议的优点，具有更优越的特性，它是通过 PPP协议来封装 VPN数据的。与 PPP类似， L2TP可以对隧道端点进行验证。不同的是， PPP可以选择采用 PAP方式以明文传输用户名及密码，而 L2
28、TP规定必须使用类似 PPP CHAP的验证方式。 四、试题四（ 15分） 14 【正确答案】 (1)配置 IKE策略 1 (2)IKE策略 1的验证方法设为 pre_share (3)设置 pre-share密钥为 test123，此值两端需一致 (4)设置 AH散列算法为 md5， ESP加密算法为 DES (5)设置隧道对端 IP地址为 202.96.1.2 (6)隧道端口 IP地址 192.168.1.1，子网掩码为 255.255.255.0 (7)设置隧道的目的端口的 IP地址为 202.96.1.2 (8)应用 VPNdemo于此端口 (9)定义默认路由 (10)定义到内网 (经
29、过隧道 )静态路由 【试题解析】 主要考查 Cisco路由器中 IPSec的配置。 15 【正确答案】 (11)AH (12)ESP 【试题解析】 IPSec包括 AH与 ESP两个安全机制，其中， AH为 IP数据包提供无连接的数据完整性和数据源身份认证。数据完整性通过消息认证码 (如 MD5、SHA1)产生的校验值来保证，数据 源身份认证通过在待认证的数据中加入一个共享密钥来实现，它能保护通信免受篡改，但不能防止窃听，适合用于传输非机密数据： ESP为 IP数据报提供数据的保密性 (通过加密机制 )、无连接的数据完整性、数据源身份认证以及防重放攻击保护，它提供机密性并可防止篡改。 16 【
30、正确答案】 (13)网络 (14)传输模式 (15)隧道模式 【试题解析】 IPsec，即 IP安全，它是在 IP层来保证数据的安全性和完整性，因此它工作在网络层。 IPsec有两种工作模式：传输模式和隧道模式。在传输模式下， VPN服务器 只对 IP数据报中 TCP/UDP报文段部分进行加密和验证，而 IP报头仍采用原始明文 IP报头，只是做适当的修改；但在隧道模式下， VPN服务器会对整个 IP数据报进行加密和验证，即将原 IP数据报看做一个整体进行加密和验证，为了能在 Internet正确传送， VPN服务器还需要重新生成 IP报头。 五、试题五（ 15分） 17 【正确答案】 (1)1
31、92.168.15.1 255.255.255.224 (2)192.168.15.1 255.255.255.252 (3)0.0.0.0 0.0.0.0 192.168.15.2或者 0.0.0.0 0.0.0.0 s0 【试题解析】 所在命令是为 R1的 e0端口配置的 IP地址。根据网络拓扑结构图可知， e0端口的 IP地址为 192.168.15.1，子网掩码长度为 27，即255.255.255.224。 空 (2)所在命令是为 R1的 s0端口配置的 IP地址。根据网络拓扑结构图可知， s0端口的 IP地址为 192.168.15.1，子网掩码长度为 30，即 255.255.2
32、55.252。 空 (3)所在的命令 ip route的作用是设置静 态路由，由于图中并没有标有公司总部的 IP地址范围，只能使用缺省路由，下一跳应为路由器 R2的 s0端口，因此应填写 “0.0.0.0 0.0.0.0 192.168.15.2”或者 “0.0.0.0 0.0.0.0 s0”。 18 【正确答案】 (4)192.168.15.2 255.255.255.252 (5)192.168.16.0 255.255.255.224 192.168.15.1或 192.168.16.0 255.255.255.224 s0 【试题解析】 所在命令是为 R1的 s0端口配置 IP地址。根
33、据网络拓扑结构图可知， s0端口的 IP地址为 192.168.15.2，子网掩码长度为 30，即 255.255.255.252。 空 (5)所在命令 ip route的作用是设置静态路由，需要将发送给分支机构的数据包从 s0端口转发，下一跳地址是 192.168.15.1。由拓扑结构可知，分支机构的网络地址是192.168.15.0，子网掩码为 255.255.255.224。因此，该空应填写 “192.168.16.0 255.255.255.224 192.168.15.1”或者 192.168.16.0 255.255.255.224 s0”。 19 【正确答案】 (6)OSPF 1
34、00(注： 100为 OSPF进程号，可为 1 65535之间的任意整数 ) (7)192.168.15.0 0.0.0.3 (8)192.168.16.0 0.0.0.31 【试题解析】 所在的命令的作用是启用 OSPF进程，因此该处因填写 “OSPF进程 ID ”：空 (7)和空 (8)所在的命令的作用是指定与 R1路由器相连的网络。该路由器相连两个网络，一个是 192.168.15.0/30，另一个是 192.168.16.0/27。但需要注意的是 network命令中使用的不是予网掩码，而是 wildcard-mask，它是子网掩码的反码，可以用 255.255.255.255减去予网掩码求得。因此空 (7)处应填写“192.168.15.0 0.0.0.3”：空 (8)处应填写 “192.168.16.0 0.0.0.31”。
