試題一（共 20 分）

閱讀以下說明，1 至問題 4 ，將解答填入答題紙對應的解答欄內。

【說明】

某企業的網絡結構如圖 1-1 所示。

【問題 1】（6 分）

1.圖 1-1 中的網絡設備①應為（1） ，網絡設備②應為（2），從網絡安全的角度出發，

Switch9 所組成的網格一般稱為（3）區。

2.圖 1-1 中③處的網絡設備的作用是檢測流經內網的倌息.提供對網絡系統的安全保護，

該設備提供主動防護，能預先對入侵活動和攻擊性網絡流量進行攔截，避免造成損失，而不

是簡單地在惡意流量傳送時或傳送后才發出警報。 網絡設備③應為（4），其連接的 Switch1

的 G1/1 端口稱為（5）端口,這種連接方式一般稱為（6）。

【參考答案】

（1）路由器

（2）防火墻

（3）非軍事或 DMZ

（4）入侵防御系統或 IPS

（5）鏡像端口

（6）旁路模式

【問題 2】（5 分）

1.隨著企業用戶的增加，要求部署上網行為管理設備，對用戶的上網行為進行安全分析、

流量管理、網絡訪問控制等，以保證正常的上網需求。部署上網行為管理設備的位置應該在

圖1-1 中的（7）和（8）之間比較合理。

2.網卡的工作模式有直接、廣播、多播和混雜四種模式，缺省的工作模式為（9） 和（10）。 即它只接收廣播幀和發給自己的幀。網絡管理機在抓包時，需要把網卡置于（11），這時網 卡將接受同—子網內所有站點所發送的數據包.這樣就可以達到對網絡信息監視的目的。

【參考答案】

（7）防火墻

（8）路由器

（9）廣播模式

（10）直接模式

（11）混雜模式

【問題 3】（5 分）

針對圖 1-1 中的網絡結構，各臺交換機需要運行（12）協議,以建立一個無環路的樹狀網

絡結構。按照該協議，交換機的默認優先級值為（13），根交換機是根據(14)來選擇的。值

小的交換機為根交換機：如果交換機的優先級相同，再比較（15）。

當圖 1-1 中的 Switch1~Switch3 之間的某條鏈路出現故障時，為了使阻塞端口直接進入轉 發狀態，從而切換到備份鏈路上，需要在 Switch1~Switch8 上使用(16)功能。

【參考答案】

（12）生成樹或 STP

（13）32768

（14）網橋標識符或 BID

（15）MAC 地址

（16）Uplinkfast

【問題 4】（4 分）

根椐層次化網絡的設計原則 ，從圖 1-1 中可以看出該企業采用由（17）層和（18)層

組成的兩層架構，其中，MAC 地址過濾和 lP 地址綁定等功能是由（19）完成的，分組的高

速轉發是由（20）完成的。

【參考答案】

（17）核心

（18）接入

（19）接入

（20）核心

試題二(共 20 分）

閱讀下列說明，回答問題 1 至問題 5 ，將解答填入答題紙的對應欄內。

【說明】

某中學為兩個學生課外興趣小組提供了建立網站的軟硬件環境。網站環境的基本配置方

案如下：

1.兩個網站配置在同ー臺服務器上，網站服務由 Win2003 環境下的 IIS6.0 提供 ；

2.網站的管理通過 Win2003 的遠程桌面實現，并啟用 Win2003 的防火墻組件 ；

3.為興趣小組建立各自獨立的文件夾作為上傳目錄和網站的主目錄，對用戶使用磁盤空間大小進行了設定：

4.通過不同的域名分別訪問課外興趣小組各自的網站。

按照方案，學校的網絡工程師安裝了 Win 2003 服務器。使用 IIS6.0 建立 Web 和 FTP

服務器，配置了遠程桌面管理、防火墻，在服務器上為兩個課外興趣小組分配了不同的用戶

名.進行了初步的權限配置。

【問題 1】（4 分）

Win 2003 遠程桌面服務的默認端口是（1）。對外提供服務使用（2）協議。在圖 2-1中，若要拒絕外部設備 PING 服務器，在防火墻的 ICMP 配置界面上應該如何操作？

【參考答案】

（1）3389

（2）TCP

將“允許傳入回顯請求”勾選取消掉，然后點擊“確定”。

【問題 2】（4 分）

1.在圖 2-2 中，Web 服務擴展選項中“所有未知 CGI 擴展 禁止”的含義是什么?

2.在圖 2-2 中 ，如何配置 Web 服務擴展，網站才能提供對 asp.net 或 asp 程序的支持。

【參考答案】

1.禁止運行所有未知通用網關接口，提供靜態網頁。

2.將“Activce Server Pages”設置為“允許”。

【問題 3】(5 分）

在圖 2-2 中 ，選擇 IIS 管理器中的 FTP 站點→新建→虛擬目錄，分別設置 FTP 用戶與

（3）、（4）的對應關系。

由于 IIS 內置的 FTP 服務不支持（5），所以 FTP 用戶密碼是以明文方式在網絡上傳輸，

安全性較弱。

【參考答案】

（3）訪問權限

（4）主目錄

（5）SSL

【問題 4】（4 分）

在 IIS6.0 中 ，每個 Web 站點都具有唯一的，由三部分組成的標識符 ，用來接收和響

應請求，分別是（6）、(7)和（8）。 網絡工程師通過點擊網站屬性→網站→高級選項，通 

過添加（9）的方式在一個 IP 地址上建立多個網站。

【參考答案】

（6）IP 地址

（7）端口號

（8）主機頭

（9）主機頭

【問題 5】（3 分）

在（10）文件系統下，為了預防用戶無限制的使用磁盤空間，可以使用磁盤配額管

理。啟動磁盤配額時，設置的兩個參數分別是（11）和（12）。

【參考答案】

（10）NTFS

（11）警告等級

（12）磁盤空間限制

試題三（共 20 分）

閱讀以下說明 ，回答問題 1 至問題 4 ，將解答填入答題紙對應的解答欄內。

【說明】

某企業的網絡結構如圖 3-1 所示。

按照網絡拓撲結構為該企業網絡進行網絡地址配置，地址分配如表 3-1 所示。

【問題 1】（4 分）

企業網絡中使用私有地址，如果內網用戶要訪問互聯網，一般使用（1 ）技術將私有 網絡地址轉換為公網地址。在使用該技術時，往往是用（2 ）技術指定允許轉換的內部主機地址范圍。

一般來說，企業內網服務器需要被外部用戶訪問，就必須對其做地址變換，內部服務器映射的公共地址不能隨意更換，需要使用（3 ）NAT 技術。但是對于企業內部用戶來講，使用一一映射的技術為每個員工配置—個地址很不現實，一般使用（4 ）NAT 技術以提高管理效率。

【參考答案】

（1）網絡地址轉換或 NAT

（2）訪問控制列表或 ACL

（3）靜態

（4）動態

【問題 2】 （7 分）

一般企業用戶可能存在于任何一家運營商的網絡中 ，為了確保每個運營商網絡中的客戶都可以高效地訪問本企業所提供的網絡服務，企業有必要同時接入多個運營商網絡，根據企業網絡的拓撲圖和網絡地址規劃表，實現該企業出口的雙線接入。

首先，為內網用戶配置 NAT 轉換，其中以 61.192. 93. 0/24 代表 ISP-A 所有網段：其次為外網用戶訪問內網服務器配置 NAT 轉換。根據需求，完成以下 Route-NAT 的有關配置命令。

Route-Switch(config)#access-list 100 permit ip any 61. 192. 93. 0 0. 0. 0. 255//定義到達 ISP-A 所有網段的 ACL

Route-Switch(config)#access-list101(5)ip any 61.192.93.0 0.0.0.255

Routc-Switch(config)#access-list101(6)//定義到達 ISP-B 所有網段的ACL

Route-Switch(config)#ip nat pool ISP-A (7) netmask 255.255.255.0   //定義訪問 ISP-A 的合法地址池

Route-Switch(config)#ip nat pool ISP-B (8) netmask 255. 255. 255. 0 //定義訪問 ISP-B 的合法地址池

Route-Switch(config)#ip nat inside source list 100 pool ISP-A overload 

Route-Switch(config)#ip nat inside source (9) //為內網用戶實現區分目標運營商網絡進行匹配的 NAT 轉換

Route-Switch(config)# ip nat inside source static tcp (10) extendable//為內網 WEB 服務器配置 ISP-A 的靜態 NAT 轉換

Route-Switch(config)# ip nat inside source static tcp (11) extendable//為內網 WEB 服務器配置 ISP-B 的靜態 NAT 轉換

【問題 3】（6 分）

在路由器的內部和外部接口用 NAT, 同時為了確保內網可以訪問外部網絡。在出口設備配置靜態路由。根據需求，完成（或解釋）Route-NAT 的部分配背命令。

Route-Switch(config)#access-list 100 permit ip any 61. 192. 93. 0 0. 0. 0.255 //定義到達 ISP-A 所有網段的 ACL

Route-Switch(config)#access-list101（5）ip any 61.192.93.0 0.0.0.255

Routc-Switch(config)#access-list101（6）//定義到達 ISP-B 所有網段的 ACL

Route-Switch(config)#ip nat pool ISP-A (7) netmask 255.255.255.0 //定義訪問 ISP-A的合法地址池

Route-Switch(config)#ip nat pool ISP-B (8) netmask 255. 255. 255. 0 //定義訪問ISP-B 的合法地址池

Route-Switch(config)#ip nat inside source list 100 pool ISP-A overload Route-Switch(config)#ip nat inside source (9) //為內網用戶實現區分目標運營商網絡 進行匹配的 NAT 轉換

Route-Switch(config)# ip nat inside source static tcp (10) extendable//為內網 WEB服務器配置 ISP-A 的靜態 NAT 轉換

Route-Switch(config)# ip nat inside source static tcp (11) extendable //為內網WEB 服務器配置 ISP-B 的靜態 NAT 轉換

【參考答案】

（5）deny

（6）permit ip any 202.102.100.0 0.0.0.255

（7）61.192.93.100  61.192.93.102

（8）202.102.100.100  202.102.100. 102

（9）list 101 pool ISP-B overload

（10）192.168.1.100 80  61.192.193.100 80

（11）192.168.1.100 80  202.102.100.100 80

【問題 3】（6 分）

在路由器的內部和外部接口用 NAT, 同時為了確保內網可以訪問外部網絡。在出口設備配置靜態路由。根據需求，完成（或解釋）Route-NAT 的部分配背命令。

Route-Switch(config)#int s0        
Route-Swich(config)# (12)//指定 NAT 的外部轉換接口    
Route-Switch(config)#int s1        
Route-Switch(conrfg)# (13)//指定 NAT 的外部轉換接口                            
Route-Switch(config)#int f0/1        
Route-Switch(config)# (14)//指定 NAT 的內部轉換接口    
Route-Switch(config)# (15)//配置到達 ISP-A 的流量從 s0  口轉發
Route-Switch(config)# (16) //配置默認路由指定從 s1 口轉發                        
Route-Switch(config)#ip route 0.0.0.0 0.0.0.0 s0 120 //(17)

【參考答案】

（12）ip nat outside

（13）ip nat outside

（14）ip nat inside

（15）ip route 61.192.93.0 255.255.255.0 interface s0

（16）ip route 0.0.0.0 0.0.0.0 interface s1

（17）配置默認路由從 s0 接口轉發，管理距離為 120

【問題 4】（3 分）

QoS（服務質量）主要用來解決網絡延遲和阻塞等問題. 它主要有三種工作攜式，分別為（18）模型、Integrated service (或集成服務）模型及（19 ）模型。其中使用比較普遍的方式是（20 ）模型。

【參考答案】

（18）Differentiated service 或者區分服務

（19）Best-Effort service 或者盡力而為服務

（20）Differentiated service 或者區分服務

閱讀以下說明，回答問題 1 和問題 2 ，將解答填入答題紙對應的解答欄內。

【說明】

某公司網絡拓撲結構如圖 4-1 所示。公司內部使用 C 類私有 IP 地址. 其中公司兩個部門分別處于 VLAN10 和 VLAN20 ，VLAN10 采用 192.168.10.0/24 網段。VLAN 20 采用192.168.20.0/24 網段，每段最后一個地址作為網關地址。

【問題 1】（10 分）

公司使用 VTP 協議規劃 VLAN,三層交換機 S1 為 VTP Server ，其他交換機為 VTP Client ，并通過 S1 實現 VLAN 間通信。 請根據網絡拓撲和需求說明，完成交換機 S1 和 S2的配置。

S1>enable

S1#configure terminal

S1(config)#vtp mode (1)

S1(config)#vtp domain shx

S1(config)#vtp password shx

S1(config)#vlan 10

S1(config-vlan)#exit

S1(config)#vlan 20

S1(config-vlan)#exit

S1(config)#interface vlan 10

S1(config-if)#ip address (2) (3) 

S1(config-vlan)#exit

S1(config)#interface vlan 20

S1(config-if)#ip address 192.168.20.254   255.255.255.0

S1(config-if)#exit

S1(config)#interface (4) fastethernet 0/22-23

S1(config-if-range)#switchport mode access

S1(config-if-range)#switchport mode (5)

S1(config)#interface fastEthernet 0/1

S1(config-if)# (6)//關閉二層功能

S1(config-if)#ip add  192.  168. 40. 254 255. 255. 255. 0
S1(config-if)#exit                
S1(config)# (7)  (8)//開啟路由功能
S1(config)#                
S2>enable                
S2#configure terminal                
S2(config)#vtp mode (9)    
S2(config)#vtp domain shx    
S2(config)#vip password shx    
S2(config)#interface fastethernet 0/24    
S2(config-if)#switchport mode (10)//設定借口模式
S2(config-if)#end                
S2#

【參考答案】

（1）server

（2）192.168.10.254

（3）255.255.255.0

（4）range

（5）trunk

（6）no swichport

（7）ip

（8）routing

（9）client

（10）trunk

【問題 2】（5 分)

公司申請了 202. 165. 200. 0/29 地址段，使用 NAT-PT 為用戶提供 Internet 訪問。外部全局地址為 202. 165. 200. 1。Web 服務器使用的外部映射地址為 202. 165. 200. 3。請根據網絡拓撲和需求說明，完成路由器 R1 的配置。    
R1>enable R1#config terminal        
RI(config)#access-list  1  (11) 192. 168. 10. 0 255. 255. 255. 0    
R1(config)#interface serial 0/0/0        
R1(config-if)#ip address 202. 165. 200. 1 255. 255. 255. 248    
R1(config-if)#no shutdown        
R1(config-if)#clock rate 4000000        
R1(config-if)#interface fastethernet 0/0        
R1(config-if)#ip address 192. 168. 50. 254   255. 255. 255. 0    
R1(config-if)#no shutdown        
R1(config-if)#exit                    
R1(config)#ip nat inside source   (12)  1 interface s0/0/0 overload                    
R1(config)#ip nat inside source static  (13) 202.165.200.3    
R1(config)#interface fastethernet 0/0        
R1(config-if)#ip nat    (14)                
R1(config-if)#interface serial 0/0/0
R1(config-if)#ip nat  (15)
R1(config-if)#end
R1#    

【參考答案】

（11）permit

（12）list

（13）192.168.40.1

（14）inside

（15）outside