項(xiàng)目一網(wǎng)絡(luò)安全與接入控制配置習(xí)題及解答

1、項(xiàng)目一 網(wǎng)絡(luò)安全與接入控制配置習(xí)題及解答任務(wù)一 網(wǎng)絡(luò)安全概念及演示1）、Vmware WorkStation的網(wǎng)絡(luò)設(shè)置方式 Bridged、 Nat、 Host Only有何區(qū)別？ 解答：Vmware WorkStation 在物理主機(jī)上創(chuàng)建虛擬機(jī)，物理主機(jī)稱(chēng)為宿主機(jī)，虛擬 機(jī)稱(chēng)為客戶機(jī)，宿主機(jī)與客戶機(jī)之間網(wǎng)絡(luò)設(shè)置有三種方式： Bridged、 Host Only、 Nat，分別對(duì)應(yīng)宿主機(jī)上三個(gè)虛擬網(wǎng)卡： VMnet0、VMnet1、VMnet8。Bridged 為 橋接方式，通過(guò) VMnet0 虛擬交換機(jī)橋接客戶機(jī)與宿主機(jī)，相當(dāng)于兩者共同使用 物理網(wǎng)卡，可分別對(duì)網(wǎng)卡設(shè)置 IP 地址信息，能與

2、外界網(wǎng)絡(luò)建立通信； Host-Only 模式下，虛擬網(wǎng)絡(luò)是一個(gè)全封閉的網(wǎng)絡(luò)，宿主機(jī)與客戶機(jī)之間通過(guò) VMnet1 虛擬 網(wǎng)卡進(jìn)行通信，客戶機(jī)唯一能夠訪問(wèn)的就是宿主機(jī)，不能與外界網(wǎng)絡(luò)建立通信， 在該模式下客戶機(jī)不能連接到 Internet ；Nat 模式下，宿主機(jī)提供地址轉(zhuǎn)換服務(wù)， 宿主機(jī)與客戶機(jī)之間通過(guò) VMnet8 虛擬網(wǎng)卡進(jìn)行通信， 客戶機(jī)可以通過(guò)宿主機(jī)提 供的 NAT服務(wù)連接到 Internet 。分析：在 IPV4抓包任務(wù)中，虛擬機(jī)可統(tǒng)一設(shè)置為 Bridged或 Host Only模式。2）、Sniffer 捕獲到 Telnet交互數(shù)據(jù)用戶名部分為何每個(gè)字母都被捕獲到兩次？ 解答：Te

3、lnet服務(wù)中默認(rèn)開(kāi)啟了信息回顯功能，所以在 Telnet 會(huì)話過(guò)程中能捕獲到 兩次數(shù)據(jù)。分析：通過(guò) wireShark 抓包時(shí)也可看到捕獲了兩次。3）、Telnet交互中如果在客戶端錄入中文用戶名和密碼， Sniffer 可以正常捕獲到 Telnet交互數(shù)據(jù)嗎，數(shù)據(jù)是什么形式？解答：Sniffer 可以捕獲到亂碼字符，這是因?yàn)樵?Telnet 客戶端輸入中文后，系統(tǒng)會(huì) 采用默認(rèn)編碼對(duì)其進(jìn)行編碼轉(zhuǎn)換為字節(jié)流， Sniffer 捕獲到傳輸過(guò)程中的字節(jié)流后， 采用 Sniffer 默認(rèn)的字符編碼對(duì)字節(jié)流進(jìn)行解碼，因兩邊默認(rèn)的字符編碼不一致 導(dǎo)致 Sniffer 不能正常的識(shí)別中文字符。分析：Win

4、dows 7 中文操作系統(tǒng)默認(rèn)采用 GBK編碼，而 Sniffer 默認(rèn)識(shí)別 ASCI，I 兩 者間編碼不一致。任務(wù)二 交換機(jī)端口接入安全配置1）、為什么在配置端口安全時(shí)建議關(guān)閉端口，結(jié)合實(shí)例進(jìn)行說(shuō)明？解答：思科交換機(jī)端口安全默認(rèn)關(guān)閉， 端口安全啟用后違規(guī)處理方式默認(rèn)為關(guān)閉端 口，所以在端口安全應(yīng)用中建議先關(guān)閉端口， 之后啟用端口安全， 端口安全設(shè)置 完畢后再開(kāi)啟端口，免得觸發(fā)違規(guī)后端口自動(dòng)關(guān)閉，產(chǎn)生網(wǎng)絡(luò)故障。在本節(jié)任務(wù)中，如果不先關(guān)閉端口，啟動(dòng) C1的端口安全并設(shè)置最大 MAC 數(shù) 為 3 后，C1 F0/3端口會(huì)自動(dòng)關(guān)閉從而影響任務(wù)配置。分析：?jiǎn)?dòng) C1的端口安全并設(shè)置最大 MAC數(shù)為 3

5、后，C1 F0/3 端口能學(xué)習(xí)的 MAC 地址包括 PC0 、PC1 、VLAN1下的 S1 FA0/3、VLAN2下的 S1 FA0/3 四個(gè) MAC， 會(huì)觸發(fā)違規(guī)，自動(dòng)關(guān)閉端口， 所以在使用中建議先關(guān)閉端口， 之后根據(jù)需要更改 違規(guī)處理行為。2) 、任務(wù)中為何 C1 Fa0/1接口最大安全 MAC地址數(shù)設(shè)為 3，而 Fa0/2接口為 6？ 解答：任務(wù)要求只允許 PC1 SSH C，1 C1上啟用端口安全實(shí)現(xiàn)這個(gè)要求只能在 FA0/1 采用如下組合：最大 MAC數(shù)為 3 + 靜態(tài) MAC為 PC1 MAC；這樣可保證 C1首 先能學(xué)到 PC1的 MAC，其次可學(xué)習(xí)到 S1 下 VLAN1、2

6、 FA0/3端口的 MAC 地址； Fa0/2端口下可學(xué)習(xí)的 MAC包括： S2 下VLAN1、2 FA0/3端口的 MAC地址、 S2 VLAN1 、PC3的 MAC共 4 個(gè)，設(shè)置 6 可滿足要求。分析：從上述設(shè)置可看到利用端口安全來(lái)實(shí)現(xiàn)對(duì)接入設(shè)備的訪問(wèn)控制不是很合理， 一旦要求有所有變化，就得更改端口安全的設(shè)置策略。3) 、圖 1- 24中 C1Fa0/2接口下對(duì)應(yīng) 4個(gè) MAC，為何進(jìn)行 PC2、PC3互 Ping后， Fa0/2接口下會(huì)出現(xiàn) 6 個(gè) MAC地址？解答：Fa0/2端口下可學(xué)習(xí)的 MAC包括： S2 下VLAN1、2 FA0/3端口的 MAC地址、 S2 VLAN1 、P

7、C3 VLAN1的MAC共4個(gè),當(dāng)PC2 PING PC后3 ，C1通過(guò) Fa0/2會(huì)學(xué)到 PC2的 MAC和 PC3 VLAN2的 MAC。分析：交換機(jī)學(xué)習(xí) MAC 時(shí)，每個(gè)端口起始都處于 VLAN1下，交換機(jī)啟動(dòng)后若有通 信，交換機(jī)都能學(xué)到 VLAN1下各 PC的 MAC，劃分 VLAN后交換機(jī)也會(huì)學(xué)習(xí)到 VLAN 下對(duì)應(yīng)的 MAC，所有可以看到 C1可以學(xué)習(xí)到 PC3 VLAN1和 VLAN2下的 MAC 地 址信息。任務(wù)三 PPPOE接入配置1）、AC設(shè)備上的 IP 地址池是否需與其 fa0/0 接口 IP 地址處于同一個(gè)子網(wǎng)，若不 必在同一子網(wǎng)如何對(duì)任務(wù)的配置進(jìn)行更改？解答：AC 設(shè)

8、備的地址池是通過(guò)撥號(hào)接口和物理接口分配給PPPOE接入用戶的，PPPOE配置時(shí)可使得撥號(hào)接口（綁定于 Virtual-Template 接口）與物理接口（任 務(wù)中為 fa0/0）、地址池處于同一網(wǎng)段，也可不屬于同一網(wǎng)段，看具體需求；任務(wù) 中配置時(shí)處于同一網(wǎng)段，目的是方便理解；若要設(shè)置為不同網(wǎng)段，須為AC的撥號(hào)接口設(shè)置與 fa0/0 不同網(wǎng)段的 IP 地址，地址池與撥號(hào)接口地址處于同一網(wǎng)段。 分析：PPPOE用戶通過(guò)撥號(hào)接口接入并建立通道， 撥號(hào)接口是 AC設(shè)備上實(shí)現(xiàn) PPPOE 接入的關(guān)鍵接口。2）、AC設(shè)備上配置默認(rèn)路由時(shí)為何須采用下一跳 IP 地址形式？ 解答：任務(wù)中 AC 設(shè)備通過(guò)交換機(jī)與其它網(wǎng)絡(luò)設(shè)備連接，是一個(gè)廣播式網(wǎng)絡(luò)（非點(diǎn) 對(duì)點(diǎn)），如果使用出口形式制定路由，路由器無(wú)法準(zhǔn)確的把數(shù)據(jù)送給下一個(gè)路由 器，要準(zhǔn)確指定數(shù)據(jù)包送出的下一個(gè)設(shè)備只能使用下一跳 IP 地址形式。分析：在思科路由器配置中，當(dāng)使用出口配置靜態(tài)路由時(shí)，系統(tǒng)都會(huì)提示該配置方 式不適用于非點(diǎn)對(duì)點(diǎn)網(wǎng)絡(luò)。3）、Virtual-Access虛擬接口在 PPPoE 實(shí)現(xiàn)中取得什么作用？ 解答：Virtual-Access接口分為兩類(lèi)：一類(lèi)是母接口，一類(lèi)是子接口，母接口是配置 VPDN時(shí)生成，子接口是 AC設(shè)備在 PPPoE用戶成功接入后動(dòng)態(tài)產(chǎn)生的虛擬接口， 無(wú) IP 地