问答题请根据下图所示网络结构回答下列问题。

问答题设备1应选用______网络设备。

【正确答案】正确答案：路由器

【答案解析】解析：本题考点为变长子网掩码(VLSM)技术、子网划分、防火墙部署问题以及网络入侵检测系统探测器等。路由器具有广域网互连、隔离广播信息和异构网互连等能力，是园区网建设和互联网络建设中必不可少的网络互连设备。由题中所示的网络拓扑结构可知，设备1处于内部局域网核心层交换机1和Internet之间。由于这些网络属于不同的逻辑网络，且都有不同的网络地址，因此需要路由器设备进行互连。

问答题若对整个网络实施保护，防火墙应加在下图中位置1～3的______位置上。

【正确答案】正确答案：2

【答案解析】解析：防火墙的主要功能包括：(1)检查所有从外部网络进入内部网络和从内部网络流出到外部网络的数据包。(2)执行安全策略，限制所有不符合安全策略要求的数据包通过。(3)具有防攻击能力，保证自身的安全性。通常，Internet是一个“不可信任的网络”，而内部局域网要求是一个“可信任的网络”。因此在两者之间需要设置防火墙设备，从而保护内部网络资源不被外部非授权用户使用以及防止内部网络受到外部非法用户的攻击。若对整个网络实施保护，防护墙应部署在位置2处。

问答题如果采用了入侵检测设备对进出网络的流量进行检测，并且探测器是在交换机1上通过端口镜像方式获得流量。下面是通过相关命令显示的镜像设置的信息：

【正确答案】正确答案：Gi2／16；流量镜像或新增集线器或TAP分流

【答案解析】解析：(1)由图中信息“Source Ports：Both：Gi2／12”可知，交换机1端口Gi2／12被配置为被复制的端口(镜像源端口)。由信息“Destination Ports：Gi2／16”可知，交换机1端口Gi2／16被配置为复制的端口(镜像目的端口)。可见，端口Gi2／12的数据包流量被镜像到端口Gi2／16。探测器应连接在交换机1的Gi2／16端口上。 (2)根据网络拓扑结构的不同，入侵检测系统的探测器可以通过以下3种方式部署在被检测的网络中。①流量镜像方式。网络接口卡与交换设备的监控端口连接，通过交换设备的Span／Mirror功能将流向各端口的数据包复制一份给监控端口，探测器从监控端口获取数据包并进行分析和处理。②新增集线器方式。在网络中新增一台集线器改变网络拓扑结构，并通过集线器(共享式监听方式)获取数据包。③TAP分流方式。通过一个TAP(分路器)设备对交换式网络中的数据包进行分析和处理。

问答题使用IP地址212．103．10．128／25划分4个相同大小的子网，每个子网中能够容纳30台主机，请写出子网掩码_______，各个子网网络地址______、______、______、_______，可用的IP地址段_______、______、______、_____。

【正确答案】正确答案：255．255．255．224；212.103.10.128；212.103.10.160；212.103.10.192；212.103.10.224；212.103.10.129-212.103.10.158；212.103.10.161-212.103.10.190；212.103.10.193-212.103.10.222；212.103.10.225-212.103.10.254

【答案解析】解析：题中IP地址212．103．10．128／25中的子网掩码为255．255．255．128，它是在C类IP地址标准子网掩码255．255．255．0的基础上扩展了1个比特位。由于题意要求需划分4个相同大小的子网，即2 ² =4，因此至少需要再将子网掩码扩展2位，以产生4个子网(新子网号分别为00、01、10、11)。最后得到的子网掩码是255．255．255．224。在255．255．255．224子网掩码中，用于表示主机部分的位数剩余5位，由于2 ⁵ -2=30(除去全0地址和全1地址)，因此每个子网中独立的主机IP地址有30个，符合题目要求。所以最终划分的网络如下表所示：