问答题
阅读下列技术说明,根据要求回答问题1~问题5。
{{B}}[说明]{{/B}}
某学校在原校园网的基础上进行网络升级改造,网络拓扑结构如图4-12所示。其中网管中心位于办公楼第6层,采用动态IP地址及静态IP地址结合的方式进行IP地址的管理和分配。
问答题
网络逻辑结构设计是体现网络规划与设计核心思想的关键阶段。通常,网络逻辑结构设计工作主要包括哪些方面的内容?
【正确答案】
【答案解析】①网络结构的设计。主要包括局域网结构中数据链路层设备互连方式,广域网结构中网络层设备互连方式等。 ②物理层技术选择。主要包括缆线类型、网卡的选用。 ③局域网技术选择与应用。主要考虑STP、VLAN、WLAN、链路聚合技术、冗余网关协议、线路冗余和负载均衡、服务器冗余与负载均衡等因素。 ④广域网技术选择与应用。主要考虑城域网远程接入技术(如ISDN、ADSL等)、广域网互联技术(如DDN、SDH、VPN等)、广域网性能优化等因素。 ⑤地址设计和命名模型。主要明确的内容有是否需要公网IP地址、私有IP地址和公网 IP地址如何翻译、VLSM的设计、CIDR的设计、DNS的命名设计等。 ⑥路由选择协议。主要的考虑因素有动态路由的协议类型、度量、权值排序等;静态路由选择协议;内部与外部路由选择协议:分类与无分类路由选择协议等。 ⑦网络管理。主要包含行政管理(如机构的设置、岗位职责和管理制度的制定等)和技术管理(如NMS、TMS、RMS和AMS的选用)。 ⑧网络安全。主要的工作内容有机房及物理线路安全、网络安全(如安全域划分、路由交换设备安全策略等)、系统安全(如身份认证、桌面安全管理、系统监控与审计等)、应用安全(如数据库安全、Web服务安全等)、数据容灾与恢复、安全运维服务体系(如应急预案的制定等)、安全管理体系(如建立安全组织机构等)。 ⑨编写逻辑网络设计文档。主要的组成元素有主管人员评价、逻辑网络设计讨论、新的逻辑设计图表、总成本估测、审批部分、修改注释部分等 [要点解析] 网络逻辑结构设计的工作任务是基于用户需求中描述的网络行为、性能等要求,根据网络用户的分类、分布形成特定的网络结构。该网络结构大致描述了设备的互联及分布,但是不对具体的物理位置和运行环境进行确定。网络逻辑结构设计过程主要由以下4个步骤组成:①确定逻辑设计目标;②网络服务评价;⑧技术选项评价:④进行技术决策。 网络逻辑结构设计工作主要包括的内容如下。 ①网络结构的设计。主要包括局域网结构和广域网结构两个设计部分的内容。其中,局域网结构主要关注数据链路层的设备互连方式,广域网结构主要关注网络层的设备互连方式。 ②物理层技术选择。主要选择内容包括缆线类型、网卡的选用等。 ③局域网技术选择与应用。主要考虑生成树协议(STP)、扩展STP、虚拟局域网(VLAN)、无线局域网(WLAN)、链路聚合技术、冗余网关协议(如VRRP、HSRP、GLBP等)、线路冗余和负载均衡、服务器冗余与负载均衡等因素。 ④广域网技术选择与应用。主要考虑城域网远程接入技术(如PSTN、ISDN、ADSL等)、广域网互联技术(如DDN、SDH、VPN等)、广域网性能优化等因素。 ⑤地址设计和命名模型。在地址设计工作中,主要明确的内容有:是否需要公有地址和私有地址;只需要访问专用网络的主机分布;需要访问公网的主机分布;私有地址和公有地址如何翻译;私有地址和公有地址的边界;VLSM的设计、CIDR的设计等。网络中的命名工作主要涉及NetBIOS名字和域名两个方面。 ⑥路由选择协议。主要的考虑因素有:动态路由的协议类型;路由选择协议的度量;路由选择协议的顺序(如权值排序等):静态路由选择协议;内部与外部路由选择协议;分类与无分类路由选择协议;层次化与非层次化路由选择协议等。 ⑦网络管理。主要包含行政管理和技术管理。行政管理方面主要包含机构的设置、各类相关人员的岗位职责、行政管理制度的制定等。技术管理方面又依据管理技术的层次性划分为TMS(传输管理系统)、 NMS(网络管理系统)、RMS(资源管理系统)和AMS(应用管理系统)等。 ⑧网络安全。主要的工作内容有:机房及物理线路安全;网络安全(如安全域划分、边界安全策略、路由交换设备安全策略、防火墙安全配置等):系统安全(如身份认证、账尸管理、桌面安全管理、系统监控与审计、病毒防护、访问控制等);应用安全(如数据库安全、电子邮件服务安全、Web服务安全等)、数据容灾与恢复;安全运维服务体系(如应急预案的制定、系统监控与管理服务等);安全管理体系(如建立安全组织机构、安全管理规章制度的制定等)。 ⑨编写逻辑网络设计文档。主要的组成元素有主管人员评价;逻辑网络设计讨论;新的逻辑设计图表;总成本估测;审批部分;修改注释部分等。
问答题
从表4-14中为图4-12中的(1)~(5)处选择合适的设备,将设备名称写在答题卡的相应位置上(每一设备限选一次)。
【正确答案】
【答案解析】(1) Router1 (2) Switch1 (3) Switch2 (4) Switch3 (5) Switch3 [要点解析] 这是一道要求读者掌握网络方案设计中设备部署的拓扑结构设计题。基于表4-14中每一网络设备限选一次的条件,本题的解答思路如下。 由表4-14中关于路由器设备的性能描述“……固定的广域网接口+可选广域网接口,固定的局域网接口……”可知,图4-12中(1)空缺处的网络设备应选择路由器(Router1)。通过Router1的广域网接口连接到Internet网,Router1的100/1000Base-T/TX局域网接口连接至防火墙的外网接口(即WAN接口)。 从交换容量、转发性能、可支持接口类型、电源冗余模块等方面对比表4-14中交换机设备Switch1、 Switch2、Switch3可知,设备Switch1的性能最好,可能是一台三层交换机设备,设备Switch2的性能次之。 仔细阅读图4-12的拓扑结构可知, (2)空缺处的网络设备位于校园网核心层,它是校园网内部的核心设备。它至少需要提供一个百兆/千兆电口用于连接至防火墙的内网接口(即LAN接口),若干个快速以太网电口或光口用于连接至位于办公楼的各楼层交换机和与(2)空缺处网络设备相连接的服务器组。而表4-14中关于交换机设备Switch1的性能描述“……可支持接口类型:100/1000Base-T、GE、10GE…”信息可满足以上网络连接要求,因此由以上分析可知,(2)空缺处的网络设备应选择设备名称为Switch1的交换机设备。 由图4-12的拓扑结构可知,该校园网的拓扑结构是一个典型的核心层、汇聚层、接入层的网络拓扑。分别位于图书馆楼及实训楼的(4)、(5)空缺处的网络设备上连至核心层的三层交换机,即(2)空缺处的网络设备,下连至各楼层交换机。考虑到综合布线系统中各大楼建筑物之间通常采用光纤作为传输介质,结合表4-14中关于交换机设备Switch3的性能描述“……可支持接口类型:FE、GE,24千兆光口……”信息可知,(4)、(5)空缺处的网络设备应选择设备名称为Switch3的交换机设备。 结合工程经验可知,在如图4-12所示的拓扑结构中,(3)空缺处的网络设备至少需要提供一个百兆/千兆电口用于连接至防火墙的DMZ接口,若干个快速以太网电口或光口用于连接与其相连接的服务器组、用户管理器和网络管理计算机。而表4-14中关于交换机设备Switch2的性能描述“……可支持接口类型: GE,20百/千兆自适应电口……”信息可满足以上网络连接的要求,因此(3)空缺处的网络设备应选择设备名称为Switch2的交换机设备。
问答题
为图4-12中(6)~(9)处选择介质,填写在答题卡的相应位置上。
备选介质(每种介质限选一次):
6类UTP 超5类UTP 双千兆光纤链路 千兆光纤
【正确答案】
【答案解析】(6) 双千兆光纤链路 (7) 千兆光纤 (8) 千兆双绞线 (9) 百兆双绞线 [要点解析] 这是一道要求读者掌握网络方案设计中传输介质选择的分析设计题。基于每种传输介质限选一次的条件,本题的解答思路如下。 由IEEE802.3ad工作组制定的链路聚合(Port Trunking)技术,支持IEEE802.3协议,是一种用来在两台核心交换机之间扩大通信吞吐量、提高可靠性的技术。该技术可使交换机之间连接最多4条负载均衡的冗余连接。当某一台核心层交换机出现故障或核心层交换机与接入层/汇聚层交换机的某一条互连线路出现故障时,系统会将通信业务快速自动切换到另一台正常工作的核心层交换机上。在图4-12所示的拓扑结构中,(2)空缺处的核心层交换机与原校园网的连接介质建议采用双千兆光纤链路,即(6)空缺处应填入“双千兆光纤链路”。 结合[问题1]的要点解析可知,在图4-12拓扑结构中(3)空缺处的Switch2交换机设备可支持千兆以太网(GE)接口类型,且有20个百/千兆自适应电口。综合考虑到与Switch2交换机相连接的服务器组要求较高的通信性能,因此(8)空缺处的传输介质可选择“千兆双绞线”(如6类非屏蔽双绞线等)。 同理,由于(3)空缺处的Switch2交换机设备有20个百/千兆自适应电口,而位于区域A中的网络管理计算机与(3)空缺处的交换机设备距离通常不会超过100m,因此(9)空缺处的传输介质可选择“百兆双绞线”(例如超5类非屏蔽双绞线等)。 结合工程经验可知,在进行层次化网络方案设计时,应综合考虑到未来的网络应用牵涉到数据、音频、视频传输,为保证传输带宽和质量,通常垂直干线子系统采用多模光纤把各配线间连接到主配线间。在图4-12所示的拓扑结构中,(2)空缺处的核心层交换机与各楼层交换机的连接介质建议采用千兆光纤,即 (7)空缺处的传输介质可选择“千兆光纤”。
问答题 该学校网络系统在安全设计上采用分层控制方案,将整个网络分为外部网络传输控制层、内外网间访问控制层、内部网络访问控制层、操作系统及应用软件层和数据存储层。对各层的安全采取不同的技术措施,请将表4-15中(10)~(14)处空缺信息填写完整。
【正确答案】
【答案解析】(10)E和F,或用户权限控制、IP地址和MAC地址绑定
(11) D或虚拟专用网(VPN)技术
(12) C或网络地址转换(NAT)技术
(13) B或RAID技术
(14) A或基于主机的入侵检测系统
[要点解析]
在网络安全方面,可以采用多种技术从不同角度来保证该政府机构整个网络的安全。如只采用单纯的防护技术,可能导致对系统的某个或某些方面采取了安全措施,而对其他方面有所忽视的盲目性。因此在该政府机构的网络安全设计上适合采用分层控制方案,将整个网络分为外部网络传输控制层、内外网间访问控制层、内部网络访问控制层、操作系统及应用软件层和数据存储层,对各层的安全采取不同的技术措施,如表4-16所示。
{{B}}表4-16 某校园机构网络分层安全控制方案{{/B}}
层次
安全技术
简述
外部网络传输控制层 虚拟专网 (VPN)技术 对于从专线连接的外部网络用户,采用VPN技术对架设于公众网络上的私有网络使用信道协议及相关的安全程序进行保密,还可采用点对点协议、加密后送出资料及加密收发两端网络位置等措施使虚拟专网更加可靠
身份认证技术 用于实现通信或数据访问中对对方身份的认可,便于访问控制,授权管理;对于拨号入网的用户进行严格控制,在拨号线路上加装保密机,使无保密机的用户无法拨通;通过用户名和口令认真检查用户身份;利用回拨技术再次确认和限制非法用户的入侵
加密技术 用于防止信息在传输、存储过程中被泄漏;目前广泛使用的有对称算法和非对称算法两类加密算法,这两种加密算法结合使用,加上数字签名、数字时间戳、数字水印及数字证书等技术可以使通信安全得到保证
物理隔离 通过物理隔离的方式,在不同网络之间进行转换时,保证计算机的数据在网络之间不被重用
内外网间访问控制层 防火墙 建立在内外网边界上的过滤封锁机制,能够防止外网未经授权地访问内网,能够防止外网对内网的攻击,也能防止内网未经授权地访问外网,提供网络使用状况和流量的审计,隐藏内部IP地址及隐藏网络结构的细节
防病毒网关 基于Internet网关的防病毒软件,可以安装到代理服务器上,以防止Internet病毒及Java程序对网络系统的破坏
网络地址转换(NAT)技术 是用于将一个地址域(如专用Intranet)映射到另一个地址域(如Internet)的标准方法。NAT允许一个机构专用
代理服务器 Intranet中的主机透明地连接到公共域中的主机,无须内部主机拥有注册的公网IP地址;它能隐藏内部网络结构,达到保密作用,同时,它还可解决IP地址不足的问题
安全扫描 可以根据设置地址、服务、内容等要素来控制用户的访问,能使内部网络和外部网络间不能直接访问,从而保证内部关键信息的安全,起到节约IP地址资源、减少Internet接入成本、提高访问Internet速度等作用
入侵检测 通过各种安全扫描软件对系统进行检测与分析,能够及时发现安全漏洞并加以修复,生成安全报告
日志审计 能够实时应对来自内网已知的攻击,识别非法入侵及其他可疑行为,并给予及时的响应及防护,但对未知的攻击检澜能力较弱,且存在误报率高的缺点。如果能将入侵检测系统和防火墙等其他安全系统进行联动,就能够更加有效地防止网络攻击
内部网络访问控制层 IP地址绑定 能够在事件发生时或事件发生后发现安全问题,有助于追查责任,定位故障,恢复系统,但无法在事前发现可能的攻击
用户的身份认证 绑定MAC地址与IP地址是防止内部p盗用的一个常用的、简单的、有效的措施,防止非法用户伪装成合法用户在网络上进行一些非法的行为
权限控制 用户入网访问控制分为3步,即用户名的验证、用户口令的验证、用户账号的验证。用户口令是入网的关键,必须经过加密,用户还可采用一次一密的方法,另外还可以使用智能卡来验证用户身份。同时,还可将用户与所用的计算机联系起来,使用户用固定的计算机上网,以减少用户的流动性,加强管理
加密技术 这是针对网络非法操作提出的一种安全保护措施。用户和用户组被赋予一定的权限,网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资料及用户可执行的操作
为存放秘密信息的服务器加装密码机,对网上传输的秘密信息加密,以实现秘密数据的安全传输
客户端安全防护 首先,应切断病毒传播的途径,降低感染病毒的风险;其次,使用的浏览器必须确保符合安全标准,使客户端的工作站得到安全保证
安全检测 使用安全检测和扫描软件对网络设备和客户端工作站进行检测和分析,查找安全漏洞并加以修复,使用防病毒软件进行病毒查找和杀毒工作
操作系统及应用软件层 加密技术 对操作系统中某些重要的文件进行加密,防止非法出版的读取及修改
采用安全性较高的系统 目前大部分操作系统等级处于C2级,应尽量使用C2级的安全措施及功能,对操作系统进行安全配置。在极端重要的系统中,应采用B级操作系统
病毒的防范 在主机上安装防病毒软件,对病毒进行定时或实时的病毒扫描及检测,对防病毒软件进行及时升级以发现和杀除新型的病毒
安全扫描 通过对主机进行一系列的设置和扫描,对系统的各个环节提供可靠的分析结果,为系统管理员提供可靠性和安全性分析报告,对系统进行及时升级以弥补漏洞及关闭“后门”
入侵检测 安装基于主机的入侵检测系统,可检查操作系统日志和其他系统特征,判断入侵事件,在非法修改主面时自动作出反应,对已入侵的访问和试图入侵的访问进行跟踪记录,并及时通知系统管理员,使管理员可对网络的各种活动进行实时监视
数据存储层 数据库安全扫描 采用安全扫描软件对数据库进行扫描和检测,为数据库管理系统找出存在的漏洞,以便及时升级系统,弥补漏洞
使用较安全的数据库系统 在重要的系统中,在B级操作系统的基础上采用B级数据库系统
加密技术 采用加密的方法对保密性高的数据进行存储,并通过连接在服务器或终端机上的加密机完成
存储介质的安全 可以通过磁盘镜像、磁盘双工、RAID技术等数据维护技术,再配合磁盘备份、光盘备份等技术来做到不会因某个硬盘的损坏而导致系统崩溃、数据丢失等灾难发生
问答题
当该校园网中存在多条路径时,路由协议使用度量值来决定使用哪条路径。在网络规划设计过程中,对路由度量值主要有哪些方面的考虑?
【正确答案】
【答案解析】①对度量值的限制设定。例如,设定基于跳数路由协议的有效路径度量值必须小于16。 ②多个路由协议共存时的度量值转换,例如,需要考虑延迟、带宽、可靠性等因素 [要点解析] 当网络中存在多条路径时,路由协议使用度量值来决定使用哪条路径。不同的路由选择协议的度量值是不同的,传统路由选择协议以路由器的跳数作为度量值,新一代路由选择协议还将参考延迟、带宽、可靠性及其他因素。 对路由度量值主要存在着两个方面的考虑。一是对度量值的限制设定。例如,设定基于跳数路由协议的有效路径度量值必须小于16,这些度量值的设定直接决定了网络的连通性和效率。二是多个路由协议共存时的度量值转换。路由器上可能会运行多个协议,不同的路由协议对路径的度量值不同,设计人员需要建立起不同度量值之间的映射关系,完成相应的路由重分布设计,让多个路由选择协议之间相互补充。