【答案解析】(1) 255.255.255.192 (2) 255.255.255.224
(3) 255.255.255.224 (4) 172.30.160.128
(5) 172.30.160.192 (6) 172.30.160.224
(7) 172.30.160.129～172.30.160.190 (8) 172.30.160.193～172.30.160.222
(9) 172.30.160.225～172.30.160.254
[要点解析]
地址172.30.160.0是一个B类IP地址。IP地址块172.30.160.128/25中的“/25”表示子网掩码为25个“1”比特的掩码，即255.255.255.128。它在B类IP地址标准子网掩码255.255.0.0的基础上扩展了9个比特位。第2个子网要求能够容纳60台主机，由于2⁶-2=64-2=62＞60＞2⁵-2=32-2=30，因此第2个子网表示主机号的比特位也至少需要6位。当主机号的比特位为6位时，其所对应的子网掩码为255.255.255.192。如果将子网掩码从255.255.255.128扩展为255.255.255.192，则可以产生2个子网(新子网号分别为0、1)。若按子网序号顺序分配网络地址，则第1个子网所使用的新子网号为0，其网络地址及可用的IP地址范围求解过程如表6-12所示。

由表6-12可知，第1个子网所使用的子网掩码为255.255.255.192，网络地址为172.30.160.128/26，可实际分配的主机地址范围为172.30.160.129～172.30.160.190。
第2个子网要求能够容纳28台主机，由于2⁵-2=32-2=30＞28＞2⁴-2=14，因此第2个子网表示主机号的比特位至少需要5位。当主机号的比特位为5位时，所对应的子网掩码为255.255.255.224。如果将子网掩码从255.255.255.128扩展为255.255.255.224，则可以产生4个子网(新子网号分别为00、01、10、11)。但其中新子网号00、01已被第1个子网占用，因此按子网序号顺序分配网络地址，第2个子网所使用的新子网号为10，第3个子网所使用的新子网号为11。第2个子网的网络地址及可用的IP地址范围求解过程如表6-13所示。第3个子网的网络地址及可用的IP地址范围求解过程如表6-14所示。

【答案解析】在全局配置模式下，配置IP地址池(Pool)的名称，并进入DHCPPool配置模式 在DHCPPool配置模式下，配置IP地址池的子网地址和子网掩码、默认网关、域名和域名服务器的IP地址、IP地址的租用时间等参数 返回至全局配置模式下，将所要保留的IP地址从预定义的IP地址池中排除 [要点解析] 在三层交换机(即图6-15中的交换机1)全局配置模式“Router(config)#”下，使用命令中dhcppool＜name＞为地址池赋予一个名称，并进入DHCP Pool配置模式“Router(dhcp-config)#”。其中，地址池名称可以是一组字符串(如test)或数字(如1234)。 在DHCP Pool配置模式下，使用命令network＜network-number＞[mask|/pretix-length]配置分配给 DHCP客户的有效IP地址池的子网地址和子网掩码。其中，子网掩码参数允许以点分十进制数、掩码前缀长度两种形式表达。使用命令default-router address[address2…address8]配置地址池的默认网关。使用命令 domain name＜name＞配置IP地址池的域名。使用命令dns-server address[address2…address8]配置IP地址池的域名服务器的IP地址。使用命令lease{days|hours)Iminutes]|[infinite]}修改IP地址池的地址租用时间。 最后返回至全局配置模式，使用命令ip dhcp excluded-address low-address[high-address]将所要保留的 IP地址从预定义的IP地址池中排除，使之成为不能动态分配的IP地址。使用命令no ip dhcp conflict logging取消掉地址冲突日志的记录功能，以免配置数据库代理。

【答案解析】优点：可以分担核心交换机的带宽 缺点：容易形成带宽瓶颈，存在单点故障的潜在危险 优化方案：将这些服务器直接连接至交换机1的1000Base-Tx(或千兆)以太网端口 [要点解析] 在如图6-15所示的网络拓扑中，该园区网的各台服务器通过交换机4连接至核心交换机1。该设计方案的优点是可以分担核心交换机的带宽，缺点是容易形成带宽瓶颈，并且存在单点故障的潜在危险。 在不增加网络投资，且核心交换机1拥有足够数量的1000Base-Tx以太网端口的情况下，则可以移除交换机4，直接将这些服务器连接至核心交换机1的干兆以太网端口，从而直接利用核心交换机的带宽为用户提供服务。

【答案解析】Router(config )#access-list 104 deny tcp any any eq 4444 Router(config )#access-list 104 deny udp any any eq 4444 Router(config )#access-list 104 permit ip any any Router(config)#interface Gi1/3 Router(config-if)#ip access-group 104 in Router(config-if)#ip access-group 104 out [要点解析] 交换机1上已定义了一个编号为104、用于过滤所有访问图6-15中服务器群的4444端口的数据包的访问控制列表。其相关配置语句如下： Router(config) #access-list 104 deny tcp any any eq 4444 Router(config) #access-list 104 deny udp any any eq 4444 Router(config) #access-list 104 permit ip any any 而在图6-15中，服务器群通过交换机4连接至核心交换机1的Gi1/3端口。因此将该扩展访问控制列表应用于Gi1/3端口的配置语句如下： Router(config)#interface Gi1/3 Router(config-if)#ip access-group 104 in Router(config-if)#ip access-group 104 out

【答案解析】Gi1/3 (11) Gi1/2 [要点解析] 网络入侵检测系统一般由控制台和探测器(Sensor)组成。其中，控制台提供图形界面来进行数据查询、查看警报并配置传感器。一个控制台可以管理多个探测器。探测器的基本功能是捕获网络数据包，并对数据包进行进一步分析和判断，当发现可疑的事件时触发探测器发送警报。控制台和探测器之间的通信是加密传输的。 对于如图6-15所示的交换型网络，各台交换机仅将数据包转发到相应的端口。因此需要对交换机进行端口镜像，将流向相应端U的数据包复制一份给监控端口，探测器从监控端口获取数据包并进行分析和处理。在图6-15中，入侵检测设备连接至核心交换机1的Gi1/2端口，服务器群通过交换机4连接至核心交换机1的Gi1/3端口。若要使用该入侵检测设备检测所有访问服务器群的流量，则交换机1上被镜像的端口为Gi1/3端口，镜像的端口为Gi1/2端口。 在Cisco交换机全局配置模式下，被镜像端口、镜像端口的相关配置语句如下： Switch1(config)#monitor session 3 source interface Gi1/3 (配置被镜像端口) Switch1(config)#monitor session 3 destination interface Gi1/2 (配置镜像端口) Switch1(config)#exit (退出全局配置模式》 Switch1#show monitor session 3 (检查端口镜像的相关配置) Session 3 Type : Local Session Source PortS : Both : Gi1/3 Destination Ports : Gi1/2