1、计算机新国家四级网络工程师（网络安全技术）章节练习 2及答案解析(总分：4.00，做题时间：90 分钟)一、应用题(总题数：2，分数：4.00)1.应用题（）应用题必须用蓝、黑色钢笔或圆珠笔写在答题卡的相应位置上，否则无效。（分数：2.00）_2.某企业采用 Windows 2000操作系统部署企业虚拟专用网，将企业的两个异地网络通过公共 Internet安全的互联起来。微软 Windows 2000操作系统当中对 IPSec具备完善的支持，图 10-1给出了基于 Windows 2000系统部署 IPSec VPN的网络结构图。 (1)IPSec是 IEEE以 RFC形式公布的组安全协议集，
2、它包括 AH与 ESP两个安全机制，其中哪一种不支持保密服务。(2)IPSec 的密钥管理包括密钥的确定和分发。IPSec支持哪两种密钥管理方式。试比较这两种方式的优缺点。(3)如果按照以下网络结构配置IPSecVPN，安全机制选择的是 ESP，那么 IPSec工作隧道模式，一般情况下，在图中所示的四个网络接口中，将哪两个网络接口配置为公网 IP，哪两个网络接口配置为内网 IP。(4)在 Internet上捕获并分析两个内部网络经由 Internet通信的 IP数据报，在下列 3个选项中选择正确选项填写到相应空缺处。AESP头 B封装后的 IP包头 C封装前的 IP包头 （分数：2.00）_计
3、算机新国家四级网络工程师（网络安全技术）章节练习 2答案解析(总分：4.00，做题时间：90 分钟)一、应用题(总题数：2，分数：4.00)1.应用题（）应用题必须用蓝、黑色钢笔或圆珠笔写在答题卡的相应位置上，否则无效。（分数：2.00）_解析：2.某企业采用 Windows 2000操作系统部署企业虚拟专用网，将企业的两个异地网络通过公共 Internet安全的互联起来。微软 Windows 2000操作系统当中对 IPSec具备完善的支持，图 10-1给出了基于 Windows 2000系统部署 IPSec VPN的网络结构图。 (1)IPSec是 IEEE以 RFC形式公布的组安全协议集
4、，它包括 AH与 ESP两个安全机制，其中哪一种不支持保密服务。(2)IPSec 的密钥管理包括密钥的确定和分发。IPSec支持哪两种密钥管理方式。试比较这两种方式的优缺点。(3)如果按照以下网络结构配置IPSecVPN，安全机制选择的是 ESP，那么 IPSec工作隧道模式，一般情况下，在图中所示的四个网络接口中，将哪两个网络接口配置为公网 IP，哪两个网络接口配置为内网 IP。(4)在 Internet上捕获并分析两个内部网络经由 Internet通信的 IP数据报，在下列 3个选项中选择正确选项填写到相应空缺处。AESP头 B封装后的 IP包头 C封装前的 IP包头 （分数：2.00）_
5、正确答案：(正确答案：(1)AH (2) 手工密钥分配 自动密钥分配 手工方式是系统管理员手工配置每个系统与其他系统进行通信时使用的密钥，适用于规模小、机器分布相对固定的环境。自动密钥管理系统可按需自动建立 SA密钥，特别适用于规模大、结构多变的分布式系统的密钥使用。自动密钥管理灵活方便，但配置复杂，且需要软件协议的支持，规模小的系统没必要采用。 (3) NIC2 和 NIC3； NIC1 和 NIC4 (4) B A C (5) IPSec VPN 网络层；L2TP VPN 数据链路层)解析：解析：(1) IPSec 包括 AH与 ESP两个安全机制，其中 AH协议定义了认证的应用方法，提供
6、数据源认证和完整性保证；ESP 协议定义了加密和可选认证的应用方法，提供可靠性保证。 (2) IPSec 在两个端点之间通过建立安全联盟 SA进行数据传输的。安全联盟可以通过手工配置的方式建立，但是当网络中节点增多时，手工配置将非常困难，而且难以保证安全性。这时就要使用 IKE自动地进行安全联盟的建立与密钥交换的过程。 (3) IPSec 工作模式支持传输模式知隧道模式 2种，但在公共 IP网上建立私有 IP地址的 VPN就只能使用隧道模式。在隧道模式中，VPN 服务器与互联网一端相连的网卡的 IP地址应设置为公网地址，与内网相连的网卡的 IP地址应设置为私有地址。IP 数据包由内网流入 VP
7、N服务器后，VPN 服务器要根据双方所协商的安全模式进行重新封装，最后经 Internet传送到对方。 (4) 传输模式下，VPN服务器只对 IP数据包中 TCP/IP报文段部分进行加密和验证，而 IP包头仍采用原始明文 IP包头，只是做适当的修改。但在隧道模式下，VPN 服务器会对整个 IP数据包进行加密和验证，即将原 IP数据包看做一个整体进行加密和验证，为了能在 Internet上正确传送，VPN 服务器还需要重新生成 IP包头。由此可见，空处，应是重新生成 IP包头，空处是用于加密和验证的 ESP包头，空处是原 IP 数据包的报头。 (5) 道技术是 VPN的基本技术，类似于点对点连接技术，它在公网建立一条数据通道(隧道)，让数据包通过主隧道传输。隧道是由隧道协议形成的，分为第 2、3 层隧道协议。第 2层隧道协议是先把各种网络协议封装到 PPP中，再把整个数据包装入隧道协议中。这种双层封装方法形成的数据包靠第 2层协议进行传输。第 2层隧道协议有 L2F，PPTP，L2TP 等。第 3层隧道是把各种网络协议直接装入隧道协议中，形成的数据包依靠第 3层协议进行传输。第 3层隧道协议有 GER，IPSec 等。
