2010下半年网络规划设计师下午试卷Ⅰ、标准答案及分析

试题一（25分）
　　阅读以下关于某电子政务网络平台的叙述，回答问题1至问题3，讲解答填入答题纸的对应栏内。
【说明】
　　某省准备建立电子政务网络平台，实现全省上下各级部门之间的信息交换和资源共享。遵照《国家信息化领导小组关于推进国家电子政务网络建设的意见》的要求，电子政务网络分为电子政务外网和电子政务内网，该省即将建设的网络平台被定性为“非涉密”的电子政务外网。在第一期工程中，主要建设覆盖省直部门和各地市州的电子政务外网。电子政务外网是办公自动化、行政审批、电子监察等跨部门应用系统的运行网络，还是一个网络承载平台，可以承载各类VPN。例如，在当前的省级外网平台建设中，外网平台就需要承载两个VPN：（1）互连各个部门的国库支付VPN；（2）互连各个部门的视频监控VPN。
【问题1】（6分）
　　电子政务外网承载VPN，可以采用L2TP、MPLS VPN、IPSec三类技术，请对三种技术进行比较，将有关内容填入表1-1的空白中（备注档不用填）。

试题解析：
　　L2TP（Layer 2 Tunneling Protocol，第二层隧道协议）工作在第二层。第二层隧道协议只提供数据的封装服务，不提供数据加密服务，具有以下安全缺陷：
　　1）第二层隧道协议仅仅对通信双方进行身份认证，而没有对传输报文进行认证，因此无法抵御数据重发攻击、数据伪造攻击。
　　2）第二层隧道协议本身不提供任何加密手段，当数据需要加密时，需要其它技术的支持。
　　L2TP结合了PPTP协议以及L2F协议的优点，能以隧道方式把PPP帧封装在公共网络设施（如IP、ATM、帧中继）中进行隧道传输。L2TP使用UDP 1701端口进行工作。
　　L2TP主要由LAC（L2TP Access Concentrator，L2TP访问集中器）和LNS（L2TP Network Server，L2TP网络服务器）组成。LAC是一个网络接入服务器，用于为用户提供网络接入服务。它是L2TP隧道的一个端点，具有PPP端系统和L2TP协议处理的能力，负责将用户数据封装在L2TP隧道中进行传输。LNS是PPP端系统上用于处理L2TP协议的服务器端软件，也是L2TP隧道的一个端点。LAC和LNS都被称为LCCE（L2TP Control Connection Endpoint，L2TP控制连接端点）。
　　L2TP通讯由于对中间转发设备没有特殊要求，因此可以支持移动VPN客户端。
　　MPLS（Multiprotocol Label Switching，多协议标签交换）技术是对ATM标记交换和IP路由协议的有机结合。它不仅有助于提高网络层的数据报转发能力，而且对提高网络层路由系统的可扩展性起到一定的作用。
　　MPLS提供多种协议的接口，如 IP、ATM、帧中继、资源预留协议（RSVP）、开放最短路径优先（OSPF）等。MPLS将IP地址映射为简单的具有固定长度的标签，用于不同的包转发和包交换技术。
　　MPLS网络由核心部分的LSR（Label Switching Router，标记交换路由器）和边缘部分的LER（Label Edge Router，标记边缘路由器）组成。由LSR构成的网络区域称为MPLS域，而LER则位于MPLS网络边缘与其他网络或用户相连接。MPLS网络的信令控制协议称为LDP（Label Distribution Protocol，标记分发协议）。
　　MPLS网络与传统IP网络的不同主要在于MPLS域中使用了标记交换路由器，域内部LSR之间使用MPLS协议进行通信，而在MPLS域的边缘，由MPLS边缘路由器进行与传统IP技术的适配。
　　MPLS的优点在于将IP技术中的完全无连接的分组交换方式转化为MPLS中有连接（根据LDP协议建立标记交换路径）的分组交换方式。首先是减少了数据报通过MPLS网络时查IP路由表的次数，替代为查询标记转发表，提高了转发效率；其次是解决了TCP数据通过IP网络的失序问题（流量在网络各接点无故障状态下将沿同样的路径通过网络，将按进入网络的顺序离开网络），减少了端到端通信中两端站点对数据的排序时延，使MPLS网络可以很好地服务于实时应用。
　　由于MPLS协议工作需要核心部分的LSR参与，因此不支持移动VPN。
　　IPSec是集多种安全技术为一体的安全体系结构，是一组IP安全协议集。IPSec定义了在网际层使用的安全服务，其功能包括数据加密、对网络单元的访问控制、数据源地址验证、数据完整性检查和防止重发攻击。
IPSec有两种工作模式：传输模式（Transport Mode）和隧道模式（Tunnel Mode）。传输模式通常应用于主机之间端对端通信，该模式要求主机支持IPSec。隧道模式应用于网关模式中，即在主机的网关（防火墙、路由器）上加载IPSec，这个网关就同时升级为SG（Security Gateway，安全网关）。这两种工作模式对网络传输的中间设备都没有特殊要求，因此可以支持移动VPN。
标准参考答案：

【问题2】（8分）
　　各地市州、各省直部门在接入电子政务外网平台时，需要配置接入路由器、防火墙、前置服务器，请考虑如下连接要求，并添加相应的连接线路或设备，给出接入电子政务外网的设备连接图。
　　（1）部门网络与电子政务外网之间为逻辑隔离；
　　（2）部门应用系统主动把数据推送至前置服务器，数据中心在进行数据获取时，不允许进入部门网络；
　　（3）在调试防火墙的各类过滤规则时，不会对电子政务外网的路由造成影响；
　　（4）可根据用户负载的需要，随时添置前置服务器。
标准参考答案：

画图要点：
 l接入路由器直接连接电子政务外网；
 l防火墙直接连接单位内部网络；
 l防火墙与接入路由器直接相连；
 l防火墙的DMZ口添置一台DMZ交换机；
 l前置服务器与DMZ交换机直接相连。

【问题3】（11分）
　　如图1-1所示，采用MPLS VPN技术，省级电子政务外网平台承载了两个VPN，分别为国库支付VPN和视频监控VPN。请从以下方面描述电子政务外网PE路由器上的MPLS VPN配置内容：
　　（1）VPN接口配置
　　（2）PE-CE配置
　　（3）OSPF配置
　　（4）MPLS配置

图1-1 电子政务外网承载VPN示意图

标准参考答案：
　　（1）VPN接口配置
　　　　将相应的接口加入VPN实例中；
　　　　进入接口配置模式，配置接口的IP地址。
　　（2）PE-CE配置
　　　　启用路由协议BGP，并设置自治区号；
　　　　在BGP的IPV4 VRF实例地址簇中引入路由信息；
　　　　建立IPV4 VRF实例的邻居关系，激活并传递VRF路由；
　　　　在BGP中引入直连路由。
　　（3）OSPF配置
　　　　启用OSPF路由协议；
　　　　配置路由区域及网络地址信息。
　　（4）MPLS配置
　　　　配置MPLS的LSR ID标识；
　　　　启用路由器的MPLS LDP标签协议；
　　　　在网络接口上启用MPLS LDP标签协议。

试题二（25分）
　　阅读以下广域网络整合改造的需求说明，回答问题1至问题3，将解答填入答题纸的对应栏内。
【说明】
　　长江沿线某物流企业A与B并购后组织机构合并，在此情况下，原有两个单位的信息网络的融合成为迫在眉睫的任务。在机构融合前，两个单位各自都有独立的广域网络：A企业广域网覆盖重庆至上海，共1个核心节点（武汉长江南岸，100个用户）、6个二级节点（30个用户）和23个三级节点（9个用户）；B企业广域网覆盖重庆至芜湖，共1个核心节点（武汉长江北岸，150个用户）、11个分支核心节点（11个用户，包含A企业的二级节点）、200多个扫描接入点（2个终端）。两个广域网的主要传输通道都基于A企业自建的SDH网络：A企业广域网一二级节点间是155M POS互联，二三级节点间采用10M MSTP或2M电路互联，少数链路为40M MSTP；B企业广域网核心和分支机构的互联采用30-50M MSTP互联，少数节点采用4个2M捆绑的电路连接（注：所有MSTP电路使用仅用于实现二三级节点的点对点连接）。
　　A企业广域网承载着办公、视频监控、软交换、视频会议、广播控制等业务系统；B企业广域网承载着办公，视频会议，数十个安全监管业务系统，CCTV、GPS物流监管等业务系统。
　　机构融合后，两个广域网再没有独立运行的必要了，因此要将两个广域网合并成一个网络，清理网络资产、简化网络结构（减少二级节点数量）、优化路由，使网络安全、高效、可靠、易维护、易管理。A企业广域网络结构如图2-1所示：

图2-1  A企业广域网结构

B企业广域网络结构如图2-2所示。

图2-1  B企业广域网结构

【问题1】（10分）
　　在不增加新设备、新链路的情况下，针对现有物理设备及线路给出整合解决方案的整体思路。要求：
　　（1）整合后的企业网络采用层次化设计、简化拓扑，实现核心节点、线路N+1冗余；
　　（2）整合后企业网络的二级节点只包括重庆、万州、宜昌、芜湖、南京、上海以及位于武汉郊区的“培训中心”和“武汉分支节点”。
标准参考答案：
　　解决方案的整体思路：
　　（1）核心路由设备迁移到一个核心机房，并迁移原有与二级设备的链路；
　　（2）所有服务器、核心交换机迁移到核心机房，并实现服务器区与两台核心交换机的默认网关冗余；
　　（3）统一采用二级、三级节点方式，打乱原有连接方式；对八个二级节点以外的节点都降级为三级节点；对原A企业三级节点、B企业扫描接入点采用就近接入原则或者就近线路迁移原则，形成三级网络结构；
　　（4）原有155M线路作主用，30M线路作备用。

【问题2】（9分）
　　原A企业服务器地址采用172.16.1.0/24一个C类地址段，原B企业服务器地址采用192.168.0.0/24、192.168.1.0/24二个C类地址段。A、B两企业用户地址和网络设备地址都采用10.0.0.0/8地址。要求在不影响业务的情况下采用层次化的地址分配方案合理规划地址（禁止使用NAT技术），请提供地址切换解决方案。
标准参考答案：
　　地址切换解决方案：
　　1．所有核心设备整合到一个机房后，在服务器区划分三个或多个VLAN，使原有服务器网段地址不作修改，以保障业务系统的正常使用。
　　2．用户地址进行统一规划，采用先横向再纵向的方式对各单位进行地址分配，各单位进行地址分配时对地址进行合理预留，以满足后期扩展。并采用DHCP技术自动分配业务地址。
　　3．设备管理地址采用32位掩码、属于单一地址段的地址进行全网统一规划，设备互联地址采用30位掩码的地址进行全网统一规划。

【问题3】（6分）
　　原A企业采用OSPF作为路由协议，协议进程规划为1，二级节点作为area0边界且往下分别归属于不同的area。原B企业采用OSPF作为路由协议，协议进程规划为10，分支节点作为area0边界且往下分别归属于不同的area。合并前A、B两企业之间采用静态路由连接。请提供两种基于OSPF协议的路由整合方案思路。
标准参考答案：
　　路由整合方案：
　　路由整合方案一 —— 整合所有路由器到一个OSPF体系中，所有核心设备规划到核心区域AREA 0中，其它节点按归属划分到不同的区域中。
　　路由整合方案二 —— 采用多进程OSPF技术，将原有两个单位的OSPF启用两个不同的进程，再进行路由的相互导入。

试题三（25分）
　　阅读以下关于某企业内部网络系统的叙述，回答问题1至问题3，将解答或相应的编号填入答题纸的对应栏内。
【说明】
　　某企业网络拓扑结构如图3-1所示。根据企业要求实现负载均衡和冗余备份，构建无阻塞高性能网络的建设原则，该企业网络采用两台S7606万兆骨干路由交换机作为双核心，部门交换机S2924G通过光纤分别与两台核心交换机相连，通过防火墙和边界路由器与Internet相连。S7606之间相连的端口均为Trunk端口，S7606与S2924G之间相连的端口也均为Trunk端口。
　　部分PC机IP信息及所属VLAN如表3-1所示。

图3-1 某企业网络拓扑结构

【问题1】（9分）
　　四台交换机都启用了MSTP生成树模式，其中S7606-1的相关配置如下：
　　S7606-1(config)# spanning-tree mst 1 priority 4096//缺省值是32768
　　S7606-1(config)# spanning-tree mst configuration
　　S7606-1(config-mst)# instance 1 vlan 10,12
　　S7606-1(config-mst)# instance 2 vlan 9,11
　　S7606-1(config-mst)# name region l
　　57606-1(config-mst)# revision 1
　　S7606-2的相关配置如下：
　　S7606-2(config)# spanning-tree mst 2 priority 4096
　　S7606-2(config)# spanning-tree mst configuration
　　S7606-2(config-mst)# instance 1 vlan 10,12
　　S7606-2(config-mst)# instance 2 vlan 9,11
　　S7606-2(config-mst)# name region 1
　　S7606-2(config-mst)# revision 1
　　两台S2924G交换机也配置了相同的实例、域名称和版本修订号。
　　（1）请问instance 2的生成树的根交换机是哪一台？为什么？
　　（2）就instance 1而言，交换机S2924G一的根端口是哪个端口？为什么？
　　（3）请指出PC1发给PC5的数据包经过的设备路径。
标准参考答案：
　　（1）instance 2的生成树的根交换机是S7606-2，因为其优先级的值较小，优先成为该实例的根交换机。
　　（2）对instance 1而言，交换机S2924G-1的根端口是Gig2/1端口，因为instance 1的生成树的根交换机是S7606-1，交换机S2924G-1离根桥最近的端口为根端口。
àS7606-2à S2924G-1 à　　（3）PC1 PC5àS2924G-2 

【问题2】（8分）
　　在三层交换机S7606-1中VLAN 10的IP地址配置为202.10.10.1/24，VLAN 11的IP地址配置为202.10.11.254/24。
　　在三层交换机S7606-2中VLAN 10的IP地址配置为202.10.10.254/24，VLAN 11的IP地址配置为202.10.11.1/24。两台三层交换机中的VRRP配置如下：
　　S7606-1(config)# interface vlan 10
　　S7606-1(config-if)# vrrp 10 ip 202.10.10.1
　　S7606-1(config-if)# vrrp 10 preempt
　　S7606-1(config)# interface vlan 11
　　S7606-1(config-if)# vrrp 11 ip 202.10.11.1

S7606-2(config)# interface vlan 10
　　S7606-2(config-if)# vrrp 10 ip 202.10.10.1
　　S7606-2(config)＃ interface vlan 11
　　S7606-2(config-if)# vrrp 11 ip 202.1011.1
　　S7606-2(config-if)# vrrp 11 preempt
　　（1） PC2主机中设置的网关IP为202.10.10.1，在网络正常运行的情况下，请按照以下格式写出PC2访问Internet的数据转发路径。（格式：PC2→设备1→．．．．．→Internet。不写返回路径）
　　（2）假设三层交换机S7606-1需要临时宕机1小时进行检修及升级操作系统。
　　请问这1小时时段内PC2在没有修改网关IP地址的情况下，是否能访问Internet？请结合交换机S7606-1宕机后发生的变化说明原因。
标准参考答案：
　　（1）在网络正常运行的情况下，PC2访问Internet的数据转发路径为：
　　PC2—>S2924G-1—>S7606-1—>防火墙—>边界路由器—>Internet
　　（2）a)能访问Internet
　　b)虚拟路由冗余协议VRRP是用于实现路由器冗余的协议，对共享多存取访问介质（如以太网）上终端IP设备的默认网关(Default Gateway)进行冗余备份，从而在其中一台路由设备宕机时，备份路由设备及时接管转发工作，向用户提供透明的切换，提高了网络服务质量。
　　根据给出的配置可知，在网络正常情况下，VRRP组10的主控路由器是S7606-1，备份路由器是S7606-2。当交换机S7606-1宕机后，经过主路由器失效间隔时间后，备份路由器会自动切换为主控路由器，整个过程对用户是透明的，因此客户机并不需要修改网关IP，仍可以连接Internet。

【问题3】（8分）
　　企业内部架设有无线局域网，并采用了802.1X认证，用户名和密码存放在Radius服务器的数据库中。无线路由器Wirelessrouterl支持802.1x协议，请回答以下问题：
　　（1）在图3-2所示的认证过程中，客户端向无线路由器发送的是什么帧？无线路由器向Radius服务器发送的是什么报文？
　　（2）在无线路由器中需要配置哪些与Radius Server相关的信息？
　　（3）如果无线路由器不支持802.1X认证，为满足无线用户必须经过认证才能上网的需求，能否在上层交换机中启用802.1X，并将端口设置为启用dot1x认证？请简要说明理由。

图3-2 802.1X认证示意图

标准参考答案：
　　（1）客户端向无线路由器发送的是EAPoL（Extensible Authentication Protocol over LAN）帧；无线路由器向Radius服务器发送的是EAP over RADIUS报文，因为认证系统将EAP帧封装到RADIUS报文中发送给认证服务器。
　　（2）在无线路由器中需要配置的Radius Server信息有：IP地址、认证和授权端口（只写端口也可以）、与RADIUS服务器一致的密钥。
　　（3）如果无线路由器不支持802.1X认证，可以在上层交换机中启用802.1X，并将端口设置为启用dot1x认证。但注意上层交换机下联无线路由器的802.1x端口认证模式应设置为 mac-based。这样接入物理端口的所有主机都需要进行认证才能访问网络资源。当某用户下线时，将不影响其它用户的认证状态，其它用户还可以继续访问网络。