技能大赛之企业网1网络系统安全项目测试试卷01.doc

湖南省高等职业院校计算机网络技术专业技能抽查考试“网络系统安全”项目测试试卷(编号 01 )第一部分考试说明一、 技能抽查考试内容发布 “网络系统安全管理项目”考试内容共分四个组成部分，其中：1. 项目工程设计、实施与管理部分，占总分的比例为10%.2. 路由与交换设备配置部分，占总分的比例为50%。3. 网络服务器配置及应用部分，占总分的比例为30%。4. 网络安全硬件配置部分，占总分的比例为10%。二、 技能抽查考试相关设备及材料清单1 软件环境序号类型名称位置1系统软件Windows XP pro sp3D:软件资料2系统软件Windows 2003 ServerD:软件资料3应用软件PuttyD:软件资料4应用软件Microsoft Visio 2007D:软件资料5应用软件VMware Workstation 7.0D:软件资料6应用软件Office 2003，winrar，Adobe reader 9D:软件资料7网管软件防火墙 IDSD:软件资料8驱动程序打印机D:软件资料9序列号所有对应的序列号D:软件资料10文本网络设备产品说明书D:软件资料2 硬件设备（1）网络相关设备采用锐捷或神州数码的相关产品。序号设备名称数量参考型号1路由器4RG-RSR20-18或DCR-26112串口模块6SIC-HIS3串口v.35线3V.354二层交换机2RG-S2328或DCS-39505三层交换机2RG-S3760或DCRS-5526S6防火墙2RG-WALL160M或DCFW-1800S7入侵检测系统1RG-IDS500S或DCNIDS-1800-M8电脑4Cpu 5300以上，内存2G以上，带com口第二部分 工程项目建设一、 项目背景1、 项目描述开元集团是一家从事高科技产品研发、生产和销售的大型企业，总公司和分公司通过网络互连，随着业务的发展，公司原有网络已经不能满足高效企业管理的需求，公司经常遭到来自互联网络的攻击或入侵，网络安全对生产和经营的影响越来越明显。为了满足业务的需求，公司决定构造一个高速、稳定、安全的适应企业现代化办公需求的高性能网络。2、 网络规划设计 网络拓扑结构如图1所示 图1网络拓扑结构图 本次公司的网络构建包括总公司和分公司的两个部分。总公司局域网核心采用双层交换机的构架，通过VRRP技术实现负载均衡和链路备份。两台核心交换机链接到核心路由器，核心路由器连接到网络出口防火墙，同时核心路由器通过专业连接到分公司的出口路由器。总公司的网络出口使用防火墙连接到ISP，通过配置防火墙来实现内网用户访问Internet以及保护内网的安全。总公司和分公司之间的办公用户通过路由器建立的隧道相互通信，有效的保证了数据传输的安全性。服务器集中放置在网络中心机房，直接连接到核心交换机，通过部署IDS对网络中访问服务器的数据进行检测，通过IOS来预测内网的网络攻击。分公司的网络的出口路由器通过VPN隧道与总公司路由器相连，通过安全隧道来访问总公司的资源。二、 工程项目建设内容1、 项目工程设计、实施与管理部分（10%） 通过对用户的再次需求分析得知：由于用户对网络的可靠性要求特别高，即要求总公司内部的局域网以及外网的访问能实现7*24小时无故障运行。而面对前面设计的网络拓扑结构的设计分析得知，核心交换机与总公司出口路由器之间的可靠性不足，当S3760-B(RG-S3760-24或OCRS-5526S)或RSR20-A(RG-RSR20-18或DCR-26N)中某一个设备发生故障的时候，总公司与分公司与外网之间的联系均处于瘫痪状态，为了避免这种情况的发生，实现用户对网络的高可靠性需求，现在需要对公司网络进行适当的改造，请在原拓扑结构的基础上设计更高可靠性的网络拓扑结构，要求不能超过给定的设备，请绘制拓扑结构图，标注好端口、ip地址等必要的说明信息。 注意：拓扑结构图在考试结束前保存到“d:提交资料”目录中。 2.路由与交换配置部分（50%） 根据图1的拓扑结构的要求完成以下配置： （1）完成总、分公司在两台路由器和交换机的ip地址的配置 （2）在总公司的两台核心交换机和一台汇聚层交换机上配置VLAN信息，具体配置如下，在三台交换机上配置四个VLAN,分别是VLAN10 VLAN20 VLAN30 VLAN40。将每个交换机中的2-4、5-7、12-15、16-20号端口分别划入VLAN10 VLAN20 VLAN30 VLAN40: ( 3)将S3750-A的FA0/23-24设置为链路聚合，并将聚合接口设置trunk，将S3750-B的FA0/23-24设置为链路聚合，并将聚合接口设置trunk： （4）参考图片朴结构图给交换机启用SVI并给相应的VLAN配置ip地址： （5）为了做到安全访问，请实现如下配置：只允许VLAN10. VLAN20的用户在上班时间（9：00-18：00）访问FTP. DHCP服务器，其他时间不允许访问，不允许vlan10 与vlan20相互访问，其他不受限制，所有用户只有上班时间（周一至周五的9：00-18：00）才可以允许访问互联网： 注意：（1） 所有设备的配置必须进行保存，此为评卷依据：（2） 通过超级终端将各个设备的全部配置内容捕获成TXT文件，存放到指定位置桌面祖名*txt。文件名一设备名称命名，例如：S3750-A的配置吗、内容保存为S3750-Atxt（3） 通过打印机将以上保存的文件分别打印成纸质文档放置在桌面：（4） 设备中的配置唯一评卷依据：如果配置没有在设备中保存，即使TXT文件或者纸质文档，网络搭建部分也为0分：设备中的配置如果与TXT 文件或者纸质文档有差异，以设备中设置为准！3. 网络服务器配置及应用项目部分*（30%）（10在总公司的网络中心机房的Server 1服务器上利用VMware workstation软件，安装一个Windows2003 操作系统，标签为WIN2003A，存放位置为0：WIN2003A，内存均为512M，网卡均使用桥接模式连接，网络IP地址范围在/24即可，硬盘空间均为10GB，且无需立即分配磁盘空间（2）为了保证内部网站安全，总公司用户与内部网关WEB服务器建立加密通信，主要完成以下配置任务：1）在WIN2003A系统中安装CA服务。CA 类型选择“独立根CA”、将配置界面截图保存；CA的公共名称使用“ca”：将配置系统截图保存；安装完毕后，启动证书服务。2）为web站点申请和颁发证书在WIN2003A服务器上搭建一个内部网站，ip地址00 域名为oa。K， 主目录的本地路径为D：oa，网站主页文档info.html，其内容为“内部办公信息”，并为“” 申请和和颁发ca服务证书，实现WEB站点SSL加密功能（SSL端口号为443），要求：1服务证书采用新建证书方式为网站分配证书：2证书名称为：bangong，单位为kaiyuan，部门为OA，采用名称为OA ，将证书请求提交的结果对话框截图保存3安全通行要求开启SSL安全通道，客