技能大赛之企业网11网络系统安全项目测试试卷11.doc

湖南省高等职业院校计算机网络技术专业技能抽查考试“网络系统安全”项目测试试卷(编号 11)第一部分考试说明一、 技能抽查考试内容发布 “网络系统安全管理项目”考试内容共分四个组成部分，其中：1. 项目工程设计、实施与管理部分，占总分的比例为10%.2. 路由与交换设备配置部分，占总分的比例为50%。3. 网络服务器配置及应用部分，占总分的比例为30%。4. 网络安全硬件配置部分，占总分的比例为10%。二、 技能抽查考试相关设备及材料清单1 软件环境序号类型名称位置1系统软件Windows XP pro sp3D:软件资料2系统软件Windows 2003 ServerD:软件资料3应用软件PuttyD:软件资料4应用软件Microsoft Visio 2007D:软件资料5应用软件VMware Workstation 7.0D:软件资料6应用软件Office 2003，winrar，Adobe reader 9D:软件资料7网管软件防火墙 IDSD:软件资料8驱动程序打印机D:软件资料9序列号所有对应的序列号D:软件资料10文本网络设备产品说明书D:软件资料2 硬件设备（1）网络相关设备采用锐捷或神州数码的相关产品。序号设备名称数量参考型号1路由器4RG-RSR20-18或DCR-26112串口模块6SIC-HIS3串口v.35线3V.354二层交换机2RG-S2328或DCS-39505三层交换机2RG-S3760或DCRS-5526S6防火墙2RG-WALL160M或DCFW-1800S7入侵检测系统1RG-IDS500S或DCNIDS-1800-M8电脑4Cpu 5300以上，内存2G以上，带com口第二部分 工程项目建设 一、项目背景1.项目描述开元集团是一家从事高科技产品研发、生产和销售的大型企业，公司通过网络与互联网相连互连，随着业务的发展，分公司或出差的员工需要与公司总部随时交换机密的商务信息。为了方便分公司和出差的员工能成功远程访问总公司内部的资源并保证这一过程中的安全是安全可控的，我们通过构建vpn来实现这一要求，通过vpn方案在局域网上实现一个安全、方便、低成本的远程访问服务。2.网络规划设计网络拓扑图结构规划如图1所示。图1公司网络拓扑结构图本次公司的网络构建包括总公司网络和员工在外地的接入网络这两个部分。总公司局域网核心采用双交换机的架构，通过VRRP技术实现负载均衡和链路备份。两台核心交换机链接到核心路由器，核心路由器连接到网络出口网络，总公司和分公司或用户之间的办公用户通过路由器建立的隧道互相通信，有效的保证了数据传输的安全性。服务器集中放置在网络中心机房，直接链接到核心交换机，通过部署IDS对网络中访问服务器的数据进行检测，通过IDS来预防内网的网络攻击。分公司或出差员工的网络的出口路由器通过VPN隧道与总公司路由器相连，通过安全通道来访问总公司的资源。二、工程项目建设内容1.项目工程设计、实施与管理部分（10%）通过对用户的再次需求分析得知：由于用户对网络的安全性要求特别高，即要求总公司内部的局域网以及与外网的访问能实现很高的安全性。而对前面设计的网络拓扑结构的设计分析得知，该网络的仅仅只在内网和外网之间部署了防火墙。现在请完成以下工作：（1）分析目前网络中的安全现状，指出安全漏洞所在，并提出改进意见，改进建议需要提供一定的投资分析，即在根据现有网络的规模的等级，安全投入与产出是否合理，以方便用户进行决策。序号安全缺陷改进建议投资分析备注表4 企业网安全分析表（2）在前面拓扑结构的基础上设计更高安全性的网络拓扑结构，要求可以超过给定的设备，请绘制拓扑结构图，标注好端口、ip地址等必要的说明信息。注意：拓扑结构图与分析表在考试结束前保存到“d：提交资料”目录中。2.路由与交换设备配置部分（50%）根据图1的拓扑结构的要求完成以下配置：（1）完成总、分公司在两台路由器和交换机的IP地址的配置；（2）在总公司的两台核心交换机上配置VLAN信息，具体配置如下，在两台交换机上配置四个VLAN，分别是VLAN10、VLAN20、VLAN30、VLAN40。将每个交换机中的2-3、6-10、12-15、16-20号端口分别划入VLAN10、VLAN20、VLAN30、VLAN40；VLAN10 SVI: 54;VLAN20 SVI: 54;VLAN30 SVI: 54;VLAN40 SVI: 54;（3）将SW2和SW3设置为链路聚合，并将聚合接口设置trunk，将SW2的FA0/4-5设置为链路聚合，并将聚合接口设置trunk；（4）参考拓扑结构图给交换机启用SVI并给相应的VLAN配置ip地址；（5）三个路由器之间通过静态路由互联；（6）客户端通过12tp来实现拔入，在LNS上配置远程程用户拨入的用户名和对应的密码为user和pass，启用l2tp隧道协议，建立VPN Client拨入申请 IP 地址的地址池，并命名为l2tp-user，封装PPP 协议，设置客户端拨入 LNS 服务器需要的认证方式为 chap ms-chap，关闭 l2tp隧道的认证功能。 注意： （1）所有设备的配置必须进行保存，此为评卷依据； （2）通过超级终端将各个设备的全部配置内容捕获成 TXT文件，存放到指定位置桌面组名*.txt。文件名以设备名称命名，例如：SW1 的配置内容保存为SW1.txt。 （3）通过打印机将以上保存的文件分别打印成纸质文档，放置在桌面； （4）设备中的配置为唯一评卷依据；如果配置没有在设备中保存，即使有 TXT文件或者纸质文档,网络搭建部分也为 0 分；设备中的配置如果与 TXT文件或者纸质文档有差异，以设备中配置为准！ 3. 网络服务器配置及应用项目部分（30%） （1）在在总公司的内部网络中心机房的 Server 1 服务器上利用 VMware workstation软件，安装一个 Windows 2003 操作系统， 标签为 WIN2003A， 存放位置分别为 D:WIN2003A， 内存均为 512MB，网卡均使用桥接模式连接，网络 IP 地址范围在 /24 即可，硬盘空间均为 10GB，且无需立即分配磁盘空间。 （2）为了保证内部网站 安全，总公司用户与内部网站 WEB 服务器建立加密通信，主要完成以下配置任务： （a）在 WIN2003A 系统中安装证书 CA 服务。 CA 类型选择“独立根 CA” ；将配置界面截图保存；CA的公用名称使用“ca” ；将配置界面截图保存；安装完毕后，启动证书服务。 （b）为 WEB 站点申请和颁发证书。在 WIN2003A 服务器上搭建一个内部网站，IP 地址为 00，域名为 ，主目录的本地路径为 D:oa，网站主页文档为 info.html，其内容为 “内部办公信息” ，并为 “”申请和颁发 CA服务证书，实现 WEB 站点的SSL加密功能（SSL端口号为 443） ，要求： 务器证书采用新建证书方式为网站分配证书； 证书名称为：bangong，单位为 kaiyuan，部门为 OA，公用名称为 OA，将证书请求提交的结果对话框截图保存； 安全通信要求开启 SSL 安全通道，客户端证书采用接受客户端证书，选择 CA 证书添加至 CTL 中的证书，名称为 CTL安全，将安全通信对话框截图保存。 （c）申请并安装客户端证书。 在客户端Client2 通过 SW1 接入网络并使用 https:/ .c 访问内部网站首页。将访问结果界面截图保存。 注意： （1）服务器操作系统均利用 VMware workstation 7.0 虚拟机系统实现。 （2）请各位考生按要求完成各项服务器配置，在完成配置后提交能反映各个配置项目结果的窗口截图，Server1 中 windows2003 系统的所有截图按照试题顺序粘贴在文件名为：组号 _server1.doc 【如 3 组的文件命名为： 3_server1.doc】 的文档中， 请参照 “d:提交资料组号_ server1.doc”文档模板。文档中要求有试题的题号小标题，并对每个截图进行必要的说明，无截图的项目不得分。 4. 网络安全硬件配置部分（10%） （1）在网络中部署 IDS 入侵检测设备，布置在 /24 网段即可，对网络中访问服务器的数据进行检测，并将检测到的安全事件发送给 IDS 服务器，IDS 需要开启 DDOS、FTP、ICMP 策略包。在部署完 IDS 后，使用 pc3发起 ICMP 攻击，连续 p