2009年下半年软考网络工程师考试真题(上午).doc

试题四（共15分）阅读以下说明，回答问题1至问题4，将解答填入答题纸对应的解答栏内。【说明】某公司通过PIX防火墙接入Internet，网络拓扑如图4-1所示。图4-1在防火墙上利用show命令查询当前配置信息如下：PIX# show confignameif eth0 outside security 0nameif eth1 inside security 100nameif eth2 dmz security 40fixup protocol ftp 21 （1）fixup protocol http 80ip address outside 2 48ip address inside ip address dmz global(outside) 1 6nat(inside) 1 route outside 5 1 （2）【问题3】（2分）根据所显示的配置信息，由inside域发往Internet的IP分组，在到达路由器R1时的源IP地址是 （7） 。答案：（7）6【问题4】（3分）如果需要在DMZ域的服务器（IP地址为00）对Internet用户提供web服务（对外公开IP地址为3），请补充完成下列配置命令。PIX(config)# static(dmz, outside) （8） （9）PIX(config)# conduit permit tcp host （10） eq www any说明：static命令的格式是：static(nameif,outside) ip-outside, ip-nameif第（10）空要填写一个主机地址，这里填写的是DMZ内的那个主机的IP地址，而不是对外的那个地址。以免出现修改NAT配置后，开放的内网主机服务的命令也要跟随改动。答案：（8）3（9）00（10）00 某单位网络拓扑结构如图5-1所示，要求配置IPSec VPN使/24网段能够连通/24网段，但/24网段不能连通/24网段。图5-1【问题1】（4分）根据网络拓扑和要求，解释并完成路由器R1上的部分配置。R1(config)# crypto isakmp enable（启用IKE）R1(config)# crypto isakmp （1） 20（配置IKE策略20）R1(config-isakmp)# authentication pre-share （2）R1(config-isakmp)# exitR1(config)# crypto isakmp key 378 address （配置预共享密钥为378）R1(config)# access-list 101 permit ip （3） 55 （4） 55（设置ACL）说明：“access-list 101 permit ip （3） 55 （4） 55”的意思是“从本地站点（3）发出的和来自远点站点（4）的数据将得到保护。”答案：（1）policy（2）验证方法为使用预共享密钥（3）（4）【问题2】（4分）根据网络拓扑和要求，完成路由器R2上的静态路由配置。R2(config)# ip route （5） R2(config)# ip route （6）R2(config)# ip route 答案：（5）（6）【问题3】（空（9）1分，其他2分，共7分）根据网络拓扑和R1的配置，解释并完成路由器R3的部分配置。R3(config)# crypto isakmp key （7） address （8） R3(config)# crypto transform-set testvpn ah-md5-hmac esp-des esp-md5-hmac （9）R3(cfg-crypto-trans)# exitR3(config)# crypto map test 20 ipsec-isakmpR3(config-crypto-map)# set peer R3(config-crypto-map)# set transform-set （10）