技能大赛之企业网9网络系统安全项目测试试卷09.doc

湖南省高等职业院校计算机网络技术专业技能抽查考试“网络系统安全”项目测试试卷(编号 09 )第一部分考试说明一、 技能抽查考试内容发布 “网络系统安全管理项目”考试内容共分四个组成部分，其中：1. 项目工程设计、实施与管理部分，占总分的比例为10%.2. 路由与交换设备配置部分，占总分的比例为50%。3. 网络服务器配置及应用部分，占总分的比例为30%。4. 网络安全硬件配置部分，占总分的比例为10%。二、 技能抽查考试相关设备及材料清单1 软件环境序号类型名称位置1系统软件Windows XP pro sp3D:软件资料2系统软件Windows 2003 ServerD:软件资料3应用软件PuttyD:软件资料4应用软件Microsoft Visio 2007D:软件资料5应用软件VMware Workstation 7.0D:软件资料6应用软件Office 2003，winrar，Adobe reader 9D:软件资料7网管软件防火墙 IDSD:软件资料8驱动程序打印机D:软件资料9序列号所有对应的序列号D:软件资料10文本网络设备产品说明书D:软件资料2 硬件设备（1）网络相关设备采用锐捷或神州数码的相关产品。序号设备名称数量参考型号1路由器4RG-RSR20-18或DCR-26112串口模块6SIC-HIS3串口v.35线3V.354二层交换机2RG-S2328或DCS-39505三层交换机2RG-S3760或DCRS-5526S6防火墙2RG-WALL160M或DCFW-1800S7入侵检测系统1RG-IDS500S或DCNIDS-1800-M8电脑4Cpu 5300以上，内存2G以上，带com口第二部分 工程项目建设项目背景项目描述 迅达集团是一家从事高科技产品研发、生产和销售的大型企业，随着业务的发展，总公司和分公司通过网络互联，公司原有网络已经不能满足高效企业管理的需要，公司经常遭到来自互联网络的攻击或入侵，网络安全对生产和经营的影响也越来越明显。为了满足业务的需要，公司决定构建一个高速、稳定、安全的适应企业现代化办公需求的高性能网络。网络规划设计网络拓扑结构规划如图1所示。 本次公司的网络建构包括总公司和分公司的两个部分。总公司局域网核心采用单核心交换机的构架，核心交换机与汇聚层交换机之间通过链路局和实现高可靠性和带宽的扩容。核心交换机连接到出口防火墙，网络出口防火墙与出口路由器相连，同时出口路由器通过isp 线路连接到分公司的出口路由器。 通过配置防火墙来实现内网用户访问 Internet以及保护内网的安全。总公司和分公司之间的办公用户通过 路由器建立的隧道相互通信，有效的保证了数据传输的安全性。 服务器集中放置在网络中心机房，直接连接到核心交换机，通过部署 IDS 对网络中访问服务器的数据进行检测，通过 IDS 来预防内网的网络攻击。分公司的网络的出口路由器通过VPN 隧道与总公司路由器相连，通过安全通安全隧道来访问总公司的资源。二 工程项目建设内容1. 项目工程设计、实施与管理部分（10%）通过对用户的再次需求分析得知：由于用户对网络的可靠性要求特别高，即要求总公司内部的局域网以及与外网的访问能实现 7*24小时无故障运行。 而对前面设计的网络拓扑结构的设计分析得知，核心交换机可靠性存在一定不足，当核心层交换机发生故障的时候，总公司与外网之间的联系会处于瘫痪状态，为了避免这种情况的发生， 实现用户的对网络的高可靠性需求，现在需要对公司网络进行适当的改造，请在原拓扑结构的基础上设计更高可靠性 的网络拓扑结构，要求不能超过给定的设备，请绘制拓扑结构图，标注好端口、ip地址等必要的说明信息。 注意：拓扑结构图在考试结束前保存到“d:提交资料”目录中。 2. 路由与交换设备配置部分（50%） 根据图 1 的拓扑结构的要求完成以下配置： （1）完成北京总公司在所有网络设备 IP 地址的配置； VLAN10 SVI：54； VLAN11 SVI：54； VLAN20 SVI：54； VLAN21 SVI：54；（2） 在北京总公司的一台核心交换机和两台汇聚层交换机上配置 VLAN 信息，并将 F0/10-15 接口加入到 VLAN 10 中； （3）在北京总公司和上海分公司之间的路由器配置动态 ospf路由协议，区域号为 0； （4）在两路由器之间使用 ppp 协议封装，认证的方式为 pap，使用双向认证，用户名和密码可以自定；（5）为了防止内网有其他未经允许的移动笔记本接入，需要在适当的接口上配置端口安全，对合法的 IP 和 MAC 地址进行绑定，并对非法的客户机接入进行数据丢弃（IP、MAC 地 址请以实际使用的电脑为准，未接入客户机的端口可以不做配置） ； （6）在三层交换机上配置静态路由，是内网的用户可以访问防火墙，并将防火墙作为网关。注意：（1）所有设备的配置必须进行保存，此为评卷依据； （2）通过超级终端将各个设备的全部配置内容捕获成 TXT文件，存放到指定位置桌面组名*.txt。文件名以设备名称命名，例如：S2026-1的配置内容保存为S2026-1.txt。 （3）通过打印机将以上保存的文件分别打印成纸质文档，放置在桌面； （4）设备中的配置为唯一评卷依据；如果配置没有在设备中保存，即使有 TXT文件或者纸质文档,网络搭建部分也为 0 分；设备中的配置如果与 TXT文件或者纸质文档有差异，以设备中配置为准！3. 网络服务器配置及应用项目部分（30%） （1） 在总公司的网络中心机房的pc1服务器上利用VMware workstation软件， 安装一个 Windows 2003 操作系统，标签为 WIN2003A，存放位置分别为 D:WIN2003A，内存均为 512MB，网卡均使用桥接模式连接，网络 IP 地址范围在 /24即可，硬盘空间均为 10GB，且无需立即分配磁盘空间。（2）在 WIN2003 服务器上配置 DNS 服务，为单位内部用户提供域名解析服务，同时也负责向外部 DNS 服务器转发 DNS 请求，域名为 。能实现正向、反向域名解析服务。实现 www. 、ftp. 、mail. 和 oa. 域名解析服务；并为邮件服务器建立邮件交换器。将域 的记录内容界面截图保存；在客户端通过 nslookup解析以上域名，并将解析结果窗口截图。 （3）在 WIN2003 服务器上配置 FTP 服务，使得用户在客户端能通过域名 ftp. 访问服务器。该服务器设置隔离用户，设置用户 ftp_user1，该用户允许上传，不允许下载；开启 ftp的 log功能设置，文件名为 D:logftplog；设置无任何操作的超时时间为两分钟；设置 FTP服务器最大支持连接数为 1000 个，仅仅允许 VLAN20 网段的主机以 ftp_user1 访问。将配置文件界面截图保存。 （5）在客户端PC3（VLAN20） 通过域名访问 FTP 服务器，将访问的结果窗口截图保存。 （6）在 WIN2003 服务器上配置 DHCP 服务器，要求能为各个虚拟局域网的主机分配 TCP/IP参数，并将配置结构窗口截图。注意：（1）服务器操作系统均利用 VMware workstation 7.0 虚拟机系统实现。 （2）请各位考生按要求完成各项服务器配置，在完成配置后提交能反映各个配置项目结果的窗口截图，pc3 中 windows2003 系统的所有截图按照试题顺序粘贴在文件名为：组号_pc3.doc【如 3 组的文件命名为：3_pc3.doc】的文档中，请参照“d:提交资料组号_pc3.doc”文档模板。文档中要求有试题的题号小标题，并对每个截图进行必要的说明，无截图的项目不得分。4. 网络安全硬件配置部分（10%） （1）在网络中部署 IDS 入侵检测设备，布置在 /24 网段即可，对网络中访问服务器的数据进行检测，并将检测到的安全事件发送给 IDS 服务器，IDS 需要开启 DDOS、FTP、ICMP 策略包。在部署完 IDS 后，使用 pc3发起 ICMP 攻击，连续 ping 服务器 I