組網技術與網絡管理課后答案-資料下載頁

　　

【正文】 在各個通信層上實現多種協議。例如，相應接口的物理層和鏈路層協議、IP/ICMP等互聯網層協議、TCP/UDP等傳輸層協議、Telnet/SNMP等應用層協議和RIP/OSPF/BGP等路由協議。協議一致性測試應當包含路由器所實現的所有協議。由于該測試內容繁多且測試復雜，在測試中，可以選擇重要的協議以及所關心的內容進行測試。由于骨干網上的路由器可能影響到全球路由，所以，在路由器測試中，應特別重視路由協議一致性測試，例如OSPF和BGP協議。由于一致性測試只能選擇有限測試例進行測試，一般無法涵蓋協議的所有內容。所以，即使已通過測試也無法保證設備能完全實現協議的所有內容，所以最好的辦法是在現實環境中進行測試。路由器一致性測試一般采用分布式測試法或遠端測試法。4. 互操作測試由于通信協議、路由協議非常復雜并且擁有眾多的選項，因此，實現同一協議的路由器并不能保證互通、互操作。并且因為一致性測試的能力有限，即使可以通過協議一致性測試也未必能保證完全實現協議，所以，有必要對設備進行互操作測試。互操作測試實際上是將一致性測試中所使用的儀表替換成需要與之互通、互操作的設備，選擇一些重要且典型的互聯方式進行配置，觀察兩臺設備是否能按照預期的計劃正常工作。5. 穩定性、可靠性測試路由器的穩定性和可靠性很難進行測試。一般可以通過兩種途徑得到：(1)廠家通過關鍵部件的可靠性以及備份程度來計算出系統的可靠性；(2)用戶或廠家通過大量相同產品在使用中的故障率來統計產品的穩定性和可靠性。當然，用戶也可以通過在一定時間內，對試運行結果的要求來保證路由器的可靠性與穩定性。6. 網管測試網管測試一般用于測試網管軟件對網絡和網絡設備的管理能力。由于路由器是IP網的核心設備，所以必須測試路由器對網管的支持度。如果路由器附帶有網管軟件，可以通過使用所附帶的網管軟件來檢查網管軟件所實現的配置管理、安全管理、性能管理、計賬管理、故障管理、拓撲管理和視圖管理等功能。如果路由器不附帶有網管軟件，則應當測試路由器對SNMP協議實現的一致性和對MIB實現的程度。由于路由器需要實現的MIB非常多，每個MIB都包含有大量的內容，很難對MIB實現完全測試。一般可以通過抽測重要的MIB項來檢查路由器對MIB的實現情況。(3) 簡答網絡故障分層檢測的方法。答：針對網絡的分層結構特點，在分析和排查網絡故障時，應充分利用網絡這種分層的特點，快速準確地定位并排除故障。TCP/IP的層次結構為管理員分析和排查故障提供了非常好的組織方式。由于其各層相對獨立，按層排查能夠有效地發現和隔離故障，因而一般使用逐層分析和排查的方法。逐層排查方式通常有兩種，一種是從低層開始排查，適用于物理網絡不夠成熟穩定的情況，例如組建新的網絡、重新調整網絡線纜、增加新的網絡設備；另一種是從高層開始排查，適用于物理網絡相對成熟穩定的情況，例如硬件設備沒有變動。無論使用哪種方式，最終都能達到目標，只是解決問題的效率有所差別。具體采用哪種排查方式，可根據具體地情況來選擇。例如，遇到某客戶端不能訪問Web服務的情況，如果管理員首先去檢查網絡的連接線纜，就顯得太悲觀了，除非明確知道網絡線路有所變動。比較好的選擇方法是直接從應用層著手，可以按照以下方法進行排查：首先檢查客戶端的Web瀏覽器是否正確配置，可以嘗試使用瀏覽器訪問另一個Web服務器，如果Web瀏覽器沒有問題，可以在Web服務器上測試Web服務器是否正常運行；如果Web服務器沒有問題，再測試網絡的連通性。即使是Web服務器問題，從底層開始逐層排查也能最終解決問題，只是花費的時間太多了。如果碰巧是線路問題，從高層開始逐層排查也要浪費時間。假設現在在公司里網絡發生了故障導致無法上網，你作為一名網管，應該如何排除故障。答：根據本章介紹的知識，可以分成以下排錯步驟：（1）首先，查看無線路由器，LAN的燈是否亮綠燈，如是則正常，否則說明路由器故障。（2）再查看無線路由器的WAN燈是否亮且亮綠燈，如是說明正常，否則說明可能是帶寬外線故障或者路由器本身故障。（3）如果以上可能都排除，接下來需要檢測交換機，觀察交換機的燈是否閃爍，使用操作系統的網絡監視器來查看網絡包交換情況，來確認交換機是否故障。（4）當交換機故障排除后，下面就要觀察是否在局域網內出現IP地址沖突，如果是的話，要及時修改。（5）當以上可能性排除后，剩下的是網卡故障和操作系統軟件故障。 只需按照以上的步驟一步一步的排除，最終就可以找到網絡故障的原因。 思考與練習1. 填空題(1) 配置管理、故障管理、性能管理、安全管理和計費管理。(2) 集中式網管和分布式網管(3) 被管理設備、代理和網絡管理系統(NMS) (4) Get、Set和Trap。2. 選擇題(1) B (2) C (3) A (4) D 3. 問答題(1) 簡述網絡管理系統的5大功能。答：國際標準化組織(ISO)在ISO/IEC 74984文檔中定義了網絡管理的5大功能：配置管理、故障管理、性能管理、安全管理和計費管理。1. 配置管理配置管理是一組辨別、定義、控制和監視設備所必需的相關功能，即網絡中應有或實際有多少設備，每個設備的功能及其連接關系、工作參數等。2. 故障管理故障管理指的是管理功能中的監測設備故障以及與故障設備的監測、恢復或故障排除等措施有關的網絡管理功能，其目的是保證網絡能夠提供可靠的服務。3. 性能管理性能管理用于對系統運行和通信效率等系統性能進行評價，包括從被管理設備中收集與網絡性能有關的數據，分析和統計歷史數據，建立性能分析模型，預測網絡性能的長期趨勢，并根據分析和預測結果對網絡拓撲結構和參數進行調整。性能管理保證了網絡資源的最優化利用。4. 安全管理安全管理涉及的問題包括保證網絡管理工作可靠進行的安全問題，保護網絡用戶個人隱私和保護網絡管理對象的問題。5. 計費管理計費管理過程主要用于完成與費用有關的一些信息的收集、處理并給出報告，包括用戶對網絡資源的使用等，計費管理功能提供了對用戶收費的依據。(2) SNMP定義了哪些基本命令？答：SNMP實現中的基本命令有3個：Get、Set和Trap。● Get：管理系統可以讀取管理代理包含的對象信息的值。Get命令是SNMP協議中使用率最高的一個命令，因為它是從網絡設備中獲取管理信息的基本方法。● Set：管理系統可以修改管理代理包含的對象信息的值。Set命令是一個特權命令，因為通過它可以改變設備的配置或控制設備的運行狀態。● Trap(陷阱)：管理代理可以向網絡管理軟件主動發送一些信息。Trap命令的功能是在網絡管理系統沒有明確的要求下，管理代理主動通知網絡管理系統網絡上有一些特別的情況或特別的問題發生了。 思考與練習1. 填空題(1) 機密性、完整性、可用性、真實性和不可否認性。(2) 物理層安全、系統層安全、網絡層安全、應用層安全和安全管理。(3) 對稱加密算法(私鑰密碼體系)和非對稱加密算法(公鑰密碼體系)。(4) 網絡層(5) 數據采集子系統、數據分析子系統、控制臺子系統和數據庫管理子系統。2. 選擇題(1) A (2) ACD (3) A(4) D 3. 問答題1) 簡述網絡安全防范體系的結構框架。答：網絡安全防范體系的科學性和可行性是其可順利實施的保障。基于DISSP擴展的一個三維安全防范技術體系框架結構，第一維是安全服務，給出了8種安全屬性(ITUT )，其中包括了對等實體認證、數據源認證、訪問控制、機密性、流量機密性、數據完整性、抗否認服務、可用性；第二維是系統單元，給出了信息網絡系統的組成，其包括了通信平臺、網絡平臺、系統平臺、應用平臺、物理環境；第三維是結構層次，給出并擴展了國際標準化組織ISO的開放系統互聯(OSI)模型，其包括了應用層、傳輸層、網絡層、鏈路層和物理層。框架結構中的每一個系統單元都對應于某一個協議層次，需要采取若干種安全服務才能保證該系統單元的安全。網絡平臺需要有網絡節點之間的認證和訪問控制，應用平臺需要有針對用戶的認證和訪問控制，需要保證數據傳輸的完整性和保密性，需要有抗抵賴和審計的功能，需要保證應用系統的可用性和可靠性。針對一個信息網絡系統，如果在各個系統單元都有相應的安全措施來滿足其安全需求，則該信息網絡被認為是安全的。2) 簡述入侵檢測技術的工作原理。答：目前，IDS分析及檢測入侵階段一般通過以下幾種技術手段進行分析：特征庫匹配、基于統計的分析和完整性分析。其中，前兩種方法用于實時的入侵檢測，而完整性分析則用于事后分析。為了能夠更有效地發現網絡受攻擊的跡象，網絡入侵檢測部件應當能夠分析網絡上所使用的各種網絡協議，識別各種網絡攻擊行為。網絡入侵檢測部件對網絡攻擊行為的識別通常是通過網絡入侵特征庫來實現，這種方法有利于在出現了新的網絡攻擊手段時，方便地對入侵特征庫加以更新，提高入侵檢測部件對網絡攻擊行為的識別能力。根據IDS監控的對象，可以將IDS分為以下兩大類：● 基于網絡的系統：這種IDS放置在網絡之上，靠近被檢測的系統，它們用于監測網絡流量并判斷它是否正常。● 基于主機的系統：這種系統經常運行在被監測的系統之上，用以監測系統上正在運行的進程并判斷它是否合法。利用網絡入侵檢測技術可以實現網絡安全檢測和實時攻擊識別，但它只能作為網絡安全的一個重要安全組件，網絡系統的實際安全實現應該結合使用防火墻等技術來組成一個完整的網絡安全解決方案，其原因在于，網絡入侵檢測技術雖然能對網絡攻擊進行識別并做出反應，但其側重點在于發現，不能代替防火墻系統執行整個網絡的訪問控制策略。防火墻系統能夠將一些預期的網絡攻擊阻擋在網絡外面，而網絡入侵檢測技術除了減小網絡系統的安全風險之外，還能對一些非預期的攻擊進行識別并做出反應，切斷攻擊連接或通知防火墻系統修改控制準則，將下一次的類似攻擊阻擋在網絡外部。因此，通過將網絡安全檢測技術和防火墻系統結合起來，可以實現一個完整的網絡安全解決方案。3) 簡述IPSec的工作原理。答：IPSec的工作原理類似于包過濾防火墻，可以看作是對包過濾防火墻的一種擴展。當接收到一個IP數據包時，包過濾防火墻使用其頭部在一個規則表中進行匹配，當找到一個相匹配的規則時，包過濾防火墻就按照該規則制訂的方法對接收到的IP數據包進行處理。這里的處理工作只有兩種：丟棄或轉發。IPSec通過查詢SPD(Security Po1icy Database安全策略數據庫)決定對接收到的IP數據包進行處理。但是，IPSec不同于包過濾防火墻的是：對IP數據包的處理方法除了丟棄和直接轉發(繞過IPSec)外，還有一種即進行IPSec處理。正是這個新增添的處理方法提供了比包過濾防火墻更進一步的網絡安全性。進行IPSec處理意味著對IP數據包進行加密和認證。包過濾防火墻只能控制來自或去往某個站點的IP數據包的通過，可以拒絕來自某個外部站點的IP數據包訪問內部某些站點，也可以拒絕某個內部站點對某些外部網站的訪問。但是，包過濾防火墻不能保證從內部網絡出去的數據包不被截取，也不能保證進入內部網絡的數據包未經過篡改。只有在對IP數據包實施了加密和認證后，才能保證在外部網絡傳輸的數據包的機密性、真實性、完整性，通過Internet進行安全的通信才成為可能。IPSec既可以只對IP數據包進行加密，或只進行認證，也可以同時實施兩者。但無論是進行加密還是進行認證，IPSec都有兩種工作模式：一種是協議工作方式類似的隧道模式；另一種是傳輸模式。傳輸模式只對IP數據包的有效負載進行加密或認證。此時，繼續使用以前的IP頭部，只對IP頭部的部分域進行修改，而IPSec協議頭部插入到IP頭部和傳輸層頭部之間。隧道模式對整個IP數據色進行加密或認證。此時，需要新產生一個IP頭部，IPSec頭部被放置在新產生的IP頭部和以前的IP數據包之間，從而組成一個新的IP頭部。