2013年軟考網(wǎng)絡(luò)工程師復(fù)習(xí)資料及習(xí)題(4)

　　【問(wèn)題】

　　crypto isakmp policy 1 //配置ike策略1

　　authentication pre-share //ike策略1的驗(yàn)證方法設(shè)為pre_share

　　group 2 //加密算法未設(shè)置則取默認(rèn)值:des

　　crypto isakmp key test123 address 202.96.1.2 //設(shè)置pre-share密鑰為test123，此值兩端需一致

　　crypto ipsec transform-set vpntag ah-md5-hmac esp-des //設(shè)置ah散列算法為md5，esp加密算法為des

　　crypto map vpndemp 10 ipsec-isakmp //定義crypto map

　　set peer 202.96.1.2 //設(shè)置隧道對(duì)端ip地址

　　set transform-set vpntag //設(shè)置隧道ah及esp

　　match address 101

　　!

　　interface tunnel0 //定義隧道接口

　　ip address 192.168.1.1 255.255.255.0 //隧道端口ip地址

　　no ip directed-broadcast

　　tunnel source 202.96.1.1 //隧道源端地址

　　tunnel destination 202.96.1.2 //隧道目標(biāo)端地址

　　crypto map vpndemo //應(yīng)用vpndemo于此接口

　　interface serial0/0

　　ip address 202.96.1.1 255.255.255.252 //串口的internet ip地址

　　no ip directed-broadcast

　　crypto map vpndemo //應(yīng)用vpndemo于此端口

　　!

　　interface ethernet0/1

　　ip address 168.1.1.1 255.255.255.0 //外部端口ip地址

　　no ip directed-broadcast

　　interface ethernet0/0

　　ip address 172.22.1.100 255.255.255.0 //內(nèi)部端口ip地址

　　no ip directed-broadcast

　　!

　　ip classless

　　ip route 0.0.0.0 0.0.0.0 202.96.1.2 //默認(rèn)靜態(tài)路由

　　ip route 172.22.2.0 255.255.0.0 192.168.1.2 //到內(nèi)網(wǎng)靜態(tài)路由(經(jīng)過(guò)隧道)

　　access-lost 101 permit gre host 202.96.1.1 host 202.96.1.2 //定義訪問(wèn)控制列表

　　【問(wèn)題1】

　　訪問(wèn)列表能夠幫助控制網(wǎng)上ip包的傳輸，主要用在以下幾個(gè)方面：

　　1、控制一個(gè)端口的包傳輸

　　2、控制虛擬終端訪問(wèn)數(shù)量

　　3、限制路由更新的內(nèi)容

　　【問(wèn)題2】

　　•標(biāo)準(zhǔn)ip訪問(wèn)列表

　　–檢查源地址

　　–通常允許、拒絕的是完整的協(xié)議

　　•擴(kuò)展ip訪問(wèn)列表

　　–檢查源地址和目的地址

　　–通常允許、拒絕的是某個(gè)特定的協(xié)議

　　【問(wèn)題3】

　　在此例中所有的ip數(shù)據(jù)包將全部不能從serial 0端口發(fā)送出去。

　　原因：在默認(rèn)情況下，除非明確規(guī)定允許通過(guò)，訪問(wèn)列表總是阻止或拒絕一切數(shù)據(jù)包的通過(guò)，即實(shí)際上在每個(gè)訪問(wèn)列表的最后，都隱含有一條"deny any"的語(yǔ)句。

　　假設(shè)我們使用了前面創(chuàng)建的標(biāo)準(zhǔn)ip訪問(wèn)列表，從路由器的角度來(lái)看，這條語(yǔ)句實(shí)際內(nèi)容如下：

　　access-list 1 deny 172.16.4.13 0.0.0.0

　　access-list 1 deny any

　　因此我們應(yīng)將配置改為：

　　access-list 1 deny 172.16.4.13 0.0.0.0

　　access-list 1 permit any

　　interface serial 0

　　ip access-group 1 out

編輯推薦：

2013 年上半年軟件水平考試合格標(biāo)準(zhǔn)

各地 2013年軟件水平考試報(bào)名時(shí)間匯總

考試吧策劃：2013年軟件水平考試報(bào)考指南