一、选择题
1．通过获得Root/administrator密码以及权限进行非法系统操作，这属于那一种攻击手段? A．暴力攻击 B．电子欺骗C．权限提升 D．系统重启攻击
2．以下不属于防火墙NAT地址转换优点的是．．．．．A.实现IP地址复用，节约宝贵的地址资源
B.地址转换过程对用户透明
C.网络监控难度加大
D.可实现对内部服务器
的负载均衡
3. 内部服务器和NAT inbound共同使用，应配置何种NAT？
A．基于源地址的NAT B．基于目的地址的NAT
C．双向NAT D．基于源IP地址和端口的NAT
4．以下哪一种加密算法不属于对称加密算法：（）
A． ECC B． 3DES C． IDEA D． DES
5．下列属于多通道协议的是
A． FTP B． HTTP C．SNMP D．TELNET
6.以下哪种VPN最适合出差人员访问公司内部网络
D. L2tp VPN A.IPSec VPN B.GRE VPN C. L2f VPN
7．下列哪项不是数字签名的主要功能？
B. 完整性检验
C. 身份认证
D. 数据加密防抵赖 A.
8．以下不属于防火墙默认安全区域的是
A.trust
B.untrust
C.Local
D. Default
9. 华为防火墙定义ACL时默认步长是
A.2
B.5
C. 8
D. 10
10．用户收到一封可疑电子邮件，要求用户提供银行账户和密码，这属于那一种攻击手段?
A．缓冲区溢出 B． DDOS C．钓鱼攻击 D．暗门攻击
二、判断题
地址位需要比IP表示对应的1反子网掩码和子网掩码的格式相似，但取值含义不同：1.
较，0表示对应IP地址为忽略比较。（X）
2.扩展访问控制列表是访问控制列表应用范围最广的一类，在华为防火墙ACL中，扩展访问控制
列表范围为3000-3099。（X）
3. OSI七层模型中，传输层数据称为段（Segment），主要是用来建立主机端到端连接，包括TCP
和UDP连接。（√）
4.在配置域间缺省包过滤规则时，zone1和zone2的顺序是随意的。（√）
5.路由器收到数据文件时，若没有匹配到具体的路由表时，可按照默认路由表进行转发。
（√）
6.IPV6使用128bit的IP地址，能满足未来很多年的IP地址需求，是代替IPV4的最终方案。
（√）
7. 当配置NAT地址转换是使用了Address-group 1 没有加no-pat这个命令意味着使用的是NAPT
的转换方式（√）
8.inbound方向的NAT使用一个外部地址来代表内部地址，用于隐藏外网服务器的实际IP地址。（X）
9. 防火墙中不存在两个具有相同安全级别的安全区域。（√）
10.非对称密钥算法的优点是密钥安全性高，缺点是密钥分发问题。（X）
三、简答题
1．什么是Outbound方向NAT，其转换方式有哪几种？
出方向是指数据由高安全级别的安全区域向低安全级别安全区域传输的方向。
三种转换方式：
1、一对一地址转换
2、多对多地址转换
3、多对一地址转换
2．请简要描述常见的网络安全攻击方式有哪些，并简要描述其防范方式
1、数据嗅探防范方式：1.验证2.改变网络结构 3.反嗅探工具 4.加密
2、非法使用防范方式：1.过滤2.验证 3.加密 4.关闭服务和端口
3、信息篡改防范方式：1.明文加密2.数据摘要 3.数字签名
4、拒绝服务防范方式：1.屏蔽IP 2.流量控制 3.协议防范 4.侦测 5.策略
5、社会工程防范方式：1.技术层面2.管理层面
6、BUG和病毒防范方式：1.补丁2.定时扫描 3.审计 4.终端保护
3．简述ACL与ASPF的区别与联系
ACL ASPF
简单较繁琐配置
复杂简单设计实现
消耗部分系统资源速度快对系统性能影响支持不支持多通道协议的支持高安全性低
4。防火墙的工作模式主要有哪几种，特点是什么
1、路由模式
特点：如果防火墙通过网络层对外连接（接口具有IP地址），则防火墙工作在路由模式
2、透明模式
特点：如果防火墙通过数据链路层对外连接（接口无IP地址），则认为防火墙工作在透明模式3、混合模式
如果防火墙既存在工作在路由模式接口（接口具有IP地址），又存在工作在透明模式的接口
（接口无IP地址），则认为防火墙工作在混合模式。
5.请列举出二层VPN和三层VPN区别是什么，并分别列举哪些属于二层VPN，哪些属于三层VPN
区别：二层VPN工作在协议栈的数据链路层，三层VPN工作在协议栈的网络层
二层VPN：PPTP(点到点隧道协议)、L2F（二层转发协议）、L2TP（二层隧道协议）
三层VPN：GRE VPN、IPSec VPN
6．访问控制列表作用及分类
在防火墙应用中，访问控制列表是对经过防火墙的数据流进行网络安全访问的基本手段，决定了后续的应用数据流是否被处理。访问控制列表根据通过报文的源地址、目的地址、端口号、上层协议等信息组合定义网络中的数据流。
分类：
1、标准访问控制列表ACL2000-2999
2、扩展访问控制列表ACL3000-3999
四．配置题
1、实验四：配置防火墙WEB管理实验
步骤1：把Ethernet 1/0/0接口加入VLAN，并将VLAN接口加入安全区域。
输入用户名#．
admin
#输入密码
Admin@123
#切换语言模式为中文模式
# 创建编号为5的VLAN。
[USG2100] vlan 5
[USG2100-vlan5] quit
# 配置Ethernet 1/0/0的链路类型并加入VLAN。
[USG2100] interface Ethernet 1/0/0
[USG2100-Ethernet1/0/0] port access vlan 5
[USG2100-Ethernet1/0/0] quit
# 创建VLAN 5所对应的三层接口Vlanif 5，并配置Vlanif 5的IP地址，配置VLAN接口。[USG2100] interface vlanif 5
[USG2100-Vlanif5] ip address 129.9.0.189 24
[USG2100-Vlanif5] quit
# 配置Vlanif 5加入Trust区域。
[USG2100] firewall zone trust
[USG2100-zone-trust] add interface Vlanif 5
[USG2100-zone-trust] quit
步骤2：配置域间过滤规则。
[USG2100] acl 2001
[USG2100-acl-basic-2001] rule permit source 129.9.0.189 0.0.0.0
[USG2100-acl-basic-2001] quit
[USG2100] acl 2002
[USG2100-acl-basic-2002] rule permit source 129.9.0.101 0.0.0.0
[USG2100-acl-basic-2002] quit
[USG2100] firewall interzone trust local
[USG2100-interzone-local-trust] aspf packet-filter 2001 outbound
[USG2100-interzone-local-trust] aspf packet-filter 2002 inbound
步骤3：启用Web管理功能（默认情况下是打开的）。
[USG2100] web-manager enable
步骤4：配置Web用户。
[USG2100] aaa
[USG2100-aaa] local-user Xunfang password simple Xunfang123
[USG2100-aaa] local-user Xunfang service-type web
[USG2100-aaa] local-user Xunfang level 3
[USG2100-aaa] quit
步骤5：配置PC的IP地址。
将终端PC的IP地址设置为:129.9.0.101，俺码设为：255.255.255.0。
2、实验七：配置IPSEC VPN
步骤1：配置USG2100 A
#输入用户名
admin
#输入密码
Admin@123
#切换语言模式为中文模式
# 进入系统视图。
# 配置本端设备的名称。
[USG2100] sysname USG2100 A
# 创建编号为5的VLAN。
[USG2100 A] vlan 5
[USG2100 A-vlan5] quit
# 配置Ethernet 1/0/0的链路类型并加入VLAN。
[USG2100 A] interface Ethernet 1/0/0
[USG2100 A-Ethernet1/0/0] port access vlan 5
[USG2100 A-Ethernet1/0/0] quit
# 创建VLAN 5所对应的三层接口Vlanif 5，并配置Vlanif 5的IP地址。配置VLAN接口。
[USG2100 A] interface vlanif 5
[USG2100 A-Vlanif5] ip address 200.39.1.1 24
# 配置Vlanif 5加入Trust区域。
[USG2100 A] firewall zone trust
[USG2100 A-zone-trust] add interface Vlanif 5
[USG2100 A-zone-trust] quit
# 进入Ethernet 0/0/0视图。
[USG2100 A] interface Ethernet 0/0/0
# 配置Ethernet 0/0/0的IP地址。
[USG2100 A-Ethernet0/0/0] ip address 202.39.160.1 24
# 退回系统视图。
[USG2100 A-Ethernet0/0/0] quit
# 进入Untrust区域视图。
[USG2100 A] firewall zone untrust
# 配置Ethernet 0/0/0加入Untrust区域。
[USG2100 A-zone-untrust] add interface Ethernet 0/0/0
# 退回系统视图。
[USG2100 A-zone-untrust] quit
# 配置到达对端防火墙202.39.160.3/24和Host 2的静态路由。
[USG2100 A] ip route-static 172.70.2.0 24 202.39.160.3
# 配置ACL规则，允许Host 1所在网段的主机访问Host 2所在网段的主机。[USG2100 A] acl 3000
[USG2100 A-acl-adv-3000] rule permit ip source 200.39.1.0 0.0.0.255 destination 172.70.2.0 0.0.0.255
# 退回系统视图。
[USG2100 A-acl-adv-3000] quit
# 配置ACL规则，允许Host 2所在网段的主机访问。
[USG2100 A] acl 3001
[USG2100 A-acl-adv-3001] rule permit ip source 172.70.2.0 0.0.0.255
# 退回系统视图。
[USG2100 A-acl-adv-3001] quit
# 进入Trust和Untrust域间视图。
[USG2100 A] firewall interzone trust untrust
# 配置域间包过滤规则。
[USG2100 A-interzone-trust-untrust] aspf packet-filter 3000 outbound
[USG2100 A-interzone-trust-untrust] aspf packet-filter 3001 inbound
# 退回系统视图。
[USG2100 A-interzone-trust-untrust] quit
# 配置域间缺省包过滤规则。
[USG2100 A] firewall packet-filter default permit all
#说明：配置所有安全区域间缺省过滤规则为允许，使其能够协商SA。
# 配置名为tran1的IPSec提议。
[USG2100 A] ipsec proposal tran1
# 配置安全协议。
[USG2100 A-ipsec-proposal-tran1] transform esp
# 配置ESP协议的认证算法。
[USG2100 A-ipsec-proposal-tran1] esp authentication-algorithm md5 # 配置ESP协议的加密算法。
[USG2100 A-ipsec-proposal-tran1] esp encryption-algorithm des
# 退回系统视图。
[USG2100 A-ipsec-proposal-tran1] quit
# 创建IKE提议10。
[USG2100 A] ike proposal 10
# 配置使用pre-shared-key验证方法。
[USG2100 A-ike-proposal-10] authentication-method pre-share
# 配置使用MD5验证算法。
[USG2100 A-ike-proposal-10] authentication-algorithm md5
# 配置ISAKMP SA的生存周期为5000秒。
[USG2100 A-ike-proposal-10] sa duration 5000
# 退回系统视图。
[USG2100 A-ike-proposal-10] quit
# 进入IKE Peer视图。
[USG2100 A] ike peer a
安全提议。IKE引用#
[USG2100 A-ike-peer-a] ike-proposal 10
# 配置隧道对端IP地址。
[USG2100 A-ike-peer-a] remote-address 202.39.160.3
# 配置验证字为“abcde”。
[USG2100 A-ike-peer-a] pre-shared-key abcde
#说明：验证字的配置需要与对端设备相同。
# 退回系统视图。
[USG2100 A-ike-peer-a] quit
# 创建安全策略。
[USG2100 A] ipsec policy map1 10 isakmp
# 引用ike-peer a。
[USG2100 A-ipsec-policy-isakmp-map1-10] ike-peer a
# 引用名为tran1的安全提议。
[USG2100 A-ipsec-policy-isakmp-map1-10] proposal tran1
# 引用组号为3000的ACL。
[USG2100 A-ipsec-policy-isakmp-map1-10] security acl 3000
# 退回系统视图。
[USG2100 A-ipsec-policy-isakmp-map1-10] quit
# 进入以太网接口视图。
[USG2100 A] interface Ethernet 0/0/0
# 引用IPSec策略。
[USG2100 A-Ethernet0/0/0] ipsec policy map1
[USG2100 A-Ethernet0/0/0] quit
步骤2：配置USG2100 B
#输入用户名
admin
#输入密码
Admin@123
#切换语言模式为中文模式
language-mode chinese
# 进入系统视图。
# 配置本端设备的名称。
[USG2100] sysname USG2100 B
# 创建编号为5的VLAN。
[USG2100 B] vlan 5
[USG2100 B-vlan5] quit
# 配置Ethernet 1/0/0的链路类型并加入VLAN。
[USG2100 B] interface Ethernet 1/0/0
[USG2100 B-Ethernet1/0/0] port access vlan 5
[USG2100 B-Ethernet1/0/0] quit
# 创建VLAN 5所对应的三层接口Vlanif 5，并配置Vlanif 5的IP地址。配置VLAN 接口。．[USG2100 B] interface vlanif 5
[USG2100 B-Vlanif5] ip address 172.70.2.1 24
# 配置Vlanif 5加入Trust区域。
[USG2100 B] firewall zone trust
[USG2100 B-zone-trust] add interface Vlanif 5
[USG2100 B-zone-trust] quit
# 配置Ethernet 0/0/0的IP地址。
[USG2100 B] interface Ethernet 0/0/0
[USG2100 B-Ethernet0/0/0] ip address 202.39.160.3 24
# 进入Untrust区域视图。
[USG2100 B] firewall zone untrust
# 配置Ethernet 0/0/0加入Untrust区域。
[USG2100 B-zone-untrust] add interface Ethernet 0/0/0
# 退回系统视图。
[USG2100 B-zone-untrust] quit
# 配置到达对端防火墙202.39.160.1/24和Host 1的静态路由。
[USG2100 B] ip route-static 200.39.1.0 24 202.39.160.1
# 配置ACL规则，允许Host 2所在网段的主机访问Host 1所在网段的主机。
[USG2100 B] acl 3000
[USG2100 B-acl-adv-3000] rule permit ip source 172.70.2.0 0.0.0.255 destination 200.39.1.0
0.0.0.255
# 退回系统视图。
[USG2100 B-acl-adv-3000] quit
# 配置ACL规则，允许Host 1所在网段的主机访问。
[USG2100 B] acl 3001
[USG2100 B-acl-adv-3001] rule permit ip source 200.39.1.0 0.0.0.255
# 退回系统视图。
[USG2100 B-acl-adv-3001] quit
# 进入Trust和Untrust域间视图。
[USG2100 B] firewall interzone trust untrust
# 配置域间包过滤规则。
[USG2100 B-interzone-trust-untrust] aspf packet-filter 3000 outbound [USG2100 B-interzone-trust-untrust] aspf packet-filter 3001 inbound
# 退回系统视图。
[USG2100 B-interzone-trust-untrust] quit
# 配置域间缺省包过滤规则。
[USG2100 B] firewall packet-filter default permit all
#说明：配置所有安全区域间缺省过滤规则为允许，使其能够协商SA。# 创建名为tran1的IPSec提议。
[USG2100 B] ipsec proposal tran1
# 配置安全协议。
[USG2100 B-ipsec-proposal-tran1] transform esp
# 配置ESP协议认证算法。
[USG2100 B-ipsec-proposal-tran1] esp authentication-algorithm md5
# 配置ESP协议加密算法。
[USG2100 B-ipsec-proposal-tran1] esp encryption-algorithm des
# 退回系统视图。
[USG2100 B-ipsec-proposal-tran1] quit
# 创建号码为10的IKE提议。
[USG2100 B] ike proposal 10
# 配置使用pre-shared key验证方法。
[USG2100 B-ike-proposal-10] authentication-method pre-share
# 配置采用MD5验证算法。
[USG2100 B-ike-proposal-10] authentication-algorithm md5
# 配置ISAKMP SA生存周期为5000秒。
[USG2100 B-ike-proposal-10] sa duration 5000
# 退回系统视图。
[USG2100 B-ike-proposal-10] quit
# 创建名为a的IKE Peer。
[USG2100 B] ike peer a
# 引用IKE提议。
[USG2100 B-ike-peer-a] ike-proposal 10
# 配置对端IP地址。
[USG2100 B-ike-peer-a] remote-address 202.39.160.1
# 配置验证字为“abcde”。
[USG2100 B-ike-peer-a] pre-shared-key abcde
#说明：验证字的配置需要与对端设备相同。
# 退回系统视图。
[USG2100 B-ike-peer-a] quit
# 创建IPSec策略。
[USG2100 B] ipsec policy map1 10 isakmp
# 引用IKE Peer。
[USG2100 B-ipsec-policy-isakmp-map1-10] ike-peer a
# 引用IPSec提议。
[USG2100 B-ipsec-policy-isakmp-map1-10] proposal tran1
# 引用组号为3000的ACL。
[USG2100 B-ipsec-policy-isakmp-map1-10] security acl 3000
# 退回系统视图。
[USG2100 B-ipsec-policy-isakmp-map1-10] quit
# 进入以太网接口视图。
[USG2100 B] interface Ethernet 0/0/0
# 引用IPSec策略。
[USG2100 B-Ethernet0/0/0] ipsec policy map1
# 退回系统视图。
[USG2100 B-Ethernet0/0/0] quit
3、实验八：配置防火墙GRE隧道
USG2100 A
：配置1步骤．
#输入用户名
admin
#输入密码
Admin@123
#切换语言模式为中文模式
# 进入系统视图。
# 配置本端设备的名称。
[USG2100] sysname USG2100 A
# 配置Ethernet 0/0/0的IP地址。
[USG2100 A] interface Ethernet 0/0/0
[USG2100 A-Ethernet0/0/0] ip address 192.13.2.1 24
[USG2100 A-Ethernet0/0/0] quit
# 创建编号为5的VLAN。
[USG2100 A] vlan 5
[USG2100 A-vlan5] quit
# 配置Ethernet 1/0/0的链路类型并加入VLAN。
[USG2100 A] interface Ethernet 1/0/0
[USG2100 A-Ethernet1/0/0] port access vlan 5
[USG2100 A-Ethernet1/0/0] quit
# 创建VLAN 5所对应的三层接口Vlanif 5，并配置Vlanif 5的IP地址。配置VLAN接口。[USG2100 A] interface vlanif 5
[USG2100 A-Vlanif5] ip address 200.39.1.1 24
[USG2100 A-Vlanif5] quit
# 创建Tunnel1接口。
[USG2100 A] interface tunnel 1
# 配置Tunnel1接口的IP地址。
[USG2100 A-Tunnel1] ip address 10.1.2.1 24
# 配置Tunnel封装模式。
[USG2100 A-Tunnel1] tunnel-protocol gre
# 配置Tunnel1接口的源地址（USG2100 A的Ethernet 0/0/0的IP地址）。[USG2100 A-Tunnel1] source 192.13.2.1
# 配置Tunnel1接口的目的地址（USG2100 B的Ethernet 0/0/0的IP地址）。[USG2100 A-Tunnel1] destination 192.13.2.3
# 退回系统视图。
[USG2100 A-Tunnel1] quit
# 配置从USG2100 A经过Tunnel1接口到Group2的静态路由。
[USG2100 A] ip route-static 172.70.2.0 255.255.255.0 tunnel 1
# 配置Vlanif 5加入Trust区域。
[USG2100 A] firewall zone trust
[USG2100 A-zone-trust] add interface Vlanif 5
[USG2100 A-zone-trust] quit
# 进入Untrust区域视图。
[USG2100 A] firewall zone untrust
# 配置Ethernet 0/0/0加入Untrust区域。
[USG2100 A-zone-untrust] add interface Ethernet 0/0/0
# 配置Tunnel 1加入Untrust区域。
[USG2100 A-zone-untrust] add interface Tunnel 1
# 退回系统视图。
[USG2100 A-zone-untrust] quit
# 配置域间缺省包过滤规则。
[USG2100 A] firewall packet-filter default permit all
步骤2：配置USG2100 B
#输入用户名
admin
#输入密码
Admin@123
#切换语言模式为中文模式
# 进入系统试图。
# 配置本端设备的名称。
[USG2100] sysname USG2100 B
# 配置Ethernet 0/0/0的IP地址。
[USG2100 B] interface Ethernet 0/0/0
[USG2100 B-Ethernet0/0/0] ip address 192.13.2.3 24
[USG2100 B-Ethernet0/0/0] quit
# 创建编号为5的VLAN。
[USG2100 B] vlan 5
[USG2100 B-vlan5] quit
# 配置Ethernet 1/0/0的链路类型并加入VLAN。
[USG2100 B] interface Ethernet 1/0/0
[USG2100 B-Ethernet1/0/0] port access vlan 5
[USG2100 B-Ethernet1/0/0] quit
# 创建VLAN 5所对应的三层接口Vlanif 5，并配置Vlanif 5的IP地址。配置VLAN接口。[USG2100 B] interface vlanif 5
[USG2100 B-Vlanif5] ip address 172.70.2.1 24
[USG2100 B-Vlanif5] quit
# 创建Tunnel2接口。
[USG2100 B] interface tunnel 2
# 配置Tunnel2接口的IP地址。
[USG2100 B-Tunnel2] ip address 10.1.2.2 24
# 配置Tunnel封装模式。
[USG2100 B-Tunnel2] tunnel-protocol gre
# 配置Tunnel2接口的源地址（Ethernet 0/0/0的IP地址）。
[USG2100 B-Tunnel2] source 192.13.2.3
# 配置Tunnel2接口的目的地址（USG2100 A的Ethernet 0/0/0的IP地址）。
[USG2100 B-Tunnel2] destination 192.13.2.1
# 退回系统视图
[USG2100 B-Tunnel2] quit
# 配置从USG2100 B经过Tunnel2接口到Group1的静态路由。
[USG2100 B] ip route-static 200.39.1.0 255.255.255.0 tunnel 2
# 进入Trust区域视图。
[USG2100 B] firewall zone trust
# 配置Vlanif 5加入Trust区域。
[USG2100 B-zone-trust] add interface Vlanif 5
[USG2100 B-zone-trust] quit
# 进入Untrust区域。
[USG2100 B] firewall zone untrust
# 配置Ethernet 0/0/0加入Untrust区域。
[USG2100 B-zone-untrust] add interface Ethernet 0/0/0
# 配置Tunnel 2加入Untrust区域。
[USG2100 B-zone-untrust] add interface Tunnel 2
# 退回系统视图。
[USG2100 B-zone-untrust] quit
# 配置域间缺省包过滤规则。
[USG2100 B] firewall packet-filter default permit all
4、实验十一：配置L2TP VPN
步骤1：LAC侧的配置
#输入用户名
admin
#输入密码
Admin@123
#切换语言模式为中文模式
# 进入系统视图。
# 配置本端设备的名称。
[USG2130] sysname LAC
# 配置Ethernet 0/0/0的IP地址。
[LAC] interface Ethernet 0/0/0
[LAC-Ethernet0/0/0] ip address 2.2.2.1 16
[LAC-Ethernet0/0/0] quit
# 创建编号为5的VLAN。
[LAC] vlan 5
[LAC-vlan5] quit
。VLAN 5的链路类型并加入Ethernet 1/0/0配置#
[LAC] interface Ethernet 1/0/0
[LAC-Ethernet1/0/0] port access vlan 5
[LAC-Ethernet1/0/0] quit
# 创建VLAN 5所对应的三层接口Vlanif 5，并配置Vlanif 5的IP地址。
[LAC] interface vlanif 5
[LAC-Vlanif5] ip address 200.39.1.1 24
[LAC-Vlanif5] quit
# 配置Vlanif 5加入Trust区域。
[LAC] firewall zone trust
[LAC-zone-trust] add interface Vlanif 5
[LAC-zone-trust] quit
# 进入Untrust区域视图。
[LAC] firewall zone untrust
# 配置Ethernet 0/0/0加入Untrust区域。
[LAC-zone-untrust] add interface Ethernet 0/0/0
# 退回系统视图。
[LAC-zone-untrust] quit
# 配置缺省路由。
[LAC] ip route-static 0.0.0.0 0.0.0.0 2.2.2.2
2.2.2.2为LAC的下一跳设备的IP地址。
# 创建虚拟接口模板。
[LAC] interface Virtual-Template 1
# 配置PPP认证方式。（配置的时候会有个提示：请确认对端设备已具备相应的PPP协议？[Y/N],这里选Y。）
[LAC-Virtual-Template1] ppp authentication-mode chap
[LAC-Virtual-Template1] quit
# 进入Vlanif 5视图。
[LAC] interface Vlanif 5
# 配置接口绑定虚拟接口模板。
[LAC-Vlanif5] pppoe-server bind virtual-template 1
虚拟接口模板可以与LAC的任一接口绑定。
# 退回系统视图。
[LAC-Vlanif5] quit
# 进入Untrust区域视图。
[LAC] firewall zone untrust
# 配置虚拟接口模板加入Untrust区域。
[LAC-zone-untrust] add interface Virtual-Template 1
# 退回系统视图。
[LAC-zone-untrust] quit
# 使能L2TP功能。
[LAC] l2tp enable
# 配置用户名带域名的后缀分隔符。
[LAC] l2tp domain suffix-separator @
# 创建L2TP组。
[LAC] l2tp-group 1
# 配置L2TP隧道LNS端IP地址。
[LAC-l2tp1] start l2tp ip 2.2.2.2 fullusername vpnuser@domain1
A．USG2130缺省需要进行隧道的认证。如果没有配置undo tunnel authentication命令，需要配置tunnel password命令。
B．LAC端配置的隧道验证时的密码需要与LNS端的配置保持一致。
# 启动L2TP隧道认证。
[LAC-l2tp1] tunnel authentication
# 配置L2TP隧道认证密码。
[LAC-l2tp1] tunnel password simple Hello123
# 配置隧道本端名称。
[LAC-l2tp1] tunnel name lac
# 退回系统视图。
[LAC-l2tp1] quit
# 进入AAA视图。
[LAC] aaa
# 创建名称为domain1的域。
[LAC-aaa] domain domain1
# 退回AAA视图。
[LAC-aaa-domain-domain1] quit
# 配置本地用户和密码。
[LAC-aaa] local-user vpnuser@domain1 password simple VPNuser123
[LAC-aaa] quit
# 配置域间缺省包过滤规则。
[LAC] firewall packet-filter default permit interzone untrust local
[LAC] firewall packet-filter default permit interzone trust untrust
由于LAC需要与LNS设备进行PPP协商，也需要传输PC的连接请求，故配置上述域间的缺省包过滤规则。
步骤2：LNS侧的配置
#输入用户名
admin
#输入密码
Admin@123
#切换语言模式为中文模式
# 进入系统视图。
# 配置本端设备的名称。
[USG2130] sysname LNS
# 配置Ethernet 0/0/0的IP地址。
[LNS] interface Ethernet 0/0/0
[LNS-Ethernet0/0/0] ip address 2.2.2.2 16
[LNS-Ethernet0/0/0] quit
# 创建编号为5的VLAN。
[LNS] vlan 5
[LNS-vlan5] quit
# 配置Ethernet 1/0/0的链路类型并加入VLAN 5。
[LNS] interface Ethernet 1/0/0
[LNS-Ethernet1/0/0] port access vlan 5
[LNS-Ethernet1/0/0] quit
# 创建VLAN 5所对应的三层接口Vlanif 5，并配置Vlanif 5的IP地址。
[LNS] interface vlanif 5
[LNS-Vlanif5] ip address 172.70.2.1 24
[LNS-Vlanif5] quit
# 配置Vlanif 5加入Trust区域。
[LNS] firewall zone trust
[LNS-zone-trust] add interface Vlanif 5
[LNS-zone-trust] quit
# 进入Untrust区域视图。
[LNS] firewall zone untrust
# 配置Ethernet 0/0/0加入Untrust区域。
[LNS-zone-untrust] add interface Ethernet 0/0/0
# 退回系统视图。
网络安全技术期末试卷 B 集团标准化小组：[VVOPPT-JOPP28-JPPTL98-LOPPNN]
泉州师院2017——2018学年度第一学期应用科技学院 16级计算机科学技术专业《网络安全技术》期末试卷B 一、简答题（每小题7分，共70分） 1、什么是传统加密，什么是公钥加密，并分别说出各两种典型的加密算 法？ 2、什么是泛洪攻击，如何防范泛洪攻击？ 3、画出利用公钥加密方法进行数据加密的完整流程图。 4、数字签名有何作用，如何实现数字签名？ 5、画图说明PGP如何同时实现对数据的保密与认证？ 6、什么是防火墙，其主要功能有哪些？ 7、使用IPSec的优点是什么？ 8、蠕虫用什么手段访问远程系统从而得以传播自己？ 9、什么是云计算，有哪三种云服务模型？ 10、什么是DDOS攻击？ 二、计算题（15分） 请进行RSA算法的加密和解密。要求如下： （1）选取两个素数分别为p=7，q=11，e=13。 （2）先计算求出公开密钥和秘密密钥 （3）对明文P＝55进行加密，计算密文C,要求书写加密的过程及其步骤。 （4）对密文C=10进行解密，计算明文P,要求书写解密的过程及其步骤。 三、某投资人士用Modem拨号上网，通过金融机构的网上银行系统，进行证 券、基金和理财产品的网上交易，并需要用电子邮件与朋友交流投资策略。该用户面临的安全威胁主要有： (1)计算机硬件设备的安全； (2)计算机病毒； (3)网络蠕虫； (4)恶意攻击； (5)木马程序； (6)网站恶意代码； (7)操作系统和应用软件漏洞； (8)电子邮件安全。 试据此给出该用户的网络安全解决方案来防范上述安全威胁。（15分）
《网络管理与安全》课程标准 一、课程概述 计算机网络是计算机技术和通信技术密切结合形成的新的技术领域，是当今计算机界公认的主流技术之一，也是迅速发展并在信息社会得到广泛应用的一门综合性学科。在社会日益信息化的今天，信息网络的大规模全球互联趋势，以及人们的社会与经济活动对计算机网络依赖性的与日俱增，不但使计算机网络管理成为计算机网和电信网研究建设中的重要内容之一，而且使得计算机网络的安全性成为信息化建设的一个核心问题。为适应计算机网络技术发展和应用的需要，计算机专业学生应对网络管理与安全技术有所了解和认识，进而学会在实践中掌握和运用。 计算机网络管理与安全是一门集计算机技术与通信技术为一体的综合性交叉学科，是计算机网络技术的研究前沿。它综合运用这两个学科的概念和方法，形成了自己独立的体系。学习计算机网络安全课程之前，应很好地掌握计算机系统结构、计算机原理、数据通信、计算机网络基本原理等相关课程。 二、课程目标 通过本课程的学习，要求学生能够在已有的计算机原理、通信原理和计算机网络技术等理论基础上，对计算机网络管理与安全有一个系统的、较全面的了解；首先要理解网络管理的基本原理以及SNMP简单网络管理协议的使用方法；掌握日常的网络管理及维护；知道网络管理在不同应用领域的具体实现技术，国际标准、网络管理技术的发展动向等知识；理解计算机网络特别是计算机互联网络安全的基本概念，理解计算机网络安全的基础知识，以及网络安全技术研究的内容；知道当前计算机网络安全技术面临的挑战和现状；了解网络安全策略以及网络安全体系的架构，了解常见的网络攻击手段，掌握入侵检测的技术和手段。了解设计和维护安全的网络及其应用系统的基本手段和常用方法。 总之，学习完本课程后，学生应该具有较系统的网络管理与安全知识，并在实际应用时具备一定的网络维护能力；具有一定的防范非法入侵、维护系统安全性的能力。 三、课程内容和教学要求 这门学科的知识与技能要求分为知道、理解、掌握、学会四个层次。这四个层次的一般涵义表述如下： 知道：是指对这门学科和教学现象的认知。 理解：是指对这门学科涉及到的概念、原理、策略与技术的说明和解释，能提示所涉及到的教学现象演变过程的特征、形成原因以及教学要素之间的相互关系。 掌握：是指运用已理解的教学概念和原理说明、解释、类推同类教学事件和现象，并能够用所学的内容分析、初步设计和解答与实际应用相关的问题 学会：是指能模仿或在教师指导下独立地完成某些教学知识和技能的操作任务，或能识别操作中的一般差错。
《网络安全法》考试试题及答案 1、(单选题）根据《网络安全法》得规定,关键信息基础设施得运营者在中华人民共与国境内运营中收集与产生得个人信息与重要数据应当在( )。因业务需要，确需向境外提供得，应当按照国家网信部门会同国务院有关部门制定得办法进行安全评估,法律、行政法规另有规定得，依照其规定。 A、境外存储 B、外部存储器储存 C、第三方存储? D、境内存储?正确答案:D ?2、(单选题）国家鼓励开发网络数据安全保护与利用技术，促进（)开放,推动技术创新与经济社会发展。 ?A、公共图书馆资源 B、国家数据资源?Ｃ、公共学校资源 Ｄ、公共数据资源?正确答案:Ｄ? 3、(单选题)国家倡导诚实守信、健康文明得网络行为,推动传播社会主义核心价值观,采取措施提高全社会得( )与水平，形成全社会共同参与促进网络安全得良好环境。? Ａ、网络安全意识?Ｂ、网络诚信意识 C、网络社会道德意识? D、网络健康意识?正确答案:A 4??、(单选题）根据《网络安全法》得规定,国家实行网络安全( )保护制度。 ?Ａ、等级 Ｂ、分层 C、结构?Ｄ、行政级别?正确答案:A ?5、(单选题)《网络安全法》规定，各级人民政府及其有关部门应当组织开展经常性得网络安全宣传教育,并( ）有关单位做好网络安全宣传教育工作。 ?A、指导、督促?B、支持、指导 C、鼓励、引导? D、支持、引导 正确答案:A? 6、(单选题)国家建立与完善网络安全标准体系。（)与国务院其她有关部门根据各自得职责,组织制定并适时修订有关网络安全管理以及网络产品、服务与运行安全得国家标准、行业标准。??A、电信研究机构?B、国务院标准化行政主管部门 C、网信部门 D、电信企业 正确答案：B ?7、（单选题）网络产品、服务得提供者不得设置（）,发现其网络产品、服务存在安全缺陷、漏洞等风险时,应当立即采取补救措施,按照规定及时告知用户并向有关主管部门报告。??A、恶意程序?B、风险程序 C、病毒程序? D、攻击程序?正确答案:A ?8、(单选题)国家推进网络安全( ）建设,鼓励有关企业、机构开展网络安全认证、检测与风险评估等安全服务。??A、社会化识别体系?B、社会化评估体系 Ｃ、社会化服务体系?Ｄ、社会化认证体系?正确答案：C ?9、(单选题）根据《网络安全法》得规定,( )负责统筹协调网络安全工作与相关监督管理工作。 A、中国电信? B、信息部? C、国家网信部门?Ｄ、中国联通?正确答案:C?
【网络课】网络安全技术期末复习题 一、选择题 第一章 (B) 1.由于来自于系统外部或内部的攻击者冒充为网络的合法用户获得访问权限的攻击方法是下列哪一项？ A. 黑客攻击 B. 社会工程学攻击 C. 操作系统攻击 D. 恶意代码攻击 （A） 2. 在信息安全性中，用于提供追溯服务信息或服务源头的是哪一项？ A. 不可否认性 B. 认证性 C. 可用性 D. 完整性 第二章 （A） 1. 密码技术的哪一个目标不能被对称密码技术实现？ A. 完整性 B. 保密性 C. 不可否认性 D. 认证性 （C）2. A想要使用非对称密码系统向B发送秘密消息。A应该使用哪个密钥来加密消息？ A. A的公钥 B. A的私钥 C. B的公钥 D. B的私钥 （A） 3. DES的有效密钥长度是多少？ A. 56比特 B. 112比特 C. 128比特 D. 168比特 （C） 4. 下面哪种情况最适合使用非对称密码系统？ A. 公司电子邮件系统 B. 点到点的VPN系统 C. 证书认证机构 D. Web站点认证 （D） 5. 下面哪个哈希函数最适合8位处理器？ A. SHA-256 B. SHA-512 C. MD4 D. MD2 （C） 6. Grace想要使用数字签名技术向Joe发送一则消息，为了获得数字签名，她应该对哪种信息进行签名？ A. 明文消息 B. 密文消息 C. 明文消息摘要 D. 密文消息摘要 （C）7. Joe收由Grace签了名的信息，请问Joe该使用哪个密钥来验证签名？ A. Joe的公钥 B. Joe的私钥 C. Grace的公钥 D. Grace的私钥 第三章 （C） 1. 下面哪项不属于口令认证？ A. 可重用口令认证 B. 一次性口令认证 C. 安全套接层认证 D. 挑战应答口令认证 （C）2. 公钥认证不包括下列哪一项？ A. SSL认证 B. Kerberos认证 C. 安全RPC认证 D. MD5认证 第四章 （C） 1. 在TCP/IP协议安全中，下列哪一项属于应用层安全？ A. VPNs B. PPP C. Kerberos D. SSL （C） 2. IPSec中有三个主要的协议用来对传输中的系统提供安全服务，不包括下列哪一项？
1.分组密码体制应遵循什么原则，以DES密码体制为例详细说明。 混乱原则和扩散原则 混乱原则：为了避免密码分析者利用明文和密文之间的依赖关系进行破译，密码的设计因该保证这种依赖关系足够复杂。 扩散原则：为避免密码分析者对密钥逐段破译，密码的设计因该保证密钥的每位数字能够影响密文中的多位数字 密钥置换算法的构造准则 设计目标：子密钥的统计独立性和灵活性 实现简单 速度 不存在简单关系：( 给定两个有某种关系的种子密钥,能预测它们轮子密钥之间的关系) 种子密钥的所有比特对每个子密钥比特的影响大致相同 从一些子密钥比特获得其他的子密钥比特在计算上是难的 没有弱密钥 (1)分组长度足够长，防止明文穷举攻击，例如DES，分组块大小为64比特， (2)密钥量足够大，金额能消除弱密钥的使用，防止密钥穷举攻击，但是由于对称密码体制 存在密钥管理问题，密钥也不能过大。 (3)密钥变化够复杂 (4)加密解密运算简单，易于软硬件高速实现 (5)数据扩展足够小，一般无数据扩展。 差错传播尽可能小，加密或者解密某明文或密文分组出错，对后续密文解密影响尽可能 2.利用公钥密码算法实现认证时，一般是（1）C=EKRA（M），发送方A用私 钥加密后发送给B；（2）M=DKUA （C）：接收方B用A方的公钥进行解密。 请问，在这个过程中，能否保证消息的保密性？若不能，请你给出解决方案。 答：不能，在这个过程中，采用的是单次加密，而且接收方采用的是公钥解密，公钥是公开的，只要有人截获了密文，他就可以据此很容易地破译密文，故不能保证消息的保密性。 解决方案：可以采用两次运用公钥密码的方式，即：(1)C=EKUA(EKRA(M)) (2)M=DKUA(DKRA(C)) 这样，发送方A首先用其私钥对消息进行加密，得 到数字签名，然后再用A方的公钥加密，所得密文只有被拥有私钥的接收方解密，这样就可以既保证提供认证，又保证消息的保密性。 3.Ipsec有两种工作模式。请划出数据包的封装模式并加以说明，并指出各自的 优缺点。 IPSec协议（包括 AH和ESP）既可用来保护一个完整的IP载荷，亦可用来保护某个IP载荷的上层协议。这两方面的保护分别是由IPSec两种不同的模式来提供的，如图所示。其中，传送模式用来保护上层协议；而通道模式用来保护整个IP数据报。 在传送模式中，IPSec先对上层协议进行封装，增加一 IPSec头，对上层协议的数据进行保护，然后才由IP协议对封装的数据进行处理，增加IP头；
《网络安全法》考试试题及答案 1、（单选题）根据《网络安全法》的规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在（）。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估，法律、行政法规另有规定的，依照其规定。 A.境外存储 B.外部存储器储存 C.第三方存储 D.境内存储 正确答案：D 2、（单选题）国家鼓励开发网络数据安全保护和利用技术，促进（）开放，推动技术创新和经济社会发展。 A.公共图书馆资源 B.国家数据资源 C.公共学校资源 D.公共数据资源 正确答案：D 页脚内容1
3、（单选题）国家倡导诚实守信、健康文明的网络行为，推动传播社会主义核心价值观，采取措施提高全社会的（）和水平，形成全社会共同参与促进网络安全的良好环境。 A.网络安全意识 B.网络诚信意识 C.网络社会道德意识 D.网络健康意识 正确答案：A 4、（单选题）根据《网络安全法》的规定，国家实行网络安全（）保护制度。 A.等级 B.分层 C.结构 D.行政级别 正确答案：A 页脚内容2
5、（单选题）《网络安全法》规定，各级人民政府及其有关部门应当组织开展经常性的网络安全宣传教育，并（）有关单位做好网络安全宣传教育工作。 A.指导、督促 B.支持、指导 C.鼓励、引导 D.支持、引导 正确答案：A 6、（单选题）国家建立和完善网络安全标准体系。（）和国务院其他有关部门根据各自的职责，组织制定并适时修订有关网络安全管理以及网络产品、服务和运行安全的国家标准、行业标准。 A.电信研究机构 B.国务院标准化行政主管部门 C.网信部门 D.电信企业 正确答案：B 页脚内容3
计算机网络安全技术期末复习试题 一、复习范围 （一）单项选择题范围：教材每章的课后习题，另附件给出一些题 （二）计算机安全应用题：见附件 （三）简答题范围：平时作业附件： 一、单项选择题 1、在以下人为的恶意攻击行为中，属于主动攻击的是（A ） A、数据篡改及破坏 B、数据窃听 C、数据流分析 D、非法访问 2、数据完整性指的是（C ） A、保护网络中各系统之间交换的数据，防止因数据被截获而造成泄密 B、提供连接实体身份的鉴别 C、防止非法实体对用户的主动攻击，保证数据接受方收到的信息与发送方发送的信息完全一致 D、确保数据数据是由合法实体发出的 3、以下算法中属于非对称算法的是（B ） A、DESB RSA算法 C、IDEA D、三重DES 4、在混合加密方式下，真正用来加解密通信过程中所传输数据（明文）的密钥是（B ） A、非对称算法的公钥 B、对称算法的密钥 C、非对称算法的私钥 D、CA中心的公钥 5、以下不属于代理服务技术优点的是（D ）
A、可以实现身份认证 B、内部地址的屏蔽和转换功能 C、可以实现访问控制 D、可以防范数据驱动侵袭 6、包过滤技术与代理服务技术相比较（B ） A、包过滤技术安全性较弱、但会对网络性能产生明显影响 B、包过滤技术对应用和用户是绝对透明的 C、代理服务技术安全性较高、但不会对网络性能产生明显影响 D、代理服务技术安全性高，对应用和用户透明度也很高 7、在建立堡垒主机时（A ） A、在堡垒主机上应设置尽可能少的网络服务 B、在堡垒主机上应设置尽可能多的网络服务 C、对必须设置的服务给与尽可能高的权限 D、不论发生任何入侵情况，内部网始终信任堡垒主机 8、 "DES是一种数据分组的加密算法, DES它将数据分成长度为多少位的数据块,其中一部分用作奇偶校验,剩余部分作为密码的长度？"（ B ）A56位B64位C112位D128位 9、 Kerberos协议是用来作为：（ C ） A、传送数据的方法 B、加密数据的方法 C、身份鉴别的方法 D、访问控制的方法 10、黑客利用IP地址进行攻击的方法有：（ A ） A、IP欺骗 B、解密 C、窃取口令 D、发送病毒1 1、防止用户被冒名所欺骗的方法是： （ A ）
通信网络与设备专业《计算机网络安全技术》课程标准 项目承担单位：xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 项目编号：xxxxxxxxxxxxxxxxxxx 撰稿人：xxxxxxxxxx 负责人：xxxxxxxxxxxx 日期：2016年4月20日
《计算机网络安全技术》课程标准课程编码：课程类别：优质课程 适用专业：通信网络与设备授课单位：xxxxxxxxxx系 学时：48 编写执笔人及编写日期：xxxxxxxxxx 审定负责人及审定日期： 一、课程定位和课程设计 1、课程的性质和作用： 本课程属于通信网络与设备专业的一门专业课程，是使整个学科系统健全，知识完备的补充课程。 由于专业培养目标要求培养具有通信网络管理与维护专业基础知识，熟悉通信企业通信网络和设备的安全与维护。通信网络与设备在许多方面的工作也越来越依赖网络，一旦网络安全方面出现问题，造成信息的丢失或不能及时流通，或者被篡改、增删、破坏或窃用，都将带来难以弥补的巨大损失。对于通信行业来讲，加强网络安全建设的意义甚至关系到国家的安全、利益和发展。 课程安排在第五学期学习，有了专业课程以后，再学习《计算机网络安全技术》，一方面可以加强运行系统的安全，保证通信网络信息处理和传输系统的安全。同时可以提高系统信息的安全，包括用户口令鉴别，用户存取权限控制，数据存取权限、方式控制，安全审计和信息传播的安全，提高学生的知识面和就业面。 2、课程标准设计思路： 本课程是依据我院通信网络与设备专业专业人才培养方案中，对计算机网络安全与维护的职业能力要求而设置的。其总体设计思路是，打破以知识传授为主要特征的传统学科课程模式，转变为以案例、任务、项目形式组织课程教学内容，让学生在完成具体案例、任务、项目的过程中，学习相关理论知识，掌握计算机网络安全与维护的技能。 （1）内容设计 依据课程目标，本课程面向网络安全工程师工作岗位和网络管理各岗位的安全规划和安全防护技术实施的职业能力培养为目标建构课程。以校园网为背景，按照“攻击、防范、系统、管理”的顺序设计四个学习情境，将网络安全所需的安全理论和安全
中华人民共和国网络安全法学习专题 1、（单选题）根据《网络安全法》的规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在（）。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估，法律、行政法规另有规定的，依照其规定。 A.境外存储 B.外部存储器储存 C.境内存储 D.第三方存储正确答案：C 2、（单选题）根据《网络安全法》的规定，（）应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助。 A.网络合作商 B.电信科研机构C .网络运营者 D. 电信企业正确答案：C 3、（单选题）网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，备资 由具格的机构（）或者安全检测符合要求后，方可销售或者提供。 A.认证产品合格 B.安全认证合格C .认证网速合格D. 认证设备合格 正确答案：B 4、（单选题）网络产品、服务具有（）的，其提供者应当向用户明示并取得同意，涉及用 户个人信息的，还应当遵守《网络安全法》和有关法律、行政法规关于个人信息保护的规定。 A.收集用户信息功能 B.公开用户资料功能 C.用户填写信息功能 D.提供用户家庭信息功能正确答案：A 5、（单选题）网络产品、服务的提供者不得设置 （），发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。 A.恶意程序 B.攻击程序 C?病毒程序 D?风险程序 正确答案：A 6、（单选题）网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发 布或者传输的信息的，应当立即停止传输该信息，采取（）等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告。 A.删除 B.撤回
计算机网络安全技术期末复习资料 一、题型设计 试卷计划由四种题型组成：单项选择题（分数：2*20，共40分）、填空题（分数1*10，共10分）、简答题（分数6*5，共30分）、综合应用题（2题，共20分） 二、复习范围 （一）单项选择题范围：教材每章的课后习题，另附件给出60题 （二）填空题范围：教材每章后的课后习题（三）简答题范围：见附件给出题目 （四）综合应用题： 附件： 单项选择题 1.在以下人为的恶意攻击行为中，属于主 动攻击的是（ A ） 2.A、数据篡改及破坏 3.B、数据窃听 4.C、数据流分析 5.D、非法访问 6.数据完整性指的是（ C ） 7.A、保护网络中各系统之间交换的数据， 防止因数据被截获而造成泄密8.B、提供连接实体身份的鉴别 9.C、防止非法实体对用户的主动攻击， 保证数据接受方收到的信息与发送方 发送的信息完全一致 10.D、确保数据数据是由合法实体发出的 11.以下算法中属于非对称算法的是 （ B ） 12.A、DES 13.B RSA算法 14.C、IDEA 15.D、三重DES 16.在混合加密方式下，真正用来加解密通 信过程中所传输数据（明文）的密钥是 （ B ） 17.A、非对称算法的公钥 18.B、对称算法的密钥 19.C、非对称算法的私钥 20.D、CA中心的公钥 21.以下不属于代理服务技术优点的是 （ D ） 22.A、可以实现身份认证 23.B、内部地址的屏蔽和转换功能 24.C、可以实现访问控制
25.D、可以防范数据驱动侵袭 26.包过滤技术与代理服务技术相比较 （ B ） 27.A、包过滤技术安全性较弱、但会对网 络性能产生明显影响 28.B、包过滤技术对应用和用户是绝对透 明的 29.C、代理服务技术安全性较高、但不会 对网络性能产生明显影响 30.D、代理服务技术安全性高，对应用和 用户透明度也很高 31.在建立堡垒主机时（ A ） 32.A、在堡垒主机上应设置尽可能少的网 络服务 33.B、在堡垒主机上应设置尽可能多的网 络服务 34.C、对必须设置的服务给与尽可能高的 权限 35.D、不论发生任何入侵情况，内部网始 终信任堡垒主机 36."DES是一种数据分组的加密算法, DES 它将数据分成长度为多少位的数据块, 其中一部分用作奇偶校验,剩余部分作 为密码的长度" （ B ） A 56位 B 64位 C 112位 D 128位 9．Kerberos协议是用来作为：（ C ） A. 传送数据的方法 B. 加密数据的方法 C.身份鉴别的方法 D.访问控制的方法 10．黑客利用IP地址进行攻击的方法有：（ A ） A. IP欺骗 B. 解密 C. 窃取口令 D. 发送病毒 11．防止用户被冒名所欺骗的方法是：（ A ） A. 对信息源发方进行身份验证 B. 进行数据加密 C. 对访问网络的流量进行过滤和保护 D. 采用防火墙 12．屏蔽路由器型防火墙采用的技术
网络及安全培训考试 一、单项选择题（本大题共30小题，每小题2分，共60分） 1.使网络服务器中充斥着大量要求回复的信息，消耗带宽，导致网络或系统停止正常服务，这属于什么攻击类型? （A ） A、拒绝服务 B、文件共享 C、BIND漏洞 D、远程过程调用 2、主要用于加密机制的协议是( D ) A、HTTP B、FTP C、TELNET D、SSL 3、用户收到了一封可疑的电子邮件,要求用户提供银行账户及密码,这是属于何种攻击手段？( B ) A、缓存溢出攻击; B、钓鱼攻击; C、暗门攻击; D、DDOS攻击 4、在以下认证方式中，最常用的认证方式是：( A ) A基于账户名／口令认证;B基于摘要算法认证;C基于PKI认证;D基于数据库认证 5、抵御电子邮箱入侵措施中，不正确的是（D ） A、不用生日做密码 B、不要使用少于5位的密码 C、不要使用纯数字 D、自己做服务器 6、不属于常见的危险密码是（ D ） A、跟用户名相同的密码 B、使用生日作为密码 C、只有4位数的密码 D、10位的综合型密码 7、以下关于DOS攻击的描述，哪句话是正确的？( C ) (A)不需要侵入受攻击的系统(B)以窃取目标系统上的机密信息为目的 (C)导致目标系统无法处理正常用户的请求(D)如果目标系统没有漏洞，远程攻击就不可能成功 8、口令攻击的主要目的是( B ) (A)获取口令破坏系统(B)获取口令进入系统(C)仅获取口令没有用途 9、计算机病毒是_____(A) (A)计算机程序(B)数据(C)临时文件(D)应用软件 10、边界防范的根本作用是(C)
(A)对系统工作情况进行检验与控制，防止外部非法入侵 (B)对网络运行状况进行检验与控制，防止外部非法入侵 (C)对访问合法性进行检验与控制，防止外部非法入侵 11、路由设置是边界防范的(A) (A)基本手段之一(B)根本手段(C)无效手段 12、VPN是指(A) (A)虚拟的专用网络(B)虚拟的协议网络(C)虚拟的包过滤网络 13、NAT 是指(B) (A)网络地址传输(B)网络地址转换(C)网络地址跟踪 14、VPN通常用于建立____之间的安全通道(A) (A)总部与分支机构、与合作伙伴、与移动办公用户 (B)客户与客户、与合作伙伴、与远程用户 (C)总部与分支机构、与外部网站、与移动办公用户 15、在安全区域划分中DMZ 区通常用做(B) (A)数据区(B)对外服务区(C)重要业务区 16、目前用户局域网内部区域划分通常通过____实现(B) (A)物理隔离(B)Vlan 划分(C)防火墙防范 17、防火墙的部署(B) (A)只需要在与Internet 相连接的出入口设置 (B)在需要保护局域网络的所有出入口设置 (C)需要在出入口和网段之间进行部署 18、目前的防火墙防范主要是(B) (A)主动防范(B)被动防范(C)不一定 19、现代主动安全防御的主要手段是（A） A>探测、预警、监视、警报 B>嘹望、烟火、巡更、敲梆 C>调查、报告、分析、警报 20、计算机病毒是指：（C ） A .带细菌的磁盘 B. 已损坏的磁盘C. 具有破坏性的特制程序 D.被破坏了
《计算机网络技术》课程标准 一、概述 （一）课程性质 1、授课对象 三年制中等职业教育层次学生。 2. 参考课时 68课时，理论教学课46时，实践教学22课时。 3、课程性质 “计算机网络技术基础”是一门专业技术基础课，它的任务是介绍现行的、较成熟的计算机网络技术的基本理论、基础知识、基本技能和基本方法，为学生进一步学习“TCP/IP协议”、“JSP网络程序设计”、“网站设计与网页制作”、“网络多媒体技术”、“网络安全”等后续课程，培养自己成为网络管理员、网络工程师打下扎实的基础。 （二）课程基本理念 我们的课程理念应从学生、知识、社会三维维持适度张力入手，以学生的社会化自觉的职场需求为价值了取向，以职业素质与实践能力的动态发展为基本特征，以社会、政府、企业、学校、学生、教师等多重主体性为运行机制，以多样性、开放性、互动性为开发向度，最终实践高职教育成为营造终身教育中心的历史使命。 （三）课程设计思路 本课程的设计思路是以就业为导向。从计算机网络的实际案例出发，以岗位技能要求为中心，组成十九个教学项目；每个以项目、任务为中心的教学单元都结合实际，目的明确。教学过程的实施采用“理实一体”的模式。理论知识遵循“够用为度”的原则，将考证和职业能力所必需的理论知识点有机地融入各教学单元中。边讲边学、边学边做，做中学、学中做，使学生提高了学习兴趣，加深了对知识的理解，同时也加强了可持续发展能力的培养。 二、课程目标 1、总目标 通过本课程的学习，可以使学生掌握的网络基础知识，有利于学生将来更深入的学习。本课程培养学生吃苦耐劳，爱岗敬业,团队协作的职业精神和诚实，守信，善于沟通与合作的良好品质，为发展职业能力奠定良好的基础。 2、具体目标 了解计算机网络的一些基本术语、概念。 掌握网络的工作原理，体系结构、分层协议，网络互连。 了解网络安全知识。 能通过常用网络设备进行简单的组网。 能对常见网络故障进行排错。
《中华人民共和国网络安全法》学习专题试题、答案 1、（单选题）网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取（C）等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告。 A.更改 B.删除 C.消除 D.撤回 2、（单选题）关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险（D）至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。 A.四年 B.三年 C.两年 D.每年 3、（单选题）国家实施网络（B）战略，支持研究开发安全、方便的电子身份认证技术，推动不同电子身份认证之间的互认。 A.认证身份 B.可信身份 C.信誉身份 D.安全身份 4、（单选题）根据《网络安全法》的规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在（B）。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估，法律、行政法规另有规定的，依照其规定。 A.第三方存储 B.境内存储 C.外部存储器储存 D.境外存储 5、（单选题）根据《网络安全法》的规定，（A）负责统筹协调网络安全工作和相关监督管理工作。 A.国家网信部门 B.中国联通 C.中国电信 D.信息部 6、（单选题）关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的（D）。 A.国家采购审查 B.国家网信安全审查 C.国家网络审查 D.国家安全审查 7、（单选题）国家鼓励开发网络数据安全保护和利用技术，促进（D）开放，推动技术创新和经济社会发展。 A.公共学校资源 B.公共图书馆资源 C.国家数据资源
《网络安全》期末试卷 姓名班级 考试时间：60分钟总分：100分 一、填空题（2’*30=60） 1、从内容上看，网络安全包括网络实体安全、软件安全、数据安全和安全管理四个方面。 4、网络安全防范的5个层次为网络、操作系统、用户、 应用程序和数据。 7、美国国防部制定的可信任计算系统评估标准TCSEC（the trusted computing system evaluation criteria）中定义的系统安全中的5个要素是安全策略、可审计机制、可操作性、生命期保证和建立并维护系统安全的相关文件。 10、黑客攻击的步骤是踩点、扫描、查点、获取访问权、权限提升、窃取、掩盖踪迹和拒绝服务攻击。 二、选择题（2’*5=10’） 1、下面不属于木马特征的是（ B ）。 A. 自动更换文件名，难于被发现 B. 程序执行时不占太多系统资源 C. 不需要服务端用户的允许就能获得系统的使用权 D. 造成缓冲区的溢出，破坏程序的堆栈 2、下面不属于端口扫描技术的是（ D ）。 A. TCP connect()扫描 B. TCP FIN扫描 C. IP包分段扫描 D. Land扫描 3、下面关于病毒的叙述正确的是（ D ）。 A．病毒可以是一个程序 B．病毒可以是一段可执行代码 C．病毒能够自我复制 D． ABC都正确 4、下面不属于按网络覆盖范围的大小将计算机网络分类的是（ C ）。 A. 互联网 B. 广域网 C. 通信子网 D. 局域网 5、下面不属于木马伪装手段的是（ A ）。
A. 自我复制 B. 隐蔽运行 C. 捆绑文件 D. 修改图标 三、判断题（2’*5=10’） 1、缓冲区溢出并不是一种针对网络的攻击方法。（√） 2、DDoS攻击破坏性大，难以防范，也难以查找攻击源，被认为是当前最有效的攻击手法。（√） 3、扫描器可以直接攻击网络漏洞。（ⅹ） 4、病毒传染主要指病毒从一台主机蔓延到另一台主机。（ⅹ） 5、DDoS攻击是与DoS无关的另一种拒绝服务攻击方法。（ⅹ） 四、简述题（10’*2=20’） 1、简述拒绝服务攻击的概念和原理。 拒绝服务攻击的概念：广义上讲，拒绝服务（DoS，Denil of service）攻击是指导致服务器不能正常提供服务的攻击。确切讲，DoS攻击是指故意攻击网络协议实现的缺陷或直接通过各种手段耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务，使目标系统停止响应，甚至崩溃。 拒绝服务攻击的基本原理是使被攻击服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统超负荷，以至于瘫痪而停止提供正常的网络服务。
《网络安全技术》课程标准 一、概述 1、本课程的性质 本课程是一门新兴科学，属于计算机网络技术专业的专业课程，为学生的必修课。实施网络安全的首要工作就是要进行网络防范设置。深入细致的安全防范是成功阻止利用计算机网络犯罪的途径，缺乏安全防范的网络必然是不稳定的网络,其稳定性、扩展性、安全性、可管理性没有保证。本课程在介绍计算机网路安全基础知识的基础上，深入细致的介绍了网络安全设置的方法和经验。并且配合必要的实验，和具体的网络安全案例，使学生顺利掌握网络安全的方法。 2、课程基本理念 按照“以能力为本位、以职业实践为主线、以项目课程为主体的模块化专业课程体系”的总体设计要求，打破了传统的学科体系的模式，将《计算机网络基础》、《Windows 2003Server服务器安全配置》、《计算机网络管理》、《Internet安全设置》等学科内容按计算机高级网络安全管理员岗位的实际项目进行整合，按理论实践一体化要求设计。它体现了职业教育“以就业为导向，以能力为本位”的培养目标，不仅强调计算机网络管理维护岗位的实际要求，还强调学生个人适应劳动力市场的发展要求。因而，该课程的设计应兼顾企业实际岗位和个人两者的需求，着眼于人的全面发展，即以全面素质为基础，以提高综合职业能力为核心。 学习项目选取的基本依据是该门课程涉及的工作领域和工作任务范围，但在具体设计过程中还需根据当前计算机常见网络安全的典型实际工作项目为载体，使工作任务具体化，产生具体的学习项目。其编排依据是该职业岗位所特有的工作任务逻辑关系，而不是知识关系。 依据完成工作任务的需要、五年制高职学生的学习特点和职业能力形成的规律，按照“学历证书与职业资格证书嵌入式”的设计要求确定课程的知识、技能等内容。 | 依据各学习项目的内容总量以及在该门课程中的地位分配各学习项目的学时数 3、课程改革思路 ⑴、课程内容方面的改革 随着计算机的发展，计算机网络日新月异、网络设备和网络协议不断升级，教师应对课本内容的及时更新。 ⑵、授课方式的改革 可以考虑采用以计算机网络安全防范为教学主线，先讲基本设置，再讲各种网络设备的工作
中华人民共和国网络安全法学习专题在线考试题库 及答案 中华人民共和国网络安全法学习专题(练习)1、（单选题）国家鼓励开发网络数据安全保护和利用技术，促进（）开放，推动技术创新和经济社会发展。 A.公共图书馆资源 B.国家数据资源 C.公共数据资源 D.公共学校资源 正确答案：C用户选择：C 解析：展开解析↓ 2、（单选题）网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构（）或者安全检测符合要求后，方可销售或者提供。 A.认证产品合格 B.安全认证合格 C.认证设备合格 D.认证网速合格 正确答案：B用户选择：B 解析：展开解析↓ 3、（单选题）网络产品、服务应当符合相关国家标准的（）要求。
A.规范性 B.自觉性 C.强制性 D.建议性 正确答案：C用户选择：导入到我的错题 解析：展开解析↓ 4、（单选题）国家实施网络（）战略，支持研究开发安全、方便的电子身份认证技术，推动不同电子身份认证之间的互认。 A.认证身份 B.可信身份 C.信誉身份 D.安全身份 正确答案：B用户选择：导入到我的错题 解析：展开解析↓ 5、（单选题）国家建立网络安全监测预警和（）制度。国家网信部门应当统筹协调有关部门加强网络安全信息收集、分析和通报工作，按照规定统一发布网络安全监测预警信息。 A.信息输送 B.信息通报 C.信息共享 D.信息传达 正确答案：B用户选择：导入到我的错题
解析：展开解析↓ 6、（单选题）关键信息基础设施的运营者采购网络产品和服务，应当按照规定与提供者签订（），明确安全和保密义务与责任。 A.保密合同 B.安全保密协议 C.安全责任条款 D.安全服务合同 正确答案：B用户选择：导入到我的错题 解析：展开解析↓ 7、（单选题）网络产品、服务具有（）的，其提供者应当向用户明示并取得同意，涉及用户个人信息的，还应当遵守《网络安全法》和有关法律、行政法规关于个人信息保护的规定。 A.提供用户家庭信息功能 B.用户填写信息功能 C.收集用户信息功能 D.公开用户资料功能 正确答案：C用户选择：导入到我的错题 解析：展开解析↓ 8、（单选题）根据《网络安全法》的规定，国家实行网络安全（）保护制度。 A.结构 B.分层
电子商务安全课程标准
衡水职业技术学院 Hengshui College of Vocational Technology 课程标准 课程代码：02030040 课程名称：电子商务 安全 编制人：郭爱群 制订时间：2013-6-8 专业负责人：赵晓红
所属系部：经济管理
衡水职业技术学院教务处制 《电子商务安全》课程标准 适用专业：电子商务专业 课程类别：必修修课方式：理论+实践 教学时数：72学时总学分数：4.5学分 一、课程定位与课程设计 （一）课程性质与作用 课程的性质：《电子商务安全》是电子商务专业的专业必修课程。 课程的作用：本课程以电子商务企业经营、管理和服务第一线的岗位需求为着眼点讲述电子商务安全基础、电子商务面临的安全问题、电子商务安全技术以及电子商务安全实际应用。通过学习该课程，使学生掌握电子商务安全方面的基本知识，树立电子商务安全意识，具备电子商务安全基本操作技能，培养学生的思维创新能力和实践动手能力，为电子商务企业的电子商务活动提供较为安全的工作环境。 与其他课程的关系：《电子商务概论》是它的前导课程，为整个电子商务专业打基础；《网站架设与维护》、《网络营销》和《客户关系管理》是它的后续课程，是电子商务专业从事职业活动的具体行为；而《电子商务安全》起到纽带和支撑作用。 （二）课程基本理念 课程开发打破传统的教学理念，遵循现代职业教育指导思想，以开发职业能力为课程的目标，课程教学内容的取舍和内容排序遵循职业性原则，课程实施行动导向的教学模式，以实际的电子商务安全交易为载体设计教学过程，逐步培养学生综合能力。 （三）课程设计思路 1课程设计思路 （1）以培养电子商务师、网络管理员为设计依据确定工作任务； （2）以行动导向教学方法为指导，将课程内容具体化学习情境； （3）以实际的电子商务安全交易为载体设计教学过程；
《网络安全法》考试试题及答案1、（单选题）根据《网络安全法》的规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在（）。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估，法律、行政法规另有规定的，依照其规定。 A.境外存储 B.外部存储器储存 C.第三方存储 D.境内存储 正确答案：D 2、（单选题）国家鼓励开发网络数据安全保护和利用技术，促进（）开放，推动技术创新和经济社会发展。 A.公共图书馆资源 B.国家数据资源 C.公共学校资源 D.公共数据资源 正确答案：D
3、（单选题）国家倡导诚实守信、健康文明的网络行为，推动传播社会主义核心价值观，采取措施提高全社会的（）和水平，形成全社会共同参与促进网络安全的良好环境。 A.网络安全意识 B.网络诚信意识 C.网络社会道德意识 D.网络健康意识 正确答案：A 4、（单选题）根据《网络安全法》的规定，国家实行网络安全（）保护制度。 A.等级 B.分层 C.结构 D.行政级别 正确答案：A 5、（单选题）《网络安全法》规定，各级人民政府及其有关部门应当组织开展经常性的网络安全宣传教育，并（）有关单位做好网络安全宣传教育工作。 A.指导、督促
B.支持、指导 C.鼓励、引导 D.支持、引导 正确答案：A 6、（单选题）国家建立和完善网络安全标准体系。（）和国务院其他有关部门根据各自的职责，组织制定并适时修订有关网络安全管理以及网络产品、服务和运行安全的国家标准、行业标准。 A.电信研究机构 B.国务院标准化行政主管部门 C.网信部门 D.电信企业 正确答案：B 7、（单选题）网络产品、服务的提供者不得设置（），发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。 A.恶意程序 B.风险程序 C.病毒程序
计算机科学与技术专业 《计算机网络安全》试卷 一、单项选择题（每小题 1分，共30 分） 在下列每小题的四个备选答案中选出一个正确的答案，并将其字母标号填入题干的括号内。 1. 非法接收者在截获密文后试图从中分析出明文的过程称为（ A ） A. 破译 B. 解密 C. 加密 D. 攻击 2. 以下有关软件加密和硬件加密的比较，不正确的是（ B ） A. 硬件加密对用户是透明的，而软件加密需要在操作系统或软件中写入加密程序 B. 硬件加密的兼容性比软件加密好 C. 硬件加密的安全性比软件加密好 D. 硬件加密的速度比软件加密快 3. 下面有关3DES的数学描述，正确的是（ B ） A. C=E(E(E(P, K1), K1), K1) B. C=E(D(E(P, K1), K2), K1) C. C=E(D(E(P, K1), K1), K1) D. C=D(E(D(P, K1), K2), K1) 4. PKI无法实现（ D ） A. 身份认证 B. 数据的完整性 C. 数据的机密性 D. 权限分配 5. CA的主要功能为（D ） A. 确认用户的身份 B. 为用户提供证书的申请、下载、查询、注销和恢复等操作 C. 定义了密码系统的使用方法和原则 D. 负责发放和管理数字证书 6. 数字证书不包含（ B ） A. 颁发机构的名称 B. 证书持有者的私有密钥信息 C. 证书的有效期 D. CA签发证书时所使用的签名算法 7. “在因特网上没有人知道对方是一个人还是一条狗”这个故事最能说明（A ） A. 身份认证的重要性和迫切性 B. 网络上所有的活动都是不可见的 C. 网络应用中存在不严肃性 D. 计算机网络是一个虚拟的世界 8. 以下认证方式中，最为安全的是（D ） A. 用户名+密码 B. 卡+密钥 C. 用户名+密码+验证码 D. 卡+指纹 9. 将通过在别人丢弃的废旧硬盘、U盘等介质中获取他人有用信息的行为称为（D ） A. 社会工程学 B. 搭线窃听 C. 窥探 D. 垃圾搜索 10. ARP欺骗的实质是（A ） A. 提供虚拟的MAC与IP地址的组合 B. 让其他计算机知道自己的存在 C. 窃取用户在网络中传输的数据 D. 扰乱网络的正常运行 11. TCP SYN泛洪攻击的原理是利用了（A ） A. TCP三次握手过程 B. TCP面向流的工作机制 C. TCP数据传输中的窗口技术 D. TCP连接终止时的FIN报文 12. DNSSEC中并未采用（C ） A. 数字签名技术 B. 公钥加密技术 C. 地址绑定技术 D. 报文摘要技术