软件水平考试
阅读下列说明，回答问题1至问题3，将解答填入答题纸的对应栏内。 【说明】 某公司的网络拓扑结构图如图3-1所示为了保障网络安全，该公司安装了一款防火墙，对内部网络、服务期以及外部网络进行逻 辑隔离，其网络结构如图2-1所示。 包过滤防火墙使用ACL实现过滤功能，常用的ACL分为两种，编号为（ 1 ）的ACL根据IP报文 的（ 2 ）域进行过滤，称为（ 3 ）；编号为（ 4 ）的ACL根据IP报文中的更多域对数据包进行 控制，称为（ 5 ）。 A.标准访问控制列 B.扩展访问控制列表 C.
题目
【说明】 某公司的网络拓扑结构图如图3-1所示为了保障网络安全，该公司安装了一款防火墙，对内部网络、服务期以及外部网络进行逻 辑隔离，其网络结构如图2-1所示。 包过滤防火墙使用ACL实现过滤功能，常用的ACL分为两种，编号为（ 1 ）的ACL根据IP报文 的（ 2 ）域进行过滤，称为（ 3 ）；编号为（ 4 ）的ACL根据IP报文中的更多域对数据包进行 控制，称为（ 5 ）。
A.标准访问控制列 B.扩展访问控制列表
C.基于时间的访问控制列表 D.1-99E.0-99 F.100-199 G.目的的IP地址H.源IP地址 I.源端口 J.目的端口
如图2-1所示，防头墙的三个端口，端口⑥是（ ）、端口⑦是( ) 、端口⑧是（ ）。从下列选项中选择。A.外部网络 B.内部网络 C.非军事区
公司内部IP地址分配如下
1.为保护内网安全，防火墙的安全配置要求如下
(1)内外网用户均可访问 Web服务器，特定主机200.120.100.1可以通过Telnet访问Web服务器。(2)禁止外网用户访问财务服务器，禁止财务部门访问Internet,允许生产部门和行政部门访问Internet。根据以上需求，请按照防火墙的最小特权原则补充完成表2-2:
2.若调换上面配置中的第 3条和第4条规则的顺序，则（ ）A.安全规则不发生变化 B.财务服务器将受到安全威胁 C.Web服务器将受到安全威胁D.内网用户将无法访问Intemet
3.在上面的配置中，是否实现了"禁止外网用户访问财务服务器"这条规则？
参考答案和解析
（6）A （7）C （8）B
1.（9）10.10.200.1 （10）80 （11）200.120.100.1（12）23（13）192.168.10.0/23 （14）允许（15）拒绝 2. D 3 . 实现了禁止外网用户访问服务器的规则
相似问题和答案
第1题：
阅读下列说明，回答问题1至问题5，将解答填入对应栏内。
【说明】
希赛IT教育研发中心在部署计算机网络时采用了一款硬件防火墙，该防火墙带有三个以太网络接口，其网络拓扑如图3-1所示。
防火墙包过滤规则的默认策略为拒绝，表3-1给出防火墙的包过滤规则配置。若要。求内部所有主机能使用Ⅲ浏览器访问外部IP地址202．117．118．23的Web服务器，为表中(1)～(4)空缺处选择正确答案，填写在相应位置。
(1)备选答案：A．允许 B．拒绝
(2)备选答案：A．192．168．1．0/24 B．211．156．169．6/30 C．202．117．118．23/24
(3)备选答案：A．TCP B．UDP C．ICMP
(4)备选答案：A．E3→E2 B．E1→E3 C E1→E2
(1)A (2)A (3)A (4)C 解析：由于防火墙包过滤规则的默认策略为拒绝，因此就需要对每个允许的网络通信操作配置一条策略为“允许”的访问规则，即(1)应该选择答案A(允许)。
根据题意，要使“内部所有主机能使用Ⅲ浏览器访问外部IP地址202．117．118．23的Web服务器”，并设置好了目的地址和目的端口。其中内部所有主机显然是指区域C中的所有主机，因此是192．168．1．0网络，即(2)应该选择答案A(192．168．1．0/24)：而访问Web服务器将使用HTTP协议，HTTP协议是基于TCP的，因此(3)应该选择答案A(TCP)，而方向的源端显然是E1，而根据目标IP地址可知，它应该位于区域A，因此目标端应该是E2，因此(4)应该选择答案C(E1→E2)。
第2题：
访问控制列表(ACL)分为标准和扩展两种。下面关于ACI．的描述中，错误的是( )． 。
A．标准ACL可以根据分组中的IP源地址进行过滤
B．扩展ACL可以根据分组中的IP目标地址进行过滤
C．标准ACL可以根据分组中的IP目标地址进行过滤
D．扩展ACL可以根据不同的上层协议信息进行过滤
解析：访问控制列表(Access Control IJist，ACI。)是路由器和交换机接口的指令列表，用来控制端口进出的数据包。ACL适用于所有的被路由协议，如IP、IPX、AppleTalk等。这张表中包含了匹配关系、条件和查询语句，表只是一个框架结构，其目的是为了对某种访问进行控制。信息点间通信，内外网络的通信都是企业网络中必不可少的业务需求，但是为了保证内网的安全性，需要通过安全策略来保障非授权用户只能访问特定的网络资源，从而达到对访问进行控制的目的。简而言之，ACL是可以过滤网络中的流量，控制访问的一种网络技术手段。访问控制列表(ACL)分为标准和扩展两种，标准ACL可以根据分组中的IP源地址和l目的地址进行过滤，扩展ACL可以根据不同的上层协议信息进行过滤。标准ACI一不能根据目的地址过滤，因此选c。
第3题：
访问控制列表分为标准和扩展两种。下面关于ACL的描述中，错误的是()。
A.标准ACL可以根据分组中的IP源地址进行过滤
B.扩展ACL可以根据分组中的IP目标地址进行过滤
C.标准ACL可以根据分组中的IP目标地址进行过滤
D.扩展ACL可以根据不同的上层协议信息进行过滤
第4题：
路由器访问控制列表(ACL)的作用是(3)。
A．ACL可监控交换的字节数
B．ACL提供路由过滤功能
C．ACL可监测网络病毒
D．ACL可提高网络的利用率
解析：访问控制列表(ACL)是路由器的一组指令，用于设置路由器过滤数据包的规则，这种规则可以实现下列功能：(1)内不过滤数组(2)保护内部网络免受外部攻击(3)限制对虚拟终端的访问。
第5题：
阅读下列说明和图，回答问题1至问题3，将解答填入答题纸的对应栏内。
【说明】
防火墙是一种广泛应用的网络安全防御技术，它阻挡对网络的非法访问和不安全的数据传递，保护本地系统和网络免于受到安全威胁。
图3-1改出了一种防火墙的体系结构。
【问题1】
防火墙的体系结构主要有：
（1）双重宿主主机体系结构；
（2）（被）屏蔽主机体系结构；
（3）（被）屏蔽子网体系结构；
请简要说明这三种体系结构的特点。
【问题2】
（1）图3-1描述的是哪一种防火墙的体系结构？
（2）其中内部包过滤器和外部包过滤器的作用分别是什么？
【问题3】
设图3-1中外部包过滤器的外部IP地址为10.20.100.1，内部IP地址为10.20.100.2，内部包过滤器的外部IP地址为10.20.100.3，内部IP地址为192.168.0.1，DMZ中Web服务器IP为10.20.100.6，SMTP服务器IP为10.20.100.8.
关于包过滤器，要求实现以下功能，不允许内部网络用户访问外网和DMZ，外部网络用户只允许访问DMZ中的Web服务器和SMTP服务器。内部包过滤器规则如表3-1所示。请完成外部包过滤器规则表3-2，将对应空缺表项的答案填入答题纸对应栏内。
【问题一】双重宿主主机体系结构：双重宿主主机体系结构是指以一台双重宿主主机作为防火墙系统的主体，执行分离外部网络与内部网络的任务。被屏蔽主机体系结构：被屏蔽主机体系结构是指通过一个单独的路由器和内部网络上的堡垒主机共同构成防火墙，主要通过数据包过滤实现内外网络的隔离和对内网的保护。被屏蔽子网体系结构：被屏蔽子网体系结构将防火墙的概念扩充至一个由两台路由器包围起来的周边网络，并且将容易受到攻击的堡垒主机都置于这个周边网络中。其主要由四个部件构成，分别为:周边网络、外部路由器、内部路由器以及堡垒主机。【问题二】（1）屏蔽子网体系结构。（2）内部路由器：内部路由器用于隔离周边网络和内部网络，是屏蔽子网体系结构的第二道屏障。在其上设置了针对内部用户的访问过滤规划，对内部用户访问周边网络和外部网络进行限制。外部路由器：外部路由器的主要作用在于保护周边网络和内部网络，是屏蔽子网体系结构的第一道屏障。在其上设置了对周边网络和内部网络进行访问的过滤规则，该规则主要针对外网用户。【问题三】（1）*（2）10.20.100.8（3）10.20.100.8（4）*（5）UDP（6）10.20.100.3（7）UDP（8）10.20.100.3
第6题：
[问题1]（2分）
访问控制列表（ACL）对流入／流出路由器各端口的数据包进行过滤。ACL按照其功能分为两类， （1）只能根据数据包的源地址进行过滤， （2）可以根据源地址、目的地址以及端口号进行过滤。
【问题1】（2分）
（1）标准ACL
（2）扩展ACL
第7题：
阅读以下说明，回答问题1-5，将答案填入答题纸对应的解答栏内。
[说明]
某单位在部署计算机网络时采用了一款硬件防火墙，该防火墙带有三个以太网络接口，其网络拓扑如下图所示。
防火墙包过滤规则的默认策略为拒绝，下表中给出了防火墙的包过滤规则。若要求内部所有主机能使用IE浏览器访问外部IP地址202.117.118.23的Web服务器，为表中(1)～(4)空缺处选择正确答案，填写在答题纸的相应位置。
(1)
A．允许 B．拒绝
A
第8题：
下列有关标准ACL和扩展ACL的说法中哪两种正确（）
A.扩展ACL仅过滤源地址，必须放置在靠近目的地址的位置
B.通常放置标准ACL后，所有数据包会通过网络并在目的地被过滤
C.过滤要求较复杂时（例如根据特定协议进行过滤）使用标准ACL
D.扩展ACL根据多种条件进行过滤，其放置在靠近源地址的位置，以减少通过网络的流量。
第9题：
阅读下列说明，回答问题 1至问题 3，将解答填入答题纸的对应栏内。 【说明】 某公司的网络拓扑结构图如图2-1所示
【问题1】(共5分） 为了保障网络安全，该公司安装了一款防火墙，对内部网络、服务期以及外部网络进行逻辑隔离，其网络结构如图2-1所示。 包过滤防火墙使用ACL实现过滤功能，常用的ACL分为两种，编号为（1）的ACL根据IP报文的（2）域进行过滤，称为（3）；编号为（4）的ACL根据IP报文中的更多域对数据包进行控制，称为（5）. (1)~(5) 备选项: A. 标准访问控制列表 B. 扩展访问控制列表 C. 基于时间的访问控制列表 D.，1&39;"99 E. 0-99 F. 100-199 G.目的的IP地址 H.源IP地址 . I.源端口 J.目的端口 【问题2 】(共6分） 如图2-1所示，防头墙的三个端口，端口⑥是（6）、端口⑦是 (7) 、端口⑧是（8）。 (6）~（8) 是备选项 A. 外部网络 B. 内部网络 C. 非军事区 【问题3 】(共9分） 公司内部E地址分配如下 表2-1 部门/服务器 IP地址段 财务部门 192.168.9.0/24 生产部门 192.168.10.0/24 行政部门 192.168.11.0/24 财务服务器 192.168.100.1/24 Web服务器 10.10.200.1/24 1.为保护内网安全，防火墙的安全配置要求如下 (1)内外网用户均可访问 Web 服务器，特定主机 200.120.100.1 可以通过 Telnet访问 Web 服务器。 (2)禁止外网用户访问财务服务器，禁止财务部门访问 Intemet ，允许生 产部门和行政部门访问Intemet 。 根据以上需求，请按照防火墙的最小特权原则补充完成表 2-2: 表2-2 序号 源地址 源端口 目的地址 目的端口 协议 规则 1 Any Any （9） （10） WWW 允许 2 （11） Any 10.10.200.1 （12） telnet 允许 3 （13） Any Any Any Any （14） 4 Any Any Any Any Any （15） 2.若调换上面配置中的第 3条和第4条规则的顺序，则（16） （16）备选项： A. 安全规则不发生变化 B. 财务服务器将受到安全威胁 C. Web服务器将受到安全威胁 D. 内网用户将无法访问Intemet 3. 在上面的配置中，是否实现了"禁止外网用户访问财务服务器"这条规则？
（1）D
（2）H
（3）A
（4）F
（5）B
问题二：
（6）A
（7）C
（8）B
问题三：
（9）10.10.200.1
（10）80
（11）200.120.100.1
（12）23
（13）192.168.10.0
（14）允许
（15）拒绝
（16）D
（17）已经实现，除开允许的，其余均已经禁止
第10题：
阅读以下说明，回答问题1至问题3，将解答填入答题纸对应的解答栏内。 【说明】 某学校的网络拓扑结构图如图2-1所示。
【问题1】（每空1分，共7分） 常用的 IP 访问控制列表有两种，它们是编号为（1）和 1300~1399 的标准访问控制列表和编为（2）和 2000~2699 的扩展访问控制列表、其中，标准访问控制列表是根据 IP 报的（3）来对 IP 报文进行过滤，扩展访问控制列表是根据 IP 报文的（4）、（5）、上层协议和时间等来对 IP 报文进行过滤。一般地，标准访问控制列表放置在靠近（6）的位置，扩展访问控制列表放置在靠近（7）的位置。 【问题2】（每空1分，共10分） 为保障安全，使用ACL对网络中的访问进行控制。访问控制的要求如下： (1)家属区不能访问财务服务器，但可以访问互联网； (2)学生宿舍区不能访问财务服务器，且在每天晚上18:00～24:00禁止访问互联网； (3)办公区可以访问财务服务器和互联网； (4)教学区禁止访问财务服务器，且每天8:00～18:00禁止访问互联网。 1．使用ACL对财务服务器进行访问控制，请将下面配置补充完整。 R1(config)access-list 1 （8） （9） 0.0.0.255 R1(config)access-Iist 1 deny 172.16.10.0 0.0.0.255 R1(config)access-list 1 deny 172.16.20.0 0.0.0.255 R1(config)access-Iist 1 deny （10） 0.0.0.255 Rl(config)mterface （11） R1(config-if)ip access-group 1 （12） 2．使用ACL对Internt进行访问控制，请将下面配置补充完整。 Route-Switch(config)time-range jxq ∥定义教学区时间范围 Route-Switch(config-tune-range) periodic daily （13） Route-Switch(config)time-range xsssq //定义学生宿舍区时间范围 Route-Switch(config-time-range)periodic （14） 18:00 t0 24:00 Route-Switch(config-time-range)exit Route-Switch(config)access-list 100 permit ip 172.16.10.0 0.0.0.255 any Route-Switch(config)access-list 100 permit ip 172.16.40.0 0.0.0.255 any Route-Switch(config)access-list 100 deny ip （15） 0.0.0.255 time-range jxq Route-Switch(corffig)access-list 100 deny ip （16） 0.0.0.255 time-range xsssq Route-Switch (config)interface （17） Route-Switch(config-if)ip access-group 100out 【问题3】（每空1分，共3分） 网络在运行过程中发现，家属区网络经常受到学生宿舍区网络的DDoS攻击，现对家属区网络和学生宿舍区网络之间的流量进行过滤，要求家属区网络可访问学生宿舍区网络，但学生宿舍区网络禁止访问家属区网络。 采用自反访问列表实现访问控制，请解释配置代码。 Route-Switch(config)ip access-hst extended infilter Route-Switch(config-ext-nacl)permit ip any 172.16.20.0 0.0.0.255 refiect jsq （18） Route-Switch(config-ext-nacl)exit Route-Switch(config)ip access-list extended outfilter Route-Switch(config-ext-nacl) evaluate jsq （19） Route-Switch(config-ext-nacl)exit Route-Switch(config)interface fastethernet 0/1 Route-Switch(config-if)ip access-group infilter in Route-Switch(config-if)ip access-group outfilter out //（20）
（1）1-99
（2）100-199
（3）源地址
（4）源地址
（5）目的地址
（6）数据目的地
（7）数据源
【问题2】（每空1分，共10分）
（8）permit
（9）172.16.40.0
（10）172.16.30.0
（11）F0/1
（12）out
（13）8:00 to 18:00
（14）daliy
（15）172.16.30.0
（16）172.16.20.0
（17）F0/5
【问题3】（每空1分，共3分）
（18）当符合任何网络访问172.16.20.0/16网络的数据流通过的时候，建立自反控制列表jsp。
（19）计算并生成自反列表
（20）在接口F0/1出口方向上应用这个自反列表