2018年11月网络规划设计师案例分析真题解析
2018年11月软考网络规划设计师案例分析真题解 析阅读以下说明 回答问题1至问题4 将解答填入答题纸对应 的解答栏内 说明 某园区组网方案如图1 1所示 数据规划如表1 1内容所示 问题1 8分 该网络对汇 聚层交换机进行了堆叠 在此基础上进行链路聚合并配置接口 补充下列命令片段 SW3 interface 1 SW3 Eth Trunk30 quit SW3 interface gigabitethernet 1 0 1 SW3 GigabitEthernet1 0 1 eth trunk 30 SW3 GigabitEthemet1 0 1 quit SW3 interface gigabitethernet 2 0 1 SW3 GigabitEthernet2 0 1 eth trunk 30 SW3 GigabitEthernet2 0 1 quit SW3 vlan batch 2 SW3 interface eth trunk 30 SW3 Eth Trunk30 port link type 3 SW3 Eth Trunk30 port trunk allow pass vlan 30 40 SW3 Eth Trunk30 quit SW3 interface vlanif 30 SW3 Vlanif30 ip address 4 SW3 Vlanif30 quit 解析 1 eth trunk 30 2 30 40 30 Trunk 4 172 16 30 2 24 问题2 8分 该网络对核心层交换机进行了集群 在此基础上进行链路聚合并配置接口 补充下列命令片段 CSS interface loopback 0 CSS LoopBack0 ip address 3 3 3 3 32 CSS LoopBack0 quit CSs vlan batch 10 30 40 50 CSS interface eth trunk 10 CSS Eth Trunk10 port link type access CSS Eth Trunk10 port default vlan 10 CSS Eth Trunk10 quit CSS interface eth trunk 20 CSS Eth Trunk20 port link type 5 CSS Eth Trunk20 port default vlan 20 CSS Eth Trunk20 quit CSS interface eth trunk 30 CSS Eth Trunk30 port link type 6 CSS Eth Trunk30 port trunk allow pass vlan 30 40 CSS Eth Trunk30 quit CSS interface vlanif 10 CSS Vlanif10 ip address 172 16 10 3 24 CSS Vlanif10 quit CSS interface vlanif 30 CSS Vlanif30 ip address 172 16 30 1 24 CSS Vlanif30 quit CSS interface vlanif 40 CSS Vlanif40 ip address 7 CSS Vlanif40 quit CSS interface gigabitethernet 1 1 0 10 CSS GigabitEthernet1 1 0 10 port link type access CSS GigabitEthernet 1 0 10 port default vlan 50 CSS GigabitEthernetl 1 0 10 quit CSS interface vlanif 50 CSS Vlanif50 ip address 8 CSS Vlanif50 quit 解析 5 access 6 trunk 7 172 16 40 1 24 8 172 16 50 1 24 问题 3 3分 配置FW1时 下列命 令片段的作用是 9 FW1 iterface eth trunk 10 FW1 Eth Trunk10 quit FW1 interface gigabitethernet 1 0 3 FW1 GigabitEthernet1 0 3 eth trunk 10 FW1 GigabitEthernet1 0 3 quit FW1 interface gigabitethernet 1 0 4 FW1 GigabitEthernet1 0 4 eth trunk 10 FW1 GigabitEthernet1 0 4 quit 解析 把gigabitethernet 1 0 3和gigabitethernet 1 0 4加入eth trunk 10逻辑端口中 问题4 6分 在该网络以防火墙作为出口网关的部署方式 相比用路由器作为出口网关 防火 墙旁挂的部署方式 最主要的区别在于 10 为了使内网用户访问 外网 在出口防火墙的上行配置 11 实现私网地址和公网 地址之间的转换 在出口防火墙上配置 12 实现外网用户访问 HTTP服务器 解析 10 可以在防火墙上配置相关安全策略 对进出的网络流量进行检测 根据 策略要求放行 阻断相关流量 11 NAT 12 NAT Server 阅读下列说明 回答问题1至问题4 将解答填入答题纸的对应栏 内 说明 图2 1为某台服务器的RAID Redundant Array of Independent Disk 独立冗余磁盘阵 列 示意图 一般进行RAID配置时会根据业务需求设置相应的RAID条带深度和大 小 本服务器由4块磁盘组成 其中P表示校验段 D表示数据段 每个数据块为 4KB 每个条带在一个磁盘上的数据段包括4个数据块 问题1 6分 图2 1所示的RAID方式是 1 该RAID最多允许坏 2 块磁盘而数据不丢失 通过增 加 3 盘可以减小磁盘故障对数据安全的影响 解析 1 RAID5 2 1 3 热备盘 raid5 1个磁盘做热备盘 Raid5如果坏了1个盘 马上就能有个热备盘 自动同步 数据 热备盘 就会顶替Raid里的那个坏盘 同时利用异或校验算法 把坏盘上面的数 据原样做出来并存储在热备盘 中 这样一来就等于Raid没受到损坏 然后再找个一个同样的盘把坏盘替换掉 Raid 和热备盘 的状态又正常了 问题2 5分 1 图2 1 所示 RAID 的条带深度是 4 KB 大小是 5 KB 2 简述该RAID方式的条带深度大小对性能的影响 解析 1 4 16 5 4 条带深度 指的是条带的大小 也叫条带大小 有时也被叫做block size chunk size stripe length 或者 granularity 这个参数指的是写在每块磁盘上的条带数据 块的大小 2 减小条带大小 由于条带大小减小了 则文件被分成了更多个 更小的数据 块 这些数据块会被分散到更多的硬盘上存储 因此提高了传输的性能 但是由 于要多次寻找不同的数据块 磁盘定位的性能就下降了 增加条带大小 与减小条带大小相反 会降低传输性能 提高定位性能 问题3 7分 图2 1所示的RAID方式最多可以并发 6 个 IO写操作 通过 7 措施可以提高最大并 发数 其原因是 8 解析 6 2 7 增加条带宽度 8 条带宽度 是指同时可以并发读或写的条带数量 这个数量等 于RAID中的物理硬盘数量 例如一个经过条带化的 具有4块物理硬 盘的阵列的条带宽度就是4 增加条带宽度 可以增加阵列的读写 性能 道理很明显 增加更多的硬盘 也就增加了可以同时并发读 或写的条带数量 在其他条件一样的前提下 一个由8块18G硬盘组 成的阵列相比一个由4块36G硬盘组成的阵列具有更高的传输性能 问题4 7分 某天 管理员发现该 服务器的磁盘0故障报警 管理员立即采取相应措施进 行处理 1 管理员应采取什么措施 2 假设磁盘0被分配了80 的空间 则在RAID重构时 未被分配的20 空间是 否参与重构 请说明原因 解析 1 立即更换同型号 同容量的硬盘 2 未分配的20 空间不参与重构 阅读下列说明 回答问题1至问题4 将解答填入答题纸的对应栏 内 说明 图3 1为某公司拟建数据中心的简要拓扑图 该数据中心安全规划设计要 求符合信息安全等级保护 三级 相关要求 问题1 9分 1 在信息安全规划和设计时 般通过划分安全域实现业务 的正常运行和安全的 有效保障 结合该公司实际情况 数据中心应该合理地划分为 1 2 3 三 个安全域 2 为了实现不同区域的边界防范和隔离 在图3 1的设备 处应部署 4 设备 通过基于HTTP HTTPS的安全策略进行网站等Web应用防护 对攻击进行检测和 阻断 在设备 处应部署 5 设备 通过有效的访问控制策略 对数据库区域进 行安全防护 在设备 处应部署 6 设备 定期对数据中心内服务器等关键设备 进行扫描 及时发现 安全漏洞和威胁 可供修复和完善 解析 1 运维管理安全域 2 应用业务安全域 3 数据 存储安全域 4 WAF 5 数据库防火墙 6 漏洞扫描设备 问题2 6分 信息安全管理一般从安全管理制度 安全管理机构 人员安全管理 系统建设管 理 系统运维管理等方面进行安全管理规划和建设 其中应急预案制定和演练 安全事件处理属于 7 方面 人员录用 安全教育和培训属于 8 方面 制定信 息安全方针与策略和日常操作规程属于 9 方面 设立信息安全工作领导小组 明确安全管理职能部门的职责和 分工属于 10 方 面 解析 7 系统运维管理 8 人员安全管理 9 安全管理制度 10 安全管理机构 问题3 4分 随着DDoS Distributed Denial of Service 分布式拒绝服务 攻击的技术门槛 越来越低 使其成为网络安全中最常见 最难 防御的攻击之 一 其主要目的是让攻击目标无法 提供正常服务 请列举常用的DDoS攻击防范方法 解析 DDoS攻击防御方法 1 过滤 不必要的服务和端口 可以使用Inexpress Express Forwarding等工具来过滤 不必要的服 务和端口 即在路由器上过滤 假IP 比如Cisco公司的CEF Cisco Express Forwarding 可以针对 封包 Source IP和Routing Table做比较 并加以过滤 只开放服务端口成为目前很多服务器的流行做法 例如WWW服务器那么只开放80而将其他所有端口关闭或在防火墙上做阻止策略 2 异常流量的清洗过滤 通过DDOS硬件防火墙对 异常流量的清洗过滤 通过数据包的规则过 滤 数据流指纹检测过滤 及数据包内容定制过滤 等顶尖技术能准确判断外来访问 流量是否正 常 进一步将异常流量禁止过滤 单台负载 每秒可防御800 927万个syn攻击包 3 分布式集群防御 这是目前网络安全界防御大规模DDOS攻击的最有效办法 分布式集群防御 的特点是在每个节点服务器配置多个IP地址 负载 均衡 并且每个节点能承受不低于10G的 DDOS攻击 如一个节点受攻击无法提供服务 系统将会根据优先级设 置自动切换另一个节点 并将攻击者的数据包全部返回发送点 使攻击源成为瘫痪 状态 从更为深度的安全防护角度 去影响企业的安全执行决策 4 高防智能DNS解析 高智能DNS解析系统与DDOS防御系统的完美结合 为企业提供对抗新兴 安全威胁的超级检测 功能 它颠覆了传统 一个域名对应 一个镜像的做法 智能根据用户的上网 路线将DNS解析请求解析到用户所属网络的服务器 同时智能DNS解析系统还 有宕机检测 功能 随时可将瘫痪 的服务器IP智能更换成正常服务器IP 为企业的网络保持一个永不宕机的服务 状态 解析 DDoS攻击的网络流量清洗 当发生DDOS攻击时 网络监 控系统会侦测 到网络流量的异常变化并发出报警 在系统自动检 测或人工判断之后
