某公司总部和分支机构的网络配置如图4-1所示。在路由器R1和R2上配置IPSec安全策略，实现分支机构和总部的安全通信。
【问题1】（4分）
图4-2中（a）、（b）、（c）、（d）为不同类型IPSec数据包的示意图，其中（1）和（2）工作在隧道模式；（3）和（4）支持报文加密。
【问题2】（4分）
下面的命令在路由器R1中建立IKE策略，请补充完成命令或说明命令的含义。
R1(config)#crypto?isakmp?policy?110进入ISAKMP配置模式
R1(config-isakmp)#encryption?des（5）
R1(config-isakmp)#（6）采用MD5散列算法
R1(config-isakmp)#authentication?pre-share（7）
R1(config-isakmp)#group?1
R1(config-isakmp)#lifetime（8）安全关联生存期为1天
【问题3】（4分）
R2与R1之间采用预共享密钥“12345678”建立IPSec安全关联，请完成下面配置命令。
R1(config)#crypt?isakmp?key?12345678?address（9）
R2(config)#crypt?isakmp?key?12345678?address（10）
【问题4】（3分）
完成以下ACL配置，实现总部主机10.0.1.3和分支机构主机10.0.2.3的通信。
R1(config)#access-list?110?permit?ip?host（11）host（12）
R2(config)#access-list?110?permit?ip?host（13）host?10.0.1.3
正确答案及解析
正确答案
解析
【问题1】（4分，各1分）
（1）（2）c、d（顺序可交换）
（3）（4）b、d（顺序可交换）
【问题2】（4分，各1分）
（5）加密算法为DES
（6）hash md5
（7）认证采用预共享密钥
（8）86400
【问题3】（4分，各2分）
（9）172.30.2.2
（10）172.30.1.2
【问题4】（3分，各1分）
（11）10.0.1.3
（12）10.0.2.3
（13）10.0.2.3
IPSec有隧道和传送两种工作方式。在隧道方式中，用户的整个IP数据包被用来计算ESP头，且被加密，ESP头和加密用户数据被封装在一个新的IP数据包中；在传送方式中，只是传输层（如TCP、UDP、ICMP）数据被用来计算ESP头，ESP头和被加密的传输层数据被放置在原IP包头后面。当IPSec通信的一端为安全网关时，必须采用隧道方式。
IPsec使用两种协议来提供通信安全――身份验证报头（AH）和封装式安全措施负载（ESP）。
身份验证报头（AH）可对整个数据包（IP报头与数据包中的数据负载）提供身份验证、完整性与抗重播保护。但是它不提供保密性，即它不对数据进行加密。数据可以读取，但是禁止修改。
封装式安全措施负载（ESP）不仅为IP负载提供身份验证、完整性和抗重播保护，还提供机密性。传输模式中的ESP不对整个数据包进行签名。只对IP负载（而不对IP报头）进行保护。ESP可以独立使用，也可与AH组合使用。
VPN的基本配置：
l配置信息描述：
一边服务器的网络子网为192.168.1.0/24，路由器为100.10.15.1；另一边的服务器为192.168.10.0/24，路由器为200.20.25.1。
l主要步骤：
1.确定一个预先共享的密钥（保密密码）（以下例子保密密码假设为testpwd）
2.为SA协商过程配置IKE。
3.配置IPSec。
（一）配置IKE
CsaiR(config)#crypto isakmp policy 1
【注释】policy 1表示策略1，假如想多配几VPN，可以写成policy 2、policy 3…
CsaiR(config-isakmp)#group 1
【注释】group命令有两个参数值：1和2。参数值1表示密钥使用768位密钥，参数值2表示密钥使用1024位密钥，显然后一种密钥安全性高，但消耗更多的CPU时间。在通信比较少时，最好使用group 1长度的密钥。
CsaiR(config-isakmp)#authentication pre-share
【注释】告诉路由器要使用预先共享的密码。
CsaiR(config-isakmp)#lifetime 3600
【注释】对生成新SA的周期进行调整。这个值以秒为单位，默认值为86400（24小时）。值得注意的是两端的路由器都要设置相同的SA周期，否则VPN在正常初始化之后，将会在较短的一个SA周期到达中断。
CsaiR(config)#crypto isakmp key test address 200.20.25.1
【注释】返回到全局设置模式确定要使用的预先共享密钥和指归VPN另一端路由器IP地址，即目的路由器IP地址。相应地在另一端路由器配置也和以上命令类似，只不过把IP地址改成100.10.15.1。
（二）配置IPSec
CsaiR(config)#access-list 130 permit ip 192.168.1.0 0.0.0.255 172.16.10.0 0.0.0.255
【注释】在这里使用的访问列表号不能与任何过滤访问列表相同，应该使用不同的访问列表号来标识VPN规则。
CsaiR(config)#crypto ipsec transform-set vpn1 ah-md5-hmac esp-des esp-md5-hmac
【注释】这里在两端路由器唯一不同的参数是vpn1，这是为这种选项组合所定义的名称。在两端的路由器上，这个名称可以相同，也可以不同。以上命令是定义所使用的IPSec参数。为了加强安全性，要启动验证报头。由于两个网络都使用私有地址空间，需要通过隧道传输数据，因此还要使用安全封装协议。最后，还要定义DES作为保密密码钥加密算法。
CsaiR(config)#crypto map shortsec 60 ipsec-isakmp
【注释】以上命令为定义生成新保密密钥的周期。如果攻击者破解了保密密钥，他就能够解使用同一个密钥的所有通信。基于这个原因，需要设置一个较短的密钥更新周期。比如，每分钟生成一个新密钥。这个命令在VPN两端的路由器上必须匹配。参数shortsec是我们给这个配置定义的名称，稍后可以将它与路由器的外部接口建立关联。
CsaiR(config-crypto-map)#set peer 200.20.25.1
【注释】这是标识对方路由器的合法IP地址。在远程路由器上也要输入类似命令，只是对方路由器地址应该是100.10.15.1。
CsaiR(config-crypto-map)#set transform-set vpn1
CsaiR(config-crypto-map)#match address 130
【注释】这两个命令分别标识用于这个连接的传输设置和访问列表。
CsaiR(config)#interface s0
CsaiR(config-if)#crypto map shortsec
【注释】将刚才定义的密码图应用到路由器的外部接口。
最后一步保存运行配置，最后测试这个VPN的连接，并且确保通信是按照预期规划进行的。
包含此试题的试卷
你可能感兴趣的试题
Advancements in （ ）have contributed to the growth of the automotive industry through the creation and evolution of self-driving vehicles.
-
- A.Artificial Intelligence
- B.Cloud Computing
- C.Internet of Things
- D.Big Data
- 查看答案
In project human resource management , （ ）is not a source of power for the project manager.
-
- A.referent power
- B.expert power
- C.reward power
- D.audit power
- 查看答案
At the project establishment stage , the feasibility study mainly includes techinical feasibility analysis , （ ）, operation environment feasibility analysis and other aspects of feasibility analysis.
-
- A.detail feasibility analysis
- B.opportunity analysis
- C.economic feasibility analysis
- D.risk analysis
- 查看答案
（ ）is a grid that shows the project resources assigned to each work package.
-
- A.Stakeholder engagement assessment matrix
- B.Requirements traceability matrix
- C.Probability and impact matrix
- D.Responsibility assignment matrix
- 查看答案
Xinhua News Agency reported in January 2022，Chian will further promote the developmet of a digital economy during the 14th Five-Year Plan eriod（2021-2025）. The plan also emphasized industrial （ ）transformation.
-
- A.digital
- B.networking
- C.intelligentize
- D.informatization
- 查看答案