①核心交换机2直接上连至边界路由器，其通信数据无法得到防火墙的安全防护；②两台核心交换机之间没有进行双高速链路相互连接；③汇聚交换机3缺少了一条与核心交换机1连接的高速通信链路；④内部服务器区不能连接在接入交换机4上，应该直接连接到两台核心交换机，保证高速访问；⑤有一个桌面用户同时连接至接入交换机2和接入交换机3；⑥双网卡用户同时通过该校园网和ADSL宽带接入方式访问Internet，形成了接入层的“后门”现象 (答案包含但不限于以上要点，答出其中5个小点即可，答案类似即可)

25.17或24
   40.96

[解析] 某个应用业务的网络流量计算公式如下：
   应用的数据传输速率=平均事务量大小×每字节位数×每个会话事务数×平均用户数/平均会话长度。依题意，该校园网经常浏览网页的用户数为300个，每用户每分钟(60s)平均产生12个事务处理任务，事务量大小为0.05MB(即0.05×1024×1024×8bit)，则浏览网页需要的信息传输速率为25.17Mbps。具体计算过程如下：
   0.05×1024×1024×8×12×300/(60)=25165824bps≈25.17Mbps
   若考试不允许带计算器，则该校园网浏览网页应用的流量估算值也可按下式近似计算：
   300×12×0.05×8/60=24Mbps
   在实际网络工程规划与设计过程中，为了保证峰值情况下所设计的网络能够正常运行，在考虑峰值用户数等因素的情况下，应用的数据传输速率=平均事务量大小×每字节位数×每个会话事务数×峰值用户数/平均会话长度。
   对于该校园网多媒体教室视频监控的应用业务，峰值用户数为20×4=80个，每个会话的事务数为1个。因此，该应用的流量约为512×1000×1×80bps=40960000bps=40.96Mbps。

10.2.3.126～255.255.255.128
   10.2.3.129～10.2.3.190
   255.255.255.192
   10.2.3.225～10.2.3.254
   255.255.255.224

[解析] 该教研综合楼所分配到的地址块10.2.3.0/24中，“/24”表示子网掩码为24位掩码，即255.255.255.0。表1给出了该单位多媒体教室1的计算机数量为80台。由于2⁶-2=62＜80＜2⁷-2=126，其中，“-2”表示保留全0的IP地址(被保留标志子网本身)和全1的IP地址(被保留用作该子网的广播地址)，因此对已给出的A类地址块10.2.3.0/24进行子网化时，对于“多媒体教室1”这个子网所用的主机地址位数至少需要7位，则A类地址块10.2.3.0的最后一个字节的最高位可用做子网号，用于标识“多媒体教室1”子网和其他子网。由此也可推知，多媒体教室1的新子网掩码为25位掩码，即②空缺处为255.255.255.128。
   由于表2中已给出多媒体教室1子网可实际分配的IP地址范围中的起始IP地址(即10.2.3.1)，将它与子网掩码255.255.255.0进行与(AND)运算，即可得到多媒体教室1子网的网段地址为10.2.3.0。由此可知，多媒体教室1的子网号为0。此多媒体教室1的子网号同时决定了多媒体教室2、教研室A和教研室B的IP地址中最后一个字节的最高位为1。换言之，其他子网的IP地址中最后一个字节用于标识子网的最高位为1。
   多媒体教室1子网可分配的主机地址范围求解过程见表4。

表4　多媒体教室1子网可分配的主机地址范围分析表
步骤	项目	数值
①	已求知的子网掩码	255.255.255.128
②	该子网掩码转化为二进制数形式	11111111.11111111.11111111.10000000
③	表2已给出的IP地址	10.2.3.1
④	该IP地址转化为二进制数形式	00001010.00000010.00000011.00000001
⑤	将以上两个二进制数进行AND运算	00001010.00000010.00000011.00000000
⑥	多媒体教室1子网的网段地址为	10.2.3.0/25
⑦	该子网的IP地址范围	10.2.3.0～10.2.3.127
⑧	多媒体教室1子网最小可实际分配的IP地址的二进制数形式为	00001010.00000010.00000011.00000001
⑨	多媒体教室1子网最大可实际分配的IP地址的二进制数形式为	00001010.00000010.00000011.01111110
⑩	该子网中可实际分配的主机地址范围	10.2.3.1～10.2.3.126

由以上分析可知，多媒体教室1子网使用的子网号为0，可实际分配的主机地址范围为10.2.3.1～10.2.3.126，因此表2中①空缺处所填写的内容可以是10.2.3.126。 由于2⁵-2=30＜50＜26-2=62，因此对于“多媒体教室2”这个子网所用的主机地址位数至少需要6位，则A类地址块10.2.3.0的最后一个字节的最高位、次高位可用作子网号，即用于标识“多媒体教室2”子网。由此也可推知，多媒体教室2的新子网掩码为26位掩码，即④空缺处的子网掩码为255.255.255.192。 由于2⁴-2=14＜18＜22＜2⁵-2=30，因此对于“教研室A”、“教研室B”这两个子网所用的主机地址位数至少需要5位，这两个子网的子网号为3位。因此，这两个子网的新子网掩码为27位掩码，即⑥空缺处的子网掩码为255.255.255.224。 将子网掩码255.255.255.224与表2中已给出的教研室B可分配的地址范围10.2.3.193～10.2.3.222进行与(AND)运算，即可得到教研室B所使用的子网号为110。由于“多媒体教室2”的子网号为两位，因此由教研室B所使用的子网号110可得，“多媒体教室2”的子网号为10。同理，可得教研室A的子网号为111。 由表5所示的分析过程可知，多媒体教室2可实际分配的主机地址范围为10.2.3.129～10.2.3.190，即③空缺处应填入10.2.3.129～10.2.3.190。

表5　多媒体教室2子网可分配的主机地址范围分析表
步骤	项目	数值
①	已求知的子网掩码	255.255.255.192
②	该子网掩码转化为二进制数形式	11111111.11111111.11111111.11000000
③	用子网号10标识“多媒体教室2”子网，则其网段地址的二进 制数形式为	00001010.00000010.00000011.10000000
④	该IP地址转化为十进制数形式	10.213.128/26
⑤	该子网的IP地址范围	10.2.3.128～10.2.3.191
⑥	多媒体教室2子网最小可实际分配的IP地址的二进制数形式为	00001010.00000010.00000011.10000001
⑦	多媒体教室2子网最大可实际分配的IP地址的二进制数形式为	00001010.00000010.00000011.10111110
⑧	该子网中可实际分配的主机地址范围的十进制数形式	10.2.3.129～10.2.3.190

由表6所示的分析过程可知，教研室A可实际分配的主机地址范围为10.2.3.225～10.2.3.254，即⑤空缺处应填入10.2.3.225～10.2.3.254。

表6　教研室A子网可分配的主机地址范围分析表
步骤	项目	数值
①	已知的子网掩码	255.255.255.224
②	访子网掩码转化为二进制数形式	11111111.11111111.11111111.11100000
③	用子网号111标识“教研室A”子网，则其网段地址的二进 制数形式为	00001010.00000010.00000011.11100000
④	该IP地址转化为十进制数形式	10.2.3.224/27
⑤	该子网的IP地址范围	10.2.3.224～10.2.3.255
⑥	教研室A子网最小可实际分配的IP地址的二进制数形式为	00001010.00000010.00000011.11100001
⑦	教研室A子网最大可实际分配的IP地址的二进制数形式为	00001010.00000010.00000011.11111110
⑧	该子网中可实际分配的主机地址范围的十进制数形式	10.2.3.225～10.2.3.254

①介于第二层和第三层之间(或两层半)
   ②第三层(或网络层)
   ③不支持
   ④不支持
   ⑤不支持
   ⑥支持

[解析] 虚拟专用网(VPN)技术主要采用隧道技术(tuneling)、加解密技术(Encryption & Decryption)、密钥管理技术(Key Management)、使用者与设备身份认证技术(Authentication)来保证内部数据通过Internet的安全传输。其中，隧道技术是VPN的基本技术，类似于点对点连接技术，它在公用网建立一条数据通道(隧道)，让数据包通过这条隧道传输。它是一种是利用隧道协议对隧道两端的数据进行封装的技术。隧道是由隧道协议形成的，而隧道协议可以分为第二层隧道协议和第三层隧道协议。第二层隧道协议是先将各种网络协议封装到PPP中，再将整个数据包装入隧道协议中。这种双层封装方法形成的数据包靠第二层协议进行传输。第二层隧道协议主要有L2F、PPTP、L2TP等。
   L2TP是目前IETF的标准协议，由IETF融合PPTP与L2F而形成。L2TP与PPTP之间的主要区别在于：①PPTP只适于IP网络，L2TP只要求隧道提供点对点的连接(既适于IP网，也适于非IP网)；②PPTP只能在两端点间建立单一隧道，L2TP支持在两端点间使用多隧道；③PPTP不支持隧道验证，L2TP可以提供隧道验证；④PPTP不支持首部压缩，L2TP可以提供首部压缩。
   利用某种协议来传输另一种协议的技术，共涉及乘客协议、隧道协议和承载协议三种协议。L2TP封装的乘客协议是位于第二层的PPP协议，而承载协议可以是IP、ATM和帧中继等。L2TP在数据封装、数据传输过程中并没有采取对数据进行加密的措施。
   L2TP是一种典型的被动式隧道协议，它可从客户端或访问服务器端发起VPN连接，支持移动VPN客户端，可以随时随地进行访问接入。由L2TPv2构建的VPN网络中，只要求网络边缘设备支持L2TP。它主要由L2TP访问集中器(LAC)和L2TP网络服务器(LNS)两种类型的服务器构成。其中，LAC支持客户端的L2TP，用于发起呼叫、接收呼叫和建立隧道，是一种附属在网络上的具有PPP端系统和L2TPv2协议处理能力的设备。LNS是PPP端系统上用于处理L2TP服务器端部分的软件，是所有隧道的终点，LNS终止所有的PPP流。在传统的PPP连接中，用户拨号连接的终点是LAC，L2TP使得PPP的终点延伸到LNS。
   第三层隧道协议是将各种网络协议直接装入隧道协议中，封装形成的数据包依靠第三层协议进行传输，其典型代表是IP安全协议(IPSec)。IPSec是在网络层提供安全的一组协议，主要有两个协议：身份认证头(AH)协议和封装安全负载(ESP)协议。其中，AH协议提供了源身份认证和数据完整性，但是没有提供加密服务。ESP提供了数据完整性、身份认证，数据加密等服务。换言之，IPSec在传输数据过程中，可以对被封装的数据包进行加密、摘要等操作，以进一步提高数据传输的安全性。
   由于IPSec只能工作在网络层，因此其要求乘客协议和承载协议都是IP协议。由IPSec构建的VPN网络中，只要求网络边缘设备支持IPSec。IPSec支持移动VPN客户端，可以随时随地进行访问接入。通常，IPSec VPN需要先安装客户端并完成相关配置之后才能建立通信信道，其连接性还可能会受到网络地址转换(NAT)的影响。IPSec VPN技术本身的特性决定了它一般不适合在结构复杂的网络中应用，这是因为它需要解决穿越防火墙、IP地址冲突等问题。IPSec VPN在部署时，要考虑组织机构的全网拓扑结构、IP地址规划、路由规划等诸多因素。当增添新的IPSec VPN设备时，往往需要修改网络拓扑结构，从而造成IPSec VPN的可扩展性比较差。
   多协议标签交换(MPLS)是一种用于快速数据包交换和路由的体系，它为网络数据流量提供了目标、路由、转发、交换等能力。它将IP地址映射为简单的、具有固定长度的标签，用于不同的包转发和包交换技术。基于MPLS的VPN是一种基于网络的新型VPN解决方案，它利用MPLS的标记交换技术在广域网络上为VPN用户提供虚拟连接。MPLS VPN是一种介于第二层和第三层之间的隧道协议。它借助于一个公用的MPLS域，在入口边缘路由器为每个IP包添加MPLS标签，核心路由器根据标签值进行转发，出口边缘路由器再去除MPLS标签，恢复原来的IP包。MPLS标签位于第二层和第三层之间。
   与IPSec VPN相比，在安全性能方面，MPLS VPN略显劣势。虽然MPLS VPN采用路由隔离、地址隔离等手段防范网络攻击和网络欺骗，但它所传输的数据是明文的，存在较大的安全漏洞。且MPLS VPN不支持移动VPN客户端。但是MPLS VPN在支持网络服务质量(QoS)方面具有天然的优势，能够帮助网络服务提供商(ISP)区分出各种业务流量，并准许它们各自拥有不同的优先权。
   基于MPLS构建的VPN网络中，要求网络边缘设备(PE)和核心路由设备(P)都支持MPLS。MPLS VPN必须依赖路由协议来准确地传播可达性信息，完成与标记分发等相关工作。
   根据以上分析，L2TP、IPSec、MPLS VPN这三类VPN各具特色，互有优缺点。它们在隧道协议层次、是否支持数据加密、网络核心设备和边缘设备的协议支持要求、是否支持移动VPN客户端等方面的异同点见表7所示。在实践应用中，需要结合具体的用户需求因地制宜地选择使用哪种或哪几种组合的VPN接入方式。

表7　主要VPN技术比较
比较项目	L2TP	MPLS VPN	IPSec
隧道协议层次	第二层	介于第二层和第三层之间(或 两层半)	第三层
是否支持数据加密	不支持	不支持	支持
设备的要求	只要求边缘设备支持 L2TP	要求边缘和核心设备都支持 MPLS	只要求边缘设备支持IPSec
是否支持移动VPN客户 端	支持	不支持	支持

202.101.96.18(或“全部未分配”)
   80
   443

[解析] 在图1中，可从“IP地址”下拉列表框中指定一个IP地址或输入用于访问该站点的IP地址。对于本案例可选择其下拉列表框中的地址202.101.96.18。如果没有分配指定的IP地址，即选择“全部未分配”选项，那么此站点将响应分配给该服务器但没有分配给其他站点的所有IP地址，并使它成为默认网站的IP地址。“TCP端口”文本框是必填项目，用于指派运行Web服务的TCP端口号(默认值是80)。“SSL端口”文本框是可选项目，用于指派与该网站标识相关联的SSL端口。默认SSL端口号是443。只有使用SSL加密时才需要SSL端口号。单击“高级”按钮，可以进一步配置用来访问站点的IP地址、TCP端口号以及主机头值。
   由题干关键信息“……构建了一个企业网站，要求用户输入https://www.yinfu.com/product/index.html或。https://202.101.96.18/product/index.html均可访问该网站”(注意：该URL中使用的是“https://”，而不是“http://”)可知，在图1所示“网站”选项卡中，“IP地址”文本框中的内容应为202.101.96.18(或“全部未分配”)；“TCP端口”文本框中应输入80；“SSL端口”文本框中应输入443。

D:\sottware
   B或读取
   D

[解析] 由题干关键信息“index.html文件存放在服务器D:\software目录中”可知，在图2所示的“主目录”选项卡中“本地路径”文本选择框中内容为D:\software，以指明网站首页文档的物理存放路径。
   为保障客户端对该企业网站的访问，在图2中应至少选中“读取”复选框，并单击“确定”(或“应用”)按钮。
   在配置IIS的发布目录时，可以将其配置在本地的磁盘目录中，也可配置在联网的其他计算机共享目录上及重定向到URL上。

DACB
   A或验证网站的真伪
   C或网站的私钥

[解析] 为了配置安全的Web网站，获取并安装服务器证书的步骤如下：
   01 从“管理工具”中进入“Internet服务管理器”，右击需要配置的站点，在弹出的快捷菜单中选择“属性”命令，切换至如图3所示的“目录安全性”选项卡。接着单击“安全通信”选项组中的“服务器证书”按钮，通过IIS证书向导生成证书请求文件。
   02 向证书颁发机构(CA)提交证书请求文件，证书颁发机构颁发相应的证书。
   03 在申请证书的计算机上打开IE浏览器，在地址栏中输入。http://根CA的IP/certsrv，进入证书申请页面。单击“检查挂起的证书”链接，选择已经提交的证书申请。如果颁发机构已将证书颁发，则可单击“安装此证书”按钮，即从证书颁发机构导出证书文件。
   04 在图3所示的“目录安全性”选项卡中，再次单击“安全通信”选项组中的“服务器证书”按钮。在IIS证书向导中进入“挂起的证书请求”页面，选中“处理挂起的请求，并安装证书”单选按钮，接着选择刚才导出的CER文件，单击“下一步”按钮，完成在IIS服务器上导入并安装证书。
   05 在图3所示的“目录安全性”选项卡中，单击“安全通信”选项组中的“编辑”按钮，打开“安全通信”对话框。在该对话框中可根据所需的安全要求配置相应的身份验证方式和SSL安全通道。
   综上所述，为配置安全的Web网站，获取并安装服务器证书的步骤依次为：①生成证书请求文件；②CA颁发证书；③从CA导出证书文件：④在IIS服务器上导入并安装证书。
   数字证书能够验证一个实体身份，而这是在保证数字证书本身有效性的前提下才能够实现的。验证数字证书的有效性是通过验证证书颁发机构(CA)的签名实现的。某Web网站向CA申请了数字证书。当用户登录该网站时，通过验证CA对其的签名来确认该数字证书的有效性，从而验证该网站的真伪。在用户与网站进行安全通信时，用户可以通过该网站数字证书中的公钥进行加密和验证，该网站则通过只有自身拥有的私钥对信息进行解密和签名。
   CA颁发给Web网站的数字证书中包含多项内容(如证书的版本号、序列号、网站的公钥、CA的签名、证书的有效期等)，但是不包括网站的私钥。

选中“要求安全通道(SSL)”复选框，并单击“确定”按钮(答案意思相近即可)

[解析] 配置Web网站时，在图3所示的“目录安全性”选项卡中，单击“安全通信”选项组中的“编辑”按钮，系统将打开如图4所示的“安全通信”对话框。若要求客户只能使用HTTPS服务访问该企业的Web站点，则应选中“要求安全通道(SSL)”复选框，并单击“确定”按钮。建立了SSL，安全机制后，只有SSL允许的客户才能与该企业Web站点进行通信，并且在使用URL资源定位器时，要注意输入的是“https://”，而不是“http://”。

yinfu.com
   www
   202.101.96.18

[解析] DNS服务器负责某个域名与其对应的IP地址之间的相互映射。主机(A)资源记录用于静态地建立主机名与IP地址之间的对应关系。只有当用户输入域名(即主机名和区域名称的组合)时，DNS服务器才能将域名解析为对应的IP地址，从而实现用户对相应站点的访问。
   该企业Web网站完成IIS的相关配置之后，还需要在DNS服务器中添加相关的资源记录。由题干关键信息“要求用户输入https://www.yinfu.com/product/index.html或https://202.101.96.18/product/index.html均可访问“网站”可得，该Web网站所在服务器对外公开的公共域名是www.yinfu.com，该域名所对应的IP地址是202.101.96.18(该地址也是Web服务器所配置的IP地址之一)。因此，在添加该Web网站的主机(A)资源记录时，需要在图5所示的“新建主机”对话框的“位置”文本框中输入父域名yinfu.com，“名称”文本框中输入主机名www，“IP地址”文本框中输入202.101.96.18。

hostname
   yes(或1)
   ns.yinfu.com

[解析] Linux操作系统安装后，其默认的主机名是localhost。若要将提供DNS、FTP、SMTP和POP34种服务的Linux服务器主机名修改为ns.yinfu.com，则需要以下三个步骤：
   01 使用“hostname new-hostname”命令修改当前主机名，即在该Linux服务器中输入“hostname ns.yinfu.com”。
   02 修改/etc/sysconfig/network配置文件中的HOSTNAME的值，以便下次重启时使用新的主机名。HOSTNAME项的格式为“HOSTNAME=new-hostname.domainname”。换言之，打开该Linux服务器的/etc/sysconfig/network文件，修改“HOSTNAME=ns.yinfu.com”。修改后的/etc/sysconfig/network文件相关项信息如下：
   NETWORKING=yes
   HOSTNAME=ns.yinfu.com
   03 修改本机的域名解析文件/etc/hosts，使得本机的应用程序能够解析新的主机名。修改后的/etc/hosts文件如下：
   127.0.0.1 localhost.locaidomain localhost
   127.0.0.1 ns.yinfu.com.localdomain ns.yinfu.com
   其中，环回地址127.0.0.1也可用本机的网络地址替换。

false(或0，或no)
   yinfu.com
   192.168.1.10

[解析] Linux内核默认内置了IP伪装功能，它通过装载一些相应模块，并设置数据包过滤规则来完成相应的IP转发功能。本案例中，无需启用IP转发功能，将/etc/sysconfig/network文件中的FORWARD IPv4值设置为no(或false、0)。
   由题干关键信息“某企业内部网(网络域名为yinfu.com)……”、HOSTNAME项的格式及“HOSTNAME=ns.yinfu.com”可知，该Linux服务器的域名是“yinfu.com”，即第二个空缺处所填写的内容是“yinfu.com”。
   由于主机ns.yinfu.com的“GATEWAYDEV=eth0”，结合上图的拓扑结构可知，主机ns.yinfu.com的网关地址是导向器(WSD Pro)内网端口的IP地址，即第三个空缺处所填写的网关地址是“192.168.1.10”。

192.168.1.3
   255.255.255.0
   192.168.1.0
   采用直接广播地址的广播分组可能会被路由器转发，外部网络用户可截获该广播分组，降低了网络的安全性(答案类似即可)

[解析] 在上图中主机ns.yinfu.com一个完整的/etc/sysconfig/network-scripts/ifcfg-eth0文件清单如下：
   DEVICE=eth0    /*指明网卡的名称*/
   IPADDR=192.168.1.3    /*指明分配给网卡的IP地址*/
   NETMASK=255.255.255.0    /*指明子网掩码，该子网有254个可用的IP地址*/
   NETWORK=192.168.1.0    /*指明网络地址*/
   BROADCAST=255.255.255.255    /*指明直接广播地址*/
   ONBOOT=yes    /*指明在系统启动时是否激活网卡*/
   BOOTPROTO=none    /*指明是否使用bootp协议*/
   TCP/IP协议规定，将IP地址中表达主机部分的各位全部设置为“1”的IP地址称为该主机的直接广播地址。对于本试题IP地址192.168.1.3/24的直接广播地址的二进制数形式为11000000.10101000.00000001.11111111，其相应的十进制数形式为192.168.1.255。由此可见，直接广播地址包含一个有效的网络号和主机号，可在两个子网之间的任何一个节点向其他任何网络进行直接广播，但其有两个缺点：一个是需要知道信宿网络的网络号；另一个是采用直接广播地址的广播分组可能会被路由器转发，即外部网络的用户将会截取到这种广播分组，从而降低了网络的安全性。
   如果只需在本子网内部进行信息广播，但又不知道本子网的网络号，则可利用将整个IP地址二进制比特位全部设置为“1”的本地广播地址，即255.255.255.255。本地广播地址用于本子网发送广播信息，即本地网络地址相同的主机均能收到其所在子网的广播包，其相应的广播分组不会被路由器转发。
   一旦配置完Linux网关计算机的网络配置文件，应该使用/etc/rc.d/init.d/network restart命令来重新启动网络，以使其修改生效。

A    CNAME
   nslookup或其他具有等价功能的命令

[解析] DNS数据库包括DNS服务器所使用的一个或多个区域文件，而每个区域都拥有一组结构化的资源记录。主机地址(A)资源记录用于将某个DNS域名映射到其所对应的IP地址。别名(CNAME)资源记录也称之为规范名资源记录，该资源记录允许将多个域名映射到同一台服务器上。
   由于提供Web服务的两台Linux服务器IP地址分别为192.168.1.10和192.168.1.20，为了使用DNS循环机制，并且由主机名www.yinfu.com对外提供一致的服务，则需要在DNS服务器的yinfu.com区域文件中增加如下内容：
   www1  IN A    192.168.1.10
   www2  IN A    192.168.1.20
   www  IN CNAME  www1
   www  IN CNAME    www2
   通过DNS的循环机制，客户访问主机www.yinfu.com时，将会依次访问IP地址为192.168.1.10和192.168.1.20的www主机。
   可以使用nslookup命令测试DNS配置情况，或者实现某个域名及其对应的IP地址间的相互查询。命令ping或tracert(或traceroute)等也可测试域名到IP地址之间的映射关系。

路由
   B，或区域B

[解析] 防火墙支持三种工作模式：路由模式、透明网桥模式和混杂模式。
   ①路由模式：是防火墙的基本工作模式。在该模式下，防火墙的各个网口设备的IP地址都位于不同的网段。
   ②透明网桥模式：若用户不想改变原有的网络拓扑结构和设置，可以将防火墙设置成桥模式。在桥模式下，防火墙的各个网口所连接的网络相互之间的访问是透明的，所有网口设备将构成一个网桥。
   ③混杂模式：指防火墙部分网口在路由模式下工作，部分网口在透明桥模式下工作，即某些子网之间以路由方式通信，而某些子网可以透明通信。
   DMZ区是放置公共信息的最佳位置，它对外网或内网用户来说是开放的、透明的。公司客户、潜在客户及外部访问者不用通过内网就可以直接获得他们所需要的信息。公司中机密的、私人的信息则需安全地存放在内部局域网中，即DMZ的后面。DMZ中服务器不应包含任何商业机密、资源代码或私人信息。在上图中，防火墙的DMZ区就是区域B的服务器群网段。

A，或允许
   192.168.1.0/24
   80
   TCP
   C，或E1→E2

[解析] 由试题中给出的关键信息“要求内部所有主机能……访问外部IP地址202.117.118.23的Web服务器”中，“能……访问”说明序号为1的包过滤规则策略为“允许”，即①空缺处的正确答案是选项A。
   试题中给出的关键信息“要求内部所有主机能……访问外部IP地址202.117.118.23的Web服务器”中的“内部所有主机”是指上图拓扑图中对应于区域C的计算机。由于防火墙与区域C相连接的接口IP地址为192.168.1.1/24，其中“/24”表示子网掩码为255.255.255.0。因此区域C的网络组成的网段地址为192.168.1.0/24，即②空缺处应填入区域C的网段地址(192.168.1.0/24)。
   通常Web服务器是使用TCP/IP协议簇中的HTTP协议提供服务的，而HTTP协议是一个传输层基于TCP 80端口号的应用层协议。因此，③空缺处的“目的端口”应填入80；④空缺处的“协议”应填入TCP。
   同理，由试题的关键信息“要求内部所有主机能……访问外部IP地址202.117.118.23的Web服务器”可知，该包过滤规则的控制方向是控制内部局域网传输给Internet网的IP包，即从防火墙的“E1”端口流入、“E2”端口流出的IP数据包。因此，⑤空缺处的“方向”应选择“E1→E2”。

D，或192.168.1.0/24
   B，或any
   B，或E2
   C，或211.156.169.2

192.168.1.1
   255.255.255.0
   211.156.169.2
   255.255.255.252

[解析] 在上图所示的网络设备连接图中，防火墙Firewall是基于访问控制策略而设立在内外网之间的一道安全保护机制，实现内外网的物理分隔。它使用了WAN(211.156.169.2/30)、LAN(192.168.1.1/24)和DMZ(210.156.169.6/28)3个接口，分别与外网、内网和DMZ区相连。
   在对防火墙网络接口进行地址初始化配置时，“ip address inside”中的inside表示内部网卡，因此根据上图所示的网络结构中防火墙内网接口与区域C网络的连接参数“192.168.1.1/24”可知，第一个、第二个空缺处的配置参数分别是“192.168.1.1”、“255.255.255.0”。
   同理，“ip addxess outside”中的“outside”表示外部网卡，因此根据上图所示的网络结构中防火墙内网接口与区域A网络的连接参数“211.156.169.2/30”可知，第三个、第四个空缺处的配置参数分别是“211.156.169.2”、“255.255.255.252”。