1. [问题1]
为了完成对RouterA和RouterB的远程连接管理，以RouterA为例，完成初始化路由器，并配置RouterA的远程管理地址(192.168.1.20)，同时开启RouterA的Telnet功能并设置全局配置模式的访问密码，请补充完成下列配置命令。
RouterA＞enable
RouterA#configure terminal
RouterA (config) }#interface f0/0 //进入F0/0的______子模式
RouterA (config-if) #ip addr ______ //为F0/0接口配置IP地址
RouterA (config-if) #no shut // ______ F0/0接口，默认所有路由器的接口都为down状态
Router (config-if) #inter ______ //进入loopback 0的接口配置子模式
RouterA (config-if) #ip addr ______ //为loopback 0接口配置IP地址
RouterA (config) }# ______ //进入虚拟接口0-4的配置子模式
RouterA (config-line) #password abc001 //配置vty口令为"abc001"
RouterA (config) #enable password abc001 //配置全局配置模式的明文密码为"abc001"
RouterA (config) #enable ______ abc001 //配置全局配置模式的密文密码为"abe001"
接口配置或端口配置 192.168.1.1 255.255.255.0 激活(或开启，或使能，或其他等价词语) 100pback 0 192.168.1.20 255.255.255.255 line vty0 4 secret
[解析] 在路由器全局配置模式RouterA(config)}#下，使用命令interface＜port＞进入所指定接口配置子模式RouterA(config-if)#。
由上表该企业的网络地址规划信息可知，RouterA的f0/0接口的IP地址为192.168.1.1、子网掩码为255.255.255.0。因此，在接口配置子模式下，使用命令“ip address＜IP地址＞＜子网掩码＞”配置当前接口的IP地址信息。
默认情况下，路由器的所有接口都为down(非激活)状态。在接口配置子模式下，使用命令no shutdown激活路由器当前接口，使其处于工作状态(Active)。
在路由器上，Loopback接口没有一个实际的物理接口与之对应，也没有与其他网络节点相连接的物理链路。它是一个虚拟的环回接口，其接口号的有效值为0～2 147 483 647。Loopback接口主要用于网络管理。网络管理员为Loopback接口分配一个IP地址作为管理地址，其子网掩码应为255.255.255.255。该接口不受网络故障的影响，永远处于激活状态。可以使用该接口管理地址远程登录到路由器，从而对路由器进行配置与管理。在路由器全局配置模式下，使用命令interface loopback 0进入loopback 0的接口配置子模式。
由题干给出的关键信息“配置RouterA的远程管理地址(192.168.1.20)”。
由于路由器是互连不同的逻辑子网的设备，因此其每个接口都必须配置唯一的IP地址。在远程登录到路由器时，可以使用任意一个处于激活状态接口的IP地址，因此，路由器无需单独配置设备管理地址，只需在虚拟终端线上配置远程登录的密码。在路由器全局配置模式下，使用命令line vty 0 4进入虚拟接口0-4(虚拟终端)配置子模式“RouterA(cortfig-line)#”。
在路由器全局配置模式下，使用命令enable password ＜password＞配置超级用户明文密码；使用命令enable secret＜password＞配置超级用户密文密码。若同时配置了这两种密码，则密文密码起作用。
2. [问题2]
VPN是建立在两个局域网出口之间的隧道连接，所以两个VPN设备必须能够满足内网访问互联网的要求，以及需要配置NAT。按照题目要求以RouterA为例，请补充完成下列配置命令。
RouterA (config) #access-list 101 ______ ip 192.168.1.0 0.0.0.255 172.16.1.0 0.0.0.255
RouterA (config) #access-list 101 ______ ip 192.168.1.0 0.0.0.255 any
//定义需要被NAT的数据流
RouterA (config) #iP nat inside source list 101 interface ______ overload
//定义NAT转换关系
RouterA (config) #int ______
RouterA (config-if) #ip nat inside
RouterA (config) #int ______
RouterA (config-if) #ip nat outside //定义NAT的内部和外部接口
……
permit deny S0 F0/0(或fastethemet0/0) S0(或serial 0)
[解析] 在路由器全局配置模式下，配置扩展访问控制列表(ACL)的命令是access-list access-list-number {permit | deny} protocol source wildcard-mask destination wildcard-mask [operator] [operand]。其中，表号access-list-number可以是100～199和2000～2699范围中的任何一个数字；通配符(wildcard.mask)是子网掩码的反码形式；operator(操作)指的是lt(小于)、gt(大于)、eq(等于)和neq(不等于)；operand(操作数)指的是端口号。
依题意，该企业总部在A地，分支机构在B地，AB两地需要在网络上进行频繁的数据传输。结合上表网络地址规划信息可知，A地网络的网段地址为192.168.1.0、子网掩码为255.255.255.0；B地网络的网段地址为172.16.1.0、子网掩码为255.255.255.0。因此，对路由器RouterA配置加密访问控制列表时，需要使用配置语句access-list 101 permit ip 192.168.1.0 0.0.0.255 172.16.1.0 0.0.0.255，定义一条表号为101、允许企业总部本地网段192.168.1.0/24主机能够连通分支机构远端网段172.16.1.0/24主机的ACL。同时，使用配置语句access-list 101 deny ip 192.168.1.0 0.0.0.255 any，定义一条表号为101、禁止企业总部本地网段192.168.1.0/24主机访问其他任何网段(即除172.16.1.0/24之外的网段)任何主机的ACL。ACL默认执行顺序是自上而下。
在路由器全局配置模式下，使用命令ip nat inside source list access-list-number interface interface-port定义内部源地址动态转换关系。由上图所示的网络拓扑结构信息可知，路由器RouterA通过S0接口与Internet互连。配置语句ip nat inside source list 101 interfaceS0 overload的功能是，满足表号为101的ACL访问规则的企业总部内网用户IP地址与S0所配置的公网IP地址进行动态NAT转换。
在路由器全局配置模式下，使用命令ip nat inside将当前接口定义为NAT的内部转换接口；使用命令ip nat outside将当前接口定义为NAT的外部转换接口。如上图所示的网络拓扑结构和题干所给出的地址信息可知，路由器的S0接口应定义为NAT的外部转换接口，F0/0接口应定义为NAT的内部转换接口。
3. [问题3]
配置IPSec VPN时要注意隧道两端的设备配置参数必须对应匹配，否则VPN配置将会失败。
以RouterB为例配置IPSec VPN，请完成相关配置命令。
RouterB (config) #access-list 102 permit ip ______ //定义需要通过VPN加密传输的数据流
RouterB (config) #crypto isakmp ______ //启用ISAKMP(IKE)
RouterB (config) #crypto isakmp policy 10
RouterB (config-isakmp) #authentication pre-share
RouterB (config-isakmp) #encryption des
RouterB (config-isakmp) #hash md5
RouterB (config-isakmp) #group 2
RouterB (config) #crypto isakmp identity address
RouterB (config) #crypto isakmp key abc001 address ______ //指定共享密钥和对端设备地址
RouterB (config) #crypto ipsec transform-set ccie esp-des esp-md5-hmae
RouterB ((zfg-crypto-trans) #model turmel
RouterB (config) #crypto map abc001 10 ipsec-isakmp
……
RouterB (config) #int ______
RouterB (config-if) #crypto map abc001 //在外部接口上应用加密图
……
172.16.1.0 0.0.0.255 192.168.1.0 0.0.0.255 enable 202102.100.1 S0(或serial 0)
[解析] 结合上题的分析结果，对路由器RouterB配置加密访问控制列表时，需要使用配置语句access-list 102 permit ip 172.16.1.0 0.0.0.255 192.168.1.0 0.0.0.255，定义一条表号为102、允许企业分支机构网段172.16.1.0/24的主机能够连通总部网段192.168.1.0/24的主机的ACL。
在路由器全局配置模式下，使用命令crypto isakmp enable启用ISAKMP(IKE)。
在全局配置模式下，使用命令crypt isakmp key＜key＞address＜peer_address＞设置与对等体共享的预共享密钥。结合上图所示的网络结构及其所给出的配置参数，路由器RouterB的peer address值为对等体路由器RouterA S0接口的IP地址(即202.102.100.1)。
在接口配置子模式下使用命令crypto map＜map name＞将加密映射表(或加密图)应用于当前接口。依题意，路由器RouterB的外部接口为S0。
本试题中，RouterB配置IPSec VPN相关命令的功能解释如下。
RouterB (config) #access-list 102 permit ip 172.15.1.0 0.0.0.255 192.168.1.0 0.0.0.255//定义需要通过VPN加密传输的数据流
RouterB (config) #crypto isakmp enable //启用ISAKMP (IKE)
RouterB (config) #crypto isakmp policy 10 //建立IKE协商策略10
RouterB (config-isakmp) #authentication pre-share //采用预共享密钥认证方法
RouterB (config-isakmp) #encryption des //采用56位DES对称加密算法
RouterB (config-isakmp) #hash md5 //采用MD5散列算法
RouterB (config-isakmp) #group 2 //配置1024位Diffie-Hellman非对称加密算法
RouterB (config) #crypto isakmp identity address
//指定ISAKMP与分支机构路由器进行身份认证时使用IP地址作为标志
RouterB (config) #crypto isakmp key abc001 address 202.102.100.1
//指定共享密钥为abc001和对端设备地址
RouterB (config) #crypto ipsec transform-set ccie esp-des esp-md5-hmae //创建名为ccie的变换集，并指定了两种变换，即：ESP使用DES加密算法，使用HMAC的变种MD5提供身份验证服务
RouterB (cfg-crypto-trans) #model tunnel //配置隧道模式
RouterB (config) #crypto map abc001 10 ipsec-isakmp
//创建名为abc001、序列号为10的加密图
RouterB (config) #int S0 //进入S0的接口配置子模式
RouterB (config-if) #crypto map abc001 //在外部接口S0上应用加密图
4. [问题4]
根据题目要求，企业分支机构与总部之间采用IPSec VPN技术互连，IPSec (IP Security) 是IETF为保证在Internet上传送数据的安全保密性而制定的框架协议，该协议应用在______层，用于保证和认证用户IP数据包。
IPSec VPN可使用的模式有两种，其中______模式的安全性较强，______模式的安全性较弱。IFSec主要由AH、ESP和IKE组成，在使用IKE协议时，需要定义IKE协商策略，该策略由______进行定义。
网络层 隧道 传输 ISAKMP/Oaktey
[解析] IPsec工作于TCP/IP协议族的网络层，为上层协议提供安全服务。IPSec安全体系结构包括AH (Authentication Header) 协议、ESP (Encapsulating Security Payload) 协议、密钥管理协议(ISAKMP)3个最基本的协议。其中，AH协议为IP包提供数据源认证、数据完整性和抵抗重放攻击保护；ESP协议提供数据保密、数据源认证、无连接完整性、抵抗重放攻击保护和有限的数据流保密等；密钥管理协议(ISAKMP)提供双方交流时的共享安全信息。
IPSec有两种工作模式：传输模式和隧道模式。传输模式用来保护IP包内的数据载荷，对原IP头部分不处理；而隧道模式用来保护整个IP数据包。相比而言，隧道模式的安全性较强，传输模式的安全性较弱。
IPSec传送认证或加密数据之前，必须就协议、加密算法和使用的密钥与对端进行协商，Internet密钥交换(IKE)提供了这个功能，并且在将密钥交换之前还要对远程系统进行初始的认证。IKE实际上是ISAKMP、Oakley、SKEME 3个协议的混合体。其中，ISAKMP提供了认证和密钥交换的框架，但是没有给出具体的定义；Oakley描述了密钥交换的模式；SKEME定义了密钥交换技术。IKE使用熟知的UDP 500端口号进行信息交换。IKE协商策略由ISAKMP/Oakley进行定义。
深色：已答题 浅色：未答题