应用题专项讲解
计算机三级网络技术学习笔记
up在2020年疫情在家的时候看b站网课记的笔记，后来因为日程原因没有参加考试，把笔记分享出来，供大家参考和自己温习知识。
按照考纲来的，看官方参考书和一些网课都适用。欢迎点赞、投币、收藏
加粗的词句属于需要重点看的地方。
应用题专项讲解
考点1：CIDR(在路由聚合中应用)
考点2：子网划分与VLSM
考点3：入侵防护系统
考点4：入侵检测系统部署
考点5： ACL
考点6：组网设备 5/6/其它考点 串并与其他考点讲解
其他考点
考点1 CIDR
题型与考核方式：
根据给定网络结构图，填写路由器RG的路由表项，路由表项使用无类域间路由（CIDR）汇聚连续网络。将路由表中的许多路由条目合并为成更少的数目，因此可以限制路由器中路由表的增大，减少路由通告。
首先我们应该掌握路由表的结构：
路由表的项目由“网络前缀”和“下一跳地址”两项内容组成。
CIDR汇聚就是就通过子网的划分的相反过程。
【2010年3月】请根据图3所示网络结构回答下列问题。
（1）填写路由器RG的路由表项①至⑥。
第1步：按路由表的结构，写出正常的路由表项。
表项1—4中的目标网络可能需要计算，接口可能填空。
第2步：根据题目给定的路由表表项（6项）对连续的子网进行CIDR聚合。
CIDR聚合的方法为“最大前缀匹配法”
第一步：将连续的子网从左向右比较多最多相同的位数(二进制)
156.26.000000 00.0
156.26.000000 01.0
156.26.000000 10.0
156.26.000000 11.0
第二步：相同的位数就是聚合后新网络的网络号位数，即掩码长度为“/22”
第三步：相同位数数值不变，不同位数数值写成“0，
即使网络地址：156.26.0.0/22
同理对以下4个子网进行聚合：
156.26.001110 00.0
156.26.001110 01.0
156.26.001110 10.0
156.26.001110 11.0
聚合后网络地址：156.26.56.0/22
【2013年3月】请根据图3所示网络结构回答下列问题。
（1）填写路由器RG的路由表项①至⑥。
路由表项前两个直连目的网络：
一般情况下，在规划子网时对于点到点的连接通常使用30位的子网掩码，可提供2个可用IP，以提高IP地址的使用率。
根据给定的路由器接口IP地址判断：
RG与RE连接使用的IP分别为172.0.147.169和172.0.147.170。
172.0.147.101010 01
172.0.147.101010 10 可得到网络地址为： 172.0.147.168/30
若采用/29或更短的掩码长度，将出现此子网的可用IP与其他子网冲突。如RG与RF间的子网。
同理RG与RF连接使用的IP分别为172.0.147.173和172.0.147.174。
172.0.147.101011 01
172.0.147.101011 10 可得到网络地址为： 172.0.147.172/30
故① ②题答案为：
1. 路由表项③输出端口S0的网络应该具有可用IP：
172.0.147.161-172.0.147.163。
2. 根据CIDR“最大前缀匹配法”计算此目的网络
172.0.147.10100 001
172.0.147.10100 011
172.0.147.10100 100
可得到网络地址为： 172.0.147.160/29
3. 同理，计算路由表项④
172.0.147.144-172.0.147.146
172.0.147.100100 00
172.0.147.100100 01
172.0.147.100100 10 若使用30位掩码的网络172.0.147.144/30掩码，则172.0.147.144中主机为全“0”，不是一可用IP。必须向前推位。
172.0.147.100 10000
172.0.147.100 10001
172.0.147.100 10010
可得到网络地址为： 172.0.147.128/27
4. 计算路由表项⑤
目标网络⑤是以下四个子网的聚合：
172.0.32.0/24~172.0.35.0/24
172.0. 101000 00. 0
172.0. 101000 01. 0
172.0. 101000 10. 0
172.0. 101000 11. 0
根据CIDR“最大前缀匹配法”计算此目的网络可得到网络地址为： 172.0.32.0/22
5. ⑥项：聚合方法是同样道理
考点2 VLSM（P66-67）
命令形式与考核方式：
根据给定的用户需求，一般是某公司已申请一个IP地址空间，按要求对其进行VLSM规划，为不同的部门规划处相应的子网。
需求中一般要求规划出3个子网，满足不同用户数的三个部分。如果用等长子网掩码规划，用户数不能满足，或子网数不能满足。必须使用VLSM方式规划。
【2008年9月】应用题（1）：使用192.168.1.192/26划分3个子网，其中第一个子网能容纳25台主机，另外两个子网分别能容纳10台主机，请写出子网掩码、各子网网络地址及可用的IP地址段（9 分）。（注：请按子网序号顺序分配网络地址）
解析：
第一步：确定需要从主机号借几位表示子网，因为需要3个子网，所以至少需要借2位。
第二步：计算机新子网的主机号位数是否能满足各个子网的主机数。原主机号位数为6，借位后为4，支持主机个数为14。不能满足第一个子网的容纳25台主机的需求。
而借位一位的话，能满足子网的容纳主机需求，子网个数只有2个。
第三步：根据上面的分析，需要采取VLSM子网划分方式。划分思想如下：
子网掩码，各子网网络地址及可用的IP地址段分别为：
【2011年9月】应用题（3）：如果将59.67.149.128/25划分3个子网，其中前两个子网分别能容纳25台主机，第三个子网能容纳55台主机，请写出子网掩码及可用的IP地址段（6分）。
（注：请按子网序号顺序分配网络地址。从小到大按先0后1，带0的子网给前面的用，所以这个题里主机最多的子网3给的带"1"的子网，子网1、2用带“0”的）。
解析：
第一步：确定需要从主机号借几位表示子网，因为需要3个子网，所以至少需要借2位。
第二步：计算机新子网的主机号位数是否能满足各个子网的主机数。原本主机号位数为7，借位后为5，支持主机个数为30。不能满足第三个子网的容纳55台主机的需求。
而借位一位的话，能满足子网的容纳主机需求，子网个数只有2个。
第三步：根据上面的分析，需要采取VLSM子网划分方式。划分思想如下：
子网掩码，各子网网络地址及可用的IP地址段分别为：
备注：答题时按题目要求只写出“子网掩码”与“可用IP地址段”
考点3 入侵防护系统（P300-302）
命令形式与考核方式：
根据给定网络结构图，提出入侵防护的需求，判断入侵防护系统的部署位置。其中主要考核三类入侵防护系统的保护对象，及其作用。
【2008年9月】某网络结构如图所示，请回答以下有关问题。
①如果该网络使用上述地址（私有地址），边界路由器上应该具有 NAT 功能？（2分）
②如果为了保证外网能够访问到该网络内的服务器，那么应在边界路由器对网络中服务器的地址进行 静态NAT映射/“一对一”地址转换 的处理？（2分）
入侵防护系统的基本分类
基于主机的入侵防护系统（HIPS）:安装在受保护的主机系统中，检测并阻拦正对本机的威胁和供给。
基于网络的入侵防护系统（NIPS）：布置于网络出口处，一般串联与防火墙与路由器之间，网络进出的数据流都必须通过它，从而保护整个网络的安全。如果检测到一个恶意的数据包时，系统不但发出警报，还将采取响应措施（如丢弃含有攻击性的数据包或阻断连接）阻断攻击。
应用入侵防护系统（AIPS）：一般部署于应用服务器前端，从而将基于主机的入侵防护系统功能延伸到服务器之前的高性能网络设备上，进而保证了应用服务器的安全性。
③采用一种设备能够对该网络提供如下的保护措施：数据包进入网络时将被进行过滤检测，并确定此包是否包含有威胁网络安全的特征。如果检测到一个恶意的数据包时，系统不但发出警报，还将采取响应措施（如丢弃含有攻击性的数据包或阻断连接）阻断攻击。请写出这种设备的名称。（2分）这种设备应该部署在图中的位置1~位置3的哪个位置上？（2分）
答案：NIPS，位置2 （边界路由器和核心交换机之间？）
④如果该网络采用Windows 2003域用户管理功能来实现网络资源的访问控制，那么域用户信息存在区域控制器的 活动目录 （3分）
考点4 入侵检测系统部署（P314）
网络入侵检测系统常用部署方法：
网络接口卡与交换设备的监控端口连接，通过交换设备的Span/Mirror功能将流向个端口的数据包复制一份给监控端口。（源端口是被镜像端口(被监听端口,接要检测的流量一端)，目的端口为镜像端口（监控端口，接入侵检测））
在网络中增加一台集线器改变网络拓扑结构，通过集线器（共享式监听方式）获取数据包。
入侵检测传感器通过一个TAP（分路器）设备对交换式网络中的数据包进行分析和处理。
【2009年3月】某网络结构如图3所示，图中网络均为Cisco设备，请回答以下有关问题。
②如果入侵检测设备用于检测所有的访问图中服务器群的流量，请写出交换机1上被镜像的端口。（2分）
G1/3
③如果在交换机1上定义了一个编号为105的访问控制列表，该列表用于过滤所有访问图中服务器群的1434端口的数据包，请写出该访问控制列表应用端口的配置命令。（4分）（P195）
interface Gi1/3
ip access-group 105 out
④如果该网络使用动态地址分配的方法，请写出路由交换机上DHCP IP地址池的配置内容。（5分）（P166-169）
名称、子网地址和子网掩码、缺省网关、域名系统、地址租用时间
【2013年3月】请根据图3所示网络结构回答下列问题。
（2）如果需要监听路由器RE和RG之间的所有流量，可以在该链路中串入一种设备。请写出这种设备的名称（2分）。
TAP/分路器 (这里使用的s0、s1为串口，用不了集线器）
【2011年3月】
请根据图3所示网络结构回答下列问题。
②请写出路由器RG和路由器RE的S0口的IP地址。（2分）
172.19.63.193 172.19.63.194
③如果该网络内服务器群的IP地址为172.19.52.100~172.19.52.126和172.19.53.100~172.19.53.200，要求用一种设备对服务器群提供如下保护：检测发达到服务器群的数据包，如果发现恶意数据包，系统发出警报并阻断攻击。请回答以下两个问题：
第一，写出这种设备的名称。（2分）
第二，该设备应该部署在图中的哪个设备的哪个接口。（2分）
NIPS,RD的E2接口
【2010年3月】请根据图所示网络结构回答下列问题。
（2）路由器RC为Cisco路由器，并且有以下配置：
access-list 130 deny udp any any eq 1434
access-list 130 permit ip any any
如果使用访问控制列表130来禁止对152.19.57.0/24的UDP1434端口的访问，请写出路由器RC的E1接口的配置命令（2分）。
int E1
ip access-group 130 out
注意
ACL的过滤方向 访问152.19.27.0/24的流量对于RC的E1来说是出方向
本专项学习建议与命题方向
1. IP路由选择与路由汇聚（重点掌握的计算方法）
2. VLSM子网规划（一般三个子网，注意一个子网需要的主机数多、注意序号和子网对应）
3. 入侵防护系统（三类防护系统作用与部署位置）
4. 入侵检测系统部署（三种部署方式：交换机镜像端口、集线器、TAP）
5. ACL（重点掌握接口中应用的命令，过滤方向的判别）
其他考点也尽量掌握（NAT、域、DHCP）
