CCNA網絡工程師面試題（中）
CCNA網絡工程師面試題（四）
什么是靜態路由？什么是動態路由？各自的特點是什么？
靜態路由是由管理員在路由器中手動配置的固定路由，路由明確地指定了包到達目的地必須經過的路徑，除非網絡管理員干預，否則靜態路由不會發生變化。靜態路由不能對網絡的改變作出反應，所以一般說靜態路由用于網絡規模不大、拓撲結構相對固定的網絡。
靜態路由特點
1、它允許對路由的行為進行精確的控制；
2、減少了網絡流量；
3、是單向的；
4、配置簡單。
動態路由是網絡中的路由器之間相互通信，傳遞路由信息，利用收到的路由信息更新路由器表的過程。是基于某種路由協議來實現的。常見的路由協議類型有：距離向量路由協議（如RIP）和鏈路狀態路由協議（如OSPF）。路由協議定義了路由器在與其它路由器通信時的一些規則。動態路由協議一般都有路由算法。其路由選擇算法的必要步驟
1、向其它路由器傳遞路由信息；
2、接收其它路由器的路由信息；
3、根據收到的路由信息計算出到每個目的網絡的最優路徑，并由此生成路由選擇表；
4、根據網絡拓撲的變化及時的做出反應，調整路由生成新的路由選擇表，同時把拓撲變化以路由信息的形式向其它路由器宣告。
動態路由適用于網絡規模大、拓撲復雜的網絡。
動態路由特點：
1、無需管理員手工維護，減輕了管理員的工作負擔。
2、占用了網絡帶寬。
3、在路由器上運行路由協議，使路由器可以自動根據網絡拓樸結構的變化調整路由條目；
CCNA網絡工程師面試題（五）
VLAN和VPN有什么區別？分別實現在OSI的第幾層？
VPN是一種三層封裝加密技術，VLAN則是一種第二層的標志技術（盡管ISL采用封裝），盡管用戶視圖有些相象，但他們不應該是同一層次概念。
VLAN（Virtual Local Area Network）即虛擬局域網，是一種通過將局域網內的設備邏輯地而不是物理地劃分成一個個網段從而實現虛擬工作組的新興技術。
VLAN在交換機上的實現方法，可以大致劃分為2大類：基基于端口劃分的靜態VLAN；2、基于MAC地址|IP等劃分的動態VLAN。當前主要是靜態VLAN的實現。
跨交換機VLAN通訊通過在TRUNK鏈路上采用Dot1Q或ISL封裝（標識）技術。
VPN（虛擬專用網）被定義為通過一個公用網絡（通常是因特網）建立一個臨時的、安全的連接，是一條穿過混亂的公用網絡的安全、穩定的隧道。
VPN使用三個方面的技術保證了通信的安全性：隧道協議、數據加密和身份驗證。
■VPN使用兩種隧道協議：點到點隧道協議（PPTP）和第二層隧道協議（L2TP）。
■VPN采用何種加密技術依賴于VPN服務器的類型，因此可以分為兩種情況。
對于PPTP服務器，將采用MPPE加密技術 MPPE可以支持40位密鑰的標準加密方案和128位密鑰的增強加密方案。只有在 MS-CHAP、MS-CHAP v2 或 EAP/TLS 身份驗證被協商之后，數據才由 MPPE 進行加密，MPPE需要這些類型的身份驗證生成的公用客戶和服務器密鑰。
對于L2TP服務器，將使用IPSec機制對數據進行加密 IPSec是基于密碼學的保護服務和安全協議的套件。IPSec 對使用 L2TP 協議的 VPN 連接提供機器級身份驗證和數據加密。在保護密碼和數據的 L2TP 連接建立之前，IPSec 在計算機及其遠程VPN服務器之間進行協商。IPSec可用的加密包括 56 位密鑰的數據加密標準DES和 56 位密鑰的三倍 DES (3DES)。
■VPN的身份驗證方法
前面已經提到VPN的身份驗證采用PPP的身份驗證方法，下面介紹一下VPN進行身份驗證的幾種方法。
CHAP CHAP通過使用MD5（一種工業標準的散列方案）來協商一種加密身份驗證的安全形式。CHAP 在響應時使用質詢-響應機制和單向 MD5 散列。用這種方法，可以向服務器證明客戶機知道密碼，但不必實際地將密碼發送到網絡上。
MS-CHAP 同CHAP相似，微軟開發MS-CHAP 是為了對遠程 Windows 工作站進行身份驗證，它在響應時使用質詢-響應機制和單向加密。而且 MS-CHAP 不要求使用原文或可逆加密密碼。
MS-CHAP v2 MS-CHAP v2是微軟開發的第二版的質詢握手身份驗證協議，它提供了相互身份驗證和更強大的初始數據密鑰，而且發送和接收分別使用不同的密鑰。如果將VPN連接配置為用 MS-CHAP v2 作為唯一的身份驗證方法，那么客戶端和服務器端都要證明其身份，如果所連接的服務器不提供對自己身份的驗證，則連接將被斷開。
EAP EAP 的開發是為了適應對使用其他安全設備的遠程訪問用戶進行身份驗證的日益增長的需求。通過使用 EAP，可以增加對許多身份驗證方案的支持，其中包括令牌卡、一次性密碼、使用智能卡的公鑰身份驗證、證書及其他身份驗證。對于VPN來說，使用EAP可以防止暴力或詞典攻擊及密碼猜測，提供比其他身份驗證方法（例如 CHAP）更高的安全性。
在Windows系統中，對于采用智能卡進行身份驗證，將采用EAP驗證方法；對于通過密碼進行身份驗證，將采用CHAP、MS-CHAP或MS-CHAP v2驗證方法。
CCNA網絡工程師面試題（六）
關于VPN
一、VPN（Virtual Private Network）：虛擬專用網絡，是一門網絡新技術，為我們提供了一種通過公用網絡安全地對企業內部專用網絡進行遠程訪問的連接方式。
二、VPN使用三個方面的技術保證了通信的安全性：隧道協議、身份驗證和數據加密。
三、1.隧道技術是VPN的基本技術，類似于點對點連接技術，它在公用網建立一條數據通道（隧道），讓數據包通過這條隧道傳輸。隧道是由隧道協議形成的，分為第二、三層隧道協議。第二層隧道協議是先把各種網絡協議封裝到PPP中，再把整個數據包裝入隧道協議中。這種雙層封裝方法形成的數據包靠第二層協議進行傳輸。第二層隧道協議有L2F、PPTP、L2TP等。L2TP協議是目前IETF的標準，由IETF融合PPTP與L2F而形成。 2、第三層隧道協議是把各種網絡協議直接裝入隧道協議中，形成的數據包依靠第三層協議進行傳輸。第三層隧道協議有VTP、IPSec等。IPSec（IP Security）是由一組RFC文檔組成，定義了一個系統來提供安全協議選擇、安全算法，確定服務所使用密鑰等服務，從而在IP層提供安全保障。
四、VPN的身份驗證方法：1、PPP的身份驗證方法；2、CHAP：CHAP通過使用MD5（一種工業標準的散列方案）來協商一種加密身份驗證的安全形式。CHAP在響應時使用質詢-響應機制和單向MD5散列。用這種方法，可以向服務器證明客戶機知道密碼，但不必實際地將密碼發送到網絡上。3、MS- CHAP：同CHAP相似，微軟開發MS-CHAP是為了對遠程Windows工作站進行身份驗證，它在響應時使用質詢-響應機制和單向加密。而且MS- CHAP不要求使用原文或可逆加密密碼。4、MS-CHAP v2：MS-CHAP v2是微軟開發的第二版的質詢握手身份驗證協議，它提供了相互身份驗證和更強大的初始數據密鑰，而且發送和接收分別使用不同的密鑰。如果將VPN連接配置為用MS-CHAP v2作為唯一的身份驗證方法，那么客戶端和服務器端都要證明其身份，如果所連接的服務器不提供對自己身份的驗證，則連接將被斷開。5、EAP：EAP的開發是為了適應對使用其他安全設備的遠程訪問用戶進行身份驗證的日益增長的需求。通過使用EAP，可以增加對許多身份驗證方案的支持，其中包括令牌卡、一次性密碼、使用智能卡的公鑰身份驗證、證書及其他身份驗證。對于VPN來說，使用EAP可以防止暴力或詞典攻擊及密碼猜測，提供比其他身份驗證方法（例如 CHAP）更高的安全性。 6、在Windows系統中，對于采用智能卡進行身份驗證，將采用EAP驗證方法；對于通過密碼進行身份驗證，將采用CHAP、MS-CHAP或MS- CHAP v2驗證方法。
五、VPN的加密技術。VPN采用何種加密技術依賴于VPN服務器的類型，因此可以分為兩種情況。1、
對于PPTP服務器，將采用MPPE加密技術MPPE可以支持40位密鑰的標準加密方案和128位密鑰的增強加密方案。只有在MS-CHAP、MS- CHAP v2或EAP/TLS身份驗證被協商之后，數據才由MPPE進行加密，MPPE需要這些類型的身份驗證生成的公用客戶和服務器密鑰。2、對于L2TP服務器，將使用IPSec機制對數據進行加密IPSec是基于密碼學的保護服務和安全協議的套件。IPSec對使用L2TP協議的VPN連接提供機器級身份驗證和數據加密。在保護密碼和數據的L2TP連接建立之前，IPSec在計算機及其遠程VPN服務器之間進行協商。IPSec可用的加密包括56位密鑰的數據加密標準DES和56位密鑰的三倍DES（3DES）
六、VPN有三種解決方案，用戶可以根據自己的情況進行選擇。這三種解決方案分別是：遠程訪問虛擬網（AccessVPN）、企業內部虛擬網（IntranetVPN）和企業擴展虛擬網（ExtranetVPN），這三種類型的VPN分別與傳統的遠程訪問網絡、企業內部的Intranet以及企業網和相關合作伙伴的企業網所構成的Extranet相對應。
【編輯推薦】
