试题一
阅读以下说明，回答问题1至问题4，将解答填入答题纸对应的解答栏内。
【说明】
某居民小区光纤到大楼(FTTB)+HGW网络拓扑如图1-1所示。GPON OLT部署在汇聚机房，通过聚合方式接入到城域网；ONU部署在居民楼楼道交接箱里，通过用户家中部署的LAN上行的HGW来提供业务接入接口。
HGW通过ETH接口上行至ONU设备,下行通过FE/WiFi接口为用户提供Internet业务，通过FE口为用户提供IPTV业务。
HGW提供PPPoE拨号、网络地址转换(NAT)等功能，可以实现家庭内部多台PC共享上网。
- 本题考查FTTB+HGW的全局配置案例。本案例来源于运营商为家庭用户提供的网络、电视、语音的一体化解决方案。其中FTTB指光纤到楼(Fiber to The Building)；HGW指家庭综合网关（是面向家庭和小型办公网络用户设计的网关设备，能提供路由功能，支持多种业务接口，如POTS、LAN/WLAN或xDSL等，并支持远程管理与诊断)。
FTTB的QoS规划是端到端的，不同业务报文通过VLAN ID进行区分，对于GPON系统基于802.1p优先级进行GEM Port映射。队列调度方式采用PQ (Priority Queue,优先级队列）。通常情况下，管理业务、语音业务、IPTV业务、上网业务的802.1p的优先级分别设定为6.、5、4、0。
语音业务带宽上下行对称，实际带宽与通信双方采用的编解码格式有关，一般情况下100 kb/s即可满足大部分应用场景；IPTV业务主要占用下行带宽，实际带宽主要取决于IPTV头端设备采用的编码格式、画中画信息等因素，同时考虑10%的带宽突发度以及每用户允许同时观看的节目数（多机顶盒接入)。通常一路IPTV高清视频的带宽需求是9.7Mb/s。
上网业务采用SVLAN+CVLAN双层VLAN，在ONU基于用户端口映射内层CVLAN，保证同一PON板下每个ONU的CVLAN不重复，在OLT进行VLAN切换并加一层SVLAN：
【问题1】 (8分)
1.对网络进行QoS规划时，划分了语音业务、管理业务，IPTV业务、上网业务，其中优先级最高的是（1），优先级最低是（2）。
管理业务、上网业务、
2.通常情况下，一路语音业务所需的带宽应达到或接近（100）kb/s，一路高清IPTV所需的带宽应达到或接近（10）Mbps
A.100 B.10 C.1000 D.50
3.简述上网业务数据规划的原则。
不同场景下VLAN的规划、VLAN切换策略的规划。上网业务采用SVLAN+CVLAN双层VLAN，在ONU基于用户端口映射内层CVLAN，保证同一PON板下每个ONU的CVLAN不重复，在OLT进行VLAN切换并加一层SVLAN：
【问题2】 (10分)
小区用户上网业务需要配置的内容包括0LT、ONU、家庭网关HGW，其中：
1.在家庭网关HGW上配置的有 （5）和（6）。BC
2.在ONU上配置的有（7），（8）、（9）和（10）。ABCD
3.在OLT上配置有（11），（12），（13）和（14）。DEFG
A. 语音业务 B. 上网业务C. IPTV业务
D.聚合、拥塞控制及安全策略E.增加ONU
F.OLT和ONU之间的业务通道G.OLT和ONU之间的管理通道
某OLT上的配置命令如下所示。
步骤1：
huawei(config)#vlan 8 smart
huawei(config)#port vlan 8 0/19 0
huawei(config)#vlan priority 8 6
huawei(config)#interface vlanif 8
huawei(config-if-vlanif8)#ip address 192.168.50.1 24
huawei(config-if-vlanif8)#quit
步骤2：
huawei(config)#interface gpon 0/2 注释:ONU通过分光器接在GPON端口0/2/1下
huawei(config-if-gpon-0/2)#ont ipconfig 1 1 static ip-address 192.168.50.2 mask 255.255.255.0 gateway 192.168.50.254 vlan 8
huawei(config-if-gpon-0/2)#quit
步骤3：
Huawei(config)#service-port 1 vlan 8 gpon 0/2/1 ont 1 gemport 11 multi-service user-vlan 8 rx-cttr 6 tx-cttr 6
简要步骤说明步骤1~3命令片段实现的功能。
步骤1：（15） 配置OLT带内管理VLAN 及IP
步骤2：（16） 。配置ONU带内管理VLAN及IP
步骤3：（17） 。配置业务数据流
- 题中所给命令片段的作用是配置OLT和ONU之间的管理通道，实现从OLT远程登录ONU进行配置，要求OLT管理VLAN与ONU的管理VLAN相同，管理IP与ONU的管理IP在同一网段。
步骤一配置OLT的带内管理VLAN为8, VLAN优先级为6, IP地址为192.168J0.1/24。
步骤二配置ONU的静态IP地址为192.168.50.2/24,网关为192.168.50.254,管理VLAN为8 (同OLT的管理VLAN)。
步骤三的配置业务流索引为1，管理VLAN为8, GEM Port ID为11，用户侧VLAN为8。OLT上对带内管理业务流不限速，因此直接使用索引为6的缺省流量模板。
在该网络中，用户的语音业务(电话)的上联设备是ONU，采用H.248语音协议，通过运营的（18）接口和语音业务隧道接入网络侧的（19）。
在配置语音业务时需要明确的是：ONU支持的语音协议有H.248和SIP，但同一时间只支持一种，可以在ONU上通过display protocol support命令查询当前支持的语音协议；如果需要切换，要在确保MG接口（H.248协议）或SIP接口（SIP协议)、全局数据已经删除的情况下，使用protocol support命令进行协议的切换。设置完成后，需要保存配置并重新启动系统，配置的协议类型才能生效。
【说明】试题2
某企业数据中心拓扑如图2-1所示，均采用互联网双线接入，实现冗余和负载。两台核心交换机通过虚拟化配置实现关键链路冗余和负载均衡，各服务器通过SAN存储网络与存储系统连接。关键数据通过虚拟专用网络加密传输，定期备份到异地灾备中心，实现数据冗余。
问题1
在①处部署（1）设备，实现链路和业务负载，提高线路和业务的可用性。
在②处部署（2），实现Switch A与两台核心交换机之间的链路冗余。
在③处部署（3）设备，连接服务器HBA卡，在该设备上配置（4）。
（1）负载均衡设备主要功能是实现业务和链路的负载分摊或平衡。在图2-1中，有两条互联网线路，配备负载均衡设备后，针对不同需求，通过基于目标地址、源地址的策略路由，可以实现两条的流量分摊；针对来自外部的访问，可以通过业务负载策略，将业务流量分摊到业务集群的不同节点上，实现业务负载平衡。因此，在①处部署负载均衡设备，实现链路和业务负载，提高线路和业务的可用性。
(2)链路聚合就是将同一设备上多个网络接口聚合在一起，形成一个逻辑接口。图2-1中，SwitchA同时连接两台核心交换机，连接的两个接口通过链路聚合，可以实现流量分担和链路冗余。在实际应用中，两台核心交换机一般采用VRRP主备模式或者通过虚拟化技术，将两台交换机虚拟为一台逻辑交换机实现双ACTIVE，此时，连接到核心交换机的接入交换机一般采用链路聚合方式，实现链路冗余，因此在②处配置链路聚合。
(3)在SAN存储域网络中，通过光纤交换机将服务器的HBA和存储系统连接，服务器通过该链路访问存储系统的数据。光纤交换机上通过配置zone，将连接到SAN网络上的服务器设备、存储系统逻辑上划分到不同区域，实现业务隔离，其作用类似以太网交换机上VLAN的功能。在③处部署光纤交换机，通过配置zone隔离不同的主机和设备。
问题2
为保障关键数据安全，利用虚拟专用网络，在本地数据中心与异地灾备中心之间建立隧道，使用IPsec协议实现备份数据的加密传输，IPSec使用默认端口。
根据上述需求回答以下问题:
1.应在④处部署什么设备实现上述功能需求。VPN 网关
2.在两端防火墙上需开放UDP4500和什么端口? UDP 500
3.在有限带宽下如何提高是备份时的备份效率? 数据去重和数据压缩
借助互联网链路进行数据备份，受互联网带宽和VPN加密传输限制，传输效率是该备份模式的最大问题，为提高数据备份效率，常采用数据去重、数据压缩等技术，减少每次备份的数据传输量，提高备份效率。也可以在非工作时间利用互联网线路空闲进行备份，使线路带宽得以最大化利用。
4.请简要说明增量备份和差异备份的区别。增量备份：备份上一次备份以来数据变化的部分、差异备份：备份全量备份以来数据变化的部分
在实际工作中，不管本地还是异地备份，常用全备份和差异备份/增量备份相结合的方式进行数据备份。增量备份是指备份上一次全备或者增量备份以来变化的部分，差异参照是上一次备份，这种备份方式备份较快但恢复较慢，需要从全备份开始逐个从备份文件恢复数据：差异备份是指备份上一次全备以来所有变化的部分，差异参照是上一次全备份，这种备份方式备份时较慢且恢复较快，从全备份开始只需要恢复最后一次备份数据即可实现数据恢复。
问题3
分布式存储解决方案在实践中得到广泛应用。请从成本、扩容、IOPS,冗余方式、稳定性五个方面对传统集中式存储和分布式存储进行比较，并说明原因。
- 1、成本：集中式存储成本高，分布式存储成本低。原因：分布式存储采用普通服务器和廉价大容量磁盘作为存储节点，成本较低。
2、扩容：集中式存储扩容较难，分布式存储扩容方便。原因：集中式存储扩容需要RAID重建，风险高，对业务影响大；分布式存储扩容一般是增加存储节点，扩容非常方便。
3、IOPS：分布式存储理论上比集中式存储可以达到更高的IOPS。原因：分布式存储的数据存储于多个节点上，可以提供数倍于集中式存储的聚合IOPS，且随着存储节点的增加而线性增长。集中式存储由于使用了专门优化过的硬件，对于高并发访问能够提供较高的IOPS性能。分布式存储：通过数据分散到多个节点上处理请求，理论上可以获得更高的总IOPS值。但是实际表现取决于网络延迟等因素的影响。
4、冗余方式：集中式存储采用RAID实现数据冗余，分布式存储采用多节点多副本存储方式实现数据冗余。
5、稳定性：集中式存储稳定性高，分布式存储稳定性相对较差。原因：集中式储存为一个或一套完整的产品，出厂经过严格测试；分布式存储由不同厂家的多套软硬件集成，结构较复杂，容易受网络和带宽影响，稳定性较差。集中式存储：架构相对简单直接，易于管理和维护；然而一旦核心组件出现问题，则可能导致整个系统的不可用，分布式存储：设计上更加健壮，能够容忍个别节点甚至多节点故障而不影响整体功能。但由于其复杂度较高，在某些情况下调试问题可能会比较困难。
问题4
数据中心设计是网络规划设计的重要组成部分，请简述数据中心选址应符合的条件和要求。(至少回答3点)
- (1)电力供给充足可靠，通信快速畅通，交通便捷；
(2)采用水蒸发冷却制冷的应考虑水源是否充足；
(3)环境温度有利于节约能源；
(4)远离产生粉尘、油烟、有害气体或贮存具有腐蚀性、易燃易爆物品的场所;
(5)远离水灾、火灾和自然灾害隐患区域；
(6)远离强振源和强噪声源；
(7)避开电磁场干扰；
(8)不宜建在公共停车库的正上方；
(9)大中型数据中心不宜建在住宅小区和商业区内。
试题三
阅读以下说明回答问题1至问题4，将解答填入答题纸对应的解答栏内。
【说明】
案例一
据新闻报道，某单位的网络维护员张某将网线私自接到单位内部专网，通过专网远程登陆到该单位的某银行储蓄所营业员电脑，破解默认密码后，以营业员身份登录系统，盗取该银行83.5万元。该储蓄使用与互联网物理隔离的专用网络，且通过防火墙设置层层防护，但最终还是被张某非法入侵，并造成财产损失。
案例二
据国内某网络安全厂商通报，我国的航空航天、科研机构，石油行业，大型互联网公司以及政府机构等多个单位受到多次不同程度的APT攻击，攻击来源均为国外几个著名的APT组织。比如某境外APT组织搭建钓鱼攻击平台，冒充“系统管理员”向某科研单位多名人员发送钓鱼邮件，邮件附件中包含有伪造Office、PDF图标的PE文件或者含有恶意宏的Word文件，该单位小李打开钓鱼邮件附件后，其工作电脑被植入恶意程序，获取到小李个人邮箱账号和登录密码，导致其电子邮箱被秘密控制。之后，该APT组织定期远程登录小李的电子邮箱收取文件，并利用该邮箱向小李的同事、下级单位人员发送数百封木马钓鱼邮件，致十余人下载点击了木马程序，相关人员计算机被控制，造成敏感信息被窃取。
问题1【问答题】
安全运维管理为信息系统安全的重要组成部分，一般从环境管理、资产管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码管理、备份与恢复管理、安全事件处置、外包运维管理等方面进行规范管理。其中:
1. 规范机房出入管理，定期对配电、消防、空调等设施维护管理应属于（环境管理）范围；
2. 分析和鉴定安全事件发生的原因，收集证据，记录处理过程，总结经验教训应属（安全事件管理）范围；
3. 制定重要设备和系统的配置和操作手册，按照不同的角色进行安全运维管理应属于（网络和系统安全管理）范围；
4. 定期开展安全测评，形成安全测评报告，采取措施应对发现的安全问题应属于（漏洞和风险管理）管理范围。
【问题2】（8分）
请分析案例二中网络系统存在的安全隐患和问题。
1、营业员电脑默认密码未修改，没有定期修改密码；2未做电脑准入限制3、安全管理落实不到位、员工安全意识差；4、系统缺少双因子认证；5、未设置远程登录限制
【问题3】（8分）
请分析案例二，回答下列问题:
1.请简要说明APT攻击的特点。
潜伏性、长期性、组织严密、危害系数大
2.请简要说明APT攻击的步骤。
- ①收集信息或扫描探测；
②恶意代码投送；
③利用漏洞；
④植入木马或植入恶意程序；
⑤命令与控制或远程控制;
⑥横向渗透并达成目标；
⑦清除痕迹或者删除恶意程序。
问题4】（5分）
结合上述案例，请简要说明从管理层面应如何加强安全防范。
- ①制定网络安全管理制度；
②明确网络安全主体责任；
③细化网络安全工作职责，责任到人；
④合理分配人员权限、最小权限和加强审计;
⑤加强网络安全意识和技能培训；
⑥强化网络安全执行监督。
