网络规划师知识点汇总

网规考试总复习知识点总结

1、入侵防御系统（IPS)主要使用的技术有：基于特征的匹配技术、协议分析技术、抗DDOS/DOS技术、

智能化检测技术、蜜罐技术。

2、网络物理隔离具有以下3个特征：

1）内网与外网永不连接

2）每一次数据交换都需要经过数据写入和数据读出两个过程

3）内网和外网在同一时刻最多只能有一个物理隔离设备建立非TCP/IP协议的数据连接。

3、一个优秀的消息摘要函数应具有以下特点

1）所有输入报文获取输出摘要的时间非常短

2）根据输出无法还原输入消息

3）输出摘要的长度是固定的。

4、信息安全管理制度主要包括管理制度、制定和发布、评审和修订3个方面的控制点。

一级管理制度要求：主要明确了制定日常常用的管理制度，并对管理制度的制订和发布提出了基本要求二级管理制度要求：在控制点增加了评审和修订，管理制度增加了总体方针和安全策略，以及对各类重要操作建立规程的要求，并且管理的制定和发布要求组织认证。

三级管理制度要求：在二级要求的基础上，要求机构形成信息安全管理制度体系，对管理制度的制定要求和发布过程进一步严格和规范。对安全制度的评审和修订要求领导小组的负责。

四级管理制度的要求：在三级要求的基础上，主要考虑了对带有密级信息安全管理制度的管理和日常维护等。

5、在IPv6数据报中，流是从特定源结点到目的结点之间的数据报序列，源结点希望中间路由器对该数

据报序列进行特殊处理。一个流由源IP地址和非零的流标记唯一标识。

6、网络规划设计的约束因素主要来自于政策、经费预算、时间和应用目标检查等方面。

7、UDP（用户数据包协议）：不提供数据传送的可靠机制、流控制及错误恢复功能。SNMP、DNS、网络文件系统（NFS）、简单文件传输系统（TFTP）等应用层协议提供服务。SNMP是一个异步请求响应协议。基于TCP/IP协议簇的以太网MAC帧的最大MTU（最大传输单元）值为1500，数据报分片最大有效长度

为1464字节。

8、IPV6地址中双冒号之间被压缩0的位数N问题的一种解决方法：先数一个IPv6地址中位段的个数

x，N=（8-x)*16

9、IP交换机的信令使用了流管理协议（IFMP)和交换机管理协议（GSMP)，其中IFMP报文封装在IPv4

分组中广播发送，GSMP可变长度报文封装在AAL5协议数据单元中。

10、综合服务（IntServ）P254中定义了3种服务类型：Qos保证服务型（GS)、受控负载服务型（CLS）、尽力而为型（BES)区分服务（Diffserv）：优质服务型和确保服务型是两种典型服务。P258

11、系统级管理的主要任务不允许未经许可的用户进入系统，从而也防止了他人非法使用系统中各类资源（文件）

用户级安全管理通过管理所有用户的分类和对指定用户分配访问权、不同的用户对不同文件设置不同的存取权限来实现。

目录级安全管理是为了保护系统中各种目录而设计的，它与用户权限无关。

文件级安全管理通过系统管理员或文件主对文件属性的设置来控制用户对文件的访问。如可以设置文件属性

12、目前，VPN技术主要采用隧道技术（Tuneling)、加密技术（Encryption&Decryption)、密钥管理技术（Key Management）和使用者与设备身份认证技术（Authentication）来保证内部数据通过Internet的安全传输。隧道技术是一种将分组封装化的技术，它要求发送方和接收方的VPN设备的认证方式、加密和封装化规程必需相同；加密功能使第三方不能在Internet上窃取、篡改封装化分组；认证功能是指在VPN设备间确认通信对象的功能、防止第三方伪装。

通常、利用L2F、PPTP及L2TP协议在数据链路层实现VPN应

用利用IPSec GRE协议在网络层实现应用

利用安全套接层（TLS）协议在传输层和应用层之间实现应用。

在应用层(传输层？）利用SSL协议实现VPN的安全应用,SSL协议主要包括：记录协议、告警协议、握手协议

SSL位于HTTP层和TCP之间，建立用户与服务器间的加密通信，默认监听端口是TCP协议中的443点对点隧道协议（PPTP）是一种支持多协议虚拟专用网络的网络技术。

L2TP是由IETF整合PPTP与L2F而形成。L2TP与PPTP之间的主要区别在于：

1）PPTP只适用于IP网络，L2TP只要求隧道提供点到点的连接，既适用于IP网络也适用于非IP网络2）PPTP只能建立单一的隧道，L2TP支持两端使用多隧道3）PPTP不支持隧道验证，L2TP 支持隧道验证4）PPTP不支持首部压缩，L2TP可以提供首部压缩。

13、网络认证协议Kerberos5使用3DES加密等更强的算法替换了以前版本的DES加密算法。

RSA是一种基于大数分解的公钥加密算法

如：公钥（e=7,n=20),私钥是(d=3,n=20),用公钥对消息M=3加密，得到密文是：

1）M^e=3^7=2187

2)M^e被n除的模余数，即得到密文

2187/20=109-----7因此密文是7

例2：RSA的加密算法，如果选定了用于加解密的两个素数，13、31，则每个分组的位数是

13*31=4032^n<403<=2^(n+1)因此n=8

MD5是一种应用于消息摘要的认证算法

握手认证协议（CHAP）采用MD5算法来计算只有认证系统和远程设备知道的散列值。

RC4是一种密钥长度可变的流加密算法

14、BGP-4采用了路径向量（Path Vector）路由协议，它与RIP、OSPF协议都有很大的区别。在配置BGP时，每个自治系统的管理员选择一个路由器（通常是BGP边界路由器）作为该自治系统的“BGP 发言人”。一个BGP发言人与其它自治系统的BGP发言人要交换路由信息，就要先建立TCP连接，在此连接上交换BGP（Keepalive保活报文)报文以建立BGP会话。利用BGP会话交换路由信息，如增加

了新的路由或撤销过时的路由、以及报告出错的情况等，使用TCP连接提供了可靠的服务，可以简化路由选择协议。

15、SDH网络是一个基于时分多路复用技术的数字传输网络，它统一T1载波与E1载波体系，且净负荷与网络是同步的，降低了复用设备的复杂性。

时分复用TDM：SDH、ATM、帧中继、X.25等

波分复用WDM：数字电视电缆，以太无源光网络（EPON）

频分复用FDM：ADSL、HFC（光纤同轴电缆混合网）。ADSL采用QAM、QMT编码。HFC采用QPSK、

QAM编码，是一个基于有线电视网络（CATV）的双向传输系统。

在常见的城域网/广域网连接方案中T1、E1、T3、STM-1、STM-4、STM-64等属于同步时分复用线路。OC-3、OC-12、OC-96等属于异步时分复用线路。

16、OSPF多区域设计的优点

2、减小了路由表

3、降低了通告LSA的开销

4、将不稳定限制在一个特定的区域内

17、CSMA/CD协议中的3种监听算法，优缺点如下：

1）非坚持监听算法：不能及时抢占信道，但降低了冲突的概率。

2）1-坚持监听算法：能及时抢占信道，但增加了冲突的概率

3）P-坚持监听算法：能及时抢占信道，又能降低冲突的概率，但算法复杂

18、MPLS网络中包含标记交换路由器（LSR）和标记边缘路由器（LER)，这两种设备都具有IP功能和MPLS功能，都通过标记协议（LDP）给标准路由协议生成的路由表赋予标记信息并发布出去。负责为网络添加/删除标记的是标记边缘路由器。

注意：MPLS没有建立连接阶段，使用数据驱动方法产生转发表项，使用色线来避免环路。

1）发现消息：采用UDP传输，用于通告和维护网络中某个LSR的存在

2）会话消息：TCP传输，用于建立、维护和中止两个相邻LSR交换标记绑定信息的会话。

3）公告消息：TCP传输，用于建立、修改和删除标记绑定

4）通知消息：TCP传输，用于提供错误信息。

19、MPLS的工作过程：

1、MPLS域中的各LSR使用专门的标记分配协议LDP交换报文，找出标记交换路径LSP、据此构造

分组转发表

2、分组进入到MPLS域时，MPLS入口节点为分组打上标记，并按照转发表进行转发到下一个LSR

3、之后的所有LSR都按照标记进行转发，每经过一个LSR要更换一个新的标记

4、当分组离开MPLS网络时，MPLS出口节点把分组的标记删除，然后按照一一般分组进行转发

20、存储区域网络(SAN)是一种特殊的高速专用网络，它连接网络服务器和磁盘阵列或备份磁带库等存储设备。SAN置于LAN之下，而不涉及LAN。利用SAN不仅可以提供大容量的存储数据，而且在地域上可以分散，并缓解了大量数据传输对局域网的影响。SAN允许任何服务器连接到任何存储阵列，不管数据存放在那里，服务器都可以存取所需的数据。

SAN1.0是以硬件设备为导向的技术框架，给光纤通道和iSCSI存储协议带来了很大的影响。很难实现整体的系统动态优化。

网络连接存储（NAS）将存储设备连接到现有的网络上，并提供数据和文件服务。NAS将存储设备通过标准的网络拓扑结构连接，与客户之间通信使用NFS协议或CIFS协议来进行。它并不包括标准的UNIX和Windows NT文件服务器。因为它们不是完整的总控文件服务器方案。

与NAS相比，SAN具有两个突出的特点：1）SAN具有无限扩展的能力2）SAN具有更高的连接速度和处理能力。SAN采用了为大规模数据传输而专门设计的光纤通道技术。

21、多重安全网关也称为UTM（统一威胁管理），实现从网络层到应用层的全面检查。它采用架桥策略，主要是采用安全检查方式，不更改应用协议（即业务协议直接通过），数据不重组，所以适合办公网与Internet的隔离，也适合涉密网络之间的隔离。

22、地址解析协议（ARP）完成IP地址到MAC地址的转换功能

ARP和RARP的协议数据单元均封装在以太网的数据帧中传送。

密码认证协议（PAP）使用双向握手方式为同级系统提供身份认证功能。在建立连接时进行握手。在建立连接之后，远程设备将一个用户ID/密码对（无加密）发送到认证系统。根据用户ID/密码对正确与否，认证系统继续连接或者结束连接。当使用CHAP时，总是对用户ID和密码进行加密，而当使用PAP时，从不对用户ID和密码进行加密。

23、网络系统安全设计包括预防、检测、反应与应急处理，根据整体设计的原则，网络系统安全必需

包括安全防护机制、安全检测机制、安全恢复机制。

24、组播路由协议分为域内组播路由协议和域间路由组播协议两类。

域内组播路由协议又分为：密集模式和稀疏模式两种类型

密集模式主要有：距离矢量路由协议（DVMRP)、开放最短路径优先的组播扩展协议（MOSPF）、

协议独立组播-密集模式协议（PIM-DM)

稀疏模式主要有基于核心树（CBT）路由协议、协议独立组播-稀疏模式（PIM-SM）路由协议

25、现在计算机网络更多地使用TDM而不是FDM是因为TDM可以用于数字传输，而FDM不行。

26、OSPF协议支持4种网络类型：广播多址网络（多路访问）、NBMA（非广播多路访问）、点到点网络、点到多点网络

广播多址网络：以太网（Ethernet）、令牌网、FDDI

非广播多路访问（NBMA）：帧中继（Frame Relay）、X.25、ATM等，特点是任意两点可达，形成

路由间的全通

点到点网络:封装为HDLC、PPP协议的串行链路、帧中继、ATM中的点到点子接口

点到多点网络包括运行帧中继、X.25、ATM等协议的网络，其特点是非任意两点可达，路由器之间形成部分连通。

27、在IP数据报分片后，由目的主机负责对分片进行重组。其好处是：、

1）减少分片途径的路由器的计算量

2）路由器可以为每个分片独立选择路由

3）每个分片到达目的地所经过的路径可以不同

28、网络工程文档的编制有助于提高设计效率；按照规范要求生成一套文档的过程，就是按照网络分析与设计规范完成网络项目分析与设计的过程；网络工程文档可作为检查项目设计进度和设计质量的依据；是设计人员在一定阶段的工作成果和结束标识。

29、IP电话网关具有号码查询、通信连接建立、信号调制、信号压缩、路由寻址等基本功能，但不具有协议转换功能。

30、重复服务器对系统资源要求不高，但是，如果服务器需要在较长时间内才能完成一个请求任务，那么其它的请求必需等待很长时间才能得到响应。该解决方案一般用于处理可在预期时间内处理完的请求，针对面向无连接的客户机/服务器模型。

并发服务器解决方案具有实时性和灵活性的特点。由于主服务器经常牌守护状态，多个客户机同时请求的任务分别由不同的服务器并发执行，因此请求不会长时间得不到响应。但由于创建从服务器会增加系统开销，因此该解决方案通常对主机的软、硬件资源要求较高，一般用于处理不能在预期时间内处理完的请求，针对面各连接的客户机/服务器模型。

31、信息安全策略的设计与实施步骤

1）确定安全需求。如确定安全需求范围、评估面临的风险等

2）制订可实现的安全目标

3）制订安全规划。如制订本地网络安全规划、制订远程网络安全规划、制订Internet安全规划等。4）制订系统的日常维护计划。

32、在信息安全体系中，数字签名技术用于防止信息抵赖，加密技术用于防止信息被窃取，完整性技术用于防止信息被篡改，认证技术用于防止信息被假冒。

33、对于AH或ESP协议，源主机在向目标主机发送数据报之前，需要先进行握手且建立网络逻辑连接，该逻辑通道称为安全协定（SA）。这样，IPSec将互联网的传统的无连接网络层改造成了有逻辑连接的层。SA定义的逻辑连接是一个单向连接，如果两个主机想彼此间发送安全数据报，则需要建立两个SA，

一个传输方向上一个SA。SA唯一定义一个三元组，包括安全协议（AH或ESP）标识符、IP目的

地址和安全参数索引（SPI）。原则上目的地址可以是一个单播地址、一个IP广播地址或一个多播组地址。P671

IPsec的安全体系中在三种协议：AH ESP ISAKMP

AH、ESP是安全协议，ISAKMP是密钥管理协议

AH协议为IP包提供数据源认证、数据完整性和抵抗重放攻击

ESP协议提供数据保密、数据源认证、无连接完整性、抵抗重放攻击保护和有限的数据流保密

密钥管理协议提供双方交流时的共享安全信息

34、网络信息系统的安全管理主要基于：多人负责原则、任期有限原则、职责分离原则。

35、若设帧出错的概率为P，Pb为误码率，L为帧长，则P=1-(1-Pb)^L

36、SET交易过程：持卡人注册、商家注册、购买请求、付款授权、付款结算

37、不管网络工程规模如何，都存在一个可扩展的总体安全框架，安全管理体系是整个安全架构的基础。

38、RPR（弹性分组环）是一种用于直接在光纤上高效传输IP分组的传输技术。在RPR中，两个RPR 节点之间的裸光纤的最大长度可以达到100Km。

RPR采用双环结构，顺时针传输叫内环，逆时针传输叫外环，都可以用统计时分复用（ATDM）的方法传输数据分组与控制分组。

特点１）带宽利用率高２）

公平性好，每一个节点都执行SRP公平算法

３）快速保护和恢复能力强，能够在５０ｍｓ的时间内隔离出现故障的节点和光纤段。

4）保证服务质量（Qos），对不同的业务数据分配不同的优先级，以保证高优先级信息的可靠传输。

5）拓扑具有自动发现功能，可以简化光纤配置，并易于提供点到多点的业务。

具有空间复用、环自愈保护、自动拓扑识别、多等级QOS服务、带宽公平机制和拥塞控制机制、

物理层介质独立等技术特点。P365

39、按服务器的处理器架构，可把服务器划分为RISC（精简指令集）架构服务器和IA（英特尔架构）服务器。后者包括CISC（复杂指令系统计算）架构服务器和VLIW（超长指令集架构）服务器两种。RISC的指令系统相对简单，只要求硬件执行很有限且最常用的那部分指令。RISC架构服务器采用的是封闭的发展策略，即由单个厂商提供解决方案，硬件和软件都由这个厂商完成。

IA架构的服务器采用了开放的体系，有大量硬件和软件的支持者，主要以IA-32架构，多数被中、低档服务器采用。

VLIW架构采用了先进的EPIC（清晰并行指令）设计，也即IA-64架构，最大优点是简化了处理器的结构，删除了处理器内部许多复杂的控制电路，目前基于这种架构的微处理器主要有Intel的IA-64AMD

公司的X86-64两种。

RISC是简单指令，也只能执行４条指令CICS通常只能执行1-3条指令

２０条指令的是VLIW

40、如果要求系统可用性达到99.99%，则每年的停机时间必须少于：

365*24*60*（1-0.9999）=52.56分钟

41、网络视频会议造型原则

1）关键设备选用基于IP的网络产品，符合当前视频会议的发展方向

2）系统具备多媒体通信平台的特性，可扩展性强，能满以后的需要

3）视频方面，支持MPEG-4的压缩技术、多种视频格式、多分屏显示及任意切换。如要求是高清则需要支持H.264视频标准。

4）音频方面，语音清晰流畅，支持语音双向传输。

42、IPS提供主动、实时防护，能检测网络层、传输层、应用层的内容。对网络流量中的数据包进行检测，对攻击性流量进行自动拦截。如果检测到攻击企图，就会自动地将经过的数据包丢掉或采取措施阻断攻击源，而不把攻击流量放进内部网络。

串接式部署是IPS和IDS区别的主要特征。串接式工作保证所有网络数据都经过IPS设备，IPS检测数据流中的恶意代码、核对策略，在未转发到服务器之间，将信息包或数据流拦截。由于IPS是在线操作，因而能保证处理方法适当而且可预知。

IPS分为三类：基于主机的入侵防护（HIPS）、基于网络的入侵防护（NIPS）、应用入侵防护（AIP）必须具有以下特征：

1）嵌入式运行

2）深入分析和控制。

3）入侵特征库

4）高效处理能力。

IPS与防火墙的主要区别

1）传统的防火墙只对网络层和传输层进行检查，而不检查应用层

2）防火墙的包过滤技术不会针对每一个字节进行检查

3）IPS不仅可以做到对流量进行逐字节的检查，而且还可以将经过的数据包还原为完整的数据流，通过对数据流的监控来发现正在进行的网络攻击。P654

43、自主型访问控制（DAC）模型的特点是：授权的实施主体（可以授权的主体、管理授权的客体、授权组）自主负责赋予和回收其它主体对客体资源的访问权限。DAC模型通常采用访问控制矩阵和访问控制列表来存放不同的访问控制信息。从而达到对主体访问权限限制的目的。

MAC强制型访问控制，是一种多级访问控制策略。特点是：系统对访问主体和受控对象实行强制访问控制，系统事先给访问主体和受控对象分配不同的安全级别属性，在实施访问控制时，系统先对访问主体和受控对象的安全级别进行比较，再决定访问主体是否能够访问该受控对象。

基于角色的访问控制（RBAC)是将访问许可权分配给一定的角色，用户通过饰演不同的角色来获得角色所拥有的访问许可权。RBAC从控制主体的角度出发，根据管理中相对稳定的职权和责任来划分角色，将访问权限与相联系，这点与传统的MAC和DAC将权限直接授予用户的方式不同，通过给用户分配合适的角色将用户与访问权限相联系。

基于任务的访问控制（TBAC）以面向任务的观点，从任务（活动）的角度来建立安全模型和实现安全机制，在任务处理的过程中提供动态实时的安全管理。在TBAC中，对象的访问权限控制不是静止不变的，而是随着执行任务的环境发生变化，即：TBAC从工作流中的建模，可以依据任务和任务状态的不同，对权限进行动态的管理。P664

44、物理隔离技术：有5代

1、完全的隔离

2、硬件卡隔离

3、数据传播隔离

4、空气开关隔离

5、安全通道隔离，通过专用通信

硬件和专有通信协议等安全机制，解决了以前隔离存在的问题，联营有效地把内外部网络隔离开来，而且高效地实现了风外网数据的安全交换，透明支持多种网络应用，是当前的发展方向。

特征：内、外网永不连接、内部主机和外部主机在同一时间最多只有一个同固态存储介质建立非TCP/IP协议的数据连接。每一次数据交换都需要经过数据写入和数据读出两个过程

目前网闸采用的主要技术是GAP，这是一种由带有多种控制功能的专用硬件在电路上切断网络之间和链路层连接，同时能够在网络间进行安全适度的应用数据交换的网络安全设备。

三类：实时开关、单向连接、网络切换器

防火墙、多重安全网关、VPN隔离等技术均属于基于软件保护的逻辑隔离技术。

45、安全审计系统就是根据一定的安全策略记录和分析历史操作事件及数据，发现能够改进系统运行性

能和系统安全的地方。主要作用有：1）包括对潜在的攻击者起到震慑和警告的作用2）检测和制止对安全系统的入侵3）发现计算机滥用的情况4）为系统管理员提供运行日志、从而发现系统入侵行为和潜在的漏洞及对已经发生的系统攻击行为提供有效的追纠证据。网络安全审计系统所实现的功能1监视网络上的反常行为2收集操作系统和应用系统内部所产生的审计数据3实时报警4网络控制5审计数据维护和查询加密，权限控制6规则制定7附加功能

46、一、网络需求分析是网络开发过程的起始部分，在该阶段应明确客户所需的网络服务和性能。是用

来获取网络系统的需求和业务需求的方法，该过程是网络开发的基础，是开发过程的关键阶段。

业务需求、用户需求、应用需求、计算机平台需求、网络需求

二、通信规范说明书描述的是当前网络正在做什么。通信规范说明书包含了估测或实测的网络通信

量以及大量的统计表格，记录准确归纳和分析现存网络得到的结果，并根据该结果和需求说明书提出网络设计建议方案。由以下内容组成：

执行情况概述、分析阶段概述、分析数据总结、设计目标建议、申请批准部分、修改说明书。

执行情况概述应包括：对项目的简单概述、设计过程中各个阶段的清单、项目各个阶段的状态，包括已完成的阶段和现在正进行的阶段。

分析数据总结：逻辑网络图、通信流量估计（当前和将来）、基准测量结果、CPU利用率统计结果网络设计目标为使新的网络满足需求分析，应在设计目标中说明那些是必需被纠正的问题，那些是添加的新功能，根据需求说明书和通信规范说明书，提出的生一项建议都应该有依据，每一项建议都必须能解决一个问题或者是满足一种业务需求，也即新的网络设计应该达到的目标，以及为什么要达到这样的目标。

三、网络逻辑结构设计的工作任务是基于用户需求描述中的网络行为、性能等要求，根据网络用户

的分类、分布形成特定的网络结构。主要包括以下内容：网络拓扑结构设计、物理层技术选择、局域网技术选择与应用、广域网技术选择与应用、地址设计和命名模型、路由协议选择、网络管理模式与工具选择、网络安全设计、撰写逻辑设计文档。

四、物理网络设计是网络设计过程中，紧随逻辑网络设计的部分，通过对逻辑网络设计的物理化，

提供了网络神话所必需的信息。物理网络设计的输入是需求说明书、通信规范说明书、逻辑网络设计说明书。

物理网络设计系统是为所设计的逻辑网络设计特定的物理环境平台，主要包括：结构化系统设计、机房环境设计、设备选型和网络实施。

逻辑网络设计的商业目标、技术需要和网络通信特征等因素都会影响到物理网络设计。

五、网络测试P470