2025湖北省信息安全管理与评估赛项一阶段技能书

1. SW 和 AC 开启telnet 登录功能，telnet 登录账户仅包含“ABC4321”，密码为 明文“ABC4321”，采用 telnet 方式登录设备时需要输入enable 密码，密码设 置为明文“12345” 。
2. 北京总公司和南京分公司租用了运营商两条裸光纤，实现内部办公互通。一 条裸光纤承载公司财务部门业务，一条裸光纤承载其他内部业务。使用相关 技术实现总公司财务段路由表与公司其它业务网段路由表隔离，财务业务位 于 VPN 实例名称CW  内，总公司财务和分公司财务能够通信，财务部门总 公司和分公司之间采用 RIP 路由实现互相访问。
3. 尽可能加大总公司核心和出口 BC 之间的带宽。
4. 为防止终端产生 MAC 地址泛洪攻击，请配置端口安全，已划分 VLAN41  的 端口最多学习到 5 个 MAC 地址，发生违规阻止后续违规流量通过，不影响已有流量并产生LOG  日志；连接 PC1  的接口为专用接口，限定只允许 PC1 的 MAC  地址可以连接。
5. 总公司核心交换机端口 ETH 1/0/6 上，将属于网段 20.1.41.0  内的报文带宽限 制为 10Mbps，突发值设为 4M 字节，超过带宽的该网段内的报文一律丢弃。
6. 在 SW 上配置办公用户在上班时间（周一到周五 9:00-17:00）禁止访问外网， 内部网络正常访问。
7. 总公司 SW 交换机模拟因特网交换机，通过某种技术实现本地路由和因特网 路由进行隔离，因特网路由实例名 internet。
8. 对 SW 上 VLAN50 开启以下安全机制。业务内部终端相互二层隔离；14  口启 用环路检测，环路检测的时间间隔为 10s，发现环路以后关闭该端口，恢复时 间为 30 分钟，如私设 DHCP 服务器关闭该端口，同时开启防止 ARP 网关欺 骗攻击。
9. 配置使北京公司内网用户通过总公司出口BC  访问因特网，分公司内网用户 通过分公司出口 FW 访问因特网，要求总公司核心交换机 9  口 VLAN41  业务 的用户访问因特网的流量往返数据流经过防火墙在通过BC 访问因特网；防 火墙untrust1 和 trust1 开启安全防护，参数采用默认参数。
10. 为了防止 DOS 攻击的发生，在总部交换机 VLAN50 接口下对MAC 、ARP、 ND 表项数量进行限制，具体要求为：最大可以学习 20 个动态 MAC 地址、 20 个动态 ARP 地址、50 个 NEIGHBOR 表项。
11. 总公司和分公司今年进行 IPv6 试点，要求总公司和分公司销售部门用户能够 通过 IPv6 相互访问，IPv6 业务通过租用裸纤承载。实现分公司和总公司IPv6 业务相互访问；AC 与 SW 之间配置静态路由使 VLAN50 与 VLAN60可以通 过 IPv6 通信；VLAN40 开启 IPv6 ，IPv6 业务地址规划如下：

    业务	IPv6 地址
    总公司 VLAN50	2001:DA8:50::1/64
    分公司 VLAN60	2001:DA8:60::1/64

12. 在总公司核心交换机 SW 配置IPv6 地址，开启路由公告功能，路由器公告 的生存期为 2 小时，确保销售部门的 IPv6 终端可以通过 DHCP SERVER  获 取 IPv6 地址，在 SW 上开启 IPv6 DHCP server 功能，IPv6 地址范围2001:da8:50::2-2001:da8:50::100。

13.   在南京分公司上配置 IPv6 地址，使用相关特性实现销售部的IPv6 终端可自 动从网关处获得IPv6 无状态地址。

14.   SW 与 AC ，AC 与 FW 之间配置OSPF area 0  开启基于链路的MD5 认证， 密钥自定义，传播访问Internet 默认路由，让总公司和分公司内网用户能够 相互访问包含 AC 上 loopback1 地址；总公司SW 和 BC 之间运行静态路由 协议。

15.   分公司销售部门通过防火墙上的 DHCP SERVER 获取 IP 地址，server IP 地 址为 20.0.0.254 ，地址池范围 20.1.60.10-20.1.60.100 ，dns-server 8.8.8.8。

16.   如果SW 的 11 端口的收包速率超过 30000 则关闭此端口，恢复时间 5 分钟， 为了更好地提高数据转发的性能，SW 交换中的数据包大小指定为 1600 字节。

17.   为实现对防火墙的安全管理，在防火墙FW 的Trust 安全域开启PING，HTTP， telnet，SNMP 功能，Untrust 安全域开启 SSH、HTTPS 功能。SNMP 服务器 地址：20.10.28.100 ，团体字：skills。

18.   在分部防火墙上配置，分部 VLAN 业务用户通过防火墙访问Internet 时，复 用公网 IP:202.22.1.3 、202.22.1.4；保证每一个源 IP  产生的所有会话将被映 射到同一个固定的 IP 地址，当有流量匹配本地址转换规则时产生日志信息，

将匹配的日志发送至 20.10.28.10  的 UDP 2000  端口。

19.   远程移动办公用户通过专线方式接入分公司网络，在防火墙 FW  上配置，采 用 SSL 方式实现仅允许对内网 VLAN 61 的访问，端口号使用 4455，用户名 密码均为 ABC4321，地址池参见地址表。

20.   分公司部署了一台Web 服务器 IP 为 20.10.28.10，接在防火墙的 DMZ 区域 为外网用户提供 Web 服务，要求内网用户能 ping 通 Web 服务器和访问服务 器上的 Web 服务（端口 80）和远程管理服务器（端口 3389），外网用户只 能通过防火墙外网地址访问服务器 Web 服务。

21.   为了安全考虑，无线用户移动性较强，访问因特网时需要在 BC 上开启 Web 认证，采用本地认证，密码账号都为 web4321。

22.   由于分公司到因特网链路带宽比较低，出口只有 200Mbps  带宽，需要在防火 墙配置iQoS，系统中 P2P 总的流量不能超过 100Mbps，同时限制每用户最 大下载带宽为 2Mbps，上传为 1Mbps，优先保障 HTTP 应用，为 HTTP 预留 100Mbps 带宽。

23.   为净化上网环境，要求在防火墙 FW  做相关配置，禁止无线用户周一至周五 工作时间 9:00-18:00 的邮件内容中含有“病毒”“ 赌博” 的内容，且记录日志。

24.   由于总公司无线是通过分公司的无线控制器统一管理，为了防止专线故障导 致无线不能使用，总公司和分公司使用互联网作为总公司无线 AP 和AC 相 互访问的备份链路。FW 和 BC 之间通过 IPSec 技术实现 AP 管理段与无线 AC 之间联通，具体要求为采用预共享密码为 ABC4321 ，IKE  阶段 1  采用 DH 组 1、3DES  和 MD5 加密方式，IKE  阶段 2  采用 ESP-3DES ，MD5。

25.   总公司用户，通过 BC 访问因特网，BC  采用路由方式，在 BC 上做相关配置， 让总公司内网用户（不包含财务）通过 BC 外网口 IP 访问因特网。

26.   在 BC 上配置PPTPVPN  让外网用户能够通过PPTP VPN 访问总公司SW 上 内网地址，用户名为test，密码test23。

27.   为了提高分公司出口带宽，尽可能加大分公司 AC 和出口 FW 之间带宽。

28.   在 BC 上配置 url 过滤策略，禁止总公司内网用户在周一到周五的早上 8 点 到晚上 18 点访问外网 www.skillchina.com。