信息网络安全 | 考试要点

部分内容参考：北航网络安全期末考点参考_CSDN博客

第1章 引言

1. 掌握信息安全的四个目标

保密性，完整性，可用性，合法使用

2. 信息系统中常见的威胁有哪些？

授权侵犯，假冒攻击，旁路控制，特洛伊木马或陷门，媒体废弃物

3. 什么是安全策略？安全策略分几个等级？

安全策略：是指在某个安全域内，施加给所有与安全相关活动的一套规则。

安全策略有几个不同等级：

1. 安全策略目标：对索要保护的资源要达到的安全进行的描述
2. 机构安全策略：规范机构进行管理，以便达到安全策略目标
3. 系统安全策略：描述特定的信息系统工程，以支持机构的安全策略

4. 什么是访问控制策略？它有哪些类型？这些访问控制策略有何区别？

访问控制策略：属于系统级安全策略，它迫使计算机系统和网络自动地执行授权。被划分为：

1. 强制性访问控制策略（MAC，Mandatory Access Control）：每当主体尝试访问对象时，都会由操作系统内核强制实施授权规则，目标是限制主体对对象或目标执行某种操作的能力。
2. 自主性访问控制策略（MDC，Discretionary Access Contol）：指用户有权对自身所创建的访问对象（文件、数据表等）进行访问，并可将对这些对象的访问权授予其它用户，或从授予权限的用户收回其访问权限。
3. 基于角色的访问控制（RBAC，Role-based Access Control）
4. 基于任务的访问控制（TBAC）
5. 基于对象的访问控制（OBAC）

5. 什么是安全域？划分安全域原则是什么？如何划分安全域？

安全域：通常是指属于某个组织机构的一系列处理进程和通信资源。

？

6. 什么是授权？用户授权有何作用？常用于哪些应用场景？

授权：授权是安全策略的一个基本组成部分，它指主体（用户、终端、程序等）对客体（数据、程序等）的支配权利，它规定了谁可以对什么做些什么。

用户授权有何作用？

7. 安全攻击的分几大类？常见的攻击形式有哪些？

攻击分为两类：

• 被动攻击
  • 信息泄露
  • 流量分析
• 主动攻击
  • 伪装攻击
  • 重放攻击
  • 消息篡改
  • 拒绝服务

8. 熟记X.800标准中的5类安全服务和8种特定安全机制，并简述安全服务与安全机制之间的关系。

1. X.800对安全服务的定义:
   1. 认证
   2. 访问控制
   3. 数据保密性
   4. 数据完整性
   5. 不可否认性
2. X.800定义的安全机制：
   • 加密
   • 数字加密
   • 访问控制
   • 数据完整性
   • 认证交换
   • 流量填充
   • 路由控制
   • 公正

3. 

   安全服务与安全机制的关系

9. 能够理解并画出网络安全模型和网络访问模型。

网络安全模型

保密通信模型

网络访问模型

访问控制模型

第2章 计算机网络基础

1. 熟记OSI的七层参考模型、TCP/IP的四层模型

  应用层      ｜             |    
  表示层      ｜    应用层    |    应用层
  会话层      ｜             |    
----------------------------------------
  传输层      ｜    传输层    |    传输层
  网络层      ｜    网络层    |    网际层
  数据链路层   ｜  数据链路层  |
  物理层      ｜    物理层    |  网络接口层

  OSI七层模型  |   五层模型  ｜  TCP/IP四层模型

2. 什么是面向链接的服务？什么是无链接的服务？

• 面向连接的服务：通信双方在传输数据之间先建立连接。如TCP协议
• 无连接的服务：不需要先建立连接，是“尽力传递”的服务。如UDP协议、IP协议

3. 必须知道IPv4及IPv6地址的格式及长度

IPv4： 32位

IPv6： 128位

4. 必须知道MAC地址的长度

48位

5. IP地址与MAC地址转换靠哪个网络协议？

ARP协议

6. IPv4的地址分哪几类？给定一个IP地址，要能够分析判断出该地址属于哪一类地址。

分类的IP地址

1. IP地址：32位，4字节，由网络标识和主机标识两部分组成
2. IP地址分5类：
   1. A类：0开头，网络标识占8位
   2. B类：10开头，网络标识占16位
   3. C类：110开头，网络标识占24位
   4. D类：1110开头，为组播地址
   5. E类：11110开头，保留以后使用
3. 特殊地址/保留地址：
   1. 网络地址：主机号全为0，用于表示指向某个网络的地址
   2. 直接广播地址：主机好全为1，网络号不为0时，表示一个物理网络上的所有主机，只能作为目的地址使用，所发送的数据包将到达一个特定网络上的所有计算机
   3. 有限广播地址：32位全为1时，表示在该主机所在的物理网络的一次广播
   4. 本地地址：32位全为0
4. 所以计算某网络可用的最大主机数时需要减2（全0和全1）

7. 给定一个IPv4地址和子网掩码，要求能够计算出网络地址。

8. 熟悉CIDR的表示方法。给定一个CIDR地址，能够写出该地址的表示范围。如一个CIDR地址为：128.14.32.0/20，它表示的地址块范围和子网掩码是什么？

CIDR表示方法：IP地址/net-id的位数

9. 什么是“端口号”？“端口号”在网络通信中起什么作用？

端口：

1. 端口是传输层的概念
2. 端口 是用来标志进程的“端口”，就是协议端口号。
3. 端口号是按照应用进程的功能对应用进程实行的标识。端口号与IP地址共同组成了插口socket，用于唯一标识某台主机上的某个进程。
4. 端口号的主要作用是表示一台计算机中的特定进程所提供的服务。
5. 小于1024的端口为特权端口/熟知端口。

第3章 Internet协议的安全性

1. 熟记http/ftp/telnet/pop3/smtp/imap/ssh/dns等常用通信协议的功能

2. 熟记一些常用网络协议的端口号。

协议	端口号	功能
http	80	HTTP是一个客户端和服务器端请求和应答的标准
ftp	20、21	控制连接（21端口） 数据连接（20端口）：用于传输文件
telnet	23	远程登录协议
pop3	110	邮件接收协议
smtp	25	邮件发送协议
imap	143	邮件接收协议
ssh	22	SSH是一种在不安全的网络上建立安全的远程登录或其他安全网络服务的协议
dns	53	实现域名和IP地址的转换
snmp	UDP 161	实现网元管理
ntp	UDP 123	使网络内所有设备时钟保持一致

3. 网际层协议有哪些？传输层协议有哪些？应用层协议有哪些？

网际层：IP、ARP、ICMP、IGMP、OSPF、BGP协议

传输层：TCP、UDP协议

应用层：RIP、HTTP、TELNET、SSH、DNS、SMTP、MIME、POP3、IMAP、PGP、FTP、TFTP、NFS、SNMP、DHCP、H.323、SIP、NTP、FINGER、Whois、LDAP、NNTP协议

4. 为什么要进行网络地址转换（NAT）？

解决IP地址短缺的问题

5. ARP协议的作用是什么？

根据IP地址获取物理地址MAC的一个协议

6. 为什么UDP比TCP协议更加容易遭到攻击？

因为UDP没有交换握手信息和序号的过程。

用户数据报协议(User Datagram Protocol, UDP)是一种无连接的传输层协议，提供面向事务的简单不可靠信息传送服务

安全问题：最常见的UDP攻击为DoS攻击，而UDP Flood攻击又是DoS攻击中最普遍的流量型攻击。攻击源发送大量的UDP小包到攻击目标，使得目的主机忙碌。

7. IMAP协议与POP3协议相比，它的安全性有哪些提升？

IMAP是分布式的，具有摘要阅读、选择性下载附件、服务器缓存。

8. SSH协议与Telnet协议相比，它的安全性有哪些提升？

支持身份认证和数据加密，并采用“挑战/相应”机制代替名称和口令认证。

telnet是明文传送；ssh是加密传送，并且支持压缩。

ssh使用公钥对访问的服务器的用户验证身份，进一步提高的安全性；telnet没有使用公钥。

9. 什么是ICMP重定向攻击？如何防止此类攻击？

ICMP重定向攻击：攻击者对ICMP报文进行重定向，使得目标机器遭受劫持和拒绝服务等攻击。

在防火墙中禁用ICMP功能。

10. 在网络中，为什么不能仅仅靠识别数据包的IP地址，来判断一个数据包就是来自该IP地址的主机？

IP层不能保证IP数据报一定是从源地址发送的。攻击者可伪装成另一网络主机，发送含有伪造源地址的数据包欺骗接受者。（IP欺骗攻击）

第4章 单钥密码体制

1. 按照对明文消息的处理方式不同，单钥体制可分为哪两类？

流密码和分组密码

2. 古典密码中的两个常用的变换是什么？

1. 置换密码：明文字母保持不变，但顺序被打乱
2. 代换密码：明文字母被替换，但顺序不变

3. 什么是理论上安全？什么是计算上安全？理论上安全的密码算法有几个？理论上安全的密码是什么密码？

理论安全：攻击者拥有无限时间和资源下仍然保持安全，也叫做无条件安全

计算安全：在给定时间和资源内无法被攻破，与攻击者的能力目标条件有关

一次一密

4. 什么是同步流密码、自同步流密码？流密码的安全性取决于什么？

同步流密码：密钥流生成器中的内部状态与明文消息无关，即密钥流与明文独立

自同步流密码：密钥流与明文有关。

安全性取决于伪随机数的强度

5. DES分组长度、密钥长度、轮数是多少？1轮加密包括哪些变换？DES中的非线性变换是什么变换？

分组长度：64

密钥长度：56

轮数：16

image-20240606232824458

非线性变换：S盒置换

6. AES分组长度、密钥长度、轮数是多少？1轮加密包括哪些变换？AES中包含的非线性变换是什么变换？

分组长度：128

密钥长度：128/192/256，对应加密轮数10/12/14

image-20240606232917726

非线性变换：字节代换

7. 加密轮数是否越多越好？密钥是否越长越好？将2个算法串联对数据加密，是否一定更安全？

不是，不是，不是。

8. 分组密码的5种工作模式是什么？能画出5种工作模式的原理框图。

1. 电码本模式（ECB）

   

   image-20240606233027355

2. 密码分组链接模式（CBC）

   

   image-20240606233039119

3. 密码反馈模式（CFB）

   

   image-20240606233059427

   

   image-20240606233109239

4. 输出反馈模式（OFB）

   

   image-20240606233125257

   

   image-20240606233132204

5. 计数器模式（CTR）

   

   image-20240606233143827

9. 分析5种加密模式中，哪些加密模式没有误码扩展？哪些有误码扩展？如果有误码扩展，会影响多少个分组？

OFB和CTR没有误码扩展

ECB 只有当前分组

CBC 只有当前分组与下一个分组

CFB 当前与后续若干分组，共个分组

10. 了解中国商用分组密码算法SM4，知道它的分组长度、密钥长度和加密轮数。

分组长度128

密钥长度128

加密轮数32

第5章 双钥密码体制

1. 双钥密码体制是基于数学难题构造的，请列举出目前存在的数学难题。用双钥体制加密时采用谁的公钥？解密时采用谁的私钥？

1. 多项式求根
2. 离散对数(discrete logarithms problem, DL)
3. 大整数分解FAC
4. Diffie-Hellman问题(DHP)
5. 背包问题
6. 二次剩余问题

2. RSA是基于何种数学难题构造的？Diffie-Hellman是基于何种数学难题构造的？

大整数分解

离散对数困难问题

3. 请写出RSA加密和解密的数学表达式，并指出什么是公钥，什么是私钥？并能做简单的加密和解密计算。

因此有： 公钥：，私钥

加密： 解密：

4. RSA在各种参数选择上有哪些原则和限制？为什么？

1. 模数大于1024bit，p, q为大素数
2. p-1，q-1有大的素因子
3. p+1，q+1也要有大的素因子
4. e不能太小，例如 e 值为3，17，65537，（2^16+1）
5. p和q相距不能太小

5. 写出ElGamal密码体制是基于何种数学难题？请写出它的加密表达式和解密表达式？

ElGamal公钥密码安全性依赖于离散对数问题

密钥生成算法：

1. 选取一个足够大的素数，在上选取一个本原元
2. 随机选取一个整数 ，并计算
3. 公钥为 ，私钥为

加密：

1. 消息 。

2. 选择任意整数

3. 得到密文对：

解密：

6. ECC公钥密码基于何种数学难题？写出ECC公钥密码体制的加密表达式和解密表达式。

椭圆曲线密码体制的安全性基于：椭圆曲线上的离散对数问题 ECDLP

image-20240606233553089

7. 写出基于ECC的Diffie-Hellman密钥交换协议。

image-20240606233527884

8. RSA和ECC公钥密码算法在加密、解密速度上有何差异？请查阅资料，比较它们分别采用硬件和软件实现时的加密和解密速度。

椭圆曲线密码体制的安全性基于ECC离散对数问题，目前尚未发现明显的弱点。在公钥密码的标准化过程中，IEEE P1363标准已经采用了ECC。

相比于RSA密码体制，椭圆曲线密码体制最大的优势在于可以使用比RSA更短的密钥来获得相同水平的安全性，从而使计算量大大减少。

MIPS年表示：用每秒完成100万条指令的计算机所需工作的年数

9. 对公钥密码的攻击有哪些常见的攻击方式？它们各有什么特点？

选择明文攻击（CPA）

选择密文攻击（CCA）

适应性选择密文攻击（CCA2）

10. 了解中国的商用公钥密码算法SM2。

椭圆曲线密码

第6章 消息认证与杂凑函数

1. 请说明Hash函数与加密函数有何不同？

Hash函数不可逆，加密函数可逆

2. 杂凑函数具有哪些性质？

单向杂凑函数的特点：

• 算法特点：不定长的输入，固定长度的输出
• 雪崩效应：输入发生很小的改动，则可引发输出较大的变动
• 完全单向：已知输出无法推算出输入，已知两个输出的差别无法推算出输入的差别

3. 什么是消息认证码MAC？如何构造？

消息认证码（MAC: Message Authentication Code） MAC算法是有密钥参与杂凑运算的算法

，其中是收发双方共享的密钥

4. 在不知道密钥的情况下，如何对MAC算法成功实施攻击？（167页）

5. 如何采用Hash函数和分组加密算法构造MAC？

6. 什么是消息检测码（或消息摘要）MDC？简述MDC与MAC的异同。

消息检测码（MDC: Message Detection Code） MDC算法是无密钥参与杂凑运算的算法

​

MDC不具有身份认证功能，MAC具有身份认证功能

MDC 和MAC都可以检测接收数据的完整性

7. 熟悉迭代杂凑函数的构造方法。

image-20240606234012721

8. MD5的明文输入分组长度、字长、输出长度是多少位？

明文分组长度：512b

字长 32b

输出长度 128b

9. SHA-1的明文输入分组长度、字长、输出长度是多少位？

明文分组512b

字长32b

输出长度 160b

10. 掌握应用杂凑函数的基本方式，熟悉图6-1、6-2、6-5、6-6所能够提供的安全功能。

11. 熟悉中国商用杂凑函数SM3的构造。

常用杂凑函数的比较

12. 掌握迭代杂凑函数的构造方法。

第7章 数字签名

1. 数字签名应该具有哪些性质？

数字签名应满足的条件：

1. R1条件：收方能够确认或证实发方的签名，但不能伪造签名
2. S条件：发方发出签名的消息给收方后，不能再否认他所签发的消息
3. R2条件：收方对已收到的签名消息不能否认，即有收报认证
4. T条件：第三者可以确认收发双方之间的消息传送，但不能伪造这一过程

2. 数字签名可以分为哪几类？

image-20240606234212926

3. RSA签名是基于何种数学难题？

大整数分解难题

4. ElGamal签名是基于何种数学难题？请写出ElGamal的签名方程。

离散对数困难问题

5. Schnorr签名与ElGamal签名有何不同？请比较两者的异同。

离散对数困难问题

6. 请写出DSS的签名方程，并比较它与ElGamal、Schnorr的异同。

离散对数困难问题

7. 在以上三种签名方案中，每次签名时，用户都要选择一个随机数k。若将随机数k替换成为常数，会出现什么安全问题？请加以分析。

求解方程组可得密钥k

8. Diffie-Hellman能用来做数字签名吗？

不能

9. 单钥体制能用来做数字签名吗？

不能

10. 试比较数字签名在密钥的使用上，与公钥加密算法存在的区别。

数字签名是用签名者的私钥进行签名，用签名者的公钥进行验证，双钥加密为发送方用接受方的公钥进行消息的加密，接受方用自己的私钥进行解密

11. 请列举具有特殊功能的数字签名体制有哪些？它们各有什么用途？

不可否认签名、防失败签名、盲签名、群签名、代理签名、指定证实人签名、一次性数字签名

12. 了解中国商用数字签名算法SM2。

基于求解椭圆曲线上的离散对数难题

第8章 密码协议

1. 构成协议的三个主要特征（含义）是什么？

协议的特点：

1. 协议自始至终是有序的过程，每一步骤必须依次执行。
2. 协议至少需要两个参与者。
3. 通过执行协议必须能够完成某项任务。

2. 什么是仲裁协议？什么是裁决协议？什么是自执行协议？

仲裁协议：存在各方均信赖的第三方作为仲裁者，帮助两个互不信赖的实体完成协议

裁决协议：可信赖第三方不直接参与协议，只有发生纠纷时，裁决人才执行协议

自执行协议：协议本身保证公平性，如果协议中一方试图欺骗，另一方能够立刻检测到欺骗的发生，并停止执行协议

3. 如果按照密码协议的功能分类，密码协议可以分为哪几类？

安全协议的分类：

1. 认证协议 (authentication protocol)：向一个实体提供关于另外一个实体身份的确信度
2. 密钥建立协议 (key establishment protocol)： 在两个通信实体之间建立共享密钥
3. 认证的密钥建立协议(authenticated key establishment protocol)：在另一实体的身份已被证实的基础之上两个通信实体之间建立共享密钥。

4. 什么是中间人攻击？如何对Diffie-Hellman协议进行中间人攻击？请用画图分析对Diffie-Hellman协议进行中间人攻击的详细过程。

5. DH协议不能抵抗中间人攻击的原因是什么？如何改造DH协议可以使其抵抗中间人攻击？

没有身份认证

增加数字签名，或者验证公钥证书

6. Diffie-Hellman能用来做数字签名吗？

不能

7. 掌握大嘴青蛙协议、Yahalom、Kerberos协议安全协议设计的思想。

大嘴青蛙协议：A和B均与T共享一个密钥，只需要传两条消息，就可以将一个会话密钥发送给B。

image-20240606234602466

Yahalom ：B首先与T接触，而T仅向A发送一条消息。

image-20240606234624093

Kerberos ：A和B均与T共享一个密钥，采用时戳，有效期L。

image-20240606234640492

8. 请画图分析第218页的SKID协议为什么不能抵抗中间人攻击？如何改造这个协议，可以有效抵抗中间人攻击？

P218

image-20240606234711900

如上图，假设中间人知道密钥K（否则个人认为没法做），知道密钥K了那自然中间人无所不能，题目挺无语。

解决方法：数字签名，数字证书。

9. 对密码协议的攻击方法有哪些？

常用的攻击方法：

1. 已知明文攻击
2. 选择密文攻击
3. 预言者会话攻击
4. 并行会话攻击

10. 密码协议的安全性分析的常用方法有哪些？

安全性验证方法：

1. 攻击检验法
2. 形式语言逻辑分析法
3. 可证安全性分析

第9章 数字证书与公钥基础设施

1. 什么是PKI？PKI由哪几部分组成？每个组成部分的作用是什么？

PKI的定义：PKI（Public Key Infrastructure）公钥基础设施，它基于公钥密码理论，可为信息系统提供安全服务，是一种普适性的安全基础设施。

PKI的组成：

1. 证书机构CA（Certificate Authority）

   • CA负责发放和管理数字证书
   • 提供网络身份认证服务、证书签发以及签发后的证书生命周期的所有方面的管理。包括：
     • 跟踪证书状态
     • 在证书需要撤销时发布证书撤销通知
   • 维护证书档案和证书相关的审计。

2. 注册机构RA（Registration Authority）

   是数字证书注册审批机构，是认证中心的延伸。

   RA按照政策与管理规范对用户的资格进行审查，并执行“是否同意给该申请者发放证书、撤销证书”等操作。

3. 证书发布库

   • 集中存放CA颁发的证书和证书撤销列表。
   • 支持分布式存放，以提高查询效率。
   • LDAP协议（轻量级目录访问协议）是创建高效大规模PKI认证的关键技术。

4. 密钥备份和恢复

   • PKI提供密钥备份和恢复机制：PKI仅备份和恢复用户的加密/解密密钥，而不备份和恢复用户的签名密钥（支持不可否认服务）。

   • 密钥备份在用户注册阶段进行；

     若用户声明公钥/私钥对是用于数据加密的，则CA即可对该用户的私钥进行备份；

     当用户丢失密钥后，可通过可信任的密钥恢复中心或者CA完成密钥恢复。

5. 证书撤销

   证书撤销的两种实现方法：

   • 周期性发布机制：证书撤销列表CRL
   • 在线证书查询机制：在线证书状态协议OCSP

6. PKI应用接口

2. 什么是数字证书？一个数字证书包含哪些内容？

数字证书的概念：将用户身份ID与其所持有的公钥PK绑定，再由CA对该用户身份及对应公钥的组合{ID||PK}进行数字签名得到S，然后将{签名S||身份ID||公钥PK}加以存储，即数字证书。

数字证书的组成：

• 主体名
• 序号
• 有效期
• 签发者名
• 公钥

3. 了解X.509标准规定的数字证书的格式。

数字证书的组成

4. 实际中，由谁来签发证书？签发证书时，是由谁的何种密钥（私钥还是公钥）进行签名？验证证书时，是用谁的何种密钥来验证？

CA，CA的私钥进行签名，CA的公钥进行验证。

用户和RA、CA的关系：用户 <==> RA <==> CA，即注册机构RA主要帮助证书机构CA与最终用户交互，注册机构RA不能签发证书，证书只能由证书机构CA签发。

5. 数字证书的作用是什么？它本质上是为解决网络安全中的何种问题？

数字证书将用户身份和所持公钥进行绑定，可以证明网络实体在特定安全应用的相关信息

为了解决公钥可信性问题

6. 在实际应用中，若采用层次化的CA架构，如何实现两个位于不同子CA中的用户之间的数字证书验证？

获取需验证的证书的证书链，依次获取上一级证书的公钥验证证书的签名，直至到可信任的根节点CA

7. 什么是交叉证书？

交叉证书可以让不同PKI域的根CA进行交叉认证，从而解决根CA不同的信任问题

8. 如何实现数字证书的撤销？如何实现数字证书的在线查询？

image-20240606234938732

维护证书撤销列表（CRL）或是执行联机证书状态协议，对证书的撤销状态进行检查。

客户机向OCSP响应器发送联机证书状态查询请求（OCSP Request），检查该证书是否撤销

OCSP响应器查询服务器的X.500目录，以明确特定证书是否有效

根据查找的状态检查结构，OCSP响应器向客户机发送数字签名的OCSP响应

9. 什么是漫游证书？简述其基本工作原理。

漫游证书是通过第三方软件提供的，允许用户访问自己的公私钥对。

基本原理：

（1）将数字证书和私钥存储于安全的中央服务器；

（2）用户需要数字证书时，可向该服务器认证自己；

（3）认证成功后，该服务器将证书和私钥发给用户；

（4）当用户完成工作后，该软件自动删除证书和私钥。

10. 一个PKI/CA数字证书系统由哪几部分构成？

签发中心、密钥管理中心、注册系统、证书发布系统、在线证书状态查询系统

第10章 网络加密与密钥管理

1. 什么是链路加密？有什么优缺点？

对网络中两个相邻节点之间传输的数据进行加密保护。

2. 什么是节点加密？有什么优缺点？

不同点：

• 节点加密不允许消息在网络节点中与明文形式存在。它先把收到的消息及进行解密，然后再安全模块中用另一个不同的密钥讲数据字段进行加密，但是包头和路由信息是明文形式，以便中间节点能处理信息。
• 链路加密再节点内部，消息是完全不加密的。

3. 什么是端到端加密？有什么优缺点？

特点：

• 对两个终端之间的整个通信线路进行加密
• 只需要2台密码机，1台在发端，1台在收端
• 从发端到收端的传输过程中，报文始终以密文存在
• 消息报头（源/目的地址）不能加密，以明文传送
• 比链路和节点加密更安全可靠，更容易设计和维护

缺点：不能防止业务流分析攻击。

4. 什么是混合加密？有什么优缺点？

混合加密的是链路和端到端混合加密组成。

优点：从成本、灵活性和安全性来看，一般端到端加密方式较有吸引力。对于某些远程机构，链路加密可能更为合适。

缺点：信息的安全设计较复杂。

5. 什么是密钥管理？它包括哪些方面的管理？

密钥管理是处理密钥从产生到最终销毁的整个过程中的有关问题，包括系统的初始化及密钥的产生、存储、备份/恢复、装入、分配、保护、更新、控制、丢失、撤销和销毁等内容。

6. 密钥有哪些种类？它们各自有什么用途？

1. 基本密钥(Base Key) / 初始密钥(Primary Key) / 用户密钥(User Key) ​

   是由用户选定或由系统分配给他的、可在较长时间内由一对用户所专用的密钥。

2. 主机主密钥(Host Master Key)

3. 密钥加密密钥(Key Encrypting Key)

4. 会话密钥 (Session Key)

5. 数据加密密钥(Data Encrypting Key)

密钥之间的关系

7. 有哪些密钥分配的基本方法？

• 利用安全信道实现密钥传递
• 利用双钥体制建立安全信道
• 利用量子技术实现密钥传递

8. 在用密钥枪注入密钥时，如何验证密钥注入的正确性？

image-20240606235414164

9. 密钥管理为什么要将密钥划分成不同的层次？

保证极少数密钥以明文形式存储在有严密物理保护的主机密码器件中，其他密钥则以加密后的密文形式存于密码器之外的存储器中，因而大大简化了密钥管理，并增强了密钥的安全性。

10. 一个密钥管理系统由哪几部分构成？

11. 密钥的生存期分哪四个阶段？了解密钥管理的12个工作步骤。

四个阶段：

（1）预运行阶段

（2）运行阶段

（3）后运行阶段

（4）报废阶段

12个工作步骤：用户注册、用户初始化、密钥生成、密钥输入、密钥注册、正常使用、密钥备份、密钥更新、密钥档案、密钥注销与销毁、密钥恢复、密钥吊销

12. 查找资料，了解一个好的密钥应具备哪些数学特性？

（1）真正随机、等概率

（2）避免使用特定算法的弱密钥

（3）满足一定的数学关系

（4）易记而难猜中

（5）采用密钥揉搓或杂凑技术，将易记的长句子经单向杂凑函数变换成伪随机数串

第11章 无线网络安全

1. 无线网络面临哪些主要安全威胁？要能识别哪些是主动攻击，哪些是被动攻击。

无线网络面临的安全威胁：

• 被动攻击
  1. 通话窃听
  2. 服务区标志符泄露
• 主动攻击
  1. 通信阻断
  2. 数据注入与篡改
  3. 中间人攻击
  4. 客户端假冒
  5. 接入点伪装
  6. 匿名攻击
  7. 端对端攻击
  8. 隐匿无线信道
  9. 重放攻击

2. GSM系统有哪些主要安全缺陷？

安全缺陷：

• 首次开机时泄漏IMSI信息
• 基站对用户实施单向认证
• 骨干网数据传输无加密
• 无数据完整性验证机制
• 主密钥K直接参与认证与加密
• 主密钥K存在SIM卡中，有复制SIM卡的风险

3. 3G系统有哪些安全功能？有哪些主要安全缺陷？与2G相比，3G作出了哪些安全性改进？

安全性提升：

• 用户和网络双向认证
• 建立了用户和网络之间的会话密钥
• 保持了会话密钥的新鲜性
• 增加了数据完整性验证功能

安全缺陷：

• 首次开机时泄漏IMSI信息
• 骨干网上传输无加密
• 主密钥K直接参与认证与加密
• CK和IK直接传输，存在被窃听的风险
• 主密钥K存在SIM卡中，有复制SIM卡的风险
• 采用十种安全算法f1-f10，算法过多存在被攻破的风险

4. 4G系统有哪些安全功能？有哪些主要安全缺陷？与3G相比，4G作出了哪些安全性改进？

安全性提升：

• 用户和网络双向认证
• 建立了用户和网络之间的会话密钥
• 增加了数据完整性验证功能
• 实现了层次化的密钥管理
• 隐藏了CK和IK

安全缺陷：

• 首次开机泄漏IMSI
• 骨干网无加密

5. 请画图分析GSM蜂窝系统保密与认证协议的工作过程，指出三元组认证向量中的每个元素所发挥的安全性作用。

GSM的认证与密钥协商（AKA）协议

RAND：用于用户认证和会话密钥的产生

SRES：用于VLR进行用户认证时与用户传输的认证响应SRES比较

Kc：会话密钥，用于加密数据

6. 请画图分析3G蜂窝系统保密与认证协议的工作过程，指出五元组认证向量中的每个元素所发挥的安全性作用。

3G网络的AKA协议

RAND：用于用户和网络双向认证和会话密钥的产生

XRES：用于网络对用户的认证

CK：数据加密密钥

IK：完整性验证密钥

AUTN：用于用户对网络的认证

7. 为何2G/3G/4G系统的挑战值RAND是一个随机数而不能是常数？如果挑战值RAND为常数，会产生何种安全问题？请加以分析。

常数存在安全问题，随机数可以保持密钥的新鲜性。挑战值是随机数可以防止强力攻击，一个128b的随机数意味着种可能的组合，即使一个黑客知道A3算法，猜出有效的RAND/SRES的可能性也非常小。

重放攻击，会话密钥的攻破，设备的伪装等等。

8. 与2G/3G/4G相比，5G在哪些方面提升了安全性？

5G网络安全关键技术

1. 安全域划分

2. 安全防护框架

3. 层次化密钥生成

• 种子密钥是最高的，用于生成子层密钥Kausf
• 种子密钥不能用于直接计算KgNB，无法跨网络层次生成密钥
• 种子密钥存储于UICC（设备端的SIM卡）和网络端的HSS / UDM，可以安全地保护其免受任何其他实体（包括网络供应商在内）未经授权访问。
• 接入网络仅从核心网络获取临时密钥，而不能用于派生种子密钥

4. 身份隐私保护

• 用UICC中存储的公钥对用户永久标识SUPI进行加密，获得用户隐藏标识SUCI
• 因此，攻击者从5G无线接入网中无法获得用户设备的永久标识SUPI。

5G隐私保护

4. AKA协议

5G AKA协议

小结：

image-20240604105448233

第12章 防火墙原理与设计

1. 什么是防火墙？防护墙的主要功能是什么？防护墙的默认规则是什么？

防火墙是由软件和硬件组成的系统，它处于安全的网络和不安全的网络之间，属于网络边界防护设备，由系统管理员设置访问控制规则，对进出网络边界的数据流进行过滤。

防火墙默认规则：凡是没有明确允许的，一律都是禁止的。

2. 按防护墙的技术分类，可分为哪几类？若按防护墙的结构分类，又可以分为哪几类？

按防火墙技术分类：

• 应用级网关防火墙（工作在OSI七层模型的应用层）
• 电路级网关防火墙（会话层）
• 包过滤防火墙（网络层）

按防火墙结构分类：

• 静态包过滤

• 动态包过滤

• 电路级网关

• 应用层网关

• 状态检查包过滤

• 切换代理

• 空气隙（物理隔离）

3. 防火墙工作于OSI七层模型的层次越高，其安全性是不是越高？

是

4. 什么是网络地址转换NAT？防护墙为什么要做NAT转换？NAT的类型有哪些？

为什么要做NAT：IP地址资源相对匮乏，NAT可解决地址紧缺的问题。

NAT有什么好处：隐藏内部网络的拓扑结构，提升网络安全性。

• 静态NAT 内部（私有）IP地址与外部Internet IP（公网）地址是一 一对应的。
• 动态NAT 外部地址限定在一个范围内，内部网络的地址范围大于外部地址，当发生地址转换时所有私有IP地址可随机转换为任何指定的Internet IP地址。若内网私有IP地址数超出了可用的公网 IP地址范围，此时必须采用动态的PAT技术。
• 端口地址转换PAT 在进行网络地址转换时，不仅网络地址发生改变，而且协议端口也会发生改变。NAT优先，公网地址不够时再使用PAT。当公网地址不够分配时，新来的连接请求会重复使用前面已分配 的公网IP，两次NAT的数据包通过端口号（源端口号或目的端口号）加以区分。
• 源网络地址转换SNAT 当内部用户使用内部地址访问Internet时，必须将IP头部中的数据源地址转换成合法Internet地址。
• 目的网络地址转换DNAT 当数据包进入内网时，必须将数据包中的目的地址转换成内网中服务器的专用地址，使公网IP地址与内网专用地址相对应。

5. 掌握NAT路由器的工作原理，要知道外出的数据包和进入的数据包地址是如何替换的？

NAT路由器的工作过程：

• 对于所有输出的数据包，NAT路由器用其外部地址替换数据包的源地址。
• 对于所有输入数据包， NAT路由器必须采用最终目标主机的IP地址替换数据包的目的地址。

6. 静态包过滤防护墙工作于OSI的哪一层？它对数据包的哪些参数进行过滤？有何优缺点？

静态数据包过滤发生在网络层上，是最原始的防火墙。

检查内容/特定域包括：

• 数据源地址
• 目的地址
• 应用或协议
• 源端口号
• 目的端口号

主要功能：

1. 接收每个数据包。
2. 对数据包采用过滤规则。如果数据包的头信息与一组规则匹配，则根据该规则确定是转发还是丢弃。
3. 如果没有规则与数据包头信息匹配，则对数据包施加默认规则。
   • ”容易使用“：默认允许
   • ”安全第一“：默认丢弃

优点：

• 对网络性能影响较小
• 成本较低

缺点：

• 安全性较低（仅工作与网络层）
• 缺少状态感知能力（一些需要动态分配端口的服务器需要动态地打开许多端口，因此只能将默认规则设为默认允许）
• 容易遭受IP欺骗攻击（静态包过滤防火墙不能区分真实IP和伪造的IP地址）
• 创建访问控制规则比较困难（逐条设定规则，规则的优先级顺序）

7. 动态包过滤防护墙工作于OSI的哪一层？它对数据包的哪些参数进行过滤？有何优缺点？

工作于传输层

检查的数据包头信息：

• 源地址
• 目的地址
• 应用或协议
• 源端口号
• 目的端口号

工作原理：

• 典型的动态包过滤防火墙与普通包过滤防火墙相似，大部分工作于网络层。有些安全 性高的动态包过滤防火墙，则工作于传输层。
• 动态包过滤防火墙的不同点：对外出数据包进行身份记录，便于下次让具有相同连接的数据包通过。
• 动态包过滤防火墙是直接对”连接“进行处理，而不是进包头信息进行检查。
• 动态包过滤防火墙需要对已建连接和规则表进行动态维护，因此是动态的和有状态的。
• 典型的动态包过滤防火墙能够感知新建连接与已建连接之间的差别，所以说它具有动态状态感知功能。

优点：

• 采用对称多处理SMP技术时，对网络性能的影响非常小。
• 动态包过滤防火墙的安全性优于静态包过滤防火墙。
• “状态感知”能力使其性能得到了显著提高。
• 成本低。

缺点：

• 仅工作于网络层，仅检查IP头和TCP头。
• 没过滤数据包的净荷部分，仍具有较低的安全性。
• 容易遭受IP欺骗攻击。
• 难于创建规则，管理员创建时必须要考虑规则的先后次序。
• 如果在建立连接时没有遵循三步握手协议，会引入风险。

8. 电路级网关防火墙工作于OSI的哪一层？它对数据包的哪些参数进行过滤？有何优缺点？

工作于会话层

在电路级网关中，网关充当了服务器的角色。当内网主机想要连接到某个外部服务器时，首先要连接到中继主机（网关）上，然后中继主机再连接到服务器上。对于服务器来说，该客户机的名称和IP是不可见的。

检查内容：

• 源地址
• 目的地址
• 应用或协议
• 源端口号
• 目的端口号
• 握手信息及序列号

工作原理：

1. 在转发该数据包前，首先将数据包的IP头和TCP头与规则表相比较，以决定将数据包丢弃，还是通过。
2. 在进行TCP握手通信时，仅当SYN标志、ACK标志及序列号符合逻辑时，电路级网关才判定该会话是合法的。
3. 若会话合法，包过滤器将逐条扫描规则，直到发现一条规则与数据包中的有关信息一致。否则施加默认规则。
4. 电路级网关与远程主机之间建立一个新连接，这一切对内网中用户都是完全透明。
5. 在有效会话建立后，电路级网关仅复制、传递数据，而不进行过滤。
6. 在整个过程中IP数据包不会实现端到端的流动，因为中继主机工作在网络层以上，所有在IP层上的攻击、探测问题都会在中继主机上终止。

优点：

• 性能比包过滤防火墙稍差，但是比应用代理防火墙好。
• 切断了外部网络到防火墙后的服务器直接连接。
• 比静态或动态包过滤防火墙具有更高的安全性。

缺点：

• 具有一些固有缺陷。例如，电路级网关不能对数据净荷进行检测，无法抵御应用层攻击等。
• 仅提供一定程度的安全性。
• 当增加新的内部程序或资源时，往往需要修改电路级 网关的代码。

9. 应用级网关防火墙工作于OSI的哪一层？它对数据包的哪些参数进行过滤？有何优缺点？

工作于应用层

工作特点：

• 必针对每个服务运行一个代理。

  应用代理与电路级网关的区别：

  • 代理是针对应用的。
  • 代理对整个数据包进行检查，因此能在OSI模型的应用层上对数据包进行过滤。

• 对数据包进行逐个检查和过滤。

• 采用“强应用代理”

• 在更高层上过滤信息自动创建必要的包过滤规则。

• 当前最安全的防火墙结构之一。

优点：

• 安全性最高
• 强大的认证的功能
• 强大的日志功能
• 规则配置简单

缺点：

• 灵活性差，对每一种应用都需要设置一个代理
• 配置烦琐，增加了管理员的工作量
• 流量吞吐性能不高，有可能成为网络的瓶颈

10. 状态检测防火墙工作于OSI的哪一层？它对数据包的哪些参数进行过滤？有何优缺点？

工作于所有7层

image-20240607000157679

11. 切换代理防护墙工作于OSI的哪一层？它对数据包的哪些参数进行过滤？有何优缺点？

先在会话层，后在网络层

工作原理：

• 切换代理首先起电路级代理的作用，以验证RFC建议的三步握手。
• 再切换到动态包过滤的工作模式下。

image-20240607000215315

12. 空气隙防火墙工作于OSI的哪一层？它对数据包的哪些参数进行过滤？有何优缺点？

工作于物理层

工作原理：

• 外部客户机与防火墙之间的连接数据被写入一个具有SCSI接口的高速硬盘。
• 内部的连接再从该SCSI硬盘中读取数据。
• 防火墙切断了客户机到服务器的直接连接，并且对硬盘数据的读/写操作都是独立进行的。

image-20240607000242622

第13章 入侵检测技术

1. 什么是入侵检测系统IDS？IDS的主要功能是什么？评价IDS好坏的标准是什么？

入侵检测（Instrusion Detection）

• 检测对系统的非授权访问
• 监控系统运行状态，保证系统资源的保密性、完整性、可用性
• 识别针对计算机系统网络系统或广义信息系统的非法攻击

IDS的任务：

• 信息收集

  所收集的信息内容：用户（合法用户和非法用户）在网络、系统、数据库及应用系统中活动的状态和行为

  • 系统和网络的日志文件
  • 目录和文件中的异常改变
  • 程序执行中的异常行为
  • 物理形式的入侵信息

• 信息分析

  • 模式匹配
  • 统计分析
  • 完整性分析

• 安全响应

  • 主动响应：由用户驱动或者系统本身执行，对入侵行为终止连接、修正环境等
  • 被动响应：发出告警信息和通知

IDS的评价标准：

• 性能测试
• 功能测试
• 可用性测试

2. 异常检测的方法有哪些？误用检测的方法有哪些？入侵检测技术有哪些？

异常检测方法：

• 统计异常检测方法
• 特征选择异常检测方法
• 基于贝叶斯推理异常检测方法
• 基于贝叶斯网络异常检测方法
• 基于模式预测异常检测方法

误用检测方法：

• 基于条件的概率误用检测方法
• 基于专家系统误用检测方法
• 基于状态迁移分析误用检测方法
• 基于键盘监控误用检测方法
• 基于模型误用检测方法

3. IDS的结构由哪几部分组成？各自有何功能？

DS的结构：

1. 事件提取（信息收集）：负责提取相关运行数据或记录，并对数据进行简单过滤。
2. 入侵分析：找出入侵痕迹，发现异常行为，分析入侵行为并定位入侵者。
3. 入侵响应：分析出入侵行为后被触发，根据入侵行为产生响应。
4. 远程管理：在一台管理站上实现统一的管理监控。

4. 按照数据来源分类，IDS分哪几类？按照检测技术分类，IDS分哪几类？

1. 按照数据来源分类
   • NIDS（基于网络的入侵检测系统）：截获数据包，提取特征并与知识库中已知的攻击签名相比较。
   • HIDS（基于主机的入侵检测系统）：通过对系统日志和审计记录的监控分析来发现攻击后的误操作。
   • DIDS（分布式入侵检测系统）：同时分析来自主机系统审计日志和网络数据流，一般为分布式结构，由多个组件构成。
2. 按照检测技术分类
   • 误用检测（滥用检测）：将收集的信息与数据库作比较
   • 异常检测：测量属性的平均值，并用来与系统行为较
   • 完整性检测：关注数据内容是否被更改

5. 什么是NIDS？NIDS在网络中是如何部署的？NIDS有何优缺点？

根据网络流量、网络数据包和协议来分析入侵检测

利用网络适配器监视并分析通过网络的所有通信业务

常用技术：

• 攻击模式、表达式或字节匹配
• 频率或穿越阈值
• 低级事件的相关性
• 统计学意义上的非常规现象检测

优点：

• 成本低
• 攻击者转移证据困难
• 可做到实时检测和响应
• 能够检测未成功的攻击企图
• 独立于主机所使用的操作系统

6. 什么是HIDS？HIDS在网络中是如何部署的？HIDS有何优缺点？

根据主机系统的系统日志和审计记录进行入侵检测

检测针对主机的攻击，通常被部署在关键服务器上，被认为是保护关键服务器的最后一道防线

常用技术：

• 文件和注册表保护技术
• 网路安全防护技术
• IIS（Internet 信息服务器）保护技术
• 文件完整性分析技术

优点：

• 捕获应用层入侵
• 监视特定的系统活动
• 非常适应与加密和交换环境
• 近实时的检测和应答
• 不需要额外的硬件

7. 什么是DIDS？DIDS在网络中是如何部署的？DIDS有何优缺点？

DIDS结构

8. 评价一个IDS优劣的关键性能、功能指标有哪些？

IDS的评价标准：

• 性能测试
• 功能测试
• 可用性测试

IDS的测评指标：

• 检测入侵能力
• 抗欺骗能力
• 远程管理能力
• 自身安全性

9. IDS的异常检测规则是否越多越好？

10. IDS是否能够主动发现并阻断入侵？若要阻断入侵，应该如何去做才能阻断攻击？

当IDS检测到潜在的安全事件时，它会生成警报并通知安全团队。 然而，IDS本身无法采取措施阻止攻击。 相反，IPS在检测到攻击时可以自动采取实时阻断措施，如丢弃恶意数据包、重置连接或阻止攻击者的IP地址。

11. 在一个实际网络中，IDS的探测器接口一般用网线接在哪个网络设备的哪个位置？给你1台防火墙、1台IDS、1台交换机、1台路由器，请画出它们的连接图。

典型的IDS部署图

第14章 VPN技术

1. 什么是虚拟专网VPN？VPN的主要功能是什么？

虚拟专网 (VPN, Virtual Private Network) ：将物理上分布在不同地点的网络，通过公用网络连接而构成逻辑上独立的虚拟子网。

2. 按照应用场景分类，VPN可分为哪几类？按隧道协议分类，VPN可分为哪几类？

• 按照应用分类
  • 内联网VPN（一个公司内部的远程VPN网关之间）
  • 外联网VPN（跨公司的VPN网关之间）
  • 远程访问VPN（VPN客户端和服务端之间）
• 按照隧道协议分类
  • IPSEC VPN
  • SSL/TLS VPN
  • MPLS VPN
  • L2TP VPN
  • PPTP VPN

3. VPN 所采用的关键技术有哪些？OSI模型第3层的隧道协议有哪些？

VPN的关键技术：

• 隧道技术
• 加解密技术
• 身份认证技术
• 密钥管理技术
• 访问控制

OSI二层：L2F, PPTP, L2TP

OSI三层：IPSec, MPLS, GRE

4. IPSec 协议主要由哪两种协议构成？每种协议又有哪两种工作模式？

IPSec由AH协议和ESP协议组成，分别提供2种工作模式：传输模式、隧道模式

这两个协议可以组合起来使用，也可以单独使用

ESP 提供加密，AH无加密；AH 提供认证，ESP无认证（或者说对认证提供某种程度的支持）

组合使用时，先ESP后AH，因此ESP头可被AH保护

5. IPSecVPN在采用传输模式、隧道模式时，它们对IP数据包的封装模式有何差异？

6. IPSecVPN在功能实现上，由哪几个系统模块组成？

1. 管理模块
2. 密钥分配和生成模块
3. 身份认证模块
4. 数据加解密模块
5. 数组分组封装/分解模块
6. 加密函数库

7. IPSec VPN有何优缺点？它适用于何种应用场景？

IPSec（Internet Protocol Security）VPN是一种通过互联网或其他公共网络来安全地传输数据的技术。它通过在两个通信端点之间建立加密隧道，确保数据在传输过程中不会被窃取或篡改。以下是IPSec VPN的优缺点及其适用的应用场景：

优点

1. 安全性高：IPSec使用强大的加密算法和认证机制，可以有效保护数据的机密性、完整性和真实性。它支持多种加密协议，如AES、3DES等，确保数据在传输过程中不被泄露或篡改。

2. 兼容性好：IPSec是一个标准化的协议，能够与多种网络设备和操作系统兼容。这使得它在不同设备和平台之间实现互操作变得更加容易。

3. 灵活性强：IPSec可以在多种网络架构中使用，如点对点连接、远程接入以及站点到站点的VPN连接。这使得它在各种网络环境中都能发挥作用。

4. 全面保护：IPSec不仅可以保护IP层的数据，还可以保护上层的应用数据，提供端到端的数据安全保护。

缺点

1. 配置复杂：由于IPSec涉及多个协议和安全机制，配置和管理起来相对复杂，需要专业的网络知识和技能。

2. 性能开销大：IPSec的加密和解密过程会占用一定的CPU和内存资源，可能会对网络性能产生一定的影响，特别是在大规模部署时。

3. 不支持NAT：IPSec的某些模式（如AH模式）对NAT（网络地址转换）不友好，这可能会在某些网络环境中引发问题。

4. 兼容性问题：尽管IPSec是一个标准协议，不同厂商实现的IPSec协议可能会有一些不兼容的问题，需要额外的调试和配置。

适用的应用场景

1. 企业站点到站点连接：IPSec VPN可以用于企业之间的安全通信，如总部与分支机构之间的数据传输，确保敏感业务数据的安全。

2. 远程接入：IPSec VPN可以为远程办公人员提供安全的远程接入，确保员工能够安全访问公司内部资源。

3. 跨国公司通信：对于跨国公司，IPSec VPN可以确保跨国数据传输的安全性和保密性，防止数据在跨境传输中被截获或篡改。

4. 保护敏感数据传输：在需要传输敏感数据的场景，如金融交易、医疗数据传输等，IPSec VPN可以提供高安全性的保护。

5. 军事和政府机构：由于IPSec VPN的高安全性，它常用于军事和政府机构的安全通信，确保机密信息不被泄露。

总的来说，IPSec VPN是一种强大的网络安全解决方案，适用于需要高安全性和数据保护的各种应用场景。但在使用时，需要考虑其配置复杂性和性能开销，并根据实际需求进行合理部署。

8. 什么是TLS VPN？TLS VPN有何优缺点？它适用于何种应用场景？

优点：

• 无须安装客户端软件
• 适用于大多数设备
• 适用于大多数操作系统
• 支持网络驱动器访问
• 不需要对网络做改变
• 较强的资源控制能力
• 费用低且有良好安全性
• 绕过防火墙进行访问
• 已内嵌在浏览器中

缺点：

• 认证方式单一
• 应用的局限性很大
• 只对应用通道加密
• 不能对应用层消息签名
• 缺少LAN to LAN连接方案
• 加密级别不如IPSec VPN高
• 不能保护UDP通道安全
• 是应用层加密，性能较差
• 不能实施访问控制
• 需CA支持，证书管理复杂

主要用于访问内部网络中一些基于Web的应用，例如电子邮件、内部网页浏览等。

9. IPSecVPN和TLS VPN是否可以相互替代？试比较IPSecVPN和TLS VPN的异同点。

比较

TLS VPN有很多优点，但并不能取代 IPSec VPN。

IPSec VPN主要提供LAN-to-LAN的隧道安全连接。在为企业高级用户提供远程访问及为企业提供LAN-to-LAN隧道连接方面，IPSec 具有无可比拟的优势。

IPSec VPN厂商开始研究让 IPSec VPN兼容TLS VPN，以增强可用性。届时，IPSec VPN的扩展性将大大加强。

10. 什么是MPLS VPN？MPLS VPN基于何种IP路由选择技术？

MPLS VPN是一种基于多协议标记交换技术的IP VPN

在网络路由和交换设备上应用MPLS技术可以简化核心路由器的路由选择方式

MPLS利用传统路由中的标记交换技术来实现IP虚拟专网

MPLS VPN可用来构造宽带的Internet 和Extranet

MPLS是基于标记的IP路由选择方法。

MPLS技术利用显式路由选择，可灵活选择优质路径来传输数据。

MPLS协议实现了从第三层路由到第二层交换的转换。

IP数据包进入网络时，边界路由器给它分配一个标记。

对于到达同一目的地的IP数据包，可根据其TOS值的要求建立不同转发路径，以确保传输质量。

安全性比较低。

11. 京东商城用何种VPN？网银用何种种VPN？北航老校区和新校区用何种VPN相连？

12. 在一个实际网络中，VPN部署在网络中的哪个位置？给你1台VPN、1台防火墙、1台IDS、1台交换机、1台路由器，请画出它们的连接图。

网络结构