Q21
针对不同的需求，DHCP 服务器支持多种类型的地址分配策略，其中不包括：
A.自动分配方式
B.动态分配方式
C.重复分配方式
D.手工分配方式
Answer:C
Q22
关于 LDP Session 建立过程的描述，正确的是：（多选）
A.两个 LSR 之间互相发送 hello 消息中携带传输地址，传输地址较大的一方作为主动方，发起建 TCP 链接
B.如果 hello message 中没有携带 transport address，则该 hello message 的目的 ip 地址用于建立 TCP 链接，目的 IP 地址较大的一方作为主动方发起建立 TCP 链接
C.主动方会发送 advertisement message 消息，协商建立 LDP 会话的相关参数，包括 LDP 协议版本、标签分发方式、keepalive 保持定时器的值、最大 PDU 长度和标签控间等
D.如果被动方能够接受相关参数，则发送 initialzation message 消息，同时发送 keepalive 消息给主动方
Answer:AD
解析：
1.两个LSR之间互相发送Hello消息。Hello消息中携带传输地址，双方使用传输地址建立LDP会话。首先选择传输地址较大的一方作为主动方，发起建立TCP连接。如图1所示，LSRA作为主动方发起建立TCP连接，LSRB作为被动方等待对方发起连接。
2.TCP连接建立成功后，由主动方LSRA发送Initialization消息，协商建立LDP会话的相关参数，包括LDP协议版本、标签分发方式、Keepalive保持定时器的值、最大PDU长度和标签空间等。
3.被动方LSRB收到Initialization消息后，如果不能接受相关参数，则发送Notification消息终止LDP会话的建立；如果被动方LSRB能够接受相关参数，则发送Initialization消息，同时发送Keepalive消息给主动方LSRA。
4.主动方LSRA收到Initialization消息后，如果不能接受相关参数，则发送Notification消息给被动方LSRB终止LDP会话的建立；如果能够接受相关参数，则发送Keepalive消息给被动方LSRB。
当双方都收到对端的Keepalive消息后，LDP会话建立成功。
Q23
VRRP 的接口 IP 地址和虚拟 IP 地址可以相同。
A.TRUE
B.FALSE
Answer:A
Q24
中间人攻击或 IP/MAC Spoofing 攻击都会导致信息泄露等危害，且在内网中比较觉。为了防止中间人攻击或 IP/MAC Spoofing 攻击，可以采取的配置方法有：
A.配置 trust/untrusted 接口
B.限制交换机接口上允许学习到的最多 MAC 地址数目
C.开启 DHCP Snooping 检查 DCHP REQUEST 报文中 CHADDR 字段的功能
D.在交换机上配置 DHCP Snooping 与 DAI 或 IPSG 进行联动
Answer:D
解析：
交换机使能IPSG功能后，会对进入交换机端口的报文进行合法性检查，并对报文进行过滤（如果合法，则转发；如果非法，则丢弃）。
DHCP Snooping技术可与IPSG技术进行联动，即：对于进入交换机端口的报文进行DHCP Snooping绑定表的匹配检查，如果报文的信息和与绑定表一致，则允许其通过，否则丢弃报文。
报文的检查项可以使源IP地址、源MAC地址、VLAN和物理端口号的若干种组合。例如，在交换机的端口视图下可以支持IP+MAC、IP+VLAN、IP+MAC+VLAN等组合检查，在交换机的VLAN视图下可支持：IP+MAC、IP+物理端口短号、IP+MAC+物理端口号等组合检查。
Q25
针对 MAC 地址欺骗攻击的描述，错误的是：
A.MAC 地址欺骗攻击主要利用了交换机 MAC 地址学习机制
B.攻击者可以通过伪造的源 MAC 地址数据帧发送给交换机来实施 MAC 地址欺骗攻击
C.MAC 地址欺骗攻击造成交换机学习到错误的 MAC 地址与 IP 地址的映射关系
D.MAC 地址欺骗攻击会导致交换机要发到正确目的地数据被发送给攻击者
Answer:C
解析：
ARP欺骗攻击使被攻击者的ARP缓存表里形成错误的MAC地址和IP地址的映射关系。
mac欺骗针对交换机的mac地址学习机制，攻击者通过伪造的源MAC地址数据包发送给交换机，造成交换机学习到错误的MAC地址与端口的映射关系，导致交换机要发送到正确目的地的数据包被发送到了攻击主机上。
ARP欺骗是欺骗了IP/MAC的对应关系，而MAC欺骗则是欺骗了MAC/PORT(交换机的端口)的对应关系。
Q26
IntServ 模型，在应用程序发送报文前，需要向网络申请预留资源。
A.TRUE
B.FALSE
Answer:A
解析：IntServ是一种最为复杂的服务模型，他需要用到RSVP（Resource Resercation Protocol）协议。该服务模型在发送报文前，需要想网络申请特定的服务。这个请求是通过信令（signal）来完成的，应用程序首先通知网络它自己的流量参数和所需的特定服务质量的请求，包括带宽、时延等。应用程序一般在收到网络确认信息后，即认为网络已经为这个应用程序的报文发送预留了资源，然后立即发送报文。
Q27
NAT 技术可以通过对数据加密来实现数据安全传输
A.TRUE
B.FALSE
Answer:B
解析：
NAT（Network Address Translation）是一种地址转换技术，可以将IPv4报文头中的地址转换为另一个地址。
NAT没有数据加密功能。
Q28
要实现设备的所有接口，都开启 BFD 与 OSPF 联动
A.Bfd enable
B.Bfd all-interface enable
C.All- interface bfd enable
D.Undo bfd enable disable
Answer:B
解析：
OSPF创建BFD会话前，必须在两端通过bfd命令使能全局BFD功能。
通过bfd all-interfaces enable命令用来在OSPF进程下使能BFD特性后，OSPF只和邻居状态达到Full的邻居建立BFD会话。
Q29
单包攻击指攻击者控制僵尸主机，向目标网络发送大量的攻击报文，造成被攻击网络链路拥塞，系统资源耗尽。
A.TRUE
B.FALSE
Answer:B
解析：
DoS（Dendial of Service）攻击就是单包攻击。这种攻击一般都是以个人为单位的黑客发动，攻击报文也比较单一，虽然破坏力强大，但是只要掌握了攻击的特征，防御起来还是比较容易。
DDoS（Distributed Dendial of Service）攻击是分布式拒绝攻击。DDoS攻击是指供给制控制大量的僵尸主机，想被攻击目标发送大量精心构造的攻击报文，造成被攻击者所在的网络的链路拥堵、资源耗尽，从而使被攻击产生拒绝正常用户的请求提供服务的效果。
Q30
下列选项中，不属于 Overlay VPN 模型的技术有：
A.GRE
B.IPSec VPN
C.SSL VPN
D.L2TP VPN
Answer:D
解析：
Overlay VPN的特点：
客户路由协议总是在客户设备之间交换，而运营商对客户网络结构一无所知。
典型的协议：
二层：帧中继
三层：GRE与IPSec
应用层：SSL VPN