總結CCNA面試題——網絡工程師
CCNA面試題（上）
什么是三層交換，說說和路由的區別在那里？
三層交換機和路由器都可工作在網絡的第三層，根據ip地址進行數據包的轉發（或交換），原理上沒有太大的區別，這兩個名詞趨向于統一，我們可以認為三層交換機就是一個多端口的路由器。
但是傳統的路由器有3個特點：基于CPU的單步時鐘處理機制；能夠處理復雜的路由算法和協議；主要用于廣域網的低速數據鏈路
在第三層交換機中，與路由器有關的第三層路由硬件模塊也插接在高速背板/總線上，這種方式使得路由模塊可以與需要路由的其他模塊間高速的交換數據，從而突破了傳統的外接路由器接口速率的限制(10Mbit/s---100Mbit/s)。
對路由知識的掌握情況，對方提出了一個開放式的問題：簡單說明一下你所了解的路由協議。
路由可分為靜態&動態路由。靜態路由由管理員手動維護；動態路由由路由協議自動維護。
路由選擇算法的必要步驟：1、向其它路由器傳遞路由信息；2、接收其它路由器的路由信息；3、根據收到的路由信息計算出到每個目的網絡的最優路徑，并由此生成路由選擇表；4、根據網絡拓撲的變化及時的做出反應，調整路由生成新的路由選擇表，同時把拓撲變化以路由信息的形式向其它路由器宣告。
兩種主要算法：距離向量法（Distance Vector Routing）和鏈路狀態算法（Link-State Routing）。由此可分為距離矢量（如：RIP、IGRP、EIGRP）&鏈路狀態路由協議（如：OSPF、IS-IS）。
路由協議是路由器之間實現路由信息共享的一種機制，它允許路由器之間相互交換和維護各自的路由表。當一臺路由器的路由表由于某種原因發生變化時，它需要及時地將這一變化通知與之相連接的其他路由器，以保證數據的正確傳遞。路由協議不承擔網絡上終端用戶之間的數據傳輸任務。
簡單說下OSPF的操作過程
①路由器發送HELLO報文；②建立鄰接關系；③形成鏈路狀態④SPF算法算出最優路徑⑤形成路由表
※OSPF路由協議的基本工作原理，DR、BDR的選舉過程，區域的作用及LSA的傳輸情況（注：對方對OSPF的相關知識提問較細，應著重掌握）。
特點是：1、收斂速度快；2、支持無類別的路由表查詢、VLSM和超網技術；3、支持等代價的多路負載均衡；4、路由更新傳遞效率高（區域、組播更新、DR/BDR）；5、根據鏈路的帶寬（cost）進行最優選路。
通過發關HELLO報文發現鄰居建立鄰接關系，通過泛洪LSA形成相同鏈路狀態數據庫，運用SPF算法生成路由表。
DR/BDR選舉：1、DR/BDR存在->不選舉；達到2-way狀態Priority不為0->選舉資格；3、先選BDR后DR；4、利用“優先級”“RouterID”進行判斷。
1、通過劃分區域可以減少路由器LSA DB，降低CPU、內存、與LSA泛洪帶來的開銷。2、可以將TOP變化限定在單個區域，加快收斂。
LSA1、LSA2只在始發區域傳輸；LSA3、LSA4由ABR始發，在OSPF域內傳輸；LSA5由ASBR始發在OSPF的AS內傳輸；LSA7只在NSSA內傳輸。
OSPF有什么優點？為什么OSPF比RIP收斂快？
優點：1、收斂速度快；2、支持無類別的路由表查詢、VLSM和超網技術；3、支持等代價的多路負載均衡；4、路由更新傳遞效率高（區域、組播更新、DR/BDR）；5、根據鏈路的帶寬進行最優選路
采用了區域、組播更新、增量更新、30分鐘重發LSA
RIP版本1跟版本2的區別？
答：①RIP-V1是有類路由協議，RIP-V2是無類路由協議②RIP-V1廣播路由更新，RIP-V2組播路由更新③RIP-V2路由更新所攜帶的信息要比RIP-V1多
描述RIP和OSPF，它們的區別、特點
RIP協議是一種傳統的路由協議，適合比較小型的網絡，但是當前Internet網絡的迅速發展和急劇膨脹使RIP協議無法適應今天的網絡。
OSPF協議則是在Internet網絡急劇膨脹的時候制定出來的，它克服了RIP協議的許多缺陷。
RIP是距離矢量路由協議；OSPF是鏈路狀態路由協議。
RIP&OSPF管理距離分別是：120和110
1．RIP協議一條路由有15跳（網關或路由器）的限制，如果一個RIP網絡路由跨越超過15跳（路由器），則它認為網絡不可到達，而OSPF對跨越路由器的個數沒有限制。
2．OSPF協議支持可變長度子網掩碼（VLSM），RIP則不支持，這使得RIP協議對當前IP地址的缺乏和可變長度子網掩碼的靈活性缺少支持。
3．RIP協議不是針對網絡的實際情況而是定期地廣播路由表，這對網絡的帶寬資源是個極大的浪費，特別對大型的廣域網。OSPF協議的路由廣播更新只發生在路由狀態變化的時候，采用IP多路廣播來發送鏈路狀態更新信息，這樣對帶寬是個節約。
4．RIP網絡是一個平面網絡，對網絡沒有分層。OSPF在網絡中建立起層次概念，在自治域中可以劃分網絡域，使路由的廣播限制在一定的范圍內，避免鏈路中繼資源的浪費。
5．OSPF在路由廣播時采用了授權機制，保證了網絡安全。
上述兩者的差異顯示了OSPF協議后來居上的特點，其先進性和復雜性使它適應了今天日趨龐大的Internet網，并成為主要的互聯網路由協議。
CCNA面試題（中）
什么是靜態路由？什么是動態路由？各自的特點是什么？
靜態路由是由管理員在路由器中手動配置的固定路由，路由明確地指定了包到達目的地必須經過的路徑，除非網絡管理員干預，否則靜態路由不會發生變化。靜態路由不能對網絡的改變作出反應，所以一般說靜態路由用于網絡規模不大、拓撲結構相對固定的網絡。
靜態路由特點
1、它允許對路由的行為進行精確的控制；
2、減少了網絡流量；
3、是單向的；
4、配置簡單。
動態路由是網絡中的路由器之間相互通信，傳遞路由信息，利用收到的路由信息更新路由器表的過程。是基于某種路由協議來實現的。常見的路由協議類型有：距離向量路由協議（如RIP）和鏈路狀態路由協議（如OSPF）。路由協議定義了路由器在與其它路由器通信時的一些規則。動態路由協議一般都有路由算法。其路由選擇算法的必要步驟
1、向其它路由器傳遞路由信息；
2、接收其它路由器的路由信息；
3、根據收到的路由信息計算出到每個目的網絡的最優路徑，并由此生成路由選擇表；
4、根據網絡拓撲的變化及時的做出反應，調整路由生成新的路由選擇表，同時把拓撲變化以路由信息的形式向其它路由器宣告。
動態路由適用于網絡規模大、拓撲復雜的網絡。
動態路由特點：
1、無需管理員手工維護，減輕了管理員的工作負擔。
2、占用了網絡帶寬。
3、在路由器上運行路由協議，使路由器可以自動根據網絡拓樸結構的變化調整路由條目；
VLAN和VPN有什么區別？分別實現在OSI的第幾層？
VPN是一種三層封裝加密技術，VLAN則是一種第二層的標志技術（盡管ISL采用封裝），盡管用戶視圖有些相象，但他們不應該是同一層次概念。
VLAN（Virtual Local Area Network）即虛擬局域網，是一種通過將局域網內的設備邏輯地而不是物理地劃分成一個個網段從而實現虛擬工作組的新興技術。
VLAN在交換機上的實現方法，可以大致劃分為2大類：基基于端口劃分的靜態VLAN；2、基于MAC地址|IP等劃分的動態VLAN。當前主要是靜態VLAN的實現。
跨交換機VLAN通訊通過在TRUNK鏈路上采用Dot1Q或ISL封裝（標識）技術。
VPN（虛擬專用網）被定義為通過一個公用網絡（通常是因特網）建立一個臨時的、安全的連接，是一條穿過混亂的公用網絡的安全、穩定的隧道。
VPN使用三個方面的技術保證了通信的安全性：隧道協議、數據加密和身份驗證。
VPN使用兩種隧道協議：點到點隧道協議（PPTP）和第二層隧道協議（L2TP）。
VPN采用何種加密技術依賴于VPN服務器的類型，因此可以分為兩種情況。
對于PPTP服務器，將采用MPPE加密技術 MPPE可以支持40位密鑰的標準加密方案和128位密鑰的增強加密方案。只有在 MS-CHAP、MS-CHAP v2 或 EAP/TLS 身份驗證被協商之后，數據才由 MPPE 進行加密，MPPE需要這些類型的身份驗證生成的公用客戶和服務器密鑰。
對于L2TP服務器，將使用IPSec機制對數據進行加密 IPSec是基于密碼學的保護服務和安全協議的套件。IPSec 對使用 L2TP 協議的 VPN 連接提供機器級身份驗證和數據加密。在保護密碼和數據的 L2TP 連接建立之前，IPSec 在計算機及其遠程VPN服務器之間進行協商。IPSec可用的加密包括 56 位密鑰的數據加密標準DES和 56 位密鑰的三倍 DES (3DES)。
VPN的身份驗證方法
前面已經提到VPN的身份驗證采用PPP的身份驗證方法，下面介紹一下VPN進行身份驗證的幾種方法。
CHAP CHAP通過使用MD5（一種工業標準的散列方案）來協商一種加密身份驗證的安全形式。CHAP 在響應時使用質詢-響應機制和單向 MD5 散列。用這種方法，可以向服務器證明客戶機知道密碼，但不必實際地將密碼發送到網絡上。
MS-CHAP 同CHAP相似，微軟開發MS-CHAP 是為了對遠程 Windows 工作站進行身份驗證，它在響應時使用質詢-響應機制和單向加密。而且 MS-CHAP 不要求使用原文或可逆加密密碼。
MS-CHAP v2 MS-CHAP v2是微軟開發的第二版的質詢握手身份驗證協議，它提供了相互身份驗證和更強大的初始數據密鑰，而且發送和接收分別使用不同的密鑰。如果將VPN連接配置為用 MS-CHAP v2 作為唯一的身份驗證方法，那么客戶端和服務器端都要證明其身份，如果所連接的服務器不提供對自己身份的驗證，則連接將被斷開。
EAP EAP 的開發是為了適應對使用其他安全設備的遠程訪問用戶進行身份驗證的日益增長的需求。通過使用 EAP，可以增加對許多身份驗證方案的支持，其中包括令牌卡、一次性密碼、使用智能卡的公鑰身份驗證、證書及其他身份驗證。對于VPN來說，使用EAP可以防止暴力或詞典攻擊及密碼猜測，提供比其他身份驗證方法（例如 CHAP）更高的安全性。
在Windows系統中，對于采用智能卡進行身份驗證，將采用EAP驗證方法；對于通過密碼進行身份驗證，將采用CHAP、MS-CHAP或MS-CHAP v2驗證方法。
CCNA面試題（下）
關于VPN
一、VPN（Virtual Private Network）：虛擬專用網絡，是一門網絡新技術，為我們提供了一種通過公用網絡安全地對企業內部專用網絡進行遠程訪問的連接方式。
二、VPN使用三個方面的技術保證了通信的安全性：隧道協議、身份驗證和數據加密。
三、1.隧道技術是VPN的基本技術，類似于點對點連接技術，它在公用網建立一條數據通道（隧道），讓數據包通過這條隧道傳輸。隧道是由隧道協議形成的，分為第二、三層隧道協議。第二層隧道協議是先把各種網絡協議封裝到PPP中，再把整個數據包裝入隧道協議中。這種雙層封裝方法形成的數據包靠第二層協議進行傳輸。第二層隧道協議有L2F、PPTP、L2TP等。L2TP協議是目前IETF的標準，由IETF融合PPTP與L2F而形成。 2、第三層隧道協議是把各種網絡協議直接裝入隧道協議中，形成的數據包依靠第三層協議進行傳輸。第三層隧道協議有VTP、IPSec等。IPSec（IP Security）是由一組RFC文檔組成，定義了一個系統來提供安全協議選擇、安全算法，確定服務所使用密鑰等服務，從而在IP層提供安全保障。
四、VPN的身份驗證方法：1、PPP的身份驗證方法；2、CHAP：CHAP通過使用MD5（一種工業標準的散列方案）來協商一種加密身份驗證的安全形式。CHAP在響應時使用質詢-響應機制和單向MD5散列。用這種方法，可以向服務器證明客戶機知道密碼，但不必實際地將密碼發送到網絡上。3、MS- CHAP：同CHAP相似，微軟開發MS-CHAP是為了對遠程Windows工作站進行身份驗證，它在響應時使用質詢-響應機制和單向加密。而且MS- CHAP不要求使用原文或可逆加密密碼。4、MS-CHAP v2：MS-CHAP v2是微軟開發的第二版的質詢握手身份驗證協議，它提供了相互身份驗證和更強大的初始數據密鑰，而且發送和接收分別使用不同的密鑰。如果將VPN連接配置為用MS-CHAP v2作為唯一的身份驗證方法，那么客戶端和服務器端都要證明其身份，如果所連接的服務器不提供對自己身份的驗證，則連接將被斷開。5、EAP：EAP的開發是為了適應對使用其他安全設備的遠程訪問用戶進行身份驗證的日益增長的需求。通過使用EAP，可以增加對許多身份驗證方案的支持，其中包括令牌卡、一次性密碼、使用智能卡的公鑰身份驗證、證書及其他身份驗證。對于VPN來說，使用EAP可以防止暴力或詞典攻擊及密碼猜測，提供比其他身份驗證方法（例如 CHAP）更高的安全性。 6、在Windows系統中，對于采用智能卡進行身份驗證，將采用EAP驗證方法；對于通過密碼進行身份驗證，將采用CHAP、MS-CHAP或MS- CHAP v2驗證方法。
五、VPN的加密技術。VPN采用何種加密技術依賴于VPN服務器的類型，因此可以分為兩種情況。1、
對于PPTP服務器，將采用MPPE加密技術MPPE可以支持40位密鑰的標準加密方案和128位密鑰的增強加密方案。只有在MS-CHAP、MS- CHAP v2或EAP/TLS身份驗證被協商之后，數據才由MPPE進行加密，MPPE需要這些類型的身份驗證生成的公用客戶和服務器密鑰。2、對于L2TP服務器，將使用IPSec機制對數據進行加密IPSec是基于密碼學的保護服務和安全協議的套件。IPSec對使用L2TP協議的VPN連接提供機器級身份驗證和數據加密。在保護密碼和數據的L2TP連接建立之前，IPSec在計算機及其遠程VPN服務器之間進行協商。IPSec可用的加密包括56位密鑰的數據加密標準DES和56位密鑰的三倍DES（3DES）
六、VPN有三種解決方案，用戶可以根據自己的情況進行選擇。這三種解決方案分別是：遠程訪問虛擬網（AccessVPN）、企業內部虛擬網（IntranetVPN）和企業擴展虛擬網（ExtranetVPN），這三種類型的VPN分別與傳統的遠程訪問網絡、企業內部的Intranet以及企業網和相關合作伙伴的企業網所構成的Extranet相對應。
以思科路由器為例,你寫下單臂路由的配置命令？
答：router(config)#interface f0/1.1
router(config-if)#encapsulation dotlQ 100
router(config-if)#ip add 192.168.1.1 255.255.255.0
router(config-if)#no shutdown
router(config-if)#interface f0/1.2
router(config-if)#i encapsulation dotlQ 200
router(config-if)#i ip add 192.168.2.1 255.255.255.0
router(config-if)#no shutdown
STP協議的主要用途是什么？為什么要用STP
主要用途：1、STP通過阻塞冗余鏈路，來消除橋接網絡中可能存在的路徑回環；2、當前活動路徑發生故障時，STP激活冗余鏈路恢復網絡連通性。
原因：交換網絡存在環路時引起：廣播環路（廣播風暴）；橋表損壞。
介紹一下ACL和NAT？NAT有幾種方式？
ACL：1、訪問控制列表（ACL）是應用在路由器接口的指令列表（規則），用來告訴路由器哪些數據包可以接收轉發，哪些數據包需要拒絕；2、ACL的工作原理 ：讀取第三層及第四層包頭中的信息，根據預先定義好的規則對包進行過濾；3、使用ACL實現網絡控制：實現訪問控制列表的核心技術是包過濾；4、ACL的兩種基本類型（標準訪問控制列表；擴展訪問控制列表）
NAT：改變IP包頭使目的地址，源地址或兩個地址在包頭中被不同地址替換。
靜態NAT、動態NAT、PAT
STP的判定過程？
答： STP判定步驟為：①確定根網橋，使用網橋ID；②計算到根網橋的最小根路徑成本； ③確定最小的發送方網橋ID；④確定最小的端口ID。
STP過程為：①選根網橋 ②在每個非根網橋上選擇根端口 ③在每個網段上標定一個指定端口
HSRP是什么?它是如何工作的？
答：HSRP是熱備份路由協議，思科專有。通過HSRP，一組路由器可以一起協同工作，來代表一臺虛擬路由器，備份組像一臺路由器一樣工作，一個虛擬IP 地址和MAC地址，從末端主機來看，虛擬主路由器是一臺有自己IP地址和MAC地址的路由器，它不同于實際物理路由器，那么該組中一臺路由器失效則另一臺路由器接替工作，路由選擇照常。
PPP協議組成及簡述協議協商的基本過程？
一、PPP（Point-to-Point Protocol點到點協議）是為在同等單元之間傳輸數據包這樣的簡單鏈路設計的鏈路層協議。設計目的主要是用來通過撥號或專線方式建立點對點連接發送數據，使其成為各種主機、網橋和路由器之間簡單連接的一種共通的解決方案。
二、PPP協議中提供了一整套方案來解決鏈路建立、維護、拆除、上層協議協商、認證等問題。
三、PPP協議包含這樣幾個部分：鏈路控制協議LCP（Link Control Protocol）；網絡控制協議NCP（Network Control Protocol）；認證協議，最常用的包括口令驗證協議PAP（Password Authentication Protocol）和挑戰握手驗證協議CHAP（Challenge-Handshake Authentication Protocol）。
四、一個典型的鏈路建立過程分為三個階段：創建階段、認證階段和網絡協商階段。
階段1：創建PPP鏈路
LCP負責創建鏈路。在這個階段，將對基本的通訊方式進行選擇。鏈路兩端設備通過LCP向對方發送配置信息報文（Configure Packets）。一旦一個配置成功信息包（Configure-Ack packet）被發送且被接收，就完成了交換，進入了LCP開啟狀態。
應當注意，在鏈路創建階段，只是對驗證協議進行選擇，用戶驗證將在第2階段實現。
階段2：用戶驗證
在這個階段，客戶端會將自己的身份發送給遠端的接入服務器。該階段使用一種安全驗證方式避免第三方竊取數據或冒充遠程客戶接管與客戶端的連接。在認證完成之前，禁止從認證階段前進到網絡層協議階段。如果認證失敗，認證者應該躍遷到鏈路終止階段。
在這一階段里，只有鏈路控制協議、認證協議，和鏈路質量監視協議的packets是被允許的。在該階段里接收到的其他的packets必須被靜靜的丟棄。
最常用的認證協議有口令驗證協議（PAP）和挑戰握手驗證協議（CHAP）。 認證方式介紹在第三部分中介紹。
階段3：調用網絡層協議
認證階段完成之后，PPP將調用在鏈路創建階段（階段1）選定的各種網絡控制協議（NCP）。選定的NCP解決PPP鏈路之上的高層協議問題，例如，在該階段IP控制協議（IPCP）可以向撥入用戶分配動態地址。
這樣，經過三個階段以后，一條完整的PPP鏈路就建立起來了。
五、認證方式
1）口令驗證協議（PAP）
PAP是一種簡單的明文驗證方式。NAS（網絡接入服務器，Network Access Server）要求用戶提供用戶名和口令，PAP以明文方式返回用戶信息。很明顯，這種驗證方式的安全性較差，第三方可以很容易的獲取被傳送的用戶名和口令，并利用這些信息與NAS建立連接獲取NAS提供的所有資源。所以，一旦用戶密碼被第三方竊取，PAP無法提供避免受到第三方攻擊的保障措施。
2）挑戰-握手驗證協議（CHAP）
CHAP是一種加密的驗證方式，能夠避免建立連接時傳送用戶的真實密碼。NAS向遠程用戶發送一個挑戰口令（challenge），其中包括會話ID 和一個任意生成的挑戰字串（arbitrary challengestring）。遠程客戶必須使用MD5單向哈希算法（one-way hashing algorithm）返回用戶名和加密的挑戰口令，會話ID以及用戶口令，其中用戶名以非哈希方式發送。
CHAP對PAP進行了改進，不再直接通過鏈路發送明文口令，而是使用挑戰口令以哈希算法對口令進行加密。因為服務器端存有客戶的明文口令，所以服務器可以重復客戶端進行的操作，并將結果與用戶返回的口令進行對照。CHAP為每一次驗證任意生成一個挑戰字串來防止受到再現攻擊（replay attack）。在整個連接過程中，CHAP將不定時的向客戶端重復發送挑戰口令，從而避免第3方冒充遠程客戶（remote client impersonation）進行攻擊。
六、PPP協議的應用
PPP協議是目前廣域網上應用最廣泛的協議之一，它的優點在于簡單、具備用戶驗證能力、可以解決IP分配等。
家庭撥號上網就是通過PPP在用戶端和運營商的接入服務器之間建立通信鏈路。目前，寬帶接入正在成為取代撥號上網的趨勢，在寬帶接入技術日新月異的今天，PPP也衍生出新的應用。典型的應用是在ADSL（非對稱數據用戶環線，Asymmetrical Digital Subscriber Loop）接入方式當中，PPP與其他的協議共同派生出了符合寬帶接入要求的新的協議，如PPPoE（PPP over Ethernet），PPPoA（PPP over ATM）。
利用以太網（Ethernet）資源，在以太網上運行PPP來進行用戶認證接入的方式稱為PPPoE。PPPoE即保護了用戶方的以太網資源，又完成了ADSL的接入要求，是目前ADSL接入方式中應用最廣泛的技術標準。
同樣，在ATM（異步傳輸模式，Asynchronous Transfer Mode）網絡上運行PPP協議來管理用戶認證的方式稱為PPPoA。它與PPPoE的原理相同，作用相同；不同的是它是在ATM網絡上，而PPPoE是在以太網網絡上運行，所以要分別適應ATM標準和以太網標準。
PPP協議的簡單完整使它得到了廣泛的應用，相信在未來的網絡技術發展中，它還可以發揮更大的作用。
【編輯推薦】
