赛项时间
第一场比赛：13:00-17:30，共计4小时30分，含赛题发放、系统部署、收卷时间。
一、 赛项信息
第一场比赛：
竞赛阶段 任务阶段 竞赛任务 竞赛时间 分值
第一阶段
平台搭建与安全设备配置防护 任务1 网络平台搭建 13:00-16:00
700
qq群：670610200
qq号：2366046367
二、 赛项内容
选手首先需要在U盘的根目录下建立一个名为“GZxx”的文件夹（xx用具体的工位号替代），赛题第一阶段所完成的“XXX-答题模板”放置在文件夹中。
例如：08工位，则需要在U盘根目录下建立“GZ08”文件夹，并在“GZ08”文件夹下直接放置第一个阶段的所有“XXX-答题模板”文件。
特别说明：只允许在根目录下的“GZxx”文件夹中体现一次工位信息，不允许在其他文件夹名称或文件名称中再次体现工位信息，否则按作弊处理。
(一) 赛项环境设置
赛项环境设置包含了三个竞赛阶段的基础信息：网络拓扑图、IP地址规划表、设备初始化信息。
- 网络拓扑图
- IP地址规划表 设备名称 接口 IP地址 对端设备 接口 防火墙DCFW ETH0/1-2 20.0.0.1/30（Trust安全域） DCRS eth1/0/1-2 221.1.19.1/27（untrust安全域） DCRS SSL Pool 192.168.10.1/24 可用IP数量为20 SSL VPN地址池 三层交换机DCRS ETH1/0/4 - DCWS ETH1/0/4 ETH1/0/5 - DCWS ETH1/0/5 VLAN2021 ETH1/0/1-2 20.0.0.2/30 DCFW Vlan name TO-DCFW VLAN2022 ETH1/0/1-2 221.1.19.2/27 DCFW Vlan name TO-internet VLAN 2031 ETH1/0/3 221.1.19.33/27 DCBC Vlan name TO-DCBC VLAN 52 ETH1/0/22 192.168.1.1/24 WAF Vlan name TO-WAF VLAN 10 172.16.10.1/24 无线1 Vlan name WIFI-vlan10 VLAN 20 172.16.20.1/25 无线2 Vlan name WIFI-vlan20 VLAN 30 ETH1/0/7-9 172.16.30.1/26 PC1 Vlan name CW VLAN 40 ETH1/0/10-12 192.168.40.1/24 PC3 Vlan name SERVER Vlan 50 Eth1/0/13-14 192.168.50.1/24 Vlan name Sales VLAN 100 192.168.100.1/24 DCWS Vlan name Manage 无线控制器DCWS VLAN 100 192.168.100.254/24 DCRS Vlan name Manage 无线管理VLAN VLAN 101 ETH1/0/3 192.168.101.1/24 AP Vlan name Manage-ap Vlan 50 Eth 1/0/6-8 日志服务器DCBC LAN2 192.168.201.1/24 PC2 WAN2 221.1.19.34/27 DCRS WEB应用防火墙WAF ETH2 192.168.1.2/24 DCST ETH3 DCRS 堡垒服务器DCST - - WAF
- 设备初始化信息 设备名称 管理地址 默认管理接口 用户名 密码 防火墙DCFW http://192.168.1.1 ETH0 admin admin 网络日志系统DCBC https://192.168.0.1：9090 LAN1 admin admin*PWD WEB应用防火墙WAF https://192.168.45.1 ETH5 admin admin123 三层交换机DCRS - Console - - 无线交换机DCWS - Console - - 堡垒服务器DCST - - 参见“DCST登录用户表” 备注 所有设备的默认管理接口、管理IP地址不允许修改; 如果修改对应设备的缺省管理IP及管理端口，涉及此设备的题目按 0 分处理。
(二) 第一阶段任务书（300分）
任务1：网络平台搭建（60分）
题号 网络需求
1 根据网络拓扑图所示，按照IP地址参数表，对DCFW的名称、各接口IP地址进行配置。
2 根据网络拓扑图所示，按照IP地址参数表，对DCRS的名称进行配置，创建VLAN并将相应接口划入VLAN。
3 根据网络拓扑图所示，按照IP地址参数表，对DCRS各接口IP地址进行配置。
4 根据网络拓扑图所示，按照IP地址参数表，对DCWS的各接口IP地址进行配置。
5 根据网络拓扑图所示，按照IP地址参数表，对DCBC的名称、各接口IP地址进行配置。
6 根据网络拓扑图所示，按照IP地址参数表，对WAF的名称、各接口IP地址进行配置。
7 配置静态路由实现内部网络连通，到因特网流量采用默认路由。
任务2：网络安全设备配置与防护（240分）
5. 总部核心交换机DCRS上开启SSH远程管理功能, 本地认证用户名: DCN2021,密码：DCN2021;最大同时登录为6。
6. 为了减少广播，需要根据题目要求规划并配置VLAN。要求配置合理，所有链路上不允许不必要VLAN的数据流通过，包括VLAN 1。集团AC与核心交换机之间的互连接口发送交换机管理VLAN的报文时不携带标签，发送其它VLAN的报文时携带标签，要求禁止采用trunk链路类型。
7. 总部无线AC和核心运行一种协议，实现无线1和无线2通过一条链路传输，销售网段通过另外一条链路传输，要求两条链路负载分担,其中VLAN10、20业务数据在E1/0/5进行数据转发，要求VLAN50业务数据在E1/0/4进行数据转发，域名为DCN2021。设置路径开销值的取值范围为1-65535，BPDU支持在域中传输的最大跳数为7跳；同时不希望每次拓扑改变都清除设备MAC/ARP表，全局限制拓扑改变进行刷新的次数。
8. 总部核心交换机DCRS既是内网核心交换机又模拟外网交换机，其上使用某种技术，将内网路由和internet路由隔离；
9. 总部核心交换机DCRS上实现VLAN40业务内部终端相互二层隔离，vlan30接口下启用环路检测，环路检测的时间间隔为10s，发现环路以后关闭该端口，恢复时间为30分钟；
10. 总部核心交换机开启DHCP服务，为无线用户动态分配ip地址，前10 ip地址为保留地址，DNS server 为8.8.8.8，地址租约时间为1天10小时5分钟;
11. 因集团销售人员较多、同时也为了节约成本，在集团AC下挂两个8口HUB交换机实现销售业务接入，集团信息技术部已经为销售业务VLAN分配IP主机位为11-24，在集团接入交换机使用相关特性实现只允许上述IP数据包进行转发，对IP不在上述范围内的用户发来的数据包，交换机不能转发，直接丢弃, 要求禁止采用访问控制列表实现。
12. 总部核心交换机DCRS上实现访问控制，在E1/0/14端口上配置MAC地址为00-03-0f-00-20-21的主机不能访问MAC地址为00-00-00-00-00-ff的主机;
13. 集团预采购多个厂商网流分析平台对集团整体流量进行监控、审计，分别连接核心交换机E1/0/20-E1/0/21接口测试，将核心交换机与AC、防火墙互连流量提供给多个厂商网流分析平台，反射端口为1/0/16，反射vlan为4094。
14. 2017年勒索病毒席卷全球，爆发了堪称史上最大规模的网络攻击，通过对总部核心交换机DCRS所有业务VLAN下配置访问控制策略实现双向安全防护;勒索病毒端口号为tcp445、udp445。
15. 总部核心交换机中所有存在的接口启动定时发送免费 ARP 报文功能；总部核心交换机与AC互连接口通过采样、统计等方式将数据发送到分析器10.10.200.50，源地址为：192.168.100.1，采样速率1000pps,采样的最大时间间隔为60s,由分析器对收到的数据进行用户所要求的分析。
16. 总部部署了一套网管系统实现对核心DCRS交换机进行管理，网管系统IP为：172.16.100.21，读团体值为：DCN2011，版本为V2C，交换机DCRS Trap信息实时上报网管，当MAC地址发生变化时，也要立即通知网管发生的变化，每120s发送一次；
17. 为实现对防火墙的安全管理，在防火墙DCFW的Trust安全域开启PING,HTTP，SNMP功能，Untrust安全域开启SSH、HTTPS、ping功能;
18. 总部VLAN业务用户通过防火墙访问Internet时，轮询复用公网IP： 221.1.19.9、221.1.19.10；
19. 苏州分公司和总部使用同一套OA办公系统，OA服务器部署在总部vlan40 网段，要求在总部防火墙与分公司DCBC之间配置IPsec VPN，对分公司内网和总公司vlan40段相互访问的数据进行保护；第一阶段 采用pre-share认证 加密算法:3DES；第二阶段 采用ESP协议， 加密算法:3DES，预设共享秘钥:DCN2021
20. 远程移动办公用户通过专线方式接入总部网络，在防火墙DCFW上配置，采用SSL方式实现仅允许对内网VLAN 40的访问，用户名密码均为DCN2021，地址池参见地址表；
21. 出于安全考虑，无线用户移动性较强，无线用户访问INTERNET时需要采用认证，在防火墙上开启WEB认证，账号密码为DCN2011;
22. 为了合理利用网络出口带宽，需要对内网用户访问internet进行流量控制，园区总出口带宽为200M，对除无线用户以外的用户限制带宽，每天上午9:00到下午6:00每ip最大下载为2M，上传为1M；
23. FW上配置NAT功能，使PC2能够通过防火网外网口ip使用web方式正常管理到AC，端口号使用8888;AC管理地址为192.168.100.254；合理配置安全策略。
24. 苏州分公司通过DCBC接入因特网，DCBC做相关配置，内网ip转换为外网出口地址，使分公司内网用户能正常访问因特网。
25. 对苏州分公司内网用户访问因特网采用实名认证，采用web方式本地认证并记录日志；用户名为SZDCN,密码为SZDCN。
26. 苏州分公司由于出口带宽只有50兆，需要优先保证http访问带宽为20M；每周一到周五上午9:00到下午6:00，不允许浏览视频网站和看视频，也不允许玩游戏。
27. 苏州分公司，限制每用户上传与下载最大带宽为2M；
28. 分公司总经理使用IP地址为192.168.201.88，该ip地址访问因特网的流量不被策略控制；
29. 对苏州分公司用户的聊天软件进行控制，禁止分公司内网用户登录QQ；
30. 分公司出口带宽比较低，为了不影响正常办公使用，需要对内网用户使用迅雷下载进行限制，对使用迅雷下载的流量进行阻断，并记录日志；
31. 苏州分公司禁止员工访问“交友聊天”网站。
32. 在DCBC上做配置关键字过滤，类型为 暴力类关键字，包含抢劫、枪支、暴动、砍人。
33. 对苏州内网用户，访问视频、游戏进行流量限制，每日限额为100M;
34. 控制苏州内网用户上网行为对用户上网做如下审计策略：
（1）记录即时通讯的登录信息
（2）启用邮件的全部记录；
（3）启用 WEB 的全部记录；
35. WAF上配置开启防护策略，将请求报头DATA 自动重写为DATE;
36. WAF上配置开启错误代码屏蔽功能，屏蔽404错误代码;
37. WAF上配置阻止用户上传ZIP、DOC、JPG、RAR格式文件;
38. WAF上配置开启基本防护功能，阻止SQL注入、跨站脚本攻击；
39. 无线控制器DCWS上配置管理VLAN为VLAN101,作为AP的管理地址,配置AP通过DHCP获取IP地址，采用AP找AC动态注册并启用序列号认证，要求连接AP的接口禁止使用TRUNK；
40. 无线控制器DCWS上配置DHCP服务，网关ip和后100个地址为保留地址，为AP分配ip地址，通过dhcp下发AC地址，AC地址为192.168.100.254。
41. 在NETWORK下配置SSID，需求如下：
1、设置SSID DCN2021，VLAN10，加密模式为wpa-personal,其口令为DCN-2021；
2、设置SSID GUEST，VLAN20加密模式为web共享密钥,字符长度为10，密钥类型为HEX，长度64，其口令为0123456789，做相应配置隐藏该SSID；
42. 在SSID DCN2021下启动组播转单播功能, 当某一组播组的成员个数超过8个时组播M2U功能就会关闭；
43. Network1下开启ARP抑制功能；开启自动强制漫游功能、动态黑名单功能;
44. 通过配置防止多AP和AC相连时过多的安全认证连接而消耗CPU资源，检测到AP与AC在10分钟内建立连接5次就不再允许继续连接，两小时后恢复正常。
45. SSID DCN2021最多接入20个用户，用户间相互隔离，并对DCN2021网络进行流控，上行1M，下行2M；
46. 通过配置避免接入终端较多且有大量弱终端时，高速客户端被低速客户端“拖累”，低速客户端不至于长时间得不到传输；
版权归原作者 Zviv 所有， 如有侵权，请联系我们删除。