2025年软考网络工程师重要试题与答案

2025年软考网络工程师重要试题与答案试题一：某企业网络拓扑结构如图所示（注：实际考试中需结合图示理解，此处以文字描述替代），核心层部署华为NE5000E路由器，汇聚层为S5735S交换机，接入层为S5720交换机，所有设备均运行IPv4/IPv6双栈。企业总部子网为/24，研发部子网为/24，销售部子网为/24，数据中心子网为/24（需与公网互通）。要求完成以下任务：（1）为核心路由器配置静态路由，实现总部子网与研发部子网互通，同时确保数据中心子网通过出口路由器（公网IP为/30）访问互联网。（2）在汇聚层交换机S5735S上划分VLAN：总部子网为VLAN10（/24），研发部为VLAN20（/24），销售部为VLAN30（/24），要求所有接入层交换机通过Trunk接口连接汇聚层，且各VLAN间通过三层接口实现互访。（3）在核心路由器上配置DHCP服务器，为研发部子网（/24）分配IP地址，地址池范围为00-00，默认网关为，DNS服务器为和14，租约时间48小时。答案解析：（1）静态路由配置需明确目标网络、下一跳地址及出接口。总部子网/24与研发部/24互通，假设核心路由器与汇聚层交换机直连，接口IP分别为（核心）和（汇聚），则核心路由器需添加路由：`iproute-static`（研发部子网）`iproute-static`（总部子网，若汇聚层负责VLAN间路由则可能无需此条）。数据中心子网/24访问公网，出口路由器与核心路由器直连地址为（核心）和（出口），需配置默认路由：`iproute-static`（2）汇聚层交换机VLAN划分步骤：①创建VLAN：`vlanbatch102030`②配置接入层连接的Trunk接口（假设为G0/0/1）：`interfaceGigabitEthernet0/0/1``portlink-typetrunk``porttrunkallow-passvlan102030`③配置三层VLAN接口实现互访：`interfaceVlanif10``ipaddress``interfaceVlanif20``ipaddress``interfaceVlanif30``ipaddress`（3）核心路由器DHCP配置：`dhcpenable`（全局启用DHCP）`ippoolR&D`（创建地址池）`networkmask`（指定子网）`gateway-list`（默认网关）`dns-list14`（DNS服务器）`leaseday2`（租约48小时）`excluded-ip-address9`（排除管理地址）`interfaceVlanif20`（关联VLAN接口）`dhcpselectglobal`（使用全局地址池）试题二：某企业网络使用OSPFv2作为内部路由协议，区域划分如下：核心路由器R1（区域0）连接汇聚路由器R2（区域1）和R3（区域2），R2下挂接入层交换机S1（区域1），R3下挂接入层交换机S2（区域2）。R1的Loopback0地址为/32，R2的Loopback0为/32，R3的Loopback0为/32，所有直连接口IP为192.168.x.x/24。要求：（1）配置OSPF基础参数，使所有设备学习到彼此的Loopback地址，且区域1和区域2为STUB区域，禁止外部路由进入。（2）在R1上配置路由策略，将R2的Loopback0路由（/32）的优先级修改为150（默认OSPF优先级为10），同时将R3的Loopback0路由（/32）的Metric值增加10。（3）排查故障：R2无法学习到R3的Loopback地址，可能的原因有哪些？答案解析：（1）OSPF配置需注意区域划分、路由器ID、STUB区域属性及Loopback接口宣告。R1配置：`ospf1router-id``area0``network55`（与R2直连接口所在子网）`network55`（与R3直连接口所在子网）`network`（宣告Loopback0）R2配置：`ospf1router-id``area1``stub`（设置为STUB区域）`network55`（与R1直连接口）`network55`（与S1直连接口）`network`（宣告Loopback0）R3配置类似R2，但区域为2，且`area2stub`。STUB区域不允许LSAType5（外部路由），但允许Type3（区域间路由）和Type1/2（区域内路由），因此R2和R3的Loopback地址（Type1LSA）会被正常泛洪，区域间通过ABR（R1）传递Type3LSA。（2）路由策略配置需使用Route-Policy。R1上配置：`ipip-prefixR2-Looppermit32`（定义前缀列表匹配目标路由）`route-policyAdjust-Prioritypermitnode10``if-matchip-prefixR2-Loop``applypreference150``ipip-prefixR3-Looppermit32``route-policyAdjust-Metricpermitnode20``if-matchip-prefixR3-Loop``applycost+10``ospf1``import-routedirectroute-policyAdjust-Priority`（若Loopback为直连路由需导入，或直接在OSPF中宣告时应用）`peerroute-policyAdjust-Metricexport`（向R3发送路由时应用Metric调整）（3）R2无法学习R3的Loopback地址的可能原因：①OSPF区域类型不匹配：R3所在区域2未正确配置为STUB，或R1未在区域2启用STUB属性，导致Type3LSA无法传递。②路由器ID冲突：R3的Router-ID与其他设备重复，导致OSPF邻居关系异常。③接口网络类型不匹配：R1与R3直连接口的OSPF网络类型（如R1为Broadcast，R3为P2P）导致Hello包参数不一致，无法建立邻接。④Loopback接口未正确宣告：R3的OSPF进程中未宣告Loopback0地址（如`network`缺失）。⑤认证配置错误：区域0或区域2配置了OSPF认证，但R1与R3的认证密钥不匹配，邻接状态停留在ExStart/Exchange。试题三：某企业网络需增强安全性，要求：（1）在核心路由器R1的G0/0/1接口（连接互联网）inbound方向配置ACL，禁止源IP为/16、/8、/12的数据包进入内部网络（防私网地址伪造攻击），同时允许HTTP（80）、HTTPS（443）、SSH（22）流量访问企业Web服务器（内网IP0）。（2）在汇聚层交换机S5735S上配置端口安全，要求接入销售部（VLAN30）的接口G0/0/5仅允许1台终端接入，MAC地址绑定为00e0-fc12-3456，违反时采取shutdown操作。（3）设计一个基于802.1X的认证方案，实现接入层交换机S5720的端口G0/0/1-24用户必须通过认证才能访问网络，认证服务器为RADIUS（IP00，密钥为Huawei@123）。答案解析：（1）ACL配置需先定义基本ACL或高级ACL。由于需匹配源IP和目的IP/端口，应使用高级ACL（编号3000-3999）。R1配置：`acl3001``rule5denysource55`（禁止/16）`rule10denysource55`（禁止/8）`rule15denysource55`（禁止/12）`rule20permittcpsourceanydestination0destination-porteq80`（允许HTTP）`rule25permittcpsourceanydestination0destination-porteq443`（允许HTTPS）`rule30permittcpsourceanydestination0destination-porteq22`（允许SSH）`rule35denyip`（默认拒绝其他流量）`interfaceGigabitEthernet0/0/1``traffic-filterinboundacl3001`（2）端口安全配置需启用端口安全功能并设置参数。S5735S配置：`interfaceGigabitEthernet0/0/5``port-securityenable`（启用端口安全）`port-securitymax-mac-num1`（最大MAC数1）`port-securitymac-addresssticky00e0-fc12-3456`（绑定指定MAC）`port-securityprotect-actionshutdown`（违规则关闭端口）（3）802.1X认证方案步骤：①接入层交换机S5720全局启用802.1X：`dot1xenable`②配置RADIUS服务器：`radius-servertemplatehuawei``server-addressipv400auth-port1812acct-port1813``keyauthenticationhuawei@123``keyaccountinghuawei@123`③配置认证端口（G0/0/1-24）：`interfacerangeGigabitEthernet0/0/1toGigabitEthernet0/0/24``dot1x``dot1xmax-reauth3`（最大重认证次数）`dot1xtimeoutauth-period30`（认证超时时间）④配置未认证用户权限（可选）：`dot1xaccess-profiledefault``authorization-attributeuser-vlan100`（未认证用户隔离到VLAN100）验证方法：终端接入后需安装802.1X客户端（如Windows自带或H3CiMC客户端），输入用户名密码，交换机将请求转发至RADIUS服务器，认证通过后开放网络访问。试题四：某企业部署双出口冗余网络，出口路由器R1（电信）和R2（联通）通过BGP与运营商互联，R1的公网IP为/30（对端），R2的公网IP为/30（对端）。企业内网AS号为65000，电信AS为65100，联通AS为65200。要求：（1）配置R1和R2的BGP基本邻居关系，宣告企业内网路由/16。（2）优化BGP选路：使内网发往电信方向的流量优先通过R1，发往联通方向的流量优先通过R2；若R1故障，流量自动切换至R2。（3）说明BGP路由属性中Local-Preference、AS-Path、MED的作用及在本题中的应用场景。答案解析：（1）BGP邻居配置需注意AS号、对等体地址及路由宣告。R1配置：`bgp65000``router-id``peeras-number65100`（电信邻居）`network`（宣告内网路由）R2配置：`bgp65000``router-id``peeras-number65200`（联通邻居）`network`（2）BGP选路优化可通过Local-Preference（本地优先级，越大越优）和MED（多出口鉴别器，越小越优）实现。①对R1接收的电信路由（来自AS65100），设置Local-Preference为200（默认100），使内网优先选R1；对R2接收的联通路由，设置Local-Preference为200。R1配置：`bgp65000``peerroute-policySET_HIGH_LOCAL_PREFimport``route-policySET_HIGH_LOCAL_PREFpermitnode10``applylocal-preference200`R2配置类似，针对联通邻居设置Local-Preference200。②若需控制运营商到企业的流量（如电信用户访问企业优先走R1），可在R1向电信邻居发送路由时设置MED为100，R2向联通邻居发送时设置MED为100，其他方向MED更高（默认0，越小越优）。R1配置：`route-policySET_LOW_MEDpermitnode10``applymed100``peerroute-policySET_LOW_MEDexport`R2配置：`route-policySET_LOW_MEDpermitnode10``applymed100``peerroute-policySET_LOW_MEDexport`③冗余切换依赖BGP的故障检测机制，当R1接口Down或BGP邻居状态变为Idle时，BGP会撤销通过R1发布的路由，路由表自动选择R2的路径。（3）BGP路由属性作用：-Local-Preference：仅在AS内部传递，标识路由的优先程度（本地路由器更倾向于使用高Local-Pref的路由）。本题中通过提高R1和R2接收的对应运营商路由的Local-Pref，确保内网流量优先选择对应出口。-AS-Path：记录路由经过的AS号，用于防环（若路由中已包含本地AS号则丢弃）。本题中企业宣告路由时，AS-Path为65000，运营商收到后会添加自身AS号（如电信路由AS-Path为6510065000）。-MED：用于向其他AS传递路由的优先级（仅在相邻AS间有效），数值越小越优。本题中通过设置MED使运营商优先选择企业对应的出口（如电信用户访问企业时，R1的MED更低，优先选择R1）。试题五：某企业网络出现以下故障现象：员工反馈无法访问外部门户网站（域名，IP0），但能ping通网关（）和DNS服务器（0）。网络管理员执行`nslookup`返回“非权威应答：名称解析超时”，执行`traceroute0`显示前3跳正常，第4跳无响应。请分析可能的故障原因及排查步骤。答案解析：可能故障原因及排查步骤：1.DNS解析问题：`nslookup`超时说明DNS查询失败。需检查：-DNS服务器是否正常运行（`ping0`确认连通性）。-DNS服务器是否配置了的正向解析记录（登录DNS服务器查看区域文件）。-客户端DNS配置是否正确（`ipconfig/all`检查DNS服务器地址是否为0）。-网络中是否存在DNS劫持（抓包查看DNS请求是否被篡改或拦截）。2.路由问题（第4跳无响应）：`traceroute`前3跳正常（如网关、汇聚、核心），第4跳可能为出口路由器或运营商设备。需检查：-核心路由器到出口路由器的路由是否存在（`displayiprouting-table0`查看路由表）。-出口路由器的公网接口是否Up（`displayinter