2026年计算机网络工程师执业考试试题及答案解析

2026年计算机网络工程师执业考试试题及答案解析一、选择题（每题2分，共40分）1.某企业网络采用OSPF协议，区域0为骨干区域，区域1和区域2通过路由器R1和R2与区域0相连。现发现区域1中的主机无法访问区域2中的主机，但各自区域内部通信及与区域0的通信均正常。最可能的原因是（）。A.区域1和区域2之间的虚链路配置错误B.路由器R1或R2的OSPF进程号不一致C.区域1和区域2被错误地配置为完全末梢区域（TotallyStubbyArea）D.区域1和区域2之间缺少区域边界路由器（ABR）的直接连接，且未通过骨干区域进行路由传递答案：D解析：OSPF协议规定，所有非骨干区域（区域1、区域2）之间的通信必须通过骨干区域（区域0）进行路由传递。区域1和区域2没有直接相连，它们之间的路由信息需要通过骨干区域0进行交换。题目描述现象（各自能访问骨干区域，但非骨干区域间不能互访）是典型的非骨干区域间未通过骨干区域通信的表现。A选项虚链路用于连接非骨干区域到骨干区域，不直接用于非骨干区域互连。B选项进程号不一致会导致无法建立邻接关系，影响会更广泛。C选项配置为完全末梢区域会影响外部路由，但不影响OSPF区域间路由的学习。2.在IPv6网络中，地址FE80::1:2/64属于哪种类型？（）A.全球单播地址B.唯一本地地址（ULA）C.链路本地地址D.组播地址答案：C解析：IPv6链路本地地址以FE80::/10为前缀，用于同一链路上的节点间通信，通常由设备自动生成或手动配置，且仅在本地链路有效，路由器不转发以该地址为源或目的地址的数据包。FE80::1:2/64的前缀在FE80::/10范围内。3.使用SNMPv3管理网络设备时，能够提供数据加密和完整性验证，但不提供身份验证的安全级别是（）。A.noAuthNoPrivB.authNoPrivC.authPrivD.以上都不是答案：D解析：SNMPv3定义了三种安全级别：`noAuthNoPriv`（无认证无加密）、`authNoPriv`（有认证无加密）、`authPriv`（有认证有加密）。题目描述“提供数据加密和完整性验证，但不提供身份验证”的情况不存在。完整性验证通常与身份验证绑定（通过认证密钥实现），加密（Privacy）则依赖于成功的身份验证。因此没有符合描述的独立安全级别。4.在IEEE802.1Q协议中，关于VLAN标识符（VID）的描述，正确的是（）。A.VID字段长度为16位，可标识0-65535个VLANB.VID值为0表示优先级标签，VID值为4095保留C.标准以太网帧加入4字节802.1Q标签后，帧长度会超过1518字节D.本征VLAN（NativeVLAN）的帧在trunk链路上传输时不带VLAN标签答案：D解析：IEEE802.1Q标签中的VID字段为12位，可标识0-4095，其中0和4095保留，有效VLANID范围为1-4094。A错误。VID=0表示优先级标签（用于QoS），VID=4095保留，B描述不完整（VID=0并非仅表示优先级标签，它本身是保留值，但在某些上下文中与优先级帧相关，且4095保留是正确，但A选项整体错误）。加入4字节标签后，帧的最大长度从1518变为1522字节，但仍在标准允许范围内（对于支持巨帧的网络），C不严谨。D正确，本征VLAN的帧在trunk链路上默认以未标记的普通以太网帧形式传输。5.TCP协议中，若主机A向主机B发送了一个序号为1000、携带100字节数据的段，并收到了主机B回复的确认号为1101的段。随后主机A又向主机B发送了一个段并收到确认号为1201的确认。假设期间没有丢包和失序，第二个段携带的数据字节数为（）。A.100字节B.101字节C.200字节D.无法确定答案：A解析：TCP确认号（ACK）表示期望收到的下一个字节的序号。第一个数据段：序号1000，数据100字节，则最后一个字节序号为1099。B回复ACK=1101，表明B已正确收到序号1100之前的所有数据（即序号1000-1099的100字节），并期望收到序号1101开始的数据。第二个数据段：A发送后，收到ACK=1201。这个确认号是针对A发送的第二个段的。ACK=1201意味着B期望下一个序号是1201，因此B已经正确收到了序号1101至1200的数据。因此，第二个段携带的数据字节数为：1200-1101+1=100字节。6.某网络采用RIPng（基于IPv6的RIP）协议，下列关于其与RIPv2区别的描述，错误的是（）。A.RIPng使用UDP端口521，而RIPv2使用UDP端口520B.RIPng的路由更新中不再包含子网掩码信息，而是依靠IPv6的前缀长度C.RIPng支持明文和MD5认证，而RIPv2仅支持明文认证D.RIPng将下一跳地址作为单独条目处理，与路由前缀分离答案：C解析：RIPng是为IPv6设计的，其本身的路由信息更新报文不支持任何认证。认证功能依赖于IPv6的IPsec机制。而RIPv2支持简单的明文认证和MD5加密认证。因此C错误。A、B、D均为正确描述：RIPng端口521；IPv6地址本身包含前缀长度信息；RIPng中下一跳地址是独立字段，可以为一个路由条目指定不同于发送者的下一跳。7.在MPLS网络中，关于标签分配协议（LDP）邻居发现机制，主要使用的目的地址和端口是（）。A.，TCP646B.，UDP646C.，TCP711D.，UDP711答案：D解析：LDP邻居发现阶段使用UDP报文，目的地址是链路本地组播地址（所有路由器），目的端口是LDP的知名端口UDP646。但题目问的是“主要使用的目的地址和端口”，且选项中有UDP646。然而，仔细看选项，A是TCP646，B是UDP646，C是TCP711，D是UDP711。标准LDPHello报文使用UDP端口646。711端口不是LDP标准端口。可能存在混淆。根据RFC5036，LDP发现使用UDP，目的端口是646。因此，最接近正确的选项是B（，UDP646）。但题目选项设置可能意图考察和UDP。鉴于选项B存在且符合标准，选择B。但原题D为UDP711，是错误信息。若严格按照标准知识，应选B。本题可能存在选项印刷瑕疵，但依据核心知识，LDP发现用UDP646。8.采用WPA2-Enterprise模式的企业无线网络认证中，通常采用哪种协议框架？（）A.PSKB.EAPC.TKIPD.CCMP答案：B解析：WPA2-Enterprise模式使用IEEE802.1X认证框架，其核心是可扩展认证协议（EAP）。PSK用于个人模式。TKIP和CCMP是加密协议，分别用于WPA和WPA2。9.当运行BGP协议的路由器收到一条来自EBGP对等体的关于同一目的网络的多条路径时，在默认情况下，下列哪项不是BGP选路规则中的比较属性？（）A.MED（Multi-ExitDiscriminator）B.AS_Path长度C.下一跳的IGP度量值D.RouterID答案：C解析：BGP默认选路顺序（在比较了“权重”（Cisco私有）和“本地优先级”之后）是：1.优选AS_PATH最短的路径。2.优选起源代码（IGP<EGP<Incomplete）最小的。3.优选MED值最小的。4.优选EBGP路径优于IBGP路径。5.优选到下一跳IGP度量值最小的路径（对于IBGP对等体学来的路由，需要查询IGP路由表到达下一跳的代价）。6.其他条件（如RouterID等）。因此，A（MED）、B（AS_Path）、D（RouterID，在后续步骤中比较）都是BGP选路规则的一部分。而C“下一跳的IGP度量值”是第5步的比较条件，也是BGP选路规则之一。但题目问“不是BGP选路规则中的比较属性”，所有选项似乎都是。但仔细分析，在比较“下一跳的IGP度量值”之前，如果已经通过前4步选出最优路径，则不会比较该项。然而它确实是标准选路规则的一步。可能题目意在考察一个常见的误解：BGP选路不直接比较IGP度量，而是比较到达BGP下一跳的IGP度量，且该步骤在比较路径来源（EBGP>IBGP）之后。但严格说，它是规则之一。若从常见考题角度，有时会认为“IGP度量”不是BGP的固有属性，但BGP规范中确实有这一步。结合选项，可能A、B、D是更直接的BGP路径属性，而C涉及IGP，需要结合IGP路由表，可能被部分教材列为“不是直接比较的属性”。但根据RFC4271及主流厂商实现，它是标准步骤。本题可能答案有争议，根据经典BGP决策过程，所有选项都是比较因素。但若必须选一个，有些资料将“到达下一跳的IGP成本”视为一个步骤，而MED、AS_Path、RouterID是直接的BGP属性。本题暂存疑，但根据最常见的选择题设置，可能选C，因为IGP度量不是BGP协议交换的属性，而是本地路由表信息。10.以下关于HTTPS的描述中，错误的是（）。A.HTTPS默认使用TCP443端口B.HTTPS是HTTPoverSSL/TLS的简称C.HTTPS可以有效防止中间人攻击，前提是客户端正确验证了服务器证书D.HTTPS中使用的SSL/TLS协议仅能提供服务器对客户端的认证答案：D解析：SSL/TLS协议支持双向认证（服务器和客户端均提供证书），尽管常见的Web应用只使用服务器认证。D说“仅能”是错误的。11.在SDN架构中，OpenFlow协议负责哪两个平面之间的通信？（）A.控制平面与应用平面B.数据平面与转发平面C.控制平面与数据平面D.管理平面与数据平面答案：C解析：OpenFlow是SDN中实现控制平面与数据平面之间通信的南向接口协议之一。12.采用Dijkstra算法的OSPF协议，在计算最短路径树时，使用的度量（cost）主要与以下哪个参数相关？（）A.带宽B.延迟C.跳数D.负载答案：A解析：OSPF的默认开销（cost）计算公式为：Co13.某IPv4网络地址为/24，需要划分成至少6个子网，每个子网主机数不超过25台。下列哪个子网掩码最合适？（）A.92B.24C.40D.48答案：B解析：需要至少6个子网，=8≥6，需要向主机位借3位作为子网位。原为/24，借3位后子网掩码为/27，即24。每个子网主机位为5位，−2=30台主机，满足“不超过25台”的要求。A提供14.在光纤通信中，若使用单模光纤，其最典型的核心直径是（）。A.50µmB.62.5µmC.9µmD.100µm答案：C解析：单模光纤的核心直径非常小，典型值为8-10µm，通常说9µm。多模光纤常见50µm或62.5µm。15.关于网络地址转换（NAT）技术，以下说法正确的是（）。A.静态NAT可以实现多个私有地址映射到同一个公有地址的不同端口B.动态NAT中，地址池中的公有地址与内部主机的映射关系是固定的C.PAT（NATOverload）使用端口号来区分不同的内部连接D.NAT技术可以完全替代防火墙功能答案：C解析：PAT（端口地址转换，或NAPT）通过使用端口号将多个内部地址映射到一个或少数几个外部地址。A描述的是PAT（动态NAT的一种形式），而非静态NAT（一对一固定映射）。B动态NAT的映射是动态的，不固定。DNAT主要解决地址不足，虽有隐蔽内部网络的效果，但功能远不及防火墙。16.以下协议中，工作在数据链路层的是（）。A.IPB.ARPC.RARPD.PPP答案：D解析：PPP是数据链路层协议。ARP和RARP工作在数据链路层和网络层之间，通常被视为2.5层或网络层辅助协议。IP是网络层。17.在Linux系统中，用于查看路由表的命令是（）。A.route-nB.netstat-rC.iprouteshowD.以上全部答案：D解析：route-n、netstat-r、iprouteshow都可以用于查看路由表。18.根据IEEE802.3标准，以太网最小帧长为64字节，其主要目的是（）。A.提高传输效率B.保证足够的帧间隙C.确保冲突检测机制正常工作D.适应不同传输介质答案：C解析：最小帧长（64字节，含前导码和帧起始定界符则为72字节）是为了确保在最大网络直径（如10BASE5为2500米）内，发送方在帧传输完毕前能检测到可能发生的冲突。19.以下关于QoS中DiffServ模型的描述，错误的是（）。A.在网络边界对数据流进行分类和标记B.使用IP头部中的ToS字段（现为DS字段）存储优先级信息C.核心路由器根据数据流的IP地址进行复杂的流状态维护D.提供可扩展的、粗粒度的服务质量控制答案：C解析：DiffServ模型的核心思想是简化核心网络的功能。复杂的分类、标记、策略等工作在边界设备完成。核心路由器只根据IP包头部DS字段的DSCP值进行简单的、每跳行为（PHB）调度，而不维护每个流的状态。维护每个流状态是IntServ模型的特点。20.下列加密算法中，属于非对称加密算法的是（）。A.AESB.DESC.RSAD.RC4答案：C解析：RSA是非对称加密算法。AES、DES、RC4是对称加密算法。二、综合题（共60分）场景描述：某公司总部位于北京，在上海和广州设有分公司。总部核心网络采用双核心交换机（C1,C2）架构，下连接入交换机。三地通过运营商MPLSVPN专线互联，形成总部-分支网络。公司网络拓扑简化如下：总部内网：使用OSPFArea0。核心交换机C1、C2作为ABR，下连的接入层划分到Area10和Area20。广域网互联：总部路由器（R-BJ）、上海路由器（R-SH）、广州路由器（R-GZ）通过MPLSVPNPE设备接入运营商网络，三者之间运行BGP协议，交换内网路由。IP地址规划：总部使用/16，上海使用/16，广州使用/16。互联地址使用/24段。服务器区域位于总部，网关在C1上。问题1（10分）：在总部OSPF网络中，Area10被设计为完全末梢区域（TotallyStubbyArea）。请说明：（1）完全末梢区域的特点。（3分）（2）配置为完全末梢区域后，Area10内的路由器（非ABR）其OSPF路由表中会存在哪些类型的路由条目？（4分）（3）若Area10内有一台用户主机需要访问互联网（默认路由），该路由信息如何进入Area10？（3分）答案与解析：（1）完全末梢区域（TotallyStubbyArea）是OSPF中一种特殊的区域类型，其特点包括：禁止AS外部路由（Type5LSA）进入该区域。禁止区域间路由（Type3LSA）进入该区域（与普通末梢区域StubArea的区别）。由该区域的ABR自动向区域内下发一条默认路由（Type3LSA），作为访问本区域外所有目的地的出口。减少区域内路由器LSDB的大小和路由表条目，节省内存和CPU资源。（2）配置为完全末梢区域后，Area10内的非ABR路由器其OSPF路由表中通常只包含：本区域内的详细区域内路由（Type1,Type2LSA生成的路由，即Intra-Area路由）。一条指向ABR的默认路由（Inter-Area路由，由ABR下发的Type3LSA生成）。它将不会有来自其他区域的具体区域间路由条目，也不会有任何OSPFAS外部路由条目。（3）访问互联网的默认路由，通常是通过在OSPF自治系统边界路由器（ASBR）上引入静态默认路由或通过BGP学习到的默认路由，并以Type5LSA（外部路由）的形式在OSPF域内泛洪。但由于Area10是完全末梢区域，Type5LSA被禁止进入。因此，互联网的默认路由信息无法以外部路由形式直接进入Area10。Area10内的主机访问互联网的流量，将首先匹配由ABR下发的OSPF默认路由（指向ABR），被引导至ABR。然后由ABR（或总部网络中的其他路由器）根据其路由表中的具体外部默认路由进行转发。简单说，互联网路由信息止步于ABR，Area10内仅依赖ABR下发的OSPF默认路由出去。问题2（15分）：三地之间通过MPLSVPN互联，假设运营商PE设备配置正确。（1）在公司的CE路由器（R-BJ,R-SH,R-GZ）上，通常采用哪种动态路由协议与运营商的PE设备交换路由？并简述理由。（4分）（2）在R-BJ上，需要将总部OSPF进程学习到的/16相关路由发布给R-SH和R-GZ。请写出在R-BJ（假设为Cisco设备）BGP配置中，引入OSPF路由的关键命令片段。（3分）（3）若上海分公司网络（/16）内部出现故障，导致整个网段不可达。请描述该路由信息如何通过BGP传递到总部，并最终使总部访问上海的网络流量停止转发。（8分）答案与解析：（1）通常采用BGP协议。理由：MPLSVPN架构中，服务提供商（SP）的PE路由器负责维护多个客户的VPN路由表（VRF）。BGP协议具有强大的策略控制能力、丰富的属性、适用于不同自治系统之间交换大量路由信息，并且其扩展性足以支持VPNv4地址族（通过MP-BGP），能够携带RD（路由区分符）和RT（路由目标）等VPN属性。虽然也可以使用静态路由或IGP（如OSPF），但BGP是运营商网络中最常用、最标准化的CE-PE路由协议，它能更好地实现客户路由与运营商核心IGP的隔离。（2）关键命令片段（CiscoIOS）：```routerbgp<AS号>redistributeospf<进程号>matchinternalexternal1external2```或者更精确地使用network命令宣告：```routerbgp<AS号>networkmask```但redistribute更通用。实际中可能还需考虑路由过滤和属性设置。（3）路由撤销过程：当上海网络/16不可达时，上海分公司内部IGP（假设为OSPF）会首先收敛，R-SH的本地路由表中该路由消失或变为无效。R-SH（CE）上运行着与运营商PE设备间的BGP会话。R-SH的BGP进程会撤销（Withdraw）此前通告的关于/16的BGP路由更新。它向直连的PE设备发送一个BGPUPDATE消息，该消息中包含撤销路由（WithdrawnRoutes）列表，列出了前缀/16（在VPNv4地址族下，会附带特定的RD）。运营商的PE设备收到撤销消息后，从其对应客户VPN的VRF路由表中删除该路由。然后，该PE设备通过MP-BGP会话，向其他PE设备（连接北京和广州的PE）发送BGPUPDATE消息，通告该VPN路由的撤销。连接北京总部R-BJ的PE设备收到撤销消息后，更新其VRF表，并通过CE-PE间的BGP会话（或静态/其他IGP）向R-BJ发送路由撤销通知。R-BJ从运营商PE学习到BGP路由撤销后，从其BGP表中删除到达/16的路径。如果这是到达该目的地的唯一路径，则该路由将从R-BJ的全局IP路由表中移除。在总部，R-BJ可能通过某种方式（如路由重分发）将BGP学习到的分公司路由注入总部的OSPF进程。当BGP路由消失后，R-BJ上负责重分发的进程（或配置）将不再向OSPF发布/16的路由，或者发布一条撤销消息（如果之前以外部路由形式注入）。最终，总部核心网络中的路由器（如C1、C2）以及所有主机，其路由表中指向/16的路由条目会因超时或被撤销而消失。当总部主机尝试访问上海网络时，数据包到达网关或边缘路由器，由于找不到匹配的路由条目，可能会匹配默认路由（如果存在），但通常默认路由指向互联网出口，导致访问失败；或者更直接地，由于没有路由，产生“目的网络不可达”的ICMP消息，流量停止转发。问题3（20分）：公司计划在总部部署IPv6，采用双栈技术。服务器区域网关C1上已配置IPv6地址，并计划向内部网络公告默认路由。（1）假设服务器网关C1的IPv6地址为2001:db8:acad:1::1/64，它需要向连接Area10的链路上公告前缀，使得主机可以自动配置地址。请写出在C1（作为IPv6路由器）接口上启用无状态地址自动配置（SLAAC）所需的基本命令（以主流厂商通用格式描述）。（4分）（2）主机通过SLAAC获取地址后，还需要获取DNS服务器信息。这需要通过什么协议实现？请写出该协议的名称及其在IPv6中对应的ICMPv6报文类型。（4分）（3）网络管理员发现，Area10中一台IPv6主机（地址为2001:db8:acad:1::123）无法与上海分公司的IPv6服务器（地址为2001:db8:acad:2::100）通信。请列出至少4种可能的故障原因及相应的排查步骤思路。（12分）答案与解析：（1）基本命令思路（以CiscoIOS为例）：```interface<接口类型及编号>ipv6address2001:db8:acad:1::1/64ipv6enableipv6ndra-interval<间隔秒数>!可选，调整路由器公告间隔noipv6ndra-suppress!关键：不抑制路由器公告```实际上，只要配置了IPv6单播地址并启用IPv6，默认就会发送RA报文。更明确的SLAAC配置是确保RA中包含“自治地址配置标志（Aflag）”为1，且不包含“管理地址配置标志（Mflag）”。通常默认即是SLAAC模式。（2）需要通过DHCPv6协议实现，具体是无状态DHCPv6（StatelessDHCPv6）。主机通过接收路由器公告（RA）中的“其他配置标志（Oflag）”得知需要联系DHCPv6服务器获取其他配置（如DNS）。对应的ICMPv6报文类型是：路由器通过ICMPv6类型133（路由器请求，RS）和类型134（路由器公告，RA）与主机交互地址自动配置信息。而DHCPv6本身使用UDP端口546（客户端）和547（服务器），不是ICMPv6。但题目问“获取DNS服务器信息”的实现协议是DHCPv6，其在IPv6中对应的“ICMPv6报文类型”是类型134（RA）中的Oflag指示。严格说，DHCPv6不是ICMPv6报文。可能题目期望的答案是：通过DHCPv6协议实现，路由器通过ICMPv6路由器公告（RA）报文中的O标志位指示主机使用无状态DHCPv6。（3）可能的故障原因及排查思路：原因1：IPv6路由不可达。排查思路：在总部主机上执行`traceroute62001:db8:acad:2::100`，查看数据包在何处中断。检查总部边界路由器R-BJ的IPv6路由表，确认是否有到达2001:db8:acad:2::/64的路由。检查三地之间MPLSVPN是否支持IPv6（如v6overv4或纯IPv6MPLS），以及BGPVPNv6或IPv6地址族的路由交换是否正常。原因2：IPv6访问控制列表（ACL）或防火墙策略阻断。排查思路：检查主机本地防火墙、网关C1、边界路由器R-BJ以及沿途任何安全设备上的IPv6ACL或安全策略，是否允许ICMPv6、TCP/UDP相关端口通信。特别注意是否允许IPv6路由协议和必要的管理流量。原因3：地址解析或邻居发现失败。排查思路：在主机上使用`ping6fe80::...%<接口>`测试到本地网关的链路本地地址连通性。使用`ip-6neighshow`或`ndp`命令查看邻居缓存，确认网关的MAC地址解析是否成功。检查是否存在重复地址检测（DAD）失败。原因4：PMTU发现问题或数据包过大被丢弃。排查思路：尝试ping小包（如`ping6-s80`）看是否通，大包（如1400字节）是否不通。如果小包通而大包不通，可能是路径MTU小于1500且未正确发送ICMPv6“数据包过大”报文（可能被防火墙过滤），导致分片失败。使用`ping6-Mdo-s<size>`测试。原因5：上海分公司服务器自身问题或本地策略。排查思路：验证上海服务器本地IPv6配置、服务监听状态、防火墙规则。从上海本地或其他网络测试该服务器的可达性。原因6：IPv6过渡技术配置问题。排查思路：如果网络使用了6to4、ISATAP、NAT64等过渡技术，检查相关隧道接口、地址转换策略是否正确配置。问题4（15分）：为保障核心业务，公司需对总部服务器区的流量进行服务质量（QoS）保障，确保ERP应用（使用TCP端口8000）的带宽不低于50Mbps，且在网络拥塞时优先转发。（1）若在核心交换机C1连接服务器的端口上实施基于类的加权公平队列（CBWFQ），请简述配置此类策略的基本步骤。（6分）（2）除了队列调度，还可以采用哪种机制来避免ERP应用流量在入口侧就被丢弃？请说明其原理。（4分）（3）若需要在整个网络路径（包括广域网链路）上保障ERP流量的服务质量，DiffServ模型和IntServ模型哪种更合适？为什么？（5分）答案与解析：（1）配置CBWFQ的基本步骤（以思