网络规划设计师指南2026年试题及答案

网络规划设计师指南2026年试题及答案一、单项选择题1.在SD-WAN架构中，负责集中管理策略编排、监控全局网络状态的核心组件是（）。A.边缘路由器B.广域网优化控制器C.orchestrator/控制器D.虚拟化客户终端设备答案：C解析：在典型的SD-WAN架构中，orchestrator（编排器）或控制器是核心管理组件，负责集中化的策略配置、部署、监控和运维管理。边缘路由器（CPE/vCPE）负责数据转发，广域网优化控制器是特定功能组件，虚拟化客户终端设备（vCPE）是边缘设备的一种形态，均非全局策略编排核心。2.关于IPv6过渡技术，以下哪项描述是正确的？（）A.双栈技术要求网络中的所有中间设备同时运行IPv4和IPv6协议栈。B.6to4隧道使用特定的IPv6地址前缀2002::/16，且需要手动配置隧道端点。C.NAT64技术允许仅支持IPv6的主机主动发起与仅支持IPv4的服务器的通信。D.DS-Lite技术中，家庭网络使用IPv6，运营商网络使用IPv4，AFTR设备完成IPv4overIPv6的封装和解封装。答案：D解析：DS-Lite（轻量级双栈）是一种过渡方案，用户侧网络（如家庭网络）全面使用IPv6，用户终端发出的IPv4流量被家庭网关（B4元素）封装在IPv6包中，穿越运营商的IPv6网络，到达运营商的AFTR（AddressFamilyTransitionRouter）设备进行解封装，再以原生IPv4形式访问互联网。A项错误，双栈技术对终端和直接相连的路由器有要求，但路径中间设备不一定需要双栈，只要能转发对应数据包即可。B项错误，6to4隧道使用2002::/16前缀，但其特点是利用内嵌的IPv4地址自动生成隧道端点地址，通常是自动配置的。C项错误，NAT64通常用于让IPv6-only客户端访问IPv4-only服务器，但一般需要DNS64配合，且通常是IPv6主机发起向IPv4服务器的通信，反之则不行。3.在基于MPLS的L3VPN中，PE路由器之间使用哪种协议来交换VPN路由信息？（）A.OSPFB.BGP-4C.MP-BGPD.LDP答案：C解析：在MPLSL3VPN（RFC4364）架构中，客户站点的路由信息由CE路由器通告给PE路由器，PE路由器之间通过多协议扩展的BGP（MP-BGP，即MP-BGP）来交换带有VPN路由区分符（RD）和VPN标签的VPNv4或VPNv6路由。OSPF可作为PE-CE间的路由协议，LDP用于分配和交换MPLS标签以建立标签交换路径，但不承载VPN路由信息。4.为了应对日益增长的DDoS攻击，在网络规划中部署清洗中心时，最关键的技术原理是（）A.基于目的IP地址的访问控制列表过滤B.将疑似攻击流量重定向到清洗设备进行深度检测和过滤C.在所有边界路由器上启用UnicastRPF检查D.部署入侵防御系统进行应用层特征匹配答案：B解析：DDoS清洗中心（ScrubbingCenter）的核心工作原理是通过BGPFlowSpec、DNS重定向或分光牵引等技术，将指向目标受害者的流量（特别是经过分析识别出的疑似攻击流量）引导至专用的清洗中心。在清洗中心，利用流量基线分析、行为分析、指纹识别等多种技术对流量进行深度检测，将合法流量清洗出来并回注到目标网络，而攻击流量则被丢弃。A、C、D项虽然都是安全防护手段，但单独使用均无法有效应对大规模、复杂变种的DDoS攻击。5.在规划数据中心叶脊（Spine-Leaf）网络架构时，以下哪项不是其核心优势？（）A.所有Leaf交换机到Spine交换机的跳数一致，提供可预测的低延迟。B.支持东西向流量的线性带宽扩展。C.易于实现网络虚拟化叠加层（如VXLAN）的大规模部署。D.相比传统三层架构，显著减少了所需交换机的总体端口数量。答案：D解析：叶脊架构通过增加Spine交换机的数量来水平扩展带宽和容量，其优势包括：任意两个Leaf交换机之间通信的跳数固定（通常为2跳），延迟可预测；东西向流量可以通过多条等价的上行链路分担，带宽随Spine数量增加而线性增长；扁平的网络结构非常适合作为VXLAN等叠加网络的底层物理网络。然而，叶脊架构通常需要更多的交换机间互联端口（每个Leaf需要上联所有Spine），在同等规模下，其总体使用的交换机端口数可能比传统三层架构更多，而不是减少。因此，D项描述错误。6.关于时间敏感网络（TSN）标准，以下哪项技术主要用于实现有界低延迟和零拥塞丢包？（）A.802.1AS-Rev：时间同步B.802.1Qbv：时间感知整形器C.802.1CB：帧复制和消除D.802.1Qci：流过滤和监管答案：B解析：TSN是一系列IEEE802.1标准的集合，用于在标准以太网上实现确定性传输。其中，IEEE802.1Qbv（时间感知整形器）定义了基于时间门的调度机制，将时间划分为周期性的时间窗口，为时间敏感流预留特定的传输时隙，从而确保其有界的低延迟，并避免因排队拥塞导致的丢包，是实现确定性延迟的关键。A项用于高精度时钟同步，C项用于提高可靠性，D项用于入口流量监管。7.在零信任网络架构中，“微分段”的核心目标是（）A.替换传统的网络防火墙B.基于身份和应用，在逻辑上隔离工作负载间的通信C.将所有网络流量进行加密D.实现用户行为的全面审计答案：B解析：零信任架构中的“微分段”是一种精细化的网络安全技术，其核心思想是在虚拟化或云化环境中，不再依赖传统的粗粒度网络边界（如VLAN），而是基于工作负载的身份（如虚拟机、容器、应用标签）、安全策略等，在逻辑上对工作负载之间的东西向流量进行细粒度的访问控制隔离。即使攻击者突破边界，其横向移动也会受到严格限制。它并非要替换防火墙，而是将防火墙策略粒度细化到工作负载级别；加密和审计是零信任的组成部分，但非微分段的直接核心目标。8.使用P4（ProgrammingProtocol-independentPacketProcessors）语言进行数据平面编程时，其核心特性不包括（）A.协议无关性：可以定义新的数据包解析和处理逻辑。B.目标无关性：编写的程序可以在不同厂商的P4兼容设备上运行。C.完全替代控制平面协议，如OSPF和BGP。D.支持可重构的匹配-动作流水线。答案：C解析：P4是一种用于编程数据平面行为的领域特定语言。其核心特性包括：协议无关性（允许程序员自定义数据包头部格式和解析流程）、目标无关性（P4程序理论上可以编译到支持P4的不同硬件、FPGA或软件交换机目标上）、以及定义可重构的匹配-动作流水线。P4主要关注数据平面的可编程性，而控制平面协议（如OSPF、BGP）负责路由决策和状态分发，P4并不替代它们，而是通过与控制平面交互（通过运行时API）来下发流表项。因此C项错误。9.在规划承载5G移动回传（MBH）或前传（MFH）的网络时，以下哪项技术主要针对前传场景，并需要极高的同步精度和极低延迟？（）A.IP/MPLSB.增强型以太网（如IEEE802.1CM）C.波长分割复用D.基于SegmentRouting的流量工程答案：B解析：5G前传承载的是无线基站（DU）与射频单元（RU）之间的CPRI或eCPRI接口流量，对时延、抖动、时间同步的要求极为苛刻（通常要求微秒级时延和亚微秒级时间同步）。增强型以太网，特别是IEEE802.1CM（TSNfor前传）标准，定义了在以太网上满足前传严格服务质量要求的技术，如精确时间同步、低延迟转发机制等，是针对前传场景的重要承载技术。IP/MPLS和SegmentRouting更多用于回传和核心网，提供灵活的连接和流量工程。WDM用于提供大带宽管道，但其本身不解决精确同步和低延迟调度问题。10.关于Wi-Fi7（802.11be）的关键特性，以下哪项描述能显著提升多用户并发性能和抗干扰能力？（）A.支持4096-QAM调制方式B.信道带宽扩展至320MHzC.引入多链路操作D.采用多资源单元技术答案：C解析：Wi-Fi7的多链路操作允许设备同时在多个频段（如2.4GHz,5GHz,6GHz）或信道上进行聚合或同步传输/接收。这不仅能聚合带宽，更能通过智能调度在多条链路上并发服务多个用户，或者在一条链路受干扰时快速切换到另一条链路，从而显著提升多用户并发效率、降低延迟并增强整体抗干扰能力和可靠性。A、B项主要提升峰值速率，D项（多资源单元）主要提高频谱利用率和对多用户调度的灵活性，但MLO在提升并发和可靠性方面更具架构性优势。二、综合题11.某大型企业计划将总部数据中心与两个异地分支机构通过运营商网络互联，构建一个统一的内网。主要需求如下：所有站点间需要二层互通，以支持虚拟机迁移和统一IP地址管理。需要保证网络的高可用性，任意单条物理链路或单台设备故障不影响业务。需要对不同业务（如办公、生产、视频会议）进行流量隔离和差异化服务质量保障。未来可能快速增加新的分支机构。问题：(1)请设计一种满足上述需求的广域网互联技术方案，并阐述其核心组件和工作原理。(2)在该方案中，如何实现不同业务流量的隔离和端到端的QoS保障？请描述关键步骤。(3)如果其中一个分支机构通过互联网以加密VPN方式接入，如何将其安全地整合到该二层互联网络中？请说明关键技术和注意事项。答案与解析：(1)推荐采用基于MPLS/VPN的以太网虚拟专线（EVPNVXLAN）over运营商IP/MPLS网络的方案。核心组件及工作原理：用户边缘设备：企业总部和分支机构的CE路由器或交换机。运营商网络：提供IP/MPLS核心网络，PE设备支持EVPN和VXLAN。控制平面：使用MP-BGP传播EVPN路由。EVPN通过BGPNLRI传递MAC/IP地址信息、VTEP地址信息和扩展团体属性，实现MAC地址学习从数据平面泛洪转为控制平面通告，解决了传统VXLAN依赖泛洪学习MAC的问题。数据平面：使用VXLAN封装。当站点间需要传输二层帧时，源VTEP（由PE设备扮演）将原始以太网帧封装在UDP/IP报文中，目的IP是远端VTEP的地址，该IP包通过运营商IP/MPLS网络路由转发到目的VTEP，解封装后交付给目标主机。该方案通过EVPN实现分布式网关和主机信息同步，支持Active-Active多归属，结合运营商网络的链路冗余和设备冗余，实现高可用。新增站点只需在相应PE上配置EVPN实例并建立BGP对等关系即可快速接入。(2)流量隔离与QoS保障实现：流量隔离：利用EVPN实例（EVI）或VXLAN网络标识符实现业务隔离。每个业务（如办公、生产）分配独立的VNI。不同VNI的流量在叠加层逻辑上完全隔离。在CE设备上，将不同业务划分到不同VLAN，映射到不同的VNI。端到端QoS保障：a.分类与标记：在流量入口（CE设备或终端）根据ACL、协议端口等对业务流量进行分类，并在二层（802.1p/DSCP）或三层（IPDSCP）头部进行优先级标记。例如，视频会议标记为EF，生产业务标记为AF41，办公标记为BE。b.策略与整形：在CE设备出口或PE设备入口，对上行流量进行监管或整形，确保其符合与运营商约定的服务水平协议。c.运营商网络承载：运营商在其PE和P设备上，根据报文携带的DSCP或MPLSEXP值，实施差分服务码点调度。对于VXLAN封装流量，通常需要将内层报文的DSCP值映射到外层IP头的DSCP，确保穿越运营商网络时能获得相应的PHB。d.出口处理：在目的PE设备，根据QoS策略进行可能的队列调度，在目的CE设备，根据标记进行最终的队列调度和拥塞管理。(3)通过互联网整合分支机构：关键技术：采用EVPNVXLANoverIPsec方案。在分支机构的CE设备和总部数据中心的特定安全网关（或支持IPsec的PE设备）之间建立IPsec隧道（推荐使用IKEv2）。分支CE设备作为VTEP，将需要跨广域网传输的VXLAN封装包（UDP/4789）作为原始数据，再次封装进IPsec隧道（ESP封装）中，通过互联网传输。总部安全网关解IPsec封装，得到原始的VXLAN包，再将其转发给核心VTEP或直接进行处理。注意事项：互联网链路质量不稳定，需考虑MTU问题，确保IPsec+VXLAN+原始帧的封装后尺寸不超过路径MTU，通常需要配置TCPMSS调整或接口MTU优化。互联网无法提供运营商级的QoS保障，对延迟敏感业务（如虚拟机实时迁移）需谨慎评估。加强身份认证和加密强度，确保IPsec隧道安全。分支机构的EVPN控制平面连接（BGP会话）也需要通过IPsec隧道建立，或者通过带外管理通道建立，确保路由信息交换的安全。12.现有一个大型数据中心需要规划新的网络，预期将部署超过1000台物理服务器，运行虚拟化和容器混合环境，业务包括Web服务、大数据分析和高性能计算。要求网络具备高带宽、低延迟、高可扩展性和自动化运维能力。问题：(1)请为其设计物理网络架构和叠加网络方案，并说明选择理由。(2)在自动化运维方面，请描述如何利用软件定义网络的思想，实现网络配置的集中下发和业务网络的按需快速部署。(3)在该网络中，如何实现对东西向流量的可视化监控和安全策略微隔离？请提出一种技术实现路径。答案与解析：(1)物理网络架构：采用全三层CLOS架构的叶脊网络。叶交换机：作为服务器、存储设备的接入点，每个机柜部署1-2台，提供高密度的10G/25G服务器接入端口，并通过40G/100G端口上联到所有脊交换机。脊交换机：作为网络的核心交换层，仅与叶交换机互联，不与服务器直接连接。脊交换机的数量决定了叶节点间互连的带宽和冗余路径数量。选择理由：CLOS架构提供无阻塞或低阻塞的交换能力，任意两台服务器间通信的最大跳数固定（2跳），延迟可预测且低。通过增加脊交换机数量，可以线性扩展东西向带宽，非常适合大规模数据中心东西向流量占主导的特点。其对称结构也简化了路由设计（通常采用ECMP）。叠加网络方案：采用VXLAN作为网络虚拟化叠加层，控制平面采用EVPN。在叶交换机上实现VTEP功能。EVPN作为控制平面，通过MP-BGP在VTEP间同步MAC和IP地址信息，实现分布式网关和高效的地址学习，避免传统VXLAN依赖数据平面泛洪。为不同租户或业务分配独立的VXLAN网络标识符，实现逻辑隔离。选择理由：VXLAN解决了传统VLAN数量（4096）的限制，满足大规模多租户需求。EVPN解决了VXLAN初始部署中ARP泛洪等问题，提供了更优的控制平面，支持Active-Active多归属和IP地址移动性，非常适合虚拟化和容器环境。(2)自动化运维基于SDN思想的实现：建设网络控制器/编排器：部署支持开放协议（如OpenFlow、NETCONF/YANG）或厂商API的SDN控制器，或采用更上层的网络编排平台。抽象与模型化：使用YANG数据模型对网络设备（叶脊交换机）的配置（如接口、VXLAN、EVPN、路由协议）进行标准化描述。集中策略定义：在控制器上定义高级别的业务意图策略，例如“创建名为‘Prod-Web’的逻辑网络，子网为10.1.1.0/24，并关联到指定的物理服务器组”。自动配置下发：a.控制器将业务意图“翻译”成具体的设备配置指令。b.通过NETCONF协议（首选，因其支持事务和验证）或RESTAPI，将配置安全、可靠地下发到相关的叶交换机（VTEP）上。c.控制器负责在VTEP间建立必要的BGP对等关系，并分发EVPN路由信息。闭环与验证：控制器持续从设备收集运行状态和遥测数据，与预期策略进行比对，实现配置合规性检查和故障快速定位。(3)东西向流量可视化与微隔离实现路径：采用服务网格与网络遥测结合的技术。数据平面：在每个服务器或Pod（容器组）中部署轻量级边车代理，如Istio的Envoy。该代理透明地拦截所有进出该工作负载的网络流量。流量可视化：a.边车代理生成包含源、目的服务、协议、端口、响应码、延迟等丰富元数据的流量日志和指标。b.这些数据被实时推送到集中的可观测性平台（如Prometheus、Jaeger、专用网络性能管理平台）。c.平台进行聚合分析，生成服务依赖关系图、实时流量热力图、延迟分布等，实现精细化的东西向流量可视化。安全策略微隔离：a.策略定义：在服务网格控制平面（如IstioPilot）定义基于身份（服务账户、命名空间）的细粒度访问控制策略，例如“允许‘frontend’服务调用‘backend’服务的8080端口，其他拒绝”。b.策略下发：控制平面将策略转换为边车代理的配置（如Envoy配置），并动态下发到每个工作负载的边车代理。c.策略执行：所有东西向流量在离开源工作负载前，由源边车代理根据策略进行判断和可能的TLS加密；在进入目的工作负载前，由目的边车代理进行认证和授权检查。d.优势：此方案实现了真正的应用层（L7）感知的微隔离，策略与IP地址解耦，跟随工作负载移动，比传统基于IP或端口的防火墙策略更灵活、更安全。三、计算题13.某企业计划新建一个核心数据中心，采用叶脊网络架构。初步设计如下：预计需要接入的服务器数量为N=1200台。每台服务器配置双端口，通过链路聚合连接至两台叶交换机（实现多归属）。叶交换机与脊交换机之间采用全互联（Full-Mesh）。服务器端口速率=25叶交换机的上行端口速率=100目标：希望叶交换机与脊交换机间的上行链路无阻塞，即服务器在满端口速率下产生的所有东西向流量都能被上行链路承载。问题：(1)假设每台服务器的两个端口分别连接到不同的叶交换机，且流量均匀分布。请计算在无阻塞设计要求下，至少需要多少台脊交换机（设脊交换机数量为K）？请写出计算公式和过程。(2)如果实际采购中，每台叶交换机最多只能提供U=32个100G上行端口。在满足(1)中计算出的脊交换机数量K的前提下，单台叶交换机最多能接入多少台双端口服务器（设接入服务器数量为(3)基于(1)和(2)的计算结果，要接入1200台服务器，至少需要多少台叶交换机？答案与解析：(1)计算最小脊交换机数量K。在叶脊架构中，无阻塞的条件是：叶交换机的总上行带宽≥叶交换机所连接服务器的总下行带宽（假设最坏情况：所有流量都是东西向，且需要通过脊交换机转发）。设单台叶交换机连接了M台服务器（每台服务器使用1个端口连接到该叶交换机，因为双端口分连两台叶）。单台叶交换机连接服务器的总下行带宽：M×单台叶交换机总上行带宽：由于上联所有K台脊交换机，且假设链路全双工，上行带宽为K×根据无阻塞要求：K×但M对于每台叶交换机可能不同。为了找到K的下限，我们考虑最坏情况：所有东西向流量都需要从该叶交换机的上行链路出去。在最极端的情况下，该叶交换机连接的服务器产生的所有流量都是发往其他叶交换机的（东西向流量），且这些服务器的发送端口都达到了线速。因此，对于任意一台叶交换机，其需要转发的最大东西向流量理论上可达其连接服务器的总发送带宽，即M×所以，无阻塞条件为：K×这个不等式对K的要求与M有关。M越大，所需K越多。但题目未给出单台叶交换机的M，我们需要从另一个角度考虑系统整体无阻塞。另一种经典计算方法是考虑“二分带宽”。对于全互联的CLOS网络，要实现无阻塞，需要满足：K但更直接的方法是考虑服务器总端口数产生的总带宽与叶-脊上行总带宽的平衡。服务器总端口数：每台服务器2个端口，共1200台，但每个端口只连接一台叶交换机。所以，从服务器视角发出的总带宽为1200×所有叶交换机的总上行端口数为：设叶交换机数量为L，每台有K个上行端口，总上行端口数为L×总上行带宽（发送方向）为：L×为了无阻塞地承载所有服务器发出的东西向流量（最坏情况，所有流量都是东西向），需要总上行带宽≥服务器总发送带宽：LK这个公式里K依赖于叶交换机数量L，而L又依赖于每台叶交换机接入的服务器数M。我们需要找到满足条件的最小K。实际上，在典型设计中，我们通常先确定单台叶交换机的上行端口数限制和服务器接入数，然后计算K。但题目第一问可能期望我们使用单台叶交换机的视角，并假设一个合理的M，或者直接利用“上行链路数与下行链路数之比”的概念。一个常见的经验法则是：为了实现无阻塞，叶交换机的上行总带宽与下行总带宽之比（oversubscriptionratio）为1:1。即：=K这里M是变量。为了找到K的最小可能值，我们需要知道M的最大可能值，而M受限于叶交换机的下行端口数。题目未给出叶交换机的下行端口数，因此无法直接计算。我们换一个思路。题目中服务器通过双端口连接两台叶交换机，这意味着每台服务器为每台叶交换机贡献了的潜在下行流量。对于单台叶交换机，其需要处理的最大东西向流量不会超过其连接的所有服务器端口速率之和，即M×。为了系统在任何流量模式下无阻塞，必须保证对于任意一台叶交换机，其上行带宽K×不小于其下行带宽M因此，K必须满足：K≥由于M是叶交换机接入的服务器数，而叶交换机数量L=但M又受限于叶交换机的下行端口数量D（题目未给出）。我们缺少叶交换机的下行端口数这个约束。我们只能根据常见设备规格进行合理假设。通常，一台叶交换机有48个下行服务器端口和6-16个上行端口。但题目没有给出。或许题目意在考察最简化的模型：忽略下行端口限制，只考虑带宽比。那么，只要满足K×≥M但M未知，无法得出具体K。重新审题，可能题目期望的“无阻塞”是指服务器到服务器通信无阻塞，经典的CLOS无阻塞条件是Spine数量K≥实际上，对于非对称CLOS（叶下行带宽总和大于上行带宽总和是常见的，即存在超售），严格无阻塞要求很复杂。考虑到这是网络规划设计师考试，可能采用一种简化计算：假设：每台叶交换机连接相同数量的服务器，服务器东西向流量均匀分布，且所有流量都需要经过脊交换机。那么，单台叶交换机所需的上行带宽至少为其所连服务器总带宽的一半（因为另一半流量是本地交换或接收的？不，东西向流量可能100%需要上行）。更合理的假设：在最坏情况下，一台叶交换机连接的所有服务器同时以线速向其他叶交换机的服务器发送数据。此时，该叶交换机需要的上行带宽等于其下行服务器端口的发送总带宽，即M×因此，单台叶交换机的上行链路数（即脊交换机数量K）应满足：KK现在，需要知道M。M由叶交换机的下行端口数决定。题目未提供，故无法计算具体K。这可能是一个缺陷。或许题目隐含了“每台叶交换机的下行端口数足够多，以至于可以接很多服务器，但上行端口数有限”的意思，然后通过(2)问来给出上行端口限制。我们根据(2)问反推。(2)问给出了叶交换机的实际上行端口数限制U=32。在(1)问中，我们要求的是“至少需要多少台脊交换机K”，而K必须小于等于单台叶交换机的实际上行端口数所以，在(1)问中，如果我们计算出理论，那么实际K必须≥，且≤U。但理论仍依赖于M。我们尝试另一种经典公式：对于全互联叶脊网络，要实现任意两台服务器间无阻塞通信，需要满足：K这个“×2”是因为考虑双向流量？还是考虑冗余？常见资料中，无阻塞CLOS的条件是Spine数量≥Leaf下行带宽/Spine下行带宽×2？我们采用一个更通用的：设叶交换机下行端口数为D，端口速率。则叶交换机下行总带宽为D×叶交换机上行总带宽为K×无阻塞要求上行总带宽≥下行总带宽（假设最坏流量模式）：KK现在，D未知。但题目中，服务器双端口连接两台叶交换机，所以每台叶交换机实际连接的服务器数M可能小于等于其下行端口数D。我们可以认为M=那么，K≥D是叶交换机的下行端口数，是变量。要最小化K，就需要最小化D。但