2026年软考网络工程师考试关键试题及答案

2026年软考网络工程师考试关键试题及答案一、网络体系结构与协议分析1.某企业网络采用OSI参考模型分层设计，现有设备A工作在数据链路层，设备B工作在网络层，设备C工作在传输层。请回答以下问题：（1）设备A、B、C分别对应哪些典型网络设备？（2）若网络中出现“目的主机不可达”的ICMP错误，最可能由哪一层功能异常导致？请说明原因。（3）当传输层采用TCP协议时，若接收方通告窗口为8KB，MSS为1460B，发送方最多可连续发送多少个未确认的数据包？答案：（1）设备A典型为交换机（二层交换机）；设备B典型为路由器；设备C典型为防火墙（部分功能）或四层负载均衡器。（2）网络层。ICMP协议属于网络层，“目的主机不可达”通常由路由表错误、IP地址配置问题或路由器无法转发数据包导致，这些均为网络层功能范畴。（3）接收窗口8KB=8×1024=8192B，每个数据包最大数据量为MSS=1460B（TCP报文的数据部分），则未确认数据包数量=8192/1460≈5.61，取整为5个。二、IP地址规划与子网划分2.某教育网分配到公网IP段/18，需划分给3个校区，其中A校区需5000台主机，B校区需3000台主机，C校区需2000台主机，要求子网地址连续且浪费最少。请完成以下任务：（1）计算各校区所需子网的最小前缀长度。（2）写出各校区的子网地址、可用IP范围及广播地址。（3）若A校区实际主机数减少至4500台，原分配的子网是否需要调整？说明理由。答案：（1）主机数N满足2^(n-2)≥N（n为主机位数量）。A校区5000台，2^13=8192≥5000，主机位13位，前缀长度=32-13=19；B校区3000台，2^12=4096≥3000，主机位12位，前缀20；C校区2000台，2^11=2048≥2000，主机位11位，前缀21。（2）原网络/18的地址范围是~55（二进制前18位固定为11001010.01110101.01000000）。A校区/19：子网块大小=2^(32-19)=8192地址，第一个子网为/19（二进制前19位11001010.01110101.010），可用IP范围~54，广播地址55。B校区/20：剩余地址从开始，/20块大小=4096地址，子网为/20（前20位11001010.01110101.0110），可用IP~54，广播55。C校区/21：剩余地址从开始，/21块大小=2048地址，子网为/21（前21位11001010.01110101.01110），可用IP~54，广播55。（3）无需调整。原分配给A校区的/19子网可容纳8190台主机（2^13-2），4500台小于该容量，地址仍充足，调整会增加网络复杂度。三、路由协议配置与故障排查3.某企业网络拓扑如下：路由器R1（G0/0:/24）连接内网，G0/1:/30连接R2；R2（G0/0:/30）连接R1，G0/1:/30连接R3；R3（G0/0:/30）连接R2，G0/1:/24连接外网。要求通过OSPFv2实现全网互通，区域划分：R1所在区域0，R2所在区域1，R3所在区域2，且区域1为完全末梢区域（TotallyStubbyArea）。（1）写出R1、R2、R3的OSPF基本配置命令（假设RouterID分别为、、）。（2）若R1无法ping通，排查步骤包括哪些？列举3个可能原因。（3）区域1配置为完全末梢区域后，R2的路由表中不会出现哪类LSA？答案：（1）R1配置：routerospf1router-idnetwork55area0networkarea0R2配置：routerospf1router-idnetworkarea0networkarea1area1stubno-summary（完全末梢区域配置）R3配置：routerospf1router-idnetworkarea1network55area2（2）排查步骤：①检查R1到R2的物理链路（ping）；②检查OSPF邻居状态（showipospfneighbor），确认R1与R2、R2与R3是否建立邻接；③检查路由表（showiproute），确认/24是否在R1的路由表中；可能原因：R2未正确配置区域类型导致路由未传递；R3的OSPF网络宣告错误；区域间ABR（R2）未正确汇总路由。（3）完全末梢区域禁止外部LSA（Type5）和汇总LSA（Type3/4），因此R2的路由表中不会出现Type3（区域间路由）、Type4（ASBR路由）、Type5（外部路由）的LSA，仅保留Type1（路由器LSA）和Type2（网络LSA）及默认路由（Type3默认）。四、交换技术与VLAN配置4.某公司办公网使用H3CS5130交换机，要求：部门A（10人）使用端口G1/0/1-10，VLAN10，IP段/24；部门B（15人）使用端口G1/0/11-25，VLAN20，IP段/24；所有PC通过DHCP获取IP，交换机与路由器（G0/0:/24）通过G1/0/26连接，要求该端口允许所有VLAN通过且为Trunk模式；限制部门A的PC只能访问部门B的PC，禁止访问Internet（假设路由器G0/0为网关）。（1）写出交换机的VLAN创建、端口配置及Trunk配置命令。（2）设计DHCP地址池配置（假设路由器为DHCP服务器）。（3）配置ACL实现部门A的访问控制需求，写出具体规则。答案：（1）交换机配置：vlan10descriptionDeptAvlan20descriptionDeptBinterfacerangeGigabitEthernet1/0/1to1/0/10portaccessvlan10portlink-typeaccessinterfacerangeGigabitEthernet1/0/11to1/0/25portaccessvlan20portlink-typeaccessinterfaceGigabitEthernet1/0/26portlink-typetrunkporttrunkallow-passvlan1020undoporttrunkpvidvlan1（可选，若默认VLAN1不需要）（2）路由器DHCP配置（假设为H3CAR系列）：dhcpenableippoolvlan10networkmaskgateway-list（需在交换机上为VLAN10配置SVI接口并设置IP）dns-listippoolvlan20networkmaskgateway-listdns-list（注：实际需在交换机上创建VLAN接口并配置IP作为网关，如interfaceVlan-interface10，ipaddress）（3）ACL配置（基于交换机或路由器）：假设在交换机上配置，使用IPv4ACL：acladvanced3000rule0permitipsource55destination55rule5denyipsource55destinationany（禁止访问其他网络）rule10permitip（允许其他流量，如部门B内部）应用ACL到VLAN10的出方向：interfaceVlan-interface10traffic-filteroutboundacl3000五、网络安全技术5.某企业部署了一台华为USG6000防火墙，接口配置如下：GE0/0（公网）IP：/24，GE0/1（DMZ）IP：/24，GE0/2（内网）IP：/24。安全策略要求：内网（/24）可以访问DMZ（/24）和Internet；DMZ中的Web服务器（0）允许公网通过80/443端口访问；禁止公网主动访问内网，禁止DMZ访问内网；启用NAT，内网主机通过GE0/0访问Internet。（1）写出防火墙的安全区域划分及接口归属。（2）配置基本安全策略（源区域、目的区域、源地址、目的地址、服务）。（3）配置NAT策略实现内网访问Internet。（4）若公网用户无法访问DMZ的Web服务器，可能的故障点有哪些？答案：（1）安全区域划分：公网区域（Untrust）：GE0/0；DMZ区域（DMZ）：GE0/1；内网区域（Trust）：GE0/2。（2）安全策略配置：①Trust→DMZ：允许，源地址/24，目的地址/24，服务Any；②Trust→Untrust：允许，源地址/24，目的地址Any，服务Any；③Untrust→DMZ：允许，源地址Any，目的地址0，服务HTTP/HTTPS（80/443）；④Untrust→Trust：禁止，源地址Any，目的地址/24，服务Any；⑤DMZ→Trust：禁止，源地址/24，目的地址/24，服务Any；⑥其他默认拒绝。（3）NAT策略配置（源NAT）：nat-policyrulenameTrust_To_Internetsource-zonetrustdestination-zoneuntrustsource-addressmaskactionsource-nateasy-ipinterfaceGigabitEthernet0/0（4）可能故障点：①安全策略未允许Untrust→DMZ的80/443端口；②Web服务器未配置正确的DNAT（目的NAT），公网IP未映射到0的80/443；③防火墙GE0/1接口的IP地址或子网配置错误，导致DMZ区域无法通信；④Web服务器本身未启动HTTP/HTTPS服务，或防火墙到DMZ的链路故障（如接口状态Down）。六、广域网与VPN技术6.某集团公司总部（北京）与分部（上海）通过运营商提供的MPLSVPN互联，总部路由器R-BJ的PE接口为/30，上海分部路由器R-SH的PE接口为/30，运营商P设备已完成标签分发。要求：（1）简述MPLSVPN中PE、P、CE设备的功能。（2）在R-BJ上配置BGP/MPLSIPVPN，假设AS号为65000，VPN实例名称为VPN1，CE接口为G0/0（/24），写出关键配置命令。（3）若总部与分部无法通过VPN通信，需检查哪些MPLS相关参数？答案：（1）PE（ProviderEdge）：运营商边缘设备，负责VPN路由的导入/导出、标签分发；P（Provider）：运营商核心设备，仅转发带标签的MPLS报文；CE（CustomerEdge）：用户边缘设备，连接PE与用户内网，通常运行静态路由或BGP/OSPF与PE交换路由。（2）R-BJ配置：创建VPN实例ipvpn-instanceVPN1route-distinguisher100:1vpn-target100:1export-extcommunityvpn-target100:1import-extcommunity配置PE接口（连接P设备）interfaceGigabitEthernet0/1ipaddress52mplsenablemplsldpenable配置CE接口（连接用户内网）interfaceGigabitEthernet0/0ipbindingvpn-instanceVPN1ipaddress配置BGPbgp65000router-idpeeras-number65000（假设对端PE的AS号相同，或为运营商AS）激活VPNv4地址族address-familyvpnv4peerenable激活VPN实例的IPv4地址族address-familyipv4vpn-instanceVPN1network（3）需检查的MPLS参数：①MPLSLDP邻接关系（displaymplsldppeer）；②VPN实例的路由区分符（RD）和路由目标（RT）是否匹配对端PE；③PE设备是否接收到对端VPN路由（displaybgpvpnv4allrouting-table）；④标签转发表（displaymplsldplsp）是否包含到对端PE的标签路径；⑤CE与PE之间的路由协议是否正常（如BGP邻居状态、OSPF邻接）。七、网络管理与监控7.某企业使用SNMPv3对网络设备进行监控，中心管理站IP为00，设备R1的SNMP配置如下：安全级别：authPriv（认证+加密）；安全名称：monitor；认证算法：SHA；加密算法：AES-128；认证密码：Admin@123；加密密码：Encrypt@456。（1）写出R1的SNMPv3基本配置命令（假设为华为设备）。（2）若管理站无法获取R1的CPU利用率（OID：..3.1.2），可能的原因有哪些？（3）简述使用Wireshark抓包验证SNMPv3通信时，能否看到明文的PDU？为什么？答案：（1）R1配置：snmp-agentsnmp-agentsys-infoversionv3snmp-agentusm-userv3monitorauthshaAdmin@123privaes128Encrypt@456snmp-agenttarget-hosttrap-hostnameNMSaddress00udp-port162snmp-agentcommunityreadpublic（可选，若需兼容v1/v2c）（2）可能原因：①SNMPv3配置错误（如安全名称、认证/加密密码不匹配）；②管理站IP未在R1的允许访问列表中（未配置snmp-agenttarget-host）；③R1的SNMP服务未启用（snmp-agent未开启）；④OID输入错误（如CPU利用率的OID可能因设备型号不同而变化）；⑤网络层可达性问题（管理站与R1之间存在防火墙阻断UDP161端口）。（3）无法看到明文PDU。SNMPv3在authPriv模式下，PDU的有效载荷（如OID和值）会使用AES-128加密，认证字段（如消息摘要）使用SHA算法计算，因此Wireshark抓包只能看到加密后的报文，无法直接解析明文内容。八、综合布线与网络规划8.某新建办公楼共12层，每层面积约800㎡，需