2025年网络工程师考试试题及答案

2025年网络工程师考试试题及答案一、单项选择题（每题2分，共40分）1.在OSI参考模型中，负责在两个相邻节点间可靠地传输数据，并提供差错控制和流量控制功能的层级是（）。A.物理层B.数据链路层C.网络层D.传输层2.关于光纤通信技术的描述，下列说法中错误的是（）。A.单模光纤的纤芯直径较细，仅传输一种模式的光，适合长距离传输B.多模光纤的纤芯直径较粗，可传输多种模式的光，会产生模态色散C.光纤通信的主要优点包括频带宽、通信容量大、抗电磁干扰能力强D.在千兆以太网中，多模光纤的传输距离通常远大于单模光纤3.在TCP/IP协议栈中，ARP协议的主要作用是（）。A.将域名解析为IP地址B.将IP地址解析为MAC地址C.建立端到端的可靠连接D.提供动态主机配置4.某公司获得了一个C类IP地址块/24，需要将其划分为4个等大小的子网，每个子网用于一个部门，则第一个子网的网络地址和子网掩码分别是（）。A.，92B.，24C.4，92D.2，245.在OSPF协议中，用于描述路由器链路状态信息的报文是（）。A.Hello报文B.LSA（链路状态通告）C.DD（数据库描述）报文D.LSR（链路状态请求）报文6.以下关于IPv6地址的描述中，正确的是（）。A.IPv6地址长度为128位，采用冒号十六进制表示法B.IPv6不支持广播地址，只支持单播和组播C.::1表示环回地址，相当于IPv4的D.以上全部正确7.在交换机配置中，VLANTrunk链路通常使用哪种协议来封装多个VLAN的数据帧？（）A.STPB.802.1QC.VTPD.ISL8.下列关于BGP协议的说法中，错误的是（）。A.BGP是路径矢量路由协议B.BGP主要用于自治系统（AS）之间的路由选择C.BGP通过TCP端口179建立连接D.BGPmetric主要基于跳数，收敛速度极快9.在网络安全中，DDoS攻击的特征是（）。A.窃取用户敏感信息B.修改网页内容C.利用大量傀儡机向目标发起海量请求，耗尽资源D.通过伪装成合法用户获取访问权限10.某信道带宽为4kHz，信噪比为30dB，按照香农定理，该信道的理论极限数据传输速率约为（）。A.12kbpsB.40kbpsC.56kbpsD.64kbps11.在WindowsServer环境下，若要实现将内部私网IP地址转换为公网IP地址访问互联网，应安装并配置（）。A.DNS服务器B.DHCP服务器C.NAT服务器D.WINS服务器12.IEEE802.11标准定义了无线局域网技术，其中802.11ax（Wi-Fi6）引入的关键技术不包括（）。A.OFDMAB.MU-MIMOC.BSSColoringD.CSMA/CA13.在网络安全架构中，DMZ（非军事化区）的主要作用是（）。A.存放核心数据，防止外部直接访问B.放置对外提供服务的服务器，隔离内部网络与外部网络C.作为员工上网的缓冲区D.用于管理员的远程维护14.在网络管理中，SNMP协议使用的默认端口是（）。A.161和162B.80和443C.23和21D.110和2515.某路由器路由表中有如下条目：Destination:/0，NextHop:。该条目代表（）。A.这是一个主机路由B.这是一个直接连接的网络路由C.这是一个默认路由D.这是一个组播路由16.在PKI公钥基础设施中，CA的主要职责是（）。A.颁发和管理数字证书B.存储用户的私钥C.加密传输数据D.防火墙策略制定17.在VTP（VLANTrunkingProtocol）中，若要将交换机配置为VTPServer模式，需要满足的条件是（）。A.交换机必须拥有域名B.交换机必须配置Trunk端口C.交换机不能是透明模式D.必须首先删除现有的VLAN18.关于STP（生成树协议），下列说法正确的是（）。A.STP的主要作用是防止VLAN间的路由环路B.STP通过阻塞冗余链路来避免二层环路C.RSTP（快速生成树）的收敛速度与STP相同D.STP只能运行在Cisco设备上19.在云计算服务模型中，PaaS（平台即服务）提供给用户的管理能力包括（）。A.操作系统、存储、网络B.运行环境、中间件、数据库C.应用程序D.虚拟机管理程序20.一台主机IP地址为，子网掩码为52，则该主机的网络地址和广播地址分别是（）。A.，B.，55C.，D.，二、填空题（每空2分，共20分）1.在数据通信中，若采用奇校验，数据位为1010110，则校验位应为________。2.RIP协议是一种基于________算法的距离矢量路由协议，其最大跳数为________。3.在TCP三次握手过程中，客户端发送SYN包后，服务端回复________包，最后客户端回复ACK包。4.HTML文档中，用于创建超链接的标签是________，用于插入图片的标签是________。5.在Linux系统中，用于查看当前TCP/IP网络连接状态的命令是________，用于测试网络连通性的命令是________。6.IPSecVPN协议套件中，负责加密数据包的协议是________，负责验证数据完整性的协议是________。7.在综合布线系统中，工作区子系统是指连接________的配线子系统。三、[计算与综合应用题]（共40分）1.[子网划分与配置计算]（10分）某企业申请到一个CIDR地址块/24。该企业拥有4个部门，部门A需要50台主机，部门B需要25台主机，部门C需要10台主机，部门D需要2台主机（用于点对点链路）。(1)请采用VLSM（可变长子网掩码）技术，为这4个部门合理规划子网，要求写出每个子网的子网地址、可用IP地址范围和子网掩码。(2)若部门A的一台主机IP地址配置为5/26，请判断该配置是否正确，并说明理由。2.[生成树协议分析]（10分）某局域网包含三台交换机SW1、SW2、SW3，通过以太网链路互连形成环路。SW1的MAC地址为00-11-11-11-11-11，SW2为00-22-22-22-22-22，SW3为00-33-33-33-33-33。所有链路带宽均为100Mbps，路径开销为19。SW1被配置为根网桥。(1)简述STP选举根网桥的依据标准。(2)若SW1与SW2之间的链路发生故障，STP将如何响应？简述其收敛过程中的端口状态变化。(3)在RSTP（快速生成树）中，提议/握手机制是如何加速收敛的？3.[网络安全与防火墙配置]（10分）某公司网络架构如下：内部网段为/24，DMZ区网段为/24，外部互联网。公司Web服务器位于DMZ区，IP为0。防火墙采用CiscoASA风格配置。请写出满足以下需求的ACL配置规则（假设规则按顺序匹配）：(1)允许所有外部用户访问Web服务器的HTTP（80）和HTTPS（443）服务。(2)允许内部用户（/24）访问互联网的所有服务。(3)禁止DMZ区主动访问内部网络。(4)拒绝所有其他流量。4.[网络故障排查]（10分）某公司网络管理员接到报告，网内用户无法访问外部网站www.example，但可以访问其IP地址。内部办公系统正常。(1)请分析导致该故障的最可能原因是什么？(2)列出至少三种可以用于排查该故障的命令行工具，并简要说明其用途。(3)如果在排查中发现DNS服务器的缓存中存在该域名的记录，但IP地址错误，应如何解决？四、[案例分析题]（共50分）案例背景：某大型制造企业为推进数字化转型，计划建设全新的企业园区网。该园区包含行政楼、研发楼、生产车间和数据中心。核心层采用两台高性能交换机Core-SW1和Core-SW2做双核心冗余，汇聚层按楼宇分布，接入层连接终端用户。数据中心部署服务器集群，提供ERP、邮件、Web及文件共享服务。企业计划通过专线连接互联网，并建立分支机构VPN连接。1.[网络架构设计]（15分）(1)针对核心层与汇聚层之间的连接，为了保证高可用性和负载分担，应采用哪种技术？（如：MSTP+VRRP/HSRP）。请简述其工作原理。(2)生产车间环境存在电磁干扰，且对实时性要求高，应选择什么类型的传输介质？为什么？(3)在数据中心服务器集群中，为提高服务器吞吐量和可靠性，常采用网卡绑定技术。请列举两种常见的绑定模式及其特点。2.[路由协议规划]（15分）(1)园区网内部路由协议建议选用OSPF，请规划OSPF区域设计原则。核心层、汇聚层及各接入终端应划分在哪个区域？(2)企业与分支机构通过GREoverIPSec建立VPN连接。请简述GRE和IPSec在此方案中的分工。(3)若企业引入了BGP与ISP连接，在BGP路由发布时，为了防止私有网段泄露到互联网，应配置什么属性或技术？3.[服务与安全部署]（20分）(1)企业内部部署DHCP服务器，为不同VLAN分配IP地址。若DHCP服务器部署在数据中心，而用户分布在各接入交换机，请问需要在网关设备上配置什么功能以支持DHCP请求跨网段到达服务器？(2)为防止内部PC感染病毒后扫描内网，应在接入层交换机上部署什么安全功能？请举例说明配置思路。(3)针对ERP系统的访问控制，管理员希望只有财务部VLAN（VLAN10）的IP地址才能访问ERP服务器（00）。请设计一个在核心交换机或防火墙上实现该需求的ACL规则。参考答案及解析一、单项选择题1.答案：B解析：数据链路层在物理层提供服务的基础上，向网络层提供服务。其主要功能是在相邻节点间实现可靠（或不可靠）的数据传输，包括帧同步、差错控制（检测）、流量控制等。传输层负责端到端的连接。2.答案：D解析：单模光纤由于纤芯极细，无模态色散，适合长距离传输；多模光纤存在模态色散，传输距离受限。在千兆以太网中，单模光纤的传输距离（可达5km甚至更远）远大于多模光纤（通常550m或更短）。3.答案：B解析：ARP（AddressResolutionProtocol）地址解析协议，其功能是将已知的IP地址解析为物理地址（MAC地址）。A是DNS的功能，C是TCP的功能，D是DHCP的功能。4.答案：A解析：C类地址默认掩码/24。划分为4个子网，需要借用2位主机位（=4.0,.64,.128,.192。第一个子网是/26。5.答案：B解析：LSA（LinkStateAdvertisement）链路状态通告是OSPF中用于交换链路状态信息的数据单元。Hello用于邻居发现，DD用于数据库摘要描述，LSR用于请求特定的LSA。6.答案：D解析：IPv6地址128位，使用冒号十六进制；取消了广播，使用组播代替FF00::/8；::1是环回地址。故D正确。7.答案：B解析：802.1Q是IEEE标准的VLANTrunk封装协议，通用性强。ISL是Cisco私有的封装协议。STP是生成树，VTP是VLAN管理协议。8.答案：D解析：BGP是路径矢量协议，基于策略路由，Metric属性丰富（如Local_Pref,AS_Path,MED等），不仅仅基于跳数，且收敛速度相对较慢（相比IGP），因为它需要TCP建立连接并全量更新路由。9.答案：C解析：DDoS（分布式拒绝服务）攻击的特点是利用大量被控制的僵尸网络（傀儡机）同时向目标发送请求，耗尽目标的带宽或系统资源，导致正常用户无法访问。A是窃密，B是篡改，D是未授权访问。10.答案：B解析：香农公式：C=信噪比S/C=11.答案：C解析：NAT（网络地址转换）用于将私网IP转换为公网IP，实现私网用户访问互联网。12.答案：D解析：CSMA/CA是802.11系列协议基础的介质访问控制机制，并非802.11ax特有或引入的新技术。Wi-Fi6引入了OFDMA（正交频分多址）、MU-MIMO（多用户多入多出）、BSSColoring（着色机制）等高效率技术。13.答案：B解析：DMZ（DemilitarizedZone）是一个安全缓冲区，通常用于放置对外提供服务的服务器（如Web、Email、FTP）。它允许外部访问，但与内部网络隔离，即使外部攻破DMZ服务器，也难以直接渗透进核心内部网络。14.答案：A解析：SNMP使用UDP161端口进行Get/Set等操作，使用UDP162端口接收Trap（告警）消息。15.答案：C解析：目的网络为/0，表示匹配所有未在路由表中明确匹配的目的地址，这是默认路由（LastResortGateway）的标志。16.答案：A解析：CA（CertificateAuthority）证书颁发机构，负责签发证书、吊销证书、管理证书生命周期。私钥通常由用户自己生成并保管，CA只验证公钥归属。17.答案：A解析：VTP要求在配置为Server模式之前，交换机必须配置一个VTP域名（DomainName），否则无法管理VLAN。18.答案：B解析：STP（生成树协议）通过逻辑阻塞冗余链路，打破二层物理环路，防止广播风暴。RSTP通过Proposal/Agreement机制显著加快了收敛速度。STP是IEEE标准，并非Cisco私有。19.答案：B解析：PaaS提供平台环境，包括操作系统、运行时环境、中间件、数据库等，用户无需管理底层基础设施，但需管理应用程序。A是IaaS，C是SaaS。20.答案：A解析：掩码52即/30，块大小为4。所在的块起始为：5除以4取整乘4=4。网络地址：。下一个块从8开始，所以广播地址为。二、填空题1.答案：1解析：数据位1010110中，1的个数为4（偶数）。奇校验要求1的总数为奇数，故校验位补1。2.答案：Bellman-Ford（贝尔曼-福特），15解析：RIP基于距离矢量算法，使用Bellman-Ford算法计算路由。RIP最大跳数为15，16表示不可达。3.答案：SYN+ACK解析：TCP三次握手：Client->SYN->Server；Server->SYN+ACK->Client；Client->ACK->Server。4.答案：<a>，<img>解析：HTML基础标签，<a>定义超链接，<img>定义图像。5.答案：netstat，ping解析：netstat用于显示网络连接、路由表、接口统计；ping用于ICMP回显请求，测试连通性。6.答案：ESP，AH解析：IPSec协议包含AH（AuthenticationHeader，提供完整性校验）和ESP（EncapsulatingSecurityPayload，提供加密和完整性）。7.答案：终端设备（或信息插座）解析：工作区子系统是连接用户终端设备（如PC、电话）到楼层配线架信息插座的子系统。三、[计算与综合应用题]1.[子网划分与配置计算]答案：(1)部门A（50台）：需要主机位−2=62子网地址：/26掩码：92范围：-2部门B（25台）：需要主机位−2=30子网地址：4/27掩码：24范围：5-4部门C（10台）：需要主机位−2=14子网地址：6/28掩码：40范围：7-10部门D（2台）：点对点链路通常使用/30（2个可用IP）。子网地址：12/30掩码：52范围：13-14(2)配置不正确。理由：部门A的子网范围是-2。IP地址5属于部门B的子网范围。虽然掩码/26是正确的，但IP地址本身不属于部门A规划的子网地址空间。2.[生成树协议分析]答案：(1)STP选举根网桥的依据（优先级从高到低）：1.最低的根网桥ID（BridgeID）。BridgeID由2字节的优先级和6字节的MAC地址组成。2.若优先级相同，则比较MAC地址，MAC地址最小的成为根网桥。(2)若SW1与SW2链路故障，STP拓扑发生变化：SW2检测到链路Down，会重新计算生成树。SW2原本阻塞的端口（如果有通往SW3的冗余链路且被阻塞）将转变为Listening状态。经过ForwardDelay时间（通常15秒）后进入Learning状态。再经过ForwardDelay时间后进入Forwarding状态，开始转发数据。总收敛时间通常为30-50秒。(3)RSTP（802.1w）通过Proposal/Proposal（提议/同意）机制加速收敛：指定端口发送包含Proposal标志的BPDU。对端如果检测到自己是根端口，且该端口是Alternate或Backup状态，会立即阻塞所有非边缘端口，并回复Agreement。一旦收到Agreement，指定端口立即进入Forwarding状态，无需等待30秒延迟。3.[网络安全与防火墙配置]答案：（假设ACL编号为100，应用于外部接口Inbound方向或内部接口Outbound方向，此处以标准扩展ACL为例）```!(1)允许外部访问Web服务器access-list100permittcpanyhost0eq80access-list100permittcpanyhost0eq443!(2)允许内部访问互联网access-list100permittcp55anyaccess-list100permitudp55any!(3)禁止DMZ访问内部access-list100denyip5555!(4)拒绝其他access-list100denyipanyany```4.[网络故障排查]答案：(1)最可能原因：DNS解析故障。用户可以通过IP访问，说明网络层（路由、连通性）和传输层正常，无法通过域名访问说明域名到IP的映射出现问题。(2)排查工具：`nslookup`或`dig`：用于测试DNS解析，查询指定域名的A记录，查看解析结果是否正确。`ping`：测试到DNS服务器或目标IP的连通性，排除网络连接问题。`ipconfig/flushdns`(Windows)或`systemd-resolve--flush-caches`(Linux)：清除本地DNS缓存，排除本地缓存错误。`tracert`/`traceroute`：追踪到目标服务器的路径，检查在哪个节点断开。(3)解决方法：如果是DNS服务器缓存污染或错误，需要在DNS服务器上清理缓存（如WindowsServerDNS右键清除缓存，或重启DNS服务）。检查DNS区域文件中的A记录配置是否正确。如果使用了递归查询上级DNS，检查上级DNS是否返回了错误结果，可调整转发器配置。四、[案例分析题]1.[网络架构设计]答案：(1)技术：MSTP（多生成树协议）+VRRP（虚拟路由冗余协议）或HSRP（热备份路由协议）。原理：MSTP允许基于VLAN实例运行多个生成树，实现不同VLAN流量的负载分担（例如VLAN10走链路1，VLAN20走链路2），并消除环路。VRRP/HSRP将两台核心交换机虚拟成一个虚拟网关。当主网关故障时，备用网关接管，实现网关级冗余。结合MSTP的VLAN负载均衡，可以实现网关流量的负载分担。(2)类型：工业屏蔽双绞线（STP）或光纤。理由：生产车间电磁环境复杂，非屏蔽双绞线（UTP）易受干扰导致丢包或误码。屏蔽双绞线可以抵抗电磁干扰。若距离较远或对带宽要求极高，光纤也是最佳选择，且抗干扰能力最强。(3)绑定模式：mode0(balance-rr)：轮询策略。数据包按顺序依次从不同端口发出，提供负载均衡和冗余，要求交换机支持聚合。mode1(active-backup)：主备策略。只有一个端口活跃，其他备用。冗余性好，无需交换机特殊配置。mode4(802.3ad)：LACP动态链路聚合。创建聚合组，速率高，冗余好，需交换机支持LACP。2.[路由协议规划]答案：：(1)OSPF区域设计原则：核心层与汇聚层、所有三层设备互联接口通常划分在Area0（骨干区域）。接入层若运行OSPF，通常作为普通区域连接到汇聚层，或者为了减少路由表规模，将接入终端网段配置为Stub（末梢）区域或NSSA（非纯末梢）区域，过滤掉外部AS路由。必须保证所有非骨干区域物理上或逻辑上（虚连接）直连Area0。(2)分工：GRE（GenericRoutingEncapsulation）：负责承载组播或多协议流量，将IPX或IPv6等（或私网IPv4）报文封装在GRE隧道中，使私网路由可以通过公网传输。GRE本身不提供加密。IPSec：负责加密和验证。它对