2026年计算机技术与软件专业技术资格(水平)考试网络工程师中级

2026年计算机技术与软件专业技术资格(水平)考试网络工程师(中级1.在OSI参考模型中，负责数据帧的封装、MAC地址寻址以及差错检测的是（）。A.物理层B.数据链路层C.网络层D.传输层2.在CSMA/CD机制中，以太网采用二进制指数退避算法来解决发送冲突。若某站点连续发生了第4次冲突，则它下一次尝试发送前等待的时间片数可能的最大值是（）。A.4B.8C.15D.163.在IPv6无状态地址自动配置（SLAAC）中，主机通过路由器通告消息（RA）获取网络前缀。如果主机需要生成接口标识符（EUI-64），且其MAC地址为`00:1A:2B:3C:4D:5E`，则生成的IPv6接口标识符为（）。A.`021A:2BFF:FE3C:4D5E`B.`021A:2B3C:4D5E:FFFF`C.`001A:2BFF:FE3C:4D5E`D.`021A:2BFE:FE3C:4D5E`4.在OSPF协议中，广播型网络（如Ethernet）默认的网络类型是Broadcast，其选举DR/BDR的机制中，以下关于DR/BDR选举原则描述错误的是（）。A.优先级高的路由器被选为DRB.当优先级相同时，RouterID大的路由器被选为DRC.DR和BDR一旦选举成功，即使有更高优先级的路由器加入，也不会发生抢占D.优先级为0的路由器不能参与DR/BDR的选举，但可以被选举为DR5.在BGP协议中，路由属性用于决定到达目的网络的最佳路径。以下关于BGP属性特性的描述，正确的是（）。A.AS_PATH属性属于公认必遵属性，用于检测路由环路，AS_PATH越长的路径越优先B.Local_Pref属性属于可选过渡属性，用于在AS内部优选路由C.MED属性属于可选非过渡属性，用于影响相邻AS的流量如何进入本ASD.Next_Hop属性属于公认任意属性，BGPspeaker在向EBGP对等体发布路由时，默认不修改Next_Hop属性6.IS-IS路由协议支持两种不同的层级路由，即Level-1和Level-2。在一个IS-IS网络中，关于不同层级路由器的连接关系，正确的是（）。A.Level-1路由器只能与Level-1路由器建立邻接关系B.Level-2路由器只能与Level-2路由器建立邻接关系C.Level-1-2路由器可以与Level-1、Level-2以及Level-1-2路由器建立邻接关系D.Level-1路由器可以与Level-2路由器建立邻接关系7.在RSTP（快速生成树协议）中，为了实现端口的快速切换，引入了替代端口和备份端口。关于这两种端口的作用，正确的是（）。A.替代端口作为根端口的备份，备份端口作为指定端口的备份B.替代端口作为指定端口的备份，备份端口作为根端口的备份C.替代端口和备份端口都可以快速进入转发状态D.替代端口接收了更优的BPDU，而备份端口接收了较差的BPDU8.某企业网络需要配置ACL以限制特定网段的访问。若要求禁止源IP地址为`/24`的主机访问目标网络`/16`，同时允许其他所有流量，在华为设备上以下ACL配置正确的是（）。A.`ruledenysource55destination55``rulepermitsourceany`B.`ruledenysourcedestination``rulepermitsourceany`C.`rulepermitsourceany``ruledenysource55destination55`D.`ruledenysource55destination55``rulepermitsourceany`9.在IPSecVPN体系中，IKE协议负责建立安全关联（SA）。IKE阶段1的主要目标是（）。A.在对等体之间建立IPSecSA，用于加密实际的数据流B.验证对等体身份，并建立一个安全的、经过身份验证的通道用于后续IKE阶段2的协商C.快速模式协商，用于周期性更新IPSecSA的密钥D.协商AH或ESP协议的加密算法和认证算法10.某公司采用VRRP协议实现网关冗余。已知主路由器的优先级为120，备份路由器的优先级为100，VRRP通告间隔时间默认为1秒。若主路由器发生故障，备份路由器经历SkewTime后发送组播报文接管主路由器角色。设SkewTime的计算公式为=秒。请问备份路由器检测到主路由器故障并完成状态切换所需的大致时间（即超时时间加上偏移时间）为（）。A.3.0秒B.3.4秒C.3.6秒D.4.0秒11.在MPLS网络中，标签交换路由器（LSR）根据标签进行数据转发。关于MPLS标签的描述，错误的是（）。A.MPLS标签长度为4字节，其中包含20位的Label字段B.标签栈深度为1表示未打标签的报文C.EXP字段用于QoS，TTL字段用于防止路由环路D.标签动作包括Push（压入）、Swap（交换）和Pop（弹出）12.在QoS的DiffServ模型中，边界路由器需要对报文进行分类和标记。如果使用DSCP字段进行标记，DSCP值为`EF`（加速转发，ExpeditedForwarding）的二进制表示和对应的十进制值分别为（）。A.`101110`和46B.`100000`和32C.`011000`和24D.`000000`和013.在SDN架构中，控制器通过南向接口与数据平面交换机进行通信。目前最广泛使用的南向接口协议是OpenFlow。关于OpenFlow协议的工作原理，正确的是（）。A.OpenFlow协议基于HTTP协议进行通信，使用JSON格式封装数据B.OpenFlow交换机仅支持基于目的MAC地址的流表项匹配C.OpenFlow流表由多个流表项组成，每个流表项包含匹配字段、计数器和指令D.OpenFlow控制器只能主动向交换机下发流表，交换机不能主动请求流表项14.某单模光纤通信系统，光发射机的发送光功率为0dBm，光接收机的接收灵敏度为−25dA.满足要求，实际余量为5B.满足要求，实际余量为3C.不满足要求，实际余量为2D.不满足要求，实际余量为015.SNMP协议是网络管理中常用的协议，目前广泛使用的版本为SNMPv3。相比于SNMPv2c，SNMPv3主要增加了（）特性。A.增加了GetBulk操作，提高批量数据获取效率B.增加了基于USM（User-basedSecurityModel）和VACM（View-basedAccessControlModel）的安全机制C.增加了Inform机制，确保告警消息的可靠传输D.增加了Manager-to-Manager的通信机制16.在Linux系统中，管理员可以使用`ip`命令进行网络配置。若需要查看当前系统的路由表信息，以下命令正确的是（）。A.`ipaddressshow`B.`iplinklist`C.`iprouteshow`D.`ipneighshow`17.在网络故障排查中，TCP三次握手是建立连接的基础。若客户端发送的SYN包在到达服务器时，服务器对应端口未开启监听，则服务器通常会返回一个（）报文。A.SYN-ACKB.FINC.RSTD.ACK18.在无线局域网（WLAN）IEEE802.11标准中，为了避免隐藏终端问题，引入了RTS/CTS机制。关于该机制，描述正确的是（）。A.RTS和CTS帧的持续时间字段用于通知周围节点信道将被占用的时间，实现虚拟载波监听B.RTS/CTS机制通过减小数据帧的长度，降低了冲突概率C.RTS帧由接收端发送，CTS帧由发送端发送D.只有当数据帧长度大于门限值时，才禁止使用RTS/CTS机制19.在构建企业存储网络时，FCSAN和IPSAN是两种常见的架构。关于它们的比较，正确的是（）。A.FCSAN使用iSCSI协议，而IPSAN使用FCP协议B.FCSAN通常具有更高的传输性能和更低的延迟，但建设成本较高C.IPSAN的传输距离受限于光纤通道的物理特性，通常无法跨越城域网D.FCSAN的组网灵活性优于IPSAN，且更易于与现有以太网融合20.零信任网络架构是近年来流行的安全理念。以下关于零信任网络的核心原则，描述错误的是（）。A.从不信任，始终验证B.默认认为网络内部和外部都存在威胁C.对所有访问请求进行动态的权限评估和访问控制D.零信任网络仅通过部署更强的防火墙和VPN来实现边界安全防护【答案与解析】1.【答案】B【解析】数据链路层负责在物理链路上实现可靠的数据传输，主要功能包括数据帧的封装与解封、MAC地址寻址（硬件寻址）、介质访问控制以及差错检测（如通过CRC循环冗余校验检测错误）。物理层负责比特流的透明传输；网络层负责逻辑寻址（IP）和路由选择；传输层负责端到端的通信和流量控制等。2.【答案】C【解析】在CSMA/CD的二进制指数退避算法中，第n次冲突后，等待的时间片数从[0,1,…,−1]3.【答案】A【解析】EUI-64格式的接口标识符是通过在MAC地址的前24位和后24位之间插入`FFFE`生成的。MAC地址`00:1A:2B:3C:4D:5E`插入后变为`00:1A:2B:FF:FE:3C:4D:5E`。然后，需要将第一字节的第7位（U/L位）翻转。`00`的二进制是`00000000`，翻转第7位变为`00000010`（十六进制`02`）。因此最终接口标识符为`021A:2BFF:FE3C:4D5E`。4.【答案】D【解析】在OSPFDR/BDR选举中，优先级范围是0-255，默认为1。优先级高的被选为DR，相同则比较RouterID。优先级为0的路由器表示它不参与DR/BDR的选举，只能作为DROther，因此不可能被选举为DR。所以选项D描述错误。选项C正确，OSPF的DR/BDR选举是非抢占式的，即使有更高优先级的路由器加入，也不会立即改变当前的DR。5.【答案】C【解析】A错误：AS_PATH是公认必遵属性，但在BGP选路规则中，AS_PATH越短的路径越优先。B错误：Local_Pref是公认任意属性，而非可选过渡属性，用于在AS内部优选离开本AS的路由。C正确：MED是可选非过渡属性，用于影响相邻AS如何选择进入本AS的路径。D错误：Next_Hop是公认必遵属性，BGPspeaker在向EBGP对等体发布路由时，默认会修改Next_Hop属性为自己与对等体建立邻居的接口IP。6.【答案】C【解析】在IS-IS网络中，邻接关系的建立规则如下：Level-1路由器只能与Level-1或Level-1-2路由器建立Level-1邻接关系；Level-2路由器只能与Level-2或Level-1-2路由器建立Level-2邻接关系；Level-1-2路由器可以与Level-1、Level-2以及Level-1-2路由器建立对应层级的邻接关系。Level-1和Level-2路由器之间不能建立邻接关系。因此C正确。7.【答案】A【解析】在RSTP中，替代端口是根端口的备份，当根端口发生故障时，替代端口可以快速切换为根端口进入转发状态；备份端口是指定端口的备份，当指定端口发生故障时，备份端口可以快速切换为指定端口。因此A正确。B描述反了；C错误，它们默认处于Discarding状态，只有在特定切换条件下才快速进入转发；D错误，替代端口接收的是其他网桥发来的更优BPDU（比根端口差但比其他好），备份端口接收的是同一台交换机其他端口发来的更优BPDU。8.【答案】A【解析】华为设备的ACL通配符掩码与子网掩码相反，即用0匹配对应位，用1忽略对应位。`/24`的通配符是`55`；`/16`的通配符是`55`。ACL默认匹配规则是“自上而下，匹配即停止”，因此需要先配置拒绝规则，最后配置允许所有`sourceany`。A选项配置正确。9.【答案】B【解析】IKE协议分为两个阶段。阶段1（MainMode或AggressiveMode）的主要目标是验证对等体身份，并协商建立一个安全通道（ISAKMPSA/IKESA），该通道用于保护后续阶段2的协商报文。阶段2（QuickMode）则在此安全通道的保护下，协商用于实际数据加密和认证的IPSecSA。A和D描述的是阶段2的目标，C是阶段2的快速模式。10.【答案】C【解析】VRRP中，备份路由器在连续3个通告周期（Master_Down_Interval）内未收到主路由器的通告报文时，会认为主路由器故障。计算公式为own=3×。已知秒，11.【答案】B【解析】MPLS标签长度为4字节（32位），包含Label（20位）、EXP（3位）、S（1位，栈底标志）和TTL（8位）。A正确。标签动作包括Push、Swap和Pop，D正确。C正确。B错误，标签栈深度为1表示打了一层标签（S=1），深度为0表示未打标签的纯IP报文。栈底标志位为1时表示标签栈的最底层标签。12.【答案】A【解析】在DSCP字段（6位）中，加速转发（EF）对应的二进制值为`101110`，十进制为32+13.【答案】C【解析】OpenFlow流表由多个流表项组成，每个流表项通常包含三部分：匹配字段、计数器和指令集，C正确。A错误，OpenFlow底层通常基于TCP（早期为UDP），使用自定义的结构化报文格式通信。B错误，OpenFlow支持非常丰富的匹配字段（如二层、三层、四层等）。D错误，OpenFlow支持主动下发和交换机被动请求（Table-miss流表项触发Packet-In消息）两种模式。14.【答案】A【解析】光功率预算计算公式为：功率预算=发送光功率-接收灵敏度。本题中，系统最大允许衰减（功率预算）=0dBm−(−25dB15.【答案】B【解析】SNMPv3相较于v1和v2c的最大改进是引入了完善的安全性，主要包括基于用户的安全模型（USM），提供认证和加密服务；以及基于视图的访问控制模型（VACM），提供细粒度的访问控制。GetBulk和Inform机制是SNMPv2c引入的特性。Manager-to-Manager通信也是SNMPv2引入的概念。16.【答案】C【解析】在Linux的`iproute2`工具包中：`ipaddressshow`（或简写为`ipa`）用于查看IP地址信息；`iplinklist`用于查看链路层（网卡接口）状态；`iprouteshow`（或简写为`ipr`）用于查看路由表信息；`ipneighshow`用于查看邻居表（ARP表）。因此选C。17.【答案】C【解析】在TCP三次握手中，如果客户端发送SYN报文请求建立连接，而服务器对应端口未监听或被拒绝，服务器会向客户端返回一个带有RST（Reset）标志位的TCP报文，以重置该连接。因此C正确。SYN-ACK是服务器同意连接时发送的；FIN用于正常关闭连接；ACK用于确认。18.【答案】A解析IEEE802.11中的RTS/CTS机制主要用于解决隐藏终端问题。发送端发送RTS帧，接收端回复CTS帧，这两个帧中都包含Duration字段，用于进行虚拟载波监听（网络分配向量NAV），通知周围其他站点信道将被占用的时间，从而避免冲突。A正确。B错误，RTS/CTS是控制帧交互机制，不是通过减小数据帧长度实现的。C错误，RTS由发送端发送，CTS由接收端发送。D错误，通常当数据帧长度大于设定的门限值时，才启用RTS/CTS机制。19.【答案】B【解析】FCSAN（光纤通道存储区域网络）使用FCP协议，基于高速光纤网络，具有极高的传输性能和极低的延迟，但组网设备昂贵，成本高，B正确。IPSAN使用iSCSI协议，A错误。IPSAN基于以太网，传输距离不受限，可以跨越城域网甚至广域网，C错误。FCSAN的组网灵活性较差，且与现有以太网难以直接融合，D错误。20.【答案】D【解析】零信任的核心理念是“从不信任，始终验证”，默认不信任任何内部或外部的人和设备。零信任打破了传统的边界安全理念，不再依赖防火墙和VPN构建物理或逻辑边界，而是基于身份认证、动态访问控制和微隔离来实现安全。D描述的是传统边界安全理念，错误。某大型企业计划对现有的园区网络进行升级改造，采用核心层、汇聚层、接入层的三层架构。园区内包含办公区A、办公区B以及数据中心区。为保证网络的高可用性，核心层采用两台高性能交换机进行堆叠（或VSS），汇聚层与核心层之间、接入层与汇聚层之间均采用双上行链路连接，并部署MSTP和VRRP协议实现冗余和负载分担。根据上述需求，回答以下问题。问题1（8分）在网络设计中，为了消除环路并实现VLAN流量的负载分担，管理员计划配置MSTP（多生成树协议）。MSTP可以将一个或多个VLAN映射到一个生成树实例中。（1）如果要将VLAN10映射到实例1，VLAN20映射到实例2，请写出在华为交换机上配置MSTP域的基本命令（假设域名设为`Region1`，修订级别设为1）。（2）为了实现负载分担，在汇聚层交换机（作为根桥的备份）上，应如何设置实例1和实例2的优先级？请简述配置思路，并给出计算实例1根桥优先级的通用公式。问题2（10分）核心层交换机之间通过VRRP协议为终端提供网关冗余。办公区A的主机网段为`/24`，网关IP为`54`。SW1（核心交换机1）和SW2（核心交换机2）分别为VRRP组1的主用网关和备用网关。（1）在SW1和SW2上，VRRP的优先级默认为100。若希望SW1成为Master，且当SW1的上行链路或接口发生故障时，能够快速实现主备切换（要求切换延迟尽量小），可以通过什么技术手段实现？请简述其原理。（2）若通过部署BFD（BidirectionalForwardingDetection）会话与VRRP联动来实现快速切换。已知BFD检测到故障并通知VRRP的时间为，VRRP接管网关并完成ARP表项更新的时间约为。请计算端到端业务流量的中断时间近似值。若不部署BFD，按照默认VRRP定时器计算（结合上午第10题条件），业务中断时间会达到多少？写出计算过程。问题3（7分）办公区A有大量的无线终端接入，部署了WLAN网络。无线接入点（AP）采用PoE交换机供电，并通过DHCP方式获取IP地址，AC（无线控制器）采用旁挂核心交换机的方式部署。（1）为了保证AP能够顺利获取IP地址并与AC建立CAPWAP隧道，管理员需要在DHCP服务器上配置Option43字段。若AC的IP地址为`00`，请以华为设备为例，写出DHCP地址池中配置Option43的命令。（2）为了提高无线网络的安全性，管理员决定采用WPA3安全协议。WPA3在个人模式（WPA3-Personal）下，取代了WPA2中的PSK机制，采用了什么新的身份验证机制？该机制相比传统的WPA2-PSK有什么显著优势？【答案与解析】问题1（8分）【解析与答案】（1）在华为交换机上配置MSTP域的基本命令如下：```text[Switch]stpregion-configuration[Switch-mst-region]region-nameRegion1[Switch-mst-region]revision-level1[Switch-mst-region]instance1vlan10[Switch-mst-region]instance2vlan20[Switch-mst-region]activeregion-configuration[Switch-mst-region]quit```（2）配置思路：为了实现负载分担，应当使SW1成为实例1（对应VLAN10）的主根桥，同时成为实例2（对应VLAN20）的备根桥；相应地，SW2成为实例2的主根桥，实例1的备根桥。这样，VLAN10和VLAN20的流量将分别通过不同的核心链路转发，从而实现负载分担。在SW1上，将实例1的优先级设置为最高（或较小数值），将实例2的优先级设置为默认或较大数值。根桥优先级的通用公式：MSTP中，桥ID的优先级由两部分组成：优先级基数+实例号。更具体的计算公式为：P但实际上，华为设备配置时直接配置的是`Base\_Priority`。为了保证SW1成为实例1的主根桥，可将其实例1的优先级设为0（最高），即：`[SW1]stpinstance1priority0`问题2（10分）【解析与答案】（1）可以通过部署BFD（BidirectionalForwardingDetection）与VRRP联动或VRRP与上行接口状态联动（MonitorLink/VRRPTrack机制）来实现。原理：BFD是一种轻量级的快速故障检测机制，能够提供毫秒级的检测。将BFD会话与VRRP备份组绑定，当BFD检测到上行链路或对端设备故障时，会迅速通知VRRP模块。VRRP模块收到故障通知后，会立即降低SW1的VRRP优先级（通常降低的幅度足以让备用交换机SW2的优先级超过SW1），从而触发VRRP状态快速切换，SW2抢占成为Master，接管虚拟网关IP，实现业务的快速恢复。（2）计算过程：若部署BFD：业务中断时间主要由故障检测时间（BFD检测时间）和协议切换时间（ARP更新时间）决定。计算公式为：代入数据：。若不部署BFD，按照默认VRRP定时器计算（结合上午第10题条件）：此时业务中断时间等于备份路由器感知Master故障的时间，即Master_Down_Interval。已知，备份路由器优先级为100，SkewTime计算公式为。计算SkewTime：计算Master_Down_Interval：o因此，不部署BFD时，业务中断时间约为3609毫秒。问题3（7分）【解析与答案】（1）华为设备配置DHCPOption43为AP指定AC的IP地址，通常采用十六进制格式。格式为“类型+长度+IP地址”。对于单IP地址，类型通常为03，长度为04。IP地址`00`转换为十六进制是`0A.01.01.64`。因此完整的Option43值为`030A010164`（或带格式`03040A010164`）。配置命令如下：```text[DHCP_Server]ippoolAP_Pool[DHCP_Server-ip-pool-AP_Pool]networkmask[DHCP_Server-ip-pool-AP_Pool]gateway-list54[DHCP_Server-ip-pool-AP_Pool]option43sub-option3hex0A010164```（注：不同厂商格式可能略有不同，华为支持`sub-option2ip-address00`等形式，只要合理表达即可）（2）WPA3-Personal模式采用了SAE（SimultaneousAuthenticationofEquals，对等同步认证）机制，取代了WPA2中的PSK（预共享密钥）机制。显著优势：SAE协议在建立连接时采用基于密码的密钥交换，具备前向保密特性。这意味着即使攻击者未来获取了网络的密码，也无法解密以前捕获的加密流量。此外，SAE协议能有效抵抗离线字典攻击（暴力破解），大大提升了开放或简单密码无线网络的安全性。某跨国企业拥有两个主要数据中心，分别位于北京和上海。为了实现数据共享和业务灾备，企业计划通过BGPMPLSIPVPN技术将两地数据中心互联互通。北京数据中心部署了核心路由器R1，连接至运营商PE路由器PE1；上海数据中心部署了核心路由器R2，连接至运营商PE路由器PE2。企业内部网络使用OSPF协议进行路由宣告。问题1（10分）在BGPMPLSIPVPN网络中，PE路由器负责维护VPN路由以及标签的分配。（1）在PE路由器上，与CE相连的接口需要绑定特定的VPN实例（VRF）。VPN实例的核心作用是什么？它实现了哪些层次的隔离？（2）PE1和PE2之间通过MP-BGP（多协议BGP）交换VPNv4路由。VPNv4路由地址由哪两部分组成？其中RD（RouteDistinguisher，路由区分符）和RT（RouteTarget，路由目标）在VPN路由的传递中分别起到什么作用？问题2（8分）在CE与PE之间，企业选择使用OSPF协议作为PE-CE路由协议。为了避免LSA在跨越运营商MPLSVPN网络时产生环路或次优路径，BGPMPLSVPN引入了特殊区域和特定类型的LSA机制。（1）当OSPF路由从CE传入PE，再由PE通过MP-BGP跨越MPLS网络传至对端PE，最后由对端PE重新传回CE时，原有的OSPF路由类型发生了什么变化？例如，原本是区域内路由，在远端CE上会变成什么类型的路由？（2）为了解决跨域OSPF路由环路问题，RFC4364定义了Down比特位。当PE路由器从CE接收OSPFLSA时，如何检查Down比特位？在什么情况下PE会拒绝接收CE传来的LSA？问题3（7分）数据中心间存在大量需要高速传输的数据，同时部分业务对延迟敏感。管理员需要通过QoS策略保障关键业务数据（如数据库同步流量，使用TCP端口3306）的优先转发。（1）在企业边缘路由器R1上，需要将源端口为3306的TCP流量进行重标记。若要求将其DSCP值标记为`EF`（ExpeditedForwarding），请写出在华为R1上的流分类和流行为配置思路。（2）在MPLS网络中，由于报文会被封装上MPLS标签，导致原有的IP头部的DSCP字段无法在MPLS转发过程中被直接读取。运营商PE设备通常采用什么技术将IP报文的DSCP字段映射到MPLS标签中？说明映射的字段名称。【答案与解析】问题1（10分）【解析与答案】（1）VPN实例的核心作用：在PE路由器上创建相互独立的路由和转发表，使得不同VPN的数据彼此隔离。它实现了数据平面的隔离（不同VPN实例拥有独立的FIB转发表）、控制平面的隔离（不同VPN实例运行独立的路由协议进程，维护独立的路由表）以及资源隔离（可以绑定独立的接口和策略）。（2）VPNv4路由地址组成：由普通的IPv4地址前缀和8字节的RD（RouteDistinguisher）组成。RD的作用：用于解决不同VPN网络中可能存在的重叠IPv4地址空间问题。通过添加RD，将原本相同的IPv4路由变成全局唯一的VPNv4路由，使其能够在公共的BGP表中传递而不发生冲突。RT的作用：用于控制VPN路由的接收和发布。RT属性分为ExportRT和ImportRT。PE在发布VPN路由时会附带ExportRT；对端PE在接收路由时，会检查本地VPN实例的ImportRT，只有匹配的VPN路由才会被加入到该VPN实例的路由表中，从而实现VPN之间的访问控制。问题2（8分）【解析与答案】（1）在BGPMPLSVPN跨域OSPF场景中，为了防止路由信息丢失和避免环路，PE路由器会修改OSPFLSA的区域类型。路由类型变化：若原本是OSPF区域内路由（Type1/Type2LSA），在跨越MPLSVPN网络后，远端PE会将其转换为Type3LSA（汇总LSA）向CE发布，即变成了区域间路由。若原本是AS外部路由（Type5LSA），远端PE会将其转换为Type7LSA（NSSA外部LSA）或者仍然作为Type5LSA发布，具体取决于区域配置。（2）Down比特位检查机制：Down比特位位于OSPFLSA的Options字段中。检查规则：当PE路由器从CE接收OSPFLSA（特别是Type3LSA、Type5LSA或Type7LSA）时，PE会检查该LSA的Down比特位。如果Down比特位被置为1，则表示该LSA是由MPLSVPN网络引入并发布的，PE路由器会拒绝接收该LSA，并将其丢弃。拒绝接收的情况：当CE试图将通过MPLSVPN网络学习到的路由再通过OSPF传回给PE时（通常会导致环路），PE检测到该LSA的Down比特位为1，从而拒绝接收。问题3（7分）【解析与答案】（1）配置思路：首先创建高级ACL匹配TCP端口3306的流量：```text[R1]aclnumber3000[R1-acl-adv-3000]rulepermittcpsource-porteq3306```然后定义流分类和流行为：```text[R1]trafficclassifierDB_Traffic[R1-classifier-DB_Traffic]if-matchacl3000[R1-classifier-DB_Traffic]quit[R1]trafficbehaviorMark_EF[R1-behavior-Mark_EF]remarkdscpef[R1-behavior-Mark_EF]quit```最后将流分类和流行为绑定到流策略中，并应用到接口上：```text[R1]trafficpolicyQoS_Policy[R1-trafficpolicy-QoS_Policy]classifierDB_TrafficbehaviorMark_EF[R1-trafficpolicy-QoS_Policy]quit[R1]interfaceGigabitEthernet0/0/0[R1-GigabitEthernet0/0/0]traffic-policyQoS_Policyinbound```（2）技术名称：运营商PE设备通常采用MPLSDiffServTunneling（MPLSDiffServ隧道技术）将IPDSCP字段映射到MPLS标签中。映射的字段名称：在MPLS标签中，用于承载QoS信息的字段是EXP字段（ExperimentalBits，实验位，在较新的标准中也称为TC字段，TrafficClass）。当报文进入MPLS网络时，PE会根据IP头部的DSCP值进行映射，并设置MPLS标签中的EXP字段，使得MPLS网络中的LSR路由器能够根据EXP字段对报文进行QoS调度。某企业网络拓扑中，总部部署了防火墙连接至互联网，分支机构通过Internet与总部建立IPSecVPN。总部内网部署了多台服务器，对外提供Web和DNS服务。网络管理员近期收到了多起网络异常的报告，需要进行故障排查和安全加固。问题1（8分）总部防火墙的工作模式为路由模式（三层网关），将内部网络划分为两个安全区域：Trust区域（内网，网段`/24`）和Untrust区域（外网，IP为`/24`）。Web服务器位于内网`00`，需对外提供HTTP服务。管理员需要配置NAT和安全策略。（1）在防火墙上配置NATServer，将内部Web服务器映射到公网IP`00`。请给出华为防火墙的NATServer配置命令。（2）同时，内网用户`/24`需要访问外网，配置EasyIPNAT进行源地址转换。请说明在配置源NAT策略时，NAT转换后的源IP地址应该是防火墙的哪个接口IP？并简述EasyIP的优点。问题2（9分）分支机构与总部之间的IPSecVPN采用IKEv1主模式协商。管理员在排查故障时发现，IPSec隧道无法正常建立。通过在总部防火墙上执行`displayikesa`命令，发现状态停留在第一阶段（MainMode）的“MM_NO_STATE”或“MSG_RCV_NOT”状态。（1）简述IKEv1主模式协商的前两个消息交换主要完成什么任务？如果在第一阶段协商失败，最可能的原因有哪些？（列出至少两点）（2）在IKEv1主模式下，由于协商报文中携带的身份信息（如IP地址或FQDN）是明文传输的，且在未建立加密通道前容易被窃听，存在一定的安全隐患。如果管理员希望增强身份认证的安全性并隐藏身份信息，应采用IKE的哪种模式进行协商？问题3（8分）总部防火墙上的安全策略要求进行精细化的访问控制。管理员决定配置一条安全策略，允许Untrust区域访问Trust区域的Web服务器（IP为`00`）的HTTP服务（端口80）。（1）在华为防火墙上，安全策略是基于五元组进行匹配的。请说明这条安全策略中，源安全区域、目的安全区域、源地址、目的地址和服务应分别如何配置？（2）如果防火墙上还配置了默认的“禁止所有”策略，安全策略的匹配顺序是怎样的？若管理员发现配置的允许策略未生效，仍然被默认拒绝策略拦截，最可能的配置错误原因是什么？（不考虑NAT问题）【答案与解析】问题1（8分）【解析与答案】（1）在华为防火墙上配置NATServer，将内部Web服务器映射到公网IP。假设连接外网的接口为GigabitEthernet1/0/1。配置命令如下：```text[FW