2026年计算机技术与软件专业资格(中级网络工程师)试题与答案

2026年计算机技术与软件专业资格(中级网络工程师)试题与答案1.在OSI参考模型中，负责数据加密、数据压缩和数据格式转换等功能的是哪一层？A.物理层B.数据链路层C.网络层D.表示层答案：D解析：在OSI七层模型中，表示层负责处理两个通信系统中交换信息的表示方式，主要包括数据格式变换、数据加密与解密、数据压缩与恢复。物理层负责比特流的透明传输；数据链路层负责物理链路的直接通信，封装成帧；网络层负责路由选择和拥塞控制。2.某信道带宽为4000Hz，信噪比为30dB，根据香农定理，该信道的最大数据传输速率约为多少？A.40KbpsB.30KbpsC.20KbpsD.10Kbps答案：A解析：根据香农定理公式C=Wlo(1+S/N)3.在CSMA/CD网络中，为了确保能够检测到碰撞，网络中的最小帧长度必须保证在冲突信号返回时数据仍未发送完毕。若单程传播时延为T，信号传播速度为2×m/s，数据传输速率为A.LB.LC.LD.L答案：B解析：在CSMA/CD机制中，争用期为往返时延，即2T。为了保证在发送完一帧之前能检测到最远端发生的碰撞，发送一帧的时间必须大于等于争用期，即L/R4.交换机收到一个目的MAC地址不在其MAC地址表中的单播数据帧时，将如何处理该数据帧？A.丢弃该数据帧B.将该数据帧泛洪到除接收端口外的所有端口C.将该数据帧原路返回发送方D.将该数据帧发送到Trunk端口答案：B解析：交换机的工作原理是“学习源MAC，转发目标MAC”。当目标MAC地址在MAC地址表中找不到对应记录时（即未知单播帧），交换机会将其视为广播帧处理，执行泛洪操作，将该帧从除了接收该帧的端口之外的所有端口转发出去，以期目标主机能够接收并回应。5.以下关于VLANTrunk技术中IEEE802.1Q封装格式的描述，正确的是？A.在以太网帧的源MAC地址和目的MAC地址之间插入4字节的TagB.在以太网帧的末尾附加4字节的TagC.802.1QTag中的TPID字段固定为0x0800D.802.1Q不支持NativeVLAN概念答案：A解析：IEEE802.1Q协议通过在以太网帧的源MAC地址和类型字段之间插入4个字节的Tag来实现VLAN标识。这4个字节包含2字节的TPID（协议标识符，固定为0x8100）和2字节的TCI（控制信息，包含Priority、CFI和VID）。NativeVLAN是思科特有的概念，属于ISL或改进的802.1Q实现，但标准802.1Q本身不强制规定NativeVLAN，不过选项A对帧结构的描述是完全正确的。6.已知IP地址块为192.168.1.0/24，若需要将其划分为4个子网，每个子网内至少容纳25台主机，请问该划分是否可行？若可行，子网掩码应为多少？A.可行，255.255.255.224B.可行，255.255.255.128C.不可行，主机位不足D.可行，255.255.255.192答案：C解析：若要划分为4个子网，需要借用2位主机位（=4）。原网络为/24，借用2位后变更为/26。此时每个子网的主机位仅剩6位（8−2=67.RIPv2相比RIPv1的主要改进不包括以下哪项？A.支持VLSMB.支持组播更新C.支持MD5认证D.支持触发更新答案：D解析：RIPv1和RIPv2都支持触发更新。RIPv2的主要改进在于：支持VLSM（可变长子网掩码，路由更新中携带掩码）；使用组播地址（224.0.0.9）代替广播地址发送更新；支持路由更新认证（明文和MD5）。触发更新机制在RIPv1中就已经引入，用以加速收敛。8.在OSPF协议中，以下关于区域划分的描述，错误的是？A.所有的区域都必须与骨干区域（Area0）直接相连B.骨干区域负责在不同的非骨干区域之间转发路由信息C.虚连接可以跨越多个常规区域连接到骨干区域D.OSPF区域划分的目的是为了减少LSA泛洪范围，降低路由器开销答案：C解析：OSPF规定虚连接必须穿过常规区域（TransitArea）连接到骨干区域，但虚连接不能跨越Stub区域、NSSA区域或TotallyStub区域。因此选项C描述不准确，严格来说虚连接只能跨越常规区域。所有非骨干区域必须与Area0直接相连（物理或逻辑上，逻辑上即通过虚连接）。选项A、B、D的描述均正确。9.BGP协议在建立邻居关系时，通常使用哪种报文来协商和维持连接参数？A.OPENB.UPDATEC.NOTIFICATIOND.KEEPALIVE答案：A解析：BGP使用四种报文：OPEN报文用于建立BGP对等体连接并协商参数；UPDATE报文用于通告可达路由或撤销不可达路由；NOTIFICATION报文用于检测到错误时关闭BGP连接；KEEPALIVE报文用于维持BGP连接。因此协商和维持连接参数（如HoldTime）主要在OPEN报文交互阶段完成。10.TCP在建立连接时，客户端发送SYN报文段，其中序号字段seq=A.xB.xC.xD.0答案：B解析：TCP三次握手过程中，客户端发送SYN报文段，序号为x，且SYN标志位不消耗序列号但在逻辑上占用一个序列号。服务器收到后，回复SYN+ACK报文段，该报文段的确认号ack必须指示期望收到的下一个序号，即x+11.在TCP拥塞控制中，当发送方连续收到3个重复的确认报文（DuplicateACK）时，发送方将触发哪种机制？A.慢开始B.拥塞避免C.快重传D.快恢复答案：C解析：TCP拥塞控制中，快重传算法要求接收方每收到一个失序的报文段后就立即发出重复确认。如果发送方连续收到3个重复确认，说明该报文段已经丢失，发送方应立即重传丢失的报文段，而不是等待超时定时器溢出。这被称为快重传。在快重传之后，通常配合快恢复算法，将慢开始门限减半，拥塞窗口设置为门限值，而不再进入慢开始阶段。12.以下关于UDP协议的描述，正确的是？A.UDP提供面向连接的可靠传输服务B.UDP首部长度固定为8字节C.UDP不支持组播通信D.UDP在数据传输前需要进行三次握手答案：B解析：UDP是无连接的、不可靠的传输层协议。UDP不仅支持单播，还支持广播和组播通信。UDP在传输数据前不需要建立连接（无三次握手）。UDP的首部非常简单，只有源端口、目的端口、长度和校验和4个字段，每个字段2字节，固定为8字节。因此选项B正确。13.DNS域名解析过程中，客户端配置了本地DNS服务器的IP地址。如果本地DNS服务器无法解析且缓存中没有记录，本地DNS服务器通常会首先向哪个服务器发起查询？A.根DNS服务器B.顶级域名服务器C.权限域名服务器D.其他本地DNS服务器答案：A解析：DNS解析采用递归查询与迭代查询相结合的方式。客户端向本地DNS服务器的查询通常是递归查询；而本地DNS服务器如果在缓存中找不到记录，会首先向根DNS服务器发起查询（迭代查询的第一步），根DNS服务器返回顶级域名服务器的IP，本地DNS再向顶级域名服务器查询，依此类推，直到获取最终结果。14.DHCP客户端在获取IP地址的过程中，如果发现服务器分配的IP地址冲突，客户端会发送哪种报文来拒绝使用该IP？A.DHCPDISCOVERB.DHCPOFFERC.DHCPREQUESTD.DHCPDECLINE答案：D解析：DHCP交互流程为：客户端发送DHCPDISCOVER广播寻找服务器；服务器回复DHCPOFFER提供IP配置；客户端发送DHCPREQUEST请求使用该配置（由于可能收到多个OFFER，REQUEST也是广播）；服务器回复DHCPACK确认。如果客户端在收到ACK后通过ARP检测发现IP地址已被网络中其他主机使用，会发送DHCPDECLINE报文通知服务器该IP不可用，并重新开始DHCP流程。DHCPNAK是服务器拒绝客户端的REQUEST。15.某企业网络需要实现基于策略的路由，要求来自192.168.1.0/24网段的数据流通过Serial0/0接口转发，而其他数据流通过默认路由转发。在路由器配置ACL时，应该使用以下哪条命令来匹配该网段的数据流？A.`access-list10permit192.168.1.0255.255.255.0`B.`access-list10permit192.168.1.00.0.0.255`C.`access-list100permittcp192.168.1.00.0.0.255any`D.`access-list100permitip192.168.1.0255.255.255.0any`答案：B解析：在标准ACL中，语法为`access-listaccess-list-numberpermit/denysource-ipwildcard-mask`。标准ACL的编号范围通常是1-99或1300-1999，且通配符掩码使用的是反掩码。因此选项B`0.0.0.255`是正确的反掩码。选项A使用的是正掩码，错误。选项C和D是扩展ACL（编号100-199），扩展ACL语法为`permitprotocolsource-ipwildcarddestination-ipwildcard`，其源地址和目的地址都必须使用反掩码，选项D使用了正掩码，错误。16.在IPSecVPN架构中，负责管理安全关联（SA）、密钥生成和交换的协议是？A.AHB.ESPC.IKED.ISAKMP答案：C解析：IPSec协议族主要包括AH（认证头）、ESP（封装安全载荷）和IKE（互联网密钥交换）。AH提供数据完整性和源认证，但不提供加密；ESP提供数据加密、完整性和认证。IKE是负责协商IPSecSA（安全关联）、进行身份认证以及自动交换密钥的协议。ISAKMP是定义认证和密钥交换的框架，但具体的密钥交换通常由IKE来实现。17.在对称加密算法中，AES（高级加密标准）支持多种密钥长度，以下哪一项不是AES标准规定的密钥长度？A.128位B.192位C.256位D.512位答案：D解析：AES加密标准由NIST制定，替换了原有的DES算法。AES算法采用分组加密，分组长度固定为128位，但其支持的密钥长度可以是128位、192位或256位。512位不是AES标准支持的密钥长度。18.在网络管理协议SNMP中，代理进程主动向管理站发送异常事件通知的报文是？A.Get-RequestB.Set-RequestC.TrapD.Get-Response答案：C解析：SNMP协议定义了几种基本操作：Get-Request用于管理站获取代理的MIB变量值；Set-Request用于管理站设置代理的MIB变量；Get-Response用于代理对Get/Set请求进行响应；Trap是代理主动向管理站发送的未请求通知，用于报告诸如接口状态改变、设备重启等异常事件。19.在华为VRP操作系统中，如果在OSPF区域0中将一个接口配置为静默接口，将会产生什么影响？A.该接口不再发送和接收OSPF报文B.该接口停止发送OSPF报文，但仍然可以接收OSPF报文C.该接口只发送Hello报文，不发送LSAD.该接口的直连路由无法被注入OSPF答案：A解析：在华为VRP（以及大多数厂商实现）中，将OSPF接口配置为静默接口后，该接口将不再发送和接收OSPF协议报文（包括Hello、LSR、LSU等）。这通常用于连接终端主机的接口，以防止主机收到无用的OSPF报文，同时节省带宽并提高安全性。需要注意的是，静默接口的直连路由仍然可以通过其他方式通告进OSPF，但接口本身不参与OSPF邻居建立。20.IPv6地址的表示方法中，以下哪种是不合法的？A.2001:0:0:0:1:2:3:4B.2001::1:2:3:4C.2001::25de::cadeD.::1答案：C解析：IPv6地址为128位，通常分为8组，每组16位，用4个十六进制数表示。为了简化书写，可以使用“双冒号”表示连续的零。但规定在同一个IPv6地址中，双冒号只能出现一次，否则会导致无法确定零被压缩的数量。选项C中出现了两个“::”，因此是不合法的。选项A可以使用“::”压缩为选项B（或部分压缩），选项D是环回地址。21.以下关于IPv6邻居发现协议（NDP）的描述，错误的是？A.NDP使用ICMPv6报文进行交互B.NDP可以替代IPv4中的ARP协议C.路由器通告报文的类型是133答案：C解析：NDP（NeighborDiscoveryProtocol）使用ICMPv6报文，替代了IPv4中的ARP、ICMP路由器发现和ICMP重定向等功能。在ICMPv6中，类型133是路由器请求，类型134是路由器通告。类型135是邻居请求，类型136是邻居通告。因此选项C错误。22.在SDN（软件定义网络）架构中，控制器南向接口负责控制器与底层网络设备之间的通信，目前最常用的南向接口协议是？A.OpenFlowB.NETCONFC.RESTfulAPID.PCEP答案：A解析：SDN架构包含三个主要接口：南向接口、北向接口和东西向接口。南向接口是控制器与数据平面设备通信的接口，OpenFlow是最早也是目前最广泛使用的标准化南向接口协议。NETCONF/YANG常用于网络配置管理，RESTfulAPI通常用于北向接口供上层应用调用。23.在MPLS网络中，标签交换路由器在转发数据时，如果发现标签栈底标志为1，且标签对应的操作为Pop（弹出），那么弹出标签后，路由器将如何处理该数据包？A.丢弃该数据包B.根据弹出后的新标签继续进行MPLS转发C.根据IP头部进行传统的三层路由查找转发D.将数据包返回给源端答案：C解析：MPLS标签栈底标志（S位）为1表示该标签是栈底标签。当LSR收到一个MPLS报文，查找标签转发表，操作为Pop，且弹出的是栈底标签时，报文将不再是MPLS报文。此时路由器会查看IP头部，进行传统的IP路由查找并转发。这种机制常用于MPLSVPN中的最后一跳。24.在无线局域网WLAN的802.11标准中，CSMA/CA机制为了避免冲突，引入了帧间间隔。用于发送高优先级数据（如确认帧ACK）的时间间隔是？A.SIFSB.PIFSC.DIFSD.EIFS答案：A解析：802.11协议定义了多种帧间间隔以提供不同优先级的介质访问。SIFS（短帧间间隔）是最短的，用于需要立即响应的高优先级帧，如ACK、CTS等。PIFS（点协调功能帧间间隔）用于PCF模式；DIFS（分布式协调功能帧间间隔）用于DCF模式下普通数据帧的发送；EIFS用于发生错误时的延迟。25.以下关于云计算服务模式的描述，正确的是？A.IaaS提供了操作系统和中间件的运行环境，用户只需部署应用程序B.PaaS提供了虚拟化的计算、存储和网络资源C.SaaS是指用户直接通过互联网使用提供商提供的完整应用软件D.在IaaS模式中，用户需要负责应用程序和数据库的运行维护，但不需要负责操作系统的补丁更新答案：C解析：云计算三大服务模型：IaaS（基础设施即服务）提供虚拟化的底层资源（CPU、内存、存储、网络），用户需要自行安装操作系统和应用程序，并负责维护；PaaS（平台即服务）提供操作系统、数据库、中间件等运行环境，用户只需专注于开发和部署应用；SaaS（软件即服务）直接提供成品的应用软件，用户直接使用，无需关心底层架构。因此选项C正确。26.某网络链路带宽为100Mbps，往返时延RTT为20ms。假设使用TCP协议进行数据传输，最大报文段长度MSS为1KB，且忽略首部开销与确认时间。若TCP拥塞窗口始终保持在最大值（假设不受接收窗口限制），则该TCP连接的理论最大吞吐量约为？A.50MbpsB.100MbpsC.20MbpsD.10Mbps答案：A解析：TCP最大吞吐量受限于带宽时延积（BDP）。带宽时延积BDP=带宽×R27.在路由协议中，管理距离的作用是？A.衡量路径的优劣，用于在相同路由协议内选择最佳路径B.衡量路由来源的可信度，用于在不同路由协议间选择最佳路径C.用于计算到达目的网络的跳数D.用于限制路由更新报文的传播范围答案：B解析：管理距离是路由器用来衡量路由信息源可信度的指标。管理距离越小，可信度越高。当路由器通过不同的路由协议学习到到达相同目的网络的路由时，会优先选择管理距离较小的路由。度量值则用于在同一种路由协议内比较到达相同目的网络的多条路径的优劣。28.IPv4分片机制中，当路由器接收到一个大于链路MTU的数据包时，需要对其进行分片。以下关于分片的描述，正确的是？A.分片工作由源端主机和路由器共同完成B.只有源端主机可以进行分片，路由器只能丢弃超大包并反馈ICMPC.所有分片将在目的端主机进行重组D.分片后的每个IP数据包首部中的标识符字段会改变答案：C解析：在IPv4中，分片可以由源端主机或转发路径上的路由器完成（除非设置了DF=1标志）。重组工作则统一由目的端主机完成，路由器不负责重组分片。所有分片在IP首部中保持相同的标识符字段，以便目的端能够识别并将它们重组为原始数据包。标志位中的MF（MoreFragment）用于指示是否还有后续分片。29.在生成树协议STP（IEEE802.1D）中，根桥的选举是基于什么参数？A.端口优先级B.桥ID（BridgeID）C.端口路径开销D.端口MAC地址答案：B解析：STP在网络初始化时，所有交换机都会认为自己是根桥，并发送BPDU报文。BPDU中包含桥ID（BridgeID），由桥优先级和桥MAC地址组成。选举根桥时，优先级数值最小的交换机当选为根桥；如果优先级相同，则比较MAC地址，MAC地址最小的交换机当选为根桥。30.在高级ACL配置中，若需要允许特定主机（192.168.1.10）访问外网的Web服务（TCP端口80），同时拒绝其他所有流量，以下华为设备配置命令片段正确的是？A.`acl3000``rule10permittcpsource192.168.1.100destination-porteq80``rule20denyipsourceanydestinationany`B.`acl3000``rule10permittcpsource192.168.1.100destinationanydestination-porteq80``rule20denyip`C.`acl3000``rule10permittcpsource192.168.1.100.0.0.0destination-porteq80``rule20denyip`D.选项A、B、C均不完全正确答案：B解析：在华为设备中，高级ACL的规则通常需要明确源地址和通配符掩码，目的地址（若是访问外网通常使用any）。`rule10permittcpsource192.168.1.100destinationanydestination-porteq80`是最标准的语法。选项A缺少了destination定义。选项C在源地址后使用了`0.0.0.0`，虽然在某些版本中可省略，但华为标准通配符掩码对于主机通常写为`0`，且缺少了目的地址字段`destinationany`。因此选项B是相对完整的配置。注意华为VRP系统中，在末尾不写`destinationany`可能会有默认行为，但写明最为严谨。在华为VRPV8中，B的语法是完全正确的。试题一（15分）阅读以下网络规划与设计说明，回答问题1至问题4。【说明】某大型企业原有网络采用IPv4架构，核心层采用双机热备，汇聚层采用三层交换机，接入层为二层交换机。随着业务扩展，原有IPv4地址资源枯竭，现计划进行IPv6网络升级改造，要求采用双栈过渡技术，逐步完成向纯IPv6网络的迁移。【问题1】（4分）在网络规划中，IPv6地址配置方式分为无状态自动配置（SLAAC）和有状态DHCPv6。请简要说明这两种方式在地址分配机制上的主要区别。【问题2】（4分）在IPv6网络中，为了实现双栈核心设备的冗余，采用VRRPforIPv6协议。请写出IPv6中VRRP虚拟MAC地址的格式，并说明VRRP报文在IPv6网络中使用的组播地址和协议号。【问题3】（3分）在进行IPv6路由协议配置时，若使用OSPFv3替代OSPFv2，OSPFv3的协议号和组播地址是什么？OSPFv3相比OSPFv2的一个重大改进是协议自身不再依赖网络层地址，这个改进带来了什么好处？【问题4】（4分）在过渡期间，部分老旧终端不支持IPv6，网络中存在纯IPv4节点。为了保证纯IPv4节点能够访问IPv6网络资源，可以采用NAT64技术。请简述NAT64技术中DNS64的作用，并列出NAT64网关在进行地址转换时，将IPv4报文发往IPv6网络时需要在IPv6目的地址中嵌入IPv4地址的常见格式。【参考答案】【问题1】无状态自动配置（SLAAC）：路由器仅通过发送RA（RouterAdvertisement）报文向主机通告网络前缀信息，主机利用收到的网络前缀结合自身的接口标识符（如EUI-64）自动生成IPv6地址，路由器不记录主机的地址绑定关系，也不分配DNS等其他配置信息（RFC6106之前）。有状态DHCPv6：主机发送Solicit报文向DHCPv6服务器请求地址，DHCPv6服务器维护地址池，为主机分配IPv6地址、DNS服务器等详细配置信息，并记录地址的租期和绑定关系。【问题2】IPv6中VRRP虚拟MAC地址格式为：`00-00-5E-00-02-{VRID}`。其中VRID为虚拟路由器ID（16位）的低8位，但MAC地址中只占用最后1个字节，前缀固定为`00:00:5E:00:02`。VRRP报文使用的IPv6组播地址为：`FF02::12`。使用的协议号为：`112`。【问题3】协议号为`89`，组播地址使用`FF02::5`（所有OSPF路由器）和`FF02::6`（OSPFDR/BDR路由器）。好处：OSPFv3基于链路运行，不再依赖网络层地址（即不需要IPv4或IPv6地址来建立邻居关系），可以直接通过Link-Local地址建立邻居，这使得同一物理链路上可以运行多个OSPFv3实例，且地址改变不影响邻居关系，增强了协议的灵活性和网络稳定性。【问题4】DNS64的作用：当纯IPv4客户端发起DNS查询时，DNS64服务器负责将只包含A记录（IPv4地址）的DNS响应转换为包含AAAA记录（IPv6地址）的响应，并将转换后的IPv6地址返回给IPv6网络中的客户端，使得客户端认为访问的是IPv6资源。常见嵌入格式为：NAT64网关使用前缀（如`64:ff9b::/96`）加上IPv4地址（将其转换为十六进制嵌入最后32位）。格式为：`64:ff9b::A.B.C.D`（其中A.B.C.D为IPv4地址）。【解析】【问题1】考察IPv6地址分配的基础概念。SLAAC强调无状态，仅分配前缀；DHCPv6强调有状态，分配完整地址并管理租约。【问题2】IPv4的VRRPMAC是`00-00-5E-00-01-{VRID}`，IPv6是`00-00-5E-00-02-{VRID}`。IPv6组播地址为`FF02::12`，而IPv4是`224.0.0.18`。协议号都是112。【问题3】OSPFv3仍使用IP协议号89，但组播地址升级为IPv6格式。OSPFv3的链路级特性允许在不配置全局单播地址的情况下建立邻居，仅需Link-Local地址，这是重要的理论基础。【问题4】NAT64结合DNS64是纯IPv4访问IPv6或者纯IPv6访问IPv4的关键过渡技术。这里描述的是IPv6客户端访问IPv4服务器的场景。DNS64做A到AAAA的合成，NAT64做协议转换。前缀通常是`64:ff9b::/96`。试题二（15分）阅读以下网络设备配置说明，回答问题1至问题3。【说明】某企业网络拓扑如下：核心交换机SW1和SW2作为VRRP主备网关，下联多台接入交换机SW3。SW1和SW2之间通过多条链路互联，运行OSPF协议。为了优化网络，工程师在SW1和SW2上配置了相关路由策略和VLAN隔离。【SW1配置片段】```interfaceVlanif10ipaddress10.1.1.252255.255.255.0vrrpvrid10virtual-ip10.1.1.254vrrpvrid10priority120vrrpvrid10trackinterfaceGigabitEthernet0/0/24reduced30#interfaceGigabitEthernet0/0/24descriptionTo_SW2portlink-typetrunkporttrunkallow-passvlan10100#ospf1router-id1.1.1.1area0.0.0.0network10.1.1.00.0.0.255network10.10.10.10.0.0.0silent-interfaceVlanif10```【问题1】（5分）在上述SW1的VRRP配置中，`vrrpvrid10priority120`优先级被调整为120，默认优先级是多少？`vrrpvrid10trackinterfaceGigabitEthernet0/0/24reduced30`这条命令的作用是什么？假设SW1与SW2之间的直连链路出现故障，VRRP会发生什么状态切换？【问题2】（5分）在OSPF配置中，`silent-interfaceVlanif10`的作用是什么？如果不配置该命令，可能会对网络造成什么不良影响？【问题3】（5分）如果由于业务需求，需要在SW1和SW2之间使用策略路由，使得VLAN100的流量发往上游路由器R1（IP:10.10.10.1），而VLAN200的流量发往R2（IP:10.10.20.1）。请在SW1上配置基本的MQC（ModularQoSCommand-LineInterface）策略路由框架，写出定义流分类、流行为以及应用到接口（假设在GigabitEthernet0/0/24的入方向应用）的配置命令。【参考答案】【问题1】VRRP默认优先级是100。`trackinterface...reduced30`命令的作用是：配置VRRP监视接口GigabitEthernet0/0/24。当该接口的物理状态或链路协议状态变为Down时，当前设备SW1的VRRP优先级会降低30（即变为90）。状态切换过程：当SW1的G0/0/24接口Down时，其优先级从120降为90。此时SW2的默认优先级100大于SW1的90，SW2将抢占成为VRRPMaster，SW1降为Backup，网关流量切换到SW2。【问题2】`silent-interfaceVlanif10`的作用是将Vlanif10接口设置为OSPF静默接口。该接口不再发送OSPFHello报文，也无法建立OSPF邻居关系，但其直连网段（10.1.1.0/24）仍可以通过其他接口的OSPF报文通告进OSPF区域。如果不配置该命令，VRRP网关接口Vlanif10会发送OSPFHello报文给终端主机。终端主机收到这些无用的OSPF报文会造成网络带宽的浪费和主机CPU资源的无谓消耗；同时，如果网络中存在恶意终端侦听OSPF报文，可能会引发伪造LSA的网络攻击，降低网络安全性。【问题3】在SW1上配置MQC策略路由如下：```#定义ACL匹配VLAN100和200的源地址（假设VLAN100网段为10.1.100.0/24，VLAN200为10.1.200.0/24）aclnumber3001rule10permitipsource10.1.100.00.0.0.255aclnumber3002rule10permitipsource10.1.200.00.0.0.255##配置流分类trafficclassifierc_vlan100if-matchacl3001trafficclassifierc_vlan200if-matchacl3002##配置流行为trafficbehaviorb_to_R1redirectip-nexthop10.10.10.1trafficbehaviorb_to_R2redirectip-nexthop10.10.20.1##配置流策略trafficpolicyp_pbrclassifierc_vlan100behaviorb_to_R1classifierc_vlan200behaviorb_to_R2##应用到接口入方向interfaceGigabitEthernet0/0/24traffic-policyp_pbrinbound```【解析】【问题1】VRRP默认优先级是100。Track机制是VRRP实现主备切换的关键联动功能，防止上行链路故障导致网关不可用而VRRP不切换的黑洞现象。【问题2】静默接口在网络工程实践中极其重要，特别是面向终端用户的网关接口。它防止协议报文泄漏到用户侧，既节省资源又增强安全。【问题3】考察MQC框架的配置语法。包括ACL定义、流分类、流行为、流策略以及接口下发。命令需符合华为VRP体系的规范语法。试题三（15分）阅读以下网络安全与VPN配置说明，回答问题1至问题3。【说明】某企业总部与分支机构之间通过Internet建立IPSecVPN连接。总部出口路由器R1与分支出口路由器R2公网地址互通。为了提高安全性，要求采用IKEv2协商IPSecSA，加密算法采用AES-256，认证算法采用SHA-256，DH组采用Group14。同时，为了实现内部网络地址与公网地址的转换，路由器上还配置了NAT。【问题1】（6分）IPSec协议主要由AH、ESP和IKE等协议组成。请简要说明AH和ESP在功能上的主要区别。如果需要同时保证数据的机密性和完整性，应该选择哪种协议？【问题2】（4分）在IKEv2协商过程中，包含了两个阶段的协商。第一阶段建立的安全通道用于传输什么数据？第二阶段建立的安全通道用于传输什么数据？相比IKEv1，IKEv2在交互报文数量上有什么优势？【问题3】（5分）在总部出口路由器R1上配置IPSecVPN时，由于内网还配置了NAT，经常出现IPSec流量被NAT破坏的问题。请说明NAT设备为什么会破坏IPSec流量？为了解决这个问题，通常需要采用什么技术手段？【参考答案】【问题1】AH（认证头）协议：只提供数据完整性、数据源身份认证和防重放攻击保护，不提供数据机密性保护（即不进行数据加密）。ESP（封装安全载荷）协议：提供数据完整性、数据源身份认证、防重放攻击保护，并且提供数据机密性保护（即数据加密）。如果需要同时保证数据的机密性和完整性，应该选择ESP协议。【问题2】第一阶段建立的安全通道（IKESA）用于传输IKE管理报文（如后续的密钥交换报文、IPSecSA协商报文）。第二阶段建立的安全通道用于传输用户实际的业务数据流。优势：IKEv1在主模式下建立IKESA和IPSecSA总共需要6-9个报文（主模式6个+快速模式3个），而IKEv2建立IKESA和ChildSA（IPSecSA）仅需4个报文（2个交互建立IKESA，2个交互建立ChildSA），大幅减少了交互次数，提高了建立效率。【问题3】NAT设备破坏IPSec流量的原因：1.AH协议会将IP头部中的部分字段（如源IP地址）纳入到完整性校验和（ICV）的计算中。当NAT设备修改IP头部的源IP地址时，会破坏ICV的完整性，导致对端校验失败并丢弃报文。2.ESP协议虽然不校验外层IP头部，但传统NAT设备无法解析ESP载荷内部的内层IP地址（因为ESP加密了这部分数据），导致NAT设备无法建立正确的NAT映射表项，从而无法转发ESP报文（NAT设备通常只能处理TCP/UDP等特定协议的端口转换）。解决手段：采用NAT-T（NATTraversal，NAT穿越）技术。NAT-T通过在IKE协商阶段检测路径中是否存在NAT设备，如果存在，则将ESP报文封装在UDP报文中（通常使用UDP端口4500），使NAT设备能够像处理普通UDP流量一样处理IPSec流量，并对UDP头部进行校验和修正。【解析】【问题1】考查IPSec核心协议AH与ESP的功能差异。AH不加密，ESP既加密又认证，因此现代VPN多用ESP。【问题2】IKEv1与IKEv2的对比是近年来网络工程师考试的重点。IKEv2报文精简，协商快速，且支持EAP认证，是当前推荐标准。【问题3】NAT与IPSec的冲突是经典问题。AH的防篡改机制与NAT的地址修改是天然对立的。ESP虽然外层不防篡改，但NAT设备无法为其进行端口映射（NAT需要传输层端口信息）。因此使用NAT-T将ESP封装在UDP中是最常见的解决方案。试题四（15分）阅读以下网络管理与故障排查说明，回答问题1至问题3。【说明】某数据中心机房网络架构采用核心-接入两层架构，服务器均采用双网卡绑定接入两台接入交换机。某日，网络管理员发现Server-A（IP:192.168.10.10）无法Ping通网关（IP:192.168.10.1），但Server-B（IP:192.168.10.11）可以正常上网。【问题1】（5分）管理员在Server-A上使用`tracert192.168.10.1`命令进行排查，发现第一跳就显示请求超时。但在Server-A上执行`arp-a`命令时，能够看到192.168.10.1的MAC地址。请分析导致这一现象的可能原因（至少列出两点）。【问题2】（5分）若进一步排查发现，接入交换机的端口指示灯正常，但管理员在接入交换机上使用`displayinterfaceGigabitEthernet0/0/1`命令查看连接Server-A的端口时，发现存在大量的CRC错误包。请说明产生CRC错误的常见物理层原因，并给出排查与解决的物理层建议。【问题3】（5分）为了监控网络流量，管理员在核心交换机上配置了端口镜像，将业务口流量复制到监控口连接的网络