2026年计算机软考中级网络工程师试题与答案

2026年计算机软考中级网络工程师试题与答案1.在计算机系统的总线结构中，为缓解高速CPU与慢速外设之间的速度不匹配问题，通常在总线控制器中引入（）机制。A.突发传输B.多主控总线C.仲裁D.缓冲与缓存【答案】D【解析】为了缓解CPU与外设速度不匹配的问题，总线和接口控制器中通常引入缓冲或缓存机制，使得外设的数据可以先存放在缓冲区中，等CPU空闲或总线空闲时再进行处理。仲裁机制主要用于解决多个主设备竞争总线使用权的问题。2.若某计算机主存地址空间为字节，按字编址，每个字长为32位，则该主存的地址位数和字地址位数分别为（）。A.32，30B.32，32C.30，32D.30，30【答案】A【解析】主存地址空间为字节，即按字节编址时地址位数为32位。现在按字编址，每个字长为32位，即4个字节。因此，字地址位数=字节地址位数-lo43.在操作系统中，若进程正在使用资源并申请资源，进程正在使用资源并申请资源，这种状态被称为（）。A.活锁B.死锁C.饥饿D.竞争【答案】B【解析】死锁是指两个或两个以上的进程在执行过程中，因争夺资源而造成的一种互相等待的现象。若无外力干预，它们都将无法推进。占有等待，占有等待，形成了一个循环等待链，属于典型的死锁状态。4.设信道带宽为4000Hz，信噪比为A.40B.30C.20D.10【答案】A【解析】根据香农定理，信道极限数据传输速率C=Blo(1+S/5.在TCP/IP协议栈中，ICMP协议工作在网络层，其主要作用是（）。A.维护路由表B.提供可靠的数据传输C.报告差错与控制信息D.进行域名解析【答案】C【解析】ICMP（互联网控制报文协议）工作在网络层，主要用于在IP主机、路由器之间传递控制消息和差错报告，如目标不可达、超时、回显请求与应答等。维护路由表通常由路由协议（如OSPF、BGP）完成，可靠数据传输由TCP完成，域名解析由DNS完成。6.某公司IP网络块为192.168.10A.4B.6C.8D.12【答案】C【解析】每个子网需要容纳25台主机，主机位需满足−2≥25，则h≥5。即每个子网需要5位主机位。原网络前缀为24位，子网掩码从主机位借位。借87.IPv6地址被划分为单播、任播和组播。下列IPv6地址中，属于组播地址的是（）。A.FE80::1B.FF02::1C.2001:DB8::1D.::1【答案】B【解析】IPv6地址中，以11111111（即FF）开头的地址为组播地址。FE80::/10是链路本地单播地址，2001:DB8::/32是文档用单播地址，::1是环回单播地址。8.在CSMA/CD网络中，规定最小帧长度是为了（）。A.提高信道利用率B.减少碰撞概率C.保证发送站在碰撞发生时还未发送完数据D.提高数据传输速率【答案】C【解析】在CSMA/CD机制下，最小帧长度的规定是为了确保发送站在发送整个帧的过程中能够检测到可能发生的碰撞。如果帧太短，发送站在发送完毕后已经释放了信道，若此时碰撞信号返回，发送站将无法知道发生了碰撞，从而无法触发重传机制。9.以太网交换机在收到广播帧时，其默认转发行为是（）。A.丢弃B.向接收端口以外的所有端口转发C.向所有端口转发D.向特定端口转发【答案】B【解析】二层交换机收到广播帧（目的MAC为FF-FF-FF-FF-FF-FF）时，默认会向除接收端口外的所有属于同一VLAN的端口转发，以泛洪的方式确保广播域内的所有设备都能收到。10.在生成树协议（STP）中，网桥ID由优先级和MAC地址组成。若两台交换机的优先级相同，则（）将成为根桥。A.MAC地址较大者B.MAC地址较小者C.端口速率较高者D.端口编号较小者【答案】B【解析】STP选择根桥时，首先比较网桥优先级，数值越小优先级越高。如果优先级相同，则比较MAC地址，MAC地址越小的交换机将成为根桥。11.在虚拟局域网（VLAN）技术中，一个VLAN可以看作是一个独立的（）。A.物理网络B.广播域C.冲突域D.路由域【答案】B【解析】VLAN技术通过逻辑划分将一个物理的局域网划分为多个逻辑网段。每一个VLAN对应一个独立的广播域，不同VLAN之间的主机无法直接进行二层通信，必须通过三层设备进行路由。12.在OSPF路由协议中，路由器宣告一条链路状态信息，该信息在整个OSPF区域内的泛洪行为受到（）机制的限制。A.毒性逆转B.水平分割C.生存时间（TTL）D.序列号和老化时间【答案】D【解析】OSPF协议使用链路状态通告（LSA）来传递网络拓扑信息。为了保证LSA在全网可靠同步并防止旧信息循环，OSPF使用了序列号、校验和以及老化时间机制。每个LSA都有一个序列号，收到旧序列号的LSA会被丢弃；同时LSA在链路状态数据库中存在一定的老化时间。13.BGP协议在建立邻居关系时，通常使用的端口号和协议类型是（）。A.TCP179B.UDP179C.TCP520D.UDP520【答案】A【解析】BGP（边界网关协议）是一种路径矢量路由协议，为了保障路由更新的可靠性，BGP使用TCP作为传输层协议，端口号为179。而RIP协议使用UDP，端口号为520。14.对于UDP协议，下列描述错误的是（）。A.UDP是无连接的协议B.UDP首部开销小，仅8字节C.UDP提供尽力而为的交付，不保证可靠性D.UDP支持流量控制和拥塞控制【答案】D【解析】UDP（用户数据报协议）是无连接的、不可靠的传输层协议，首部仅有8个字节。它不提供确认、重传机制，因此不支持流量控制和拥塞控制。TCP才支持流量控制和拥塞控制。15.TCP连接建立时，采用三次握手机制。其中第二次握手报文中的TCP标志位应包含（）。A.SYN=1,ACK=0B.SYN=1,ACK=1C.SYN=0,ACK=1D.FIN=1,ACK=1【答案】B【解析】TCP三次握手过程为：客户端发送SYN=1,ACK=0；服务端收到后回复SYN=1,ACK=1，表示同意建立连接并确认了客户端的SYN；最后客户端发送SYN=0,ACK=1进行确认。因此第二次握手的标志位为SYN=1,ACK=1。16.在DNS系统中，资源记录中“MX”记录代表的含义是（）。A.主机地址B.邮件交换服务器C.别名D.名称服务器【答案】B【解析】DNS资源记录有多种类型：A记录代表IPv4主机地址，AAAA代表IPv6主机地址，MX代表邮件交换记录，CNAME代表规范名称（别名），NS代表名称服务器记录。17.在Windows系统中，使用命令`ipconfig/flushdns`的作用是（）。A.释放当前DHCP租约B.清除DNS解析器缓存C.刷新DHCP分配的IP地址D.重新注册DNS名称【答案】B【解析】`ipconfig/flushdns`命令用于清除本地计算机的DNS解析器缓存。当域名解析发生异常或DNS记录更新时，可以使用此命令清除旧的解析记录，使后续DNS查询直接向DNS服务器发起请求。18.IEEE802.11标准中，Wi-Fi6（802.11ax）引入了多种新技术以提高网络性能。下列技术中不属于Wi-Fi6的是（）。A.OFDMAB.MU-MIMOC.BSS着色D.帧聚合【答案】B【解析】Wi-Fi6（802.11ax）引入了OFDMA（正交频分多址）、BSS着色技术、目标唤醒时间（TWT）等。MU-MIMO（多用户多入多出）技术是在Wi-Fi5（802.11ac）中首次引入并大规模应用的，虽然Wi-Fi6也支持，但它不属于Wi-Fi6新引入的核心标志性技术。19.IPsec协议中的AH协议仅提供数据源认证和完整性校验，不提供（）。A.防重放攻击B.数据机密性C.访问控制D.数据完整性【答案】B【解析】IPsec协议族中，AH（认证头）协议提供数据源认证、数据完整性和防重放攻击保护，但不提供数据加密功能，即不提供机密性。ESP（封装安全有效载荷）协议则同时提供认证、完整性和加密机密性服务。20.在报文摘要算法中，MD5算法的输出摘要长度为（）位。A.64B.128C.160D.256【答案】B【解析】MD5（消息摘要算法第5版）对输入的任意长度消息进行处理，输出固定长度为128位（16字节）的散列值。SHA-1的输出为160位。21.企业网络安全防范中，如果发现内部主机被远端控制，频繁向外发起大量的半连接请求，导致外部网络服务不可用，这种行为属于（）。A.DDoS攻击B.跨站脚本攻击C.SQL注入攻击D.ARP欺骗【答案】A【解析】被控制的主机通常被称为“肉鸡”，黑客通过控制大量肉鸡向目标服务器发起拒绝服务攻击。如果发起的是大量半连接请求（如TCPSYNFlood），这属于分布式拒绝服务攻击的典型表现。22.下列选项中，不属于网络规划中需求分析阶段应考虑的因素是（）。A.业务流量预估B.网络拓扑结构设计C.用户规模与地理位置D.现有网络拓扑与设备性能【答案】B【解析】网络规划的需求分析阶段主要包括业务需求、用户需求、应用需求、网络规模和地理位置分布、以及现有网络的评估等。网络拓扑结构设计属于逻辑网络设计阶段的任务，不是需求分析阶段的内容。23.在Linux系统中，管理员需要终止一个名为`sshd`的进程，其PID为1024。下列命令正确的是（）。A.kill1024B.stop1024C.killall1024D.shutdown1024【答案】A【解析】在Linux系统中，终止一个特定进程通常使用`kill`命令后接进程的PID。`killall`命令后接进程的名称。选项A是正确的语法。24.在SNMP协议中，管理站向代理发送的GetRequest报文如果请求的OID不存在，代理将回复（）。A.ResponseB.TrapC.GetNextRequestD.InformRequest【答案】A【解析】当SNMP管理站发送GetRequest报文请求特定OID时，无论该OID是否存在，代理都会使用Response报文进行回复。如果OID不存在或出错，Response报文中会包含对应的错误状态码（如noSuchObject或noSuchInstance）。25.在IPv6网络中，某个接口的MAC地址为00:1A:2B:3C:4D:5E，若通过EUI-64规范生成接口标识符，则生成的IPv6链路本地地址应为（）。A.FE80::21A:2B3C:4D5EB.FE80::021A:2BFF:FE3C:4D5EC.FE80::021A:2BFF:FE3C:4D5E/64D.FE80::21A:2BFF:FE3C:4D5E【答案】C【解析】EUI-64规范生成IPv6接口标识符的步骤为：在MAC地址中间插入FFFE，并将MAC地址第一个字节的第7位反转。MAC地址00:1A:2B:3C:4D:5E的二进制首字节为00000000，反转第7位后为00000010（十六进制02），插入FFFE后为021A:2BFF:FE3C:4D5E。加上链路本地地址前缀FE80::/64，最终结果为FE80::021A:2BFF:FE3C:4D5E/64。26.在BGP协议中，AS_PATH属性的作用不包括（）。A.防止路由环路B.影响路由选择C.确定最短路径D.记录路由经过的自治系统【答案】C【解析】AS_PATH属性记录了某条BGP路由在到达本地AS之前所经过的所有AS的编号。它的主要作用是防止路由环路（收到包含自身AS号的路由将丢弃）以及作为BGP选路规则中的一个重要因素。BGP并不像OSPF那样基于链路状态进行严格的最短路径计算。27.软件定义网络（SDN）架构中，控制器与应用程序之间的接口通常被称为（）。A.南向接口B.北向接口C.东西向接口D.西向接口【答案】B【解析】SDN架构中，控制器与网络设备（交换机）通信的接口称为南向接口（如OpenFlow）；控制器向高层应用提供服务和编程接口，便于应用开发调用网络能力，这种接口称为北向接口。28.若子网掩码为255.255.255A./24B./25C./26D./27【答案】D【解析】子网掩码255.255.25529.下列路由协议中，仅支持IPv4而不直接支持IPv6的是（）。A.OSPFv3B.RIPv2C.BGP-4D.RIPng【答案】B【解析】RIPv2主要面向IPv4环境。OSPFv3、RIPng是专门为IPv6设计的协议。BGP-4虽然主要用于IPv4，但通过多协议扩展支持IPv6，通常被称为MP-BGP。30.在网络管理中，RMON（远程网络监控）的主要功能是（）。A.代替SNMP进行路由计算B.降低管理站与代理之间的通信流量，实现分布式的网络监控C.加密网络传输数据D.自动发现网络拓扑结构【答案】B【解析】RMON是对SNMP的增强，它允许在网络设备（如交换机、路由器）上部署探测器，对网络流量进行统计和监控。这种机制将监控任务分布到各个节点，大大减少了管理站轮询设备带来的网络流量，提高了网络管理的效率。二、案例分析题案例一：企业园区网络规划与部署某大型制造企业计划对其原有园区网络进行升级改造。现有网络采用传统的三层架构（核心层、汇聚层、接入层），存在广播风暴频发、链路利用率低、故障收敛慢等问题。新网络需满足以下需求：1.核心层由两台高性能核心交换机组成，需实现高可用性，要求主备设备故障切换时间小于1秒。2.汇聚层与接入层之间为多链路相连，需提高链路带宽并保障链路冗余。3.网络需要支持语音、视频和数据业务的隔离，保障关键业务质量。4.网络中部署了DHCP服务器为各个部门分配IP地址。根据以上需求，请回答以下问题：【问题1】（8分）为实现核心层两台设备的高可用性及快速故障切换，通常采用哪种技术？请简要说明该技术的工作原理。为避免流量在两台核心交换机之间形成环路，应结合什么协议使用？该协议如何配置以实现负载均衡和冗余备份？【问题2】（6分）在汇聚层与接入层之间的多链路使用中，为了提高带宽和冗余性，网络工程师决定使用链路聚合技术。请说明链路聚合的作用。若要求接入层交换机与汇聚层交换机之间的聚合链路不仅能够增加带宽，还能在链路故障时快速切换，应采用哪种动态链路聚合协议？简述其工作过程。【问题3】（6分）为满足语音、视频和数据业务的隔离需求，网络管理员决定采用VLAN技术。请说明VLAN划分的作用。在接入层交换机上，连接普通办公电脑的端口通常配置为哪种端口类型？连接IP电话的端口由于需要同时传输语音VLAN和数据VLAN的数据，应配置为哪种端口类型？【问题4】（5分）由于DHCP服务器集中部署在核心层，而终端用户分散在各个接入层VLAN中，跨网段获取IP地址需要特定的配置。请在接入层或汇聚层交换机上给出解决此问题的配置思路（只需说明配置命令关键字或协议机制）。同时说明如何防止外部非法DHCP服务器接入网络？【问题参考答案及解析】【问题1解析】为实现核心层两台设备的高可用性及快速故障切换，通常采用VRRP（虚拟路由器冗余协议）或厂商私有的堆叠/CSS（集群技术）。工作原理：VRRP将局域网内的一组路由器或三层交换机虚拟成一个虚拟路由器，对外提供一个虚拟IP和虚拟MAC地址。网络内的主机将网关指向该虚拟IP。VRRP组中有一个主设备和若干备用设备。主设备负责转发发往虚拟IP的数据包。主设备定期发送VRRP通告报文，若备用设备在规定时间内未收到通告，则认为主设备故障，优先级最高的备用设备将接管虚拟IP，成为新的主设备，从而实现快速切换。为避免环路，应结合STP（生成树协议，如MSTP）使用。MSTP配置以实现负载均衡和冗余备份：可通过配置MSTP多生成树实例，将不同的VLAN映射到不同的生成树实例中。例如，将VLAN10,20映射到实例1，VLAN30,40映射到实例2。在核心交换机SW1上设置其为实例1的根桥，在SW2上设置其为实例2的根桥。这样，对于VLAN10,20的流量，SW1为主网关，SW2为备用；对于VLAN30,40的流量，SW2为主网关，SW1为备用。从而实现流量的负载分担和链路冗余。【问题2解析】链路聚合的作用：1.增加带宽：将多条物理链路捆绑为一条逻辑链路，总带宽为各成员链路带宽之和。2.提高可靠性：当某条成员链路发生故障时，流量会自动转移到其他正常的成员链路上，不影响业务传输。3.负载分担：通过特定的哈希算法（如基于源/目的MAC、源/目的IP等）将流量分担到不同的物理链路上。应采用LACP（链路汇聚控制协议，IEEE802.3ad）。工作过程：LACP通过LACPDU（链路汇聚控制协议数据单元）与对端交互信息。设备通过发送LACPDU向对端通告自己的系统优先级、MAC地址、端口优先级和端口号等。对端接收后，比较双方的系统优先级和端口参数，主动选出活跃端口数量和具体哪些端口为活跃端口，其余端口作为备份端口。当活跃端口发生故障时，备份端口会迅速自动切换为活跃状态，无需人工干预，实现快速恢复。【问题3解析】VLAN划分的作用：1.隔离广播域，控制广播风暴，提高网络带宽利用率。2.增强网络安全性，不同VLAN间的通信必须经过三层设备，可通过访问控制列表进行策略控制。3.提高网络灵活性，便于逻辑分组和网络管理，不受物理位置限制。连接普通办公电脑的端口配置为：Access端口。Access端口只属于一个VLAN，用于连接不识别VLAN标签的终端设备。连接IP电话的端口应配置为：Trunk端口或VoiceVLAN端口。由于IP电话一般自带交换功能，语音数据打上语音VLAN标签，而电脑数据不打标签，因此配置为Trunk并设置NativeVLAN（PVID），或使用专门的VoiceVLAN功能，使语音流量在语音VLAN中传输，数据流量在数据VLAN中传输。【问题4解析】解决跨网段获取IP的配置思路：在连接终端的接入层交换机或汇聚层交换机的VLAN接口（VLANIF接口）上配置DHCP中继。配置命令关键字通常为`dhcpselectrelay`，并配置DHCP服务器的IP地址指向集中部署的DHCP服务器。防止外部非法DHCP服务器接入的机制：在接入层交换机的接入端口上配置DHCPSnooping（DHCP嗅探）功能。将连接合法DHCP服务器的端口设置为信任端口，其他连接终端的端口设置为非信任端口。交换机将从非信任端口收到的DHCPOffer和ACK报文直接丢弃，从而防止非法DHCP服务器为终端分配错误的IP地址。案例二：IPv6网络过渡技术与路由配置某互联网服务提供商（ISP）面临IPv4地址枯竭的问题，决定逐步向IPv6网络演进。当前网络架构包含IPv4骨干网部分和新部署的IPv6网络区域。由于业务连续性要求，不能一次性将所有设备切换为纯IPv6运行。【问题1】（5分）在IPv6过渡技术的初期阶段，ISP采用了双栈技术。请简述双栈技术的工作原理及其优缺点。【问题2】（6分）对于部分仅支持IPv4的老旧应用服务器，需要让IPv6网络中的用户能够访问这些IPv4资源。应采用哪种过渡技术？请详细说明该技术的工作过程，并指出需要在该网络中部署什么关键设备。【问题3】（8分）在IPv6骨干网内部，ISP决定部署OSPFv3协议以实现网络互通。在OSPFv3中，与OSPFv2相比有哪些主要变化？请至少列出三点。若两台路由器R1和R2通过Serial接口直接相连，且接口均配置了IPv6地址，但由于配置疏忽，R1的Serial接口OSPFv3区域设置为Area0，而R2的Serial接口OSPFv3区域设置为Area1，这两台路由器能否建立OSPFv3邻居关系？请说明原因。【问题4】（6分）随着IPv6用户规模的扩大，ISP决定通过BGP协议与其他ISP进行IPv6路由交换。在MP-BGP中，IPv6地址族使用的是哪个子地址族标识（SAFI）？在配置BGP对等体时，如果不使用链路本地地址，而使用全局IPv6地址建立BGP邻居关系，在配置时有什么特殊注意事项？【问题参考答案及解析】【问题1解析】双栈技术工作原理：在网络设备的节点上同时运行IPv4和IPv6两套协议栈。设备接口同时配置IPv4和IPv6地址。当设备发送数据时，根据目的IP地址的类型决定使用哪种协议栈处理。如果目的地址是IPv4，使用IPv4协议栈；如果是IPv6，则使用IPv6协议栈。优点：实现简单，无需复杂的隧道封装和解封装，网络互通性好，对上层应用透明。缺点：需要设备同时支持两套协议栈，消耗更多的CPU和内存资源；网络中仍需同时分配和管理IPv4与IPv6地址，未从根本上解决IPv4地址枯竭问题；网络运维复杂度增加。【问题2解析】应采用NAT-PT（网络地址转换-协议转换）或NAT64技术。工作过程：在IPv6网络与IPv4网络的交界处部署NAT64网关设备。当IPv6主机发起访问IPv4服务器的请求时，IPv6主机将请求发送给NAT64设备。NAT64设备接收IPv6报文后，将其IP头部转换为IPv4头部（通常利用DNS64解析得到IPv4对应地址并映射为IPv6地址），源地址转换为NAT64设备配置的IPv4地址池地址，并将报文发送到IPv4网络。当IPv4服务器回应时，NAT64设备将返回的IPv4报文转换为IPv6报文，并发送回原IPv6主机。关键设备：NAT64网关（或支持协议转换功能的路由器），同时为了实现域名解析的自动转换，通常还需要配合部署DNS64服务器。【问题3解析】OSPFv3与OSPFv2的主要变化：1.协议基于链路运行，而不是基于子网。同一链路上不同网段的节点也可以建立邻居关系。2.去掉了认证字段。OSPFv3本身不再提供认证功能，而是依赖IPv6协议头的IPsec扩展头进行认证和加密，提高了安全性。3.支持多实例。OSPFv3支持在同一链路上运行多个OSPF实例，通过InstanceID区分。4.LSA类型和内容的变化。如增加了Link-LSA（类型8），用于传播链路本地信息；Router-LSA和Network-LSA不再包含地址信息，仅包含拓扑信息；新增了Intra-Area-Prefix-LSA（类型9）用于携带区域内前缀。能否建立邻居关系：不能。原因：OSPFv3虽然基于链路建立邻居，但要求相连接口必须属于相同的OSPF区域。Area0和Area1不匹配，会导致OSPFv3邻居状态停留在ExStart或Init阶段，无法最终进入Full状态。【问题4解析】在MP-BGP中，IPv6单播地址族使用的子地址族标识（SAFI）为1（单播）。使用全局IPv6地址建立BGP邻居关系时的特殊注意事项：在BGP配置中，默认情况下BGP使用出接口的IPv6地址作为BGP报文的源地址，而在IPv6网络中，接口通常同时拥有链路本地地址和全局单播地址。如果使用全局IPv6地址建立邻居，必须使用`update-source`命令显式指定建立TCP连接时使用的源接口或源地址，以确保BGPTCP会话的源地址与配置的邻居地址一致，否则TCP连接可能因为源地址为链路本地地址而建立失败。案例三：网络安全策略与IPSecVPN部署某跨国企业需要将其北京总部与上海分公司的内部网络通过公共Internet连接起来，以实现内部财务系统与OA系统的安全数据交互。企业总部出口路由器R1的公网IP为`202.100.1.1/30`，上海分公司出口路由器R2的公网IP为`202.100.2.1/30`。北京总部内网网段为`10.1.0.0/16`，上海分公司内网网段为`10.2.0.0/16`。【问题1】（6分）为保证数据在公共网络上的传输安全，网络工程师决定采用IPSecVPN技术。IPSec协议体系结构中包含哪些主要协议？其工作模式有传输模式和隧道模式两种。在此场景下，两端路由器应配置哪种工作模式？请说明原因。【问题2】（6分）IPSec建立安全通信通常依靠IKE协议完成安全关联（SA）的协商。IKE协议分为两个阶段完成协商。请简述IKE第一阶段和第二阶段的主要任务。如果两个阶段协商均成功，设备间会建立哪几种SA？【问题3】（8分）请根据IKE的协商机制，指出在配置IPSec时，两端安全策略（SecurityPolicy）中哪些参数必须严格一致才能成功建立SA？（请列出至少4项）。同时，在IKE第一阶段的协商中，支持主模式和野蛮模式两种方式，这两种模式在报文交互上有何区别？【问题4】（5分）为了进一步提升总部网络的安全性，管理员在总部出口路由器上配置了访问控制列表（ACL）和NAT。但在部署IPSec后，发现内网通过VPN访问对端的流量不通。请分析原因，并给出解决该问题的配置思路。【问题参考答案及解析】【问题1解析】主要协议：IPSec协议体系主要包含AH（认证头）协议、ESP（封装安全有效载荷）协议和IKE（互联网密钥交换）协议。工作模式：两端路由器应配置为隧道模式。原因：隧道模式在IP报文首部之外新增了一个新的IP首部，将原始的整个IP数据包（包含内网IP和载荷）进行加密和认证后封装在内。在两个站点间通过公共互联网连接时，必须隐藏内网IP结构，且需要在出口路由器处进行NAT和网络层封装，隧道模式能够完美支持这种网关到网关的VPN组网需求。【问题2解析】IKE第一阶段任务：通信双方进行身份验证，协商出IKESA（也称为ISAKMPSA），建立一个安全的加密通道，为后续的第二阶段协商提供保护。IKE第二阶段任务：在第一阶段建立的安全通道基础上，协商IPsecSA的具体参数，如加密算法、认证算法、封装协议等，用于实际用户数据的加密传输。如果两个阶段均成功，设备间会建立：1个IKESA（用于管理通信）和2个IPSecSA（分别用于发送和接收方向的数据加密传输，即入站SA和出站SA）。【问题3解析】必须严格一致的参数：1.加密算法2.认证算法/哈希算法3.DH密钥交换组4.身份认证方法及预共享密钥/证书5.SA的生存周期（可选，不一致时以较小者为准）6.传输模式及封装协议（ESP或AH）区别：主模式：使用3次交换（6个报文）完成协商。前两个报文协商策略，中间两个报文交换DH密钥材料，最后两个报文验证身份。整个过程身份信息是加密的，安全性高。野蛮模式：使用2次交换（3个报文）完成协商。在第一组报文中不仅协商策略，还包含DH密钥材料和身份信息。身份验证信息以明文传输，安全性较低，但协商速度快，适用于IP地址不固定或经过NAT穿越的场景。【问题4解析】原因：出口路由器上同时配置了NAT和IPSec，NAT优先级通常高于IPSec。当内网到对端内网的流量到达路由器时，首先匹配NAT规则被进行地址转换，导致源IP改变。而IPSec策略通常基于源IP和目的IP进行匹配，源IP改变后无法匹配IPSec的ACL，导致数据包未进行加密直接发送或被丢弃。配置思路：在NAT配置中，增加一条拒绝规则，将需要进行IPSecVPN通信的源网段到目的网段的流量排除在NAT转换之外，然后再放行其他流量进行NAT转换。即先denyVPN流量，再permit其他流量进行NAT。案例四：WLAN网络部署与故障排查某高校图书馆部署了无线校园网络，采用“旁挂式”组网架构，无线控制器（AC）旁挂在核心交换机上，FitAP（瘦AP）分布在各楼层弱电间接入交换机。无线网络采用直接转发模式，SSID为“Library-WiFi”。近期收到大量学生反馈，在图书馆三楼自习区连接WiFi后，频繁出现网络断开、网页加载缓慢甚至无法访问互联网的现象，而一楼和二楼的无线网络使用正常。【问题1】（5分）在WLAN网络架构中，FitAP如何发现AC并与AC建立连接？请至少列出两种AP发现AC的机制。【问题2】（6分）针对三楼自习区的网络故障，网络管理员使用抓包工具在某台AP的接入端口进行抓包，发现存在大量的802.11管理帧（如Deauthentication帧）。请分析这种现象产生的原因。这种由于无线环境恶化导致设备频繁断连的现象在术语上称为什么？【问题3】（6分）经进一步排查，发现三楼AP的信道配置存在问题。三楼部署了5台AP，分别覆盖不同的