2026年软考(中级网络工程师)应用技术试题与答案

2026年软考(中级网络工程师)应用技术试题与答案某大型企业随着业务规模的不断扩张，决定对现有的园区网络进行全面的升级与重构。原有的单核心网络架构存在单点故障风险，且带宽瓶颈日益凸显。重构后的网络采用双核心三层架构，包含核心层、汇聚层和接入层。核心层部署两台高性能三层交换机SW1和SW2，汇聚层部署两台三层交换机SW3和SW4，接入层采用多台二层交换机。为实现网关冗余与负载均衡，核心层与汇聚层之间采用MSTP（多生成树协议）与VRRP（虚拟路由器冗余协议）结合的技术方案。企业内部划分多个业务VLAN，其中VLAN10为办公网络，VLAN20为生产网络，VLAN30为服务器集群网络。SW1和SW2作为VLAN10和VLAN20的网关，同时作为VLAN30的备份网关。在网络路由规划方面，核心交换机与出口路由器R1之间运行OSPF协议，实现内部网络与互联网的对接。为了保障网络安全，企业要求生产网络（VLAN20）的流量在访问互联网时必须经过旁挂式部署的入侵检测系统（IDS）的镜像分析，且只允许在非工作时间进行大文件下载。问题1.1（6分）在SW1上配置VRRP，使其成为VLAN10和VLAN20的主设备，同时作为VLAN30的备份设备。根据以下命令片段，补全空白处的配置。[SW1]vlanbatch102030[SW1]interfaceVlanif10[SW1-Vlanif10]ipaddress192.168.10.25224[SW1-Vlanif10]vrrpvrid10virtual-ip192.168.10.254[SW1-Vlanif10]vrrpvrid10priority120[SW1-Vlanif10]vrrpvrid10trackinterfaceGigabitEthernet0/0/1reduced30[SW1-Vlanif10]quit[SW1]interfaceVlanif20[SW1-Vlanif20]ipaddress192.168.20.25224[SW1-Vlanif20]vrrpvrid20virtual-ip192.168.20.254[SW1-Vlanif20]vrrpvrid20priority120[SW1-Vlanif20]quit[SW1]interfaceVlanif30[SW1-Vlanif30]ipaddress192.168.30.25224[SW1-Vlanif30]vrrpvrid30virtual-ip192.168.30.254[SW1-Vlanif30]_________[SW1-Vlanif30]quit问题1.2（4分）VRRP协议通过发送advertisement报文来维护主备状态。若SW1的下行接口GigabitEthernet0/0/1发生故障，VRRP的优先级会降低至90。请计算在默认参数下，SW2需要等待多久才会认为SW1宕机并接管主设备角色？请写出计算公式及结果（标准LaTex公式）。问题1.3（5分）为了实现VLAN间的负载均衡，网络中配置了MSTP。将VLAN10和VLAN20映射到Instance1，将VLAN30映射到Instance2。要求SW1作为Instance1的根桥，SW2作为Instance2的根桥。请补全SW1上的MSTP配置。[SW1]stpregion-configuration[SW1-mst-region]region-nameRG1[SW1-mst-region]instance1vlan1020[SW1-mst-region]instance2vlan30[SW1-mst-region]_________[SW1]stpinstance1rootprimary[SW1]stpinstance2rootsecondary随着企业分支机构的增加，总部与多个分支机构之间需要建立安全可靠的通信通道。企业总部出口路由器R1通过公网与分支机构路由器R2相连。由于公网传输存在安全风险，网络管理员决定采用IPSecVPN技术保障数据传输的机密性与完整性。IPSecVPN采用隧道模式，封装协议为ESP。IKE协商采用IKEv2主模式。在分支机构网络中，为了提高网络访问的可靠性，部署了链路聚合。R2连接了两条物理链路至汇聚交换机，采用LACP协议进行动态聚合。同时，分支机构内部启用了DHCPSnooping和动态ARP检测（DAI）功能，以防范内网中的ARP欺骗攻击。问题2.1（6分）在R1上配置IPSecVPN。根据以下要求补全配置：配置IKE提议使用AES-256加密算法，SHA-256认证算法，DH组14。预共享密钥为“Admin@123”，对端地址为“202.1.1.2”。配置IPSec提议使用ESP协议，加密算法为AES-256，认证算法为SHA-256。并定义需要保护的感兴趣流（ACL3000），源地址为192.168.10.0/24，目的地址为10.10.10.0/24。[R1]ikeproposal1[R1-ike-proposal-1]encryption-algorithmaes-cbc-256[R1-ike-proposal-1]authentication-algorithmsha2-256[R1-ike-proposal-1]dhgroup14[R1-ike-proposal-1]quit[R1]ikepeerr2v2[R1-ike-peer-r2]pre-shared-keyAdmin@123[R1-ike-peer-r2]remote-address202.1.1.2[R1-ike-peer-r2]quit[R1]ipsecproposalprop1[R1-ipsec-proposal-prop1]encapsulation-modetunnel[R1-ipsec-proposal-prop1]transformesp[R1-ipsec-proposal-prop1]espauthentication-algorithmsha2-256[R1-ipsec-proposal-prop1]espencryption-algorithmaes-256[R1-ipsec-proposal-prop1]quit[R1]acl3000[R1-acl-adv-3000]_________[R1-acl-adv-3000]quit[R1]ipsecpolicymap110isakmp[R1-ipsec-policy-isakmp-map1-10]ike-peerr2[R1-ipsec-policy-isakmp-map1-10]proposalprop1[R1-ipsec-policy-isakmp-map1-10]securityacl3000[R1-ipsec-policy-isakmp-map1-10]quit问题2.2（5分）在R2上配置与汇聚交换机之间的链路聚合。要求创建链路聚合组1，采用LACP协议动态聚合，并将接口GigabitEthernet0/0/1和GigabitEthernet0/0/2加入聚合组。请补全配置命令。[R2]interfaceEth-Trunk1[R2-Eth-Trunk1]_________[R2-Eth-Trunk1]trunkportGigabitEthernet0/0/10/0/2[R2-Eth-Trunk1]quit问题2.3（4分）分支机构接入交换机SW-Access上配置了DHCPSnooping。为了使动态ARP检测（DAI）能够正常工作，需要将某些端口配置为信任端口。若GigabitEthernet0/0/1为上联端口，请写出配置DHCPSnooping信任端口的命令，并简述DAI技术防范ARP欺骗的基本原理。为了满足企业移动办公和无线终端接入的需求，该企业在园区内部署了无线局域网（WLAN）。无线网络采用旁挂式AC+FitAP的组网架构，AC旁挂于核心交换机SW1上。AP管理网段为192.168.50.0/24，业务VLAN为VLAN60，网段为192.168.60.0/24。DHCP服务器部署在核心交换机上，由SW1为AP及无线终端分配IP地址。无线网络需要支持WPA2-PSK认证，密码为“Wifi@12345”。为了提升无线网络的安全性，管理员还配置了AP黑白名单功能，仅允许MAC地址为`00e0-fc12-3456`的终端接入SSID为“Company-WiFi”的无线网络。在射频管理方面，采用802.11ac标准，并启用了智能漫游功能。问题3.1（5分）在SW1上配置DHCP服务器，为AP分配IP地址。AP的Option43字段携带AC的IP地址（192.168.50.1）。请补全配置。[SW1]dhcpenable[SW1]interfaceVlanif50[SW1-Vlanif50]ipaddress192.168.50.124[SW1-Vlanif50]dhcpselectinterface[SW1-Vlanif50]dhcpserverexcluded-ip-address192.168.50.2192.168.50.10[SW1-Vlanif50]_________[SW1-Vlanif50]quit问题3.2（6分）在AC上配置WLAN业务。创建SSID模板，名称为“Company-WiFi”；创建安全模板，采用WPA2-PSK认证，加密方式为CCMP；创建VAP模板，配置业务VLAN为60，并引用上述模板。请补全配置。[AC]wlan[AC-wlan-view]ssid-profilenamessid1[AC-wlan-ssid-prof-ssid1]ssidCompany-WiFi[AC-wlan-ssid-prof-ssid1]quit[AC-wlan-view]security-profilenamesec1[AC-wlan-sec-prof-sec1]_________[AC-wlan-sec-prof-sec1]quit[AC-wlan-view]vap-profilenamevap1[AC-wlan-vap-prof-vap1]service-vlanvlan-id60[AC-wlan-vap-prof-vap1]ssid-profilessid1[AC-wlan-vap-prof-vap1]security-profilesec1[AC-wlan-vap-prof-vap1]forward-modetunnel[AC-wlan-vap-prof-vap1]quit问题3.3（4分）在无线网络中，AP通过CAPWAP隧道与AC建立连接。请简述CAPWAP隧道建立的主要过程，并说明CAPWAP协议支持哪两种传输层协议以及在实际部署中推荐使用哪一种。问题3.4（5分）无线天线增益是衡量天线方向性和能量集中程度的重要指标。已知某AP发射功率为20dBm，天线增益为5dB随着国家推动IPv6规模部署，企业计划在现有IPv4网络基础上逐步引入IPv6业务，实现内部网络的IPv4/IPv6双栈运行。核心路由协议OSPF需要升级为OSPFv3以支持IPv6路由交换。在双栈过渡期间，部分仅支持IPv4的老旧业务服务器需要通过NAT64技术实现IPv6网络用户对IPv4资源的访问。网络管理员在R1上配置了OSPFv3，RouterID为1.1.1.1。接口GigabitEthernet0/0/0属于Area0，IPv6地址为`2001:db8:1::1/64`。同时，为了实现IPv6网络访问IPv4网络，R1配置了NAT64前缀为`2001:db8:64::/96`。问题4.1（6分）在R1上配置OSPFv3。请补全以下命令片段。[R1]ipv6[R1]ospfv31[R1-ospfv3-1]_________[R1-ospfv3-1]quit[R1]interfaceGigabitEthernet0/0/0[R1-GigabitEthernet0/0/0]ipv6enable[R1-GigabitEthernet0/0/0]ipv6address2001:db8:1::164[R1-GigabitEthernet0/0/0]_________[R1-GigabitEthernet0/0/0]quit问题4.2（5分）企业在网络重构时，申请到了一个全球单播IPv6地址块`2001:db8:abcd::/48`。现需要将其划分为若干个`/64`的子网，分别分配给不同的业务部门。请计算该企业最多可以划分出多少个`/64`的子网，并使用标准LaTex公式写出计算过程及结果。如果财务部门分配到的子网是`2001:db8:abcd:0012::/64`，请写出该子网的广播地址（若存在）或说明IPv6中广播地址的概念。问题4.3（4分）网络管理员在R1上配置NAT64以实现IPv6主机访问IPv4服务器。服务器IP为`192.168.100.10`。当IPv6主机访问NAT64前缀加该服务器IPv4地址对应的IPv6地址时，R1将进行地址转换。请写出该IPv4地址通过NAT64前缀`2001:db8:64::/96`转换后的完整IPv6地址。问题4.4（5分）在OSPFv3网络运行过程中，两台直连路由器R1和R3的OSPFv3邻居关系停留在“Init”状态，无法正常建立起“Full”邻接关系。请列举出可能导致该故障的三个原因，并简要说明排查思路。随着网络规模的不断扩大，传统的命令行界面（CLI）手工配置方式已无法满足企业对网络运维效率和准确性的要求。企业决定引入基于NETCONF协议的网络自动化运维系统，并使用Python编写自动化脚本进行批量配置下发和状态监控。同时，为了增强网络设备的安全性，所有关键设备已升级SNMPv3用于网管系统监控。在安全审计方面，要求网络设备能够记录用户的配置操作命令，并发送到日志主机集中存储分析。R1的日志主机IP为`192.168.200.10`。问题5.1（5分）在R1上配置SNMPv3。要求配置SNMPv3组名为`group_v3`，安全级别为`authPriv`（认证且加密）；用户名为`user_admin`，认证算法为SHA，认证密码为`Auth@123`，加密算法为AES-128，加密密码为`Priv@123`。请补全配置。[R1]snmp-agentsys-infoversionv3[R1]snmp-agentgroupv3group_v3privacy[R1]snmp-agentusm-userv3user_admingroupgroup_v3[R1]snmp-agentusm-userv3user_adminauthentication-modeshaAuth@123[R1]_________[R1]snmp-agenttarget-hosttrap-hostnamehost1address192.168.200.10paramssecuritynameuser_adminv3privacy问题5.2（5分）在R1上配置信息中心功能，将用户操作命令日志发送至指定的日志主机。日志主机IP为`192.168.200.10`，通道号为`channel6`。请补全配置。[R1]info-centerloghostsourceVlanif10[R1]info-centerloghost192.168.200.10channelchannel6[R1]info-centerchannel6nameloghost[R1]_________[R1]terminalmonitor[R1]terminallogginglevel0问题5.3（5分）Python脚本通过NETCONF协议与R1建立连接时，通常使用XML格式的数据进行交互。以下是一个通过NETCONF下发VLAN配置的Python代码片段。请补全代码中缺失的部分，使得代码能够正确构建获取设备接口信息的XML过滤条件，并打印查询结果。```pythonfromncclientimportmanagerconn=manager.connect(host="192.168.10.1",port=830,username="admin",password="Admin@123",hostkey_verify=False)filter='''<filterxmlns="urn:ietf:params:xml:ns:netconf:base:1.0"><interfacesxmlns="urn:ietf:params:xml:ns:yang:ietf-interfaces"><interface><name/></interface></interfaces></filter>'''result=conn._________print(result.xml)```问题5.4（5分）在日常网络运维中，网络管理员需要通过Python脚本调用`netmiko`库批量登录多台交换机并执行巡检命令。以下Python代码旨在使用`netmiko`连接交换机SW1，执行`displaycpu-usage`命令，并输出结果。请补全代码。```pythonfromnetmikoimportConnectHandlerdevice={'device_type':'huawei','host':'192.168.10.252','username':'admin','password':'Admin@123',}net_connect=ConnectHandler(**device)output=net_connect._________print(output)net_connect.disconnect()```问题5.5（6分）网络自动化运维平台通过Telemetry技术实现对网络设备状态的实时订阅和监控，相比于传统的SNMP轮询机制，Telemetry具有显著优势。请简述Telemetry技术与传统SNMP监控技术在数据采集模式、资源消耗以及实时性方面的三个主要区别。***答案与解析问题1.1解析：本题考查VRRP多网关负载均衡配置。在网络设计中，为避免单台核心交换机负载过重，通常配置多个VRRP备份组。SW1作为VLAN10和20的主设备，其优先级需配置为大于默认值100（如题干配置为120）。而作为VLAN30的备份设备，其优先级应保持为默认值100或者手动指定为低于主设备的值。在华为设备中，若不配置优先级，则默认值为100。由于SW2将作为VLAN30的主设备，SW2需配置优先级为120，SW1保持默认或配置为100即可。因此空白处应配置VRRP的优先级为默认或直接不配置优先级命令。为了配置的明确性，一般建议显式配置低于主设备的优先级。答案：vrrpvrid30priority100（或者直接写不配置优先级的说明，但在代码块中要求补全命令，故写`vrrpvrid30priority100`或直接换行不填，但为了完整，通常显式指定为100或更低）问题1.2解析：本题考查VRRP定时器及主备切换时间的计算。VRRP的advertisement报文发送间隔默认为1秒。当Master设备发生故障时，Backup设备等待Master_Down_Interval时间后才会接管。Master_Down_Interval的计算公式为：3×Ad在SW1的接口发生故障后，其优先级从120降低30，变为90。此时SW2的优先级为默认的100。SW2的Skew_Time为(256Master_Down_Interval为3×答案：SW2需要等待约3.609秒才会接管主设备角色。计算公式及结果如下：SM问题1.3解析：本题考查MSTP（多生成树协议）的域配置。MSTP将一个交换网络划分为多个域，每个域内包含多个生成树实例。配置MSTP域需要定义域名、修订级别以及VLAN与实例的映射关系。在完成了域名、实例映射配置后，必须执行`activeregion-configuration`命令来激活当前域配置，否则配置不会生效。配置SW1为Instance1的主根桥使用`stpinstance1rootprimary`命令。答案：activeregion-configuration问题2.1解析：本题考查IPSecVPN的ACL配置。在IPSec中，高级ACL用于定义需要通过IPSec隧道保护的感兴趣流。根据题目要求，源地址为192.168.10.0/24，目的地址为10.10.10.0/24，协议为IP。在华为设备中，使用`rulepermitipsource<源网段><通配符掩码>destination<目的网段><通配符掩码>`的格式。通配符掩码与子网掩码相反，0.0.0.255对应/24网段。答案：rulepermitipsource192.168.10.00.0.0.255destination10.10.10.00.0.0.255问题2.2解析：本题考查Eth-Trunk链路聚合配置。在华为设备上配置动态链路聚合时，需要先进入Eth-Trunk接口视图，将其工作模式设置为LACP（动态聚合模式）。默认情况下，Eth-Trunk的工作模式为手动负载分担模式。修改工作模式的命令为`modelacp-static`。答案：modelacp-static问题2.3解析：本题考查DHCPSnooping与动态ARP检测（DAI）的配置与原理。DAI需要依赖DHCPSnooping建立的绑定表来检查ARP报文的合法性。对于接收DHCP服务器响应的端口（通常是上联端口），必须配置为信任端口，否则DHCPSnooping会丢弃DHCPACK报文，导致终端无法获取IP地址。DAI防范ARP欺骗的原理是：设备在接收到ARP请求或响应报文时，会将其源IP、源MAC、接收接口及VLAN信息与本地DHCPSnooping绑定表进行比对。如果不匹配，则认为是ARP欺骗报文并予以丢弃，同时可以记录日志。答案：配置命令：[SW-Access]interfaceGigabitEthernet0/0/1[SW-Access-GigabitEthernet0/0/1]dhcpsnoopingtrust（或者全局下`dhcpsnoopingtrustedinterfaceGigabitEthernet0/0/1`视具体设备版本，通常为接口下配置）DAI防范ARP欺骗的基本原理：动态ARP检测（DAI）基于DHCPSnooping绑定表来防御ARP欺骗。当交换机端口收到ARP报文时，DAI会检查ARP报文中的源IP地址、源MAC地址、VLAN以及接收该报文的接口是否与DHCPSnooping绑定表中的条目一致。如果一致，则允许转发；如果不一致，则认为是伪造的ARP欺骗报文，交换机会将其丢弃，从而防止内网中的中间人攻击和IP地址冲突攻击。问题3.1解析：本题考查DHCP服务器为AP下发ACIP地址的Option43配置。在华为无线组网中，AP通过DHCP获取IP地址时，可以通过DHCPOption43字段携带AC的IP地址。配置命令格式为`dhcpserveroption43sub-option2ip-address<AC_IP>`或者`dhcpserveroption43sub-option1hex<Hex_String>`。最常用的是使用子选项2直接指定IP地址。答案：dhcpserveroption43sub-option2ip-address192.168.50.1问题3.2解析：本题考查WLAN安全模板的配置。WPA2-PSK认证要求在安全模板下配置认证密钥管理方式为PSK，加密方式为CCMP（AES）。在华为设备中，配置WPA2的命令为`securitywpa2pskpass-phraseWifi@12345aes`。答案：securitywpa2pskpass-phraseWifi@12345aes问题3.3解析：本题考查CAPWAP隧道建立过程及传输层协议。CAPWAP（无线接入点控制和配置协议）隧道建立包括发现阶段和建链阶段。首先AP通过广播或单播发送DiscoveryRequest报文寻找AC，AC回应DiscoveryResponse，AP选择一个AC后开始建立CAPWAP隧道。建立隧道时，AP与AC进行DTLS握手（如果开启了加密），随后进行CAPWAP隧道建立协商，最后AP加入AC并获取配置。CAPWAP支持UDP和DTLS（基于UDP）两种传输层协议。在实际部署中，为保障管理数据安全，推荐使用DTLS加密传输。答案：CAPWAP隧道建立的主要过程：1.发现阶段：AP发送DiscoveryRequest报文寻找可用的AC，AC收到后回应DiscoveryResponse报文。2.建立CAPWAP隧道阶段：AP向AC发送JoinRequest报文请求加入，AC回应JoinResponse报文。在此过程中，如果启用了DTLS加密，会在建立隧道前先进行DTLS握手协商加密参数。3.配置下发与状态维护阶段：AP加入AC后，AC向AP下发配置，AP开始提供服务，并通过EchoRequest/Response报文维持隧道心跳。CAPWAP协议支持的传输层协议：支持UDP协议和基于UDP的DTLS（DatagramTransportLayerSecurity）协议。在实际部署中推荐使用DTLS协议，因为DTLS协议对CAPWAP控制报文进行加密，能够有效防止控制报文被窃听或篡改，提高无线网络管理的安全性。问题3.4解析：本题考查无线网络中EIRP（有效全向辐射功率）的计算。EIRP的计算公式为：发射功率（dBm）+天线增益-馈线及接头损耗。计算过程如下：EE答案：该AP的有效全向辐射功率（EIRP）为23dBm。计算过程如下：EE问题4.1解析：本题考查OSPFv3的配置。与OSPFv2不同，OSPFv3的配置可以直接在进程下配置RouterID，但由于OSPFv3基于IPv6，需要在接口下使能OSPFv3进程并指定所属区域。命令格式为`ospfv3<进程号>area<区域ID>`。答案：[R1-ospfv3-1]router-id1.1.1.1[R1-GigabitEthernet0/0/0]ospfv31area0问题4.2解析：本题考查IPv6子网划分。IPv6地址共128位。给定的地址块为`2001:db8:abcd::/48`，即前48位为网络前缀。将其划分为`/64`的子网意味着子网前缀长度增加了16位。因此可以划分出的子网数量为。IPv6网络中没有广播地址的概念，使用组播地址替代，因此不存在广播地址。计算过程：子答案：该企业最多可以划分出65536个`/64`的子网。计算公式及结果如下：子在IPv6网络中，取消了广播地址的概念。IPv6不再使用广播地址进行通信，而是使用组播地址（如所有节点的组播地址`FF02::1`）来替代广播功能。因此，该子网不存在广播地址。问题4.3解析：本题考查NAT64地址转换。NAT64前缀为`2001:db8:64::/96`，意味着后32位用于映射IPv4地址。将`192.168.100.10`转换为十六进制表示。192转换为C0，168转换为A8，100转换为64，10转换为0A。将这些十六进制值拼接到NAT64前缀的后32位。因此转换后的IPv6地址为`2001:db8:64::c0a8:640a`。答案：转换后的完整IPv6地址为`2001:db8:64::c0a8:640a`。问题4.4解析：本题考查OSPFv3故障排查。OSPFv3邻居关系停留在Init状态表示发送了Hello报文但未收到对端的Hello报文或收到的Hello报文中没有包含自己的RouterID。常见原因包括：接口被配置为静默接口、物理链路或网络层IPv6地址不可达、Hello报文参数不匹配（如Hello间隔或Dead间隔）、两端在相同区域内配置了不同的InstanceID（实例ID）。答案：可能导致该故障的三个原因及排查思路：1.接口配置了OSPFv3静默接口：静默接口会禁止发送OSPF报文。排查思路是检查R1或R3的OSPFv3进程下是否将互联接口配置为了silent-interface，若有则取消。2.Hello报文参数不匹配：OSPFv3要求HelloInterval和DeadInterval一致。排查思路是查看接口下的OSPFv3参数，确保两端配置一致。3.IPv6链路本地地址或全局地址路由不可达：OSPFv3使用IPv6链路本地地址作为源地址发送报文。排查思路是使用`pingipv6-iGigabitEthernet0/0/0<对端链路本地地址>`测试链路连通性，检查接口是否正确使能了IPv6。4.区域ID或InstanceID不匹配：两端接口必须属