2026年网络工程师考试下午题真题与答案

2026年网络工程师考试下午题真题与答案试题一（共25分）阅读以下说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某大型企业园区网计划进行网络升级改造，现有网络采用传统的三层架构（核心层、汇聚层、接入层），随着业务流量的激增和延时敏感型应用的增加，传统架构暴露出转发效率低、收敛慢等问题。园区网出口通过两台边界路由器（R1和R2）连接至不同的ISP，内部核心层由两台高性能核心交换机（Core-SW1和Core-SW2）组成，采用集群技术虚拟为一台逻辑设备。汇聚层交换机（Agg-SW1和Agg-SW2）下连各个接入层交换机。为了实现网络的高可用性，园区内部OSPF多区域规划，核心层位于骨干区域（Area0），汇聚层至接入层位于常规区域（Area1）。出口路由器与核心交换机之间运行BGP协议进行路由学习。网络拓扑中，Core-SW1与Core-SW2虚拟化后的IP地址为10.1.1.1/32（OSPFRouter-ID）。R1的IP地址为10.1.2.1/24，R2的IP地址为10.1.3.1/24。网络改造要求：1.优化OSPF配置，减少区域1内的LSA泛洪，并加快OSPF收敛速度。2.在出口处实现双链路主备备份，正常情况下流量优先走R1链路，当R1链路故障时，流量自动切换至R2链路，且在R1链路恢复后流量能自动切回。【问题1】（10分）为了满足优化OSPF配置的需求，网络工程师需要对OSPFArea1进行特殊区域配置。（1）若将Area1配置为完全末梢区域（TotallyStubArea），则该区域将不再接收哪种类型的LSA？该区域内路由器如何访问外部网络？（2）为了加快OSPF网络的收敛速度，网络工程师调整了OSPF的定时器参数。在广播网络类型中，默认的Hello定时器为10秒，Dead定时器为40秒。若将Hello定时器修改为1秒，根据协议规定，Dead定时器应自动或手动修改为多少秒？该调整对网络有何影响？（3）在核心交换机与汇聚交换机的互联链路上，为了避免OSPF频繁选举DR/BDR消耗设备资源，通常将链路的OSPF网络类型修改为哪种类型？请填写Core-SW1上配置OSPF进程并宣告对应网段的核心命令片段（假设互联网段为10.1.12.0/24，进程号为1，区域为0）。system-viewospf1router-id10.1.1.1________area0________（4）若该网络使用IS-IS协议替代OSPF，IS-IS路由器分为Level-1和Level-2。在纯IPv6环境中，需要使能IS-IS进程的多拓扑功能，配置命令中开启IPv6拓扑的参数通常是________。【问题2】（10分）在出口路由器R1和R2与核心交换机之间运行BGP协议。R1和R2属于AS65001，核心交换机属于AS65000。R1、R2与核心交换机建立EBGP邻居关系。（1）为了实现负载分担和冗余备份，核心交换机需要同时与R1和R2建立EBGP连接。默认情况下，BGP只选择一条最优路由。若要在核心交换机上配置BGP负载分担，允许最大等价路由条数为2，请补充R1上的BGP配置片段。system-viewbgp65000peer10.1.2.1as-number65001peer10.1.3.1as-number65001________2（2）BGP选路原则中，若两条路由的AS_PATH属性完全相同，下一步将比较哪个属性？若要强制将去往R1的路径设为主路径，通过修改Local_Preference属性实现，Local_Preference的默认值是________。若将R1发来的路由Local_Preference修改为200，请在R1的BGP视图下使用出方向路由策略配置命令（假设路由策略名为SET_LP，应用在向对等体10.1.2.1发布的出方向上）。peer10.1.2.1route-policySET_LP________（3）在核心交换机上，BGP引入直连路由时，若不配置策略，可能会导致大量无用路由被引入。若要只引入特定的网段（如192.168.10.0/24）并设置其Community属性为100:100，请完成IP前缀列表配置。ipip-prefixPREFIX_INDEXindex10permit192.168.10.024route-policyIMPORT_DIRECTpermitnode10if-matchip-prefixPREFIX_INDEXapplycommunity________（4）若BGP邻居建立失败，工程师在核心交换机上使用`displaybgppeer`命令查看状态，发现状态停留在`Active`，请简述导致该状态的常见原因（列出两点）。【问题3】（5分）由于业务扩张，企业需要在现有网络基础上划分大量子网。已知企业内部一个业务网段为172.16.0.0/16，现在需要将其划分为若干个容纳至少500台主机的子网。（1）请计算需要借用的主机位数为多少位？子网掩码是多少？（2）请使用标准的LaTeX公式表示该网络划分后，每个子网可用的主机数量计算公式及结果。（3）若该业务网段由于地址耗尽，企业计划向IPv6过渡。在IPv6中，单播地址的接口标识符通常为多少位？若使用SLAAC（无状态地址自动配置）方式，主机如何获取其IPv6前缀信息？试题二（共25分）阅读以下说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某互联网公司新建数据中心，采用Spine-Leaf架构（叶脊架构）以替代传统的三层网络架构。整个数据中心网络由两台Spine交换机和四台Leaf交换机组成。所有Leaf交换机均上行连接至两台Spine交换机，形成全互联拓扑。为了实现大二层网络打通，数据中心内部采用VXLAN技术进行网络虚拟化，控制平面采用BGPEVPN。Leaf1和Leaf2作为数据中心边界设备（BorderLeaf），负责与外部传统网络的三层互通。Spine交换机仅作为IP转发节点，不参与EVPN控制平面。Leaf3和Leaf4作为计算节点的接入交换机（ServerLeaf）。需求如下：1.所有设备间建立Underlay网络，采用OSPF协议实现IP连通性。2.Overlay网络使用BGPEVPN，Leaf交换机之间建立BGPEVPN对等体关系，Spine不运行BGPEVPN。3.两个不同租户（VRF:Tenant_A和VRF:Tenant_B）需要进行二层隔离和三层互通测试。Leaf3下连主机H1属于Tenant_A，Leaf4下连主机H2属于Tenant_B。H1与H2需通过分布式网关实现跨Leaf的三层互通。【问题1】（8分）在Spine-Leaf架构中，Underlay网络是基础。为了确保Underlay网络的高效转发，Spine与Leaf之间配置OSPF。（1）在Spine-Leaf物理拓扑中，所有的链路都应该配置为哪种OSPF网络类型？说明原因。（2）在Leaf1（IP:10.1.1.1）与Spine1（IP:10.1.1.2）互联接口上配置该网络类型。请补充配置。interface10GE1/0/1undoportswitchipaddress10.1.1.1255.255.255.252ospfnetwork-type________（3）在Underlay网络中，如果采用IPv6部署，Leaf交换机需要配置IPv6地址。若要实现IPv6报文在IPv4Underlay网络中传输，可以采用哪种隧道技术？（4）在BGPEVPN架构中，Leaf设备作为VTEP（VXLANTunnelEndpoints）。VTEP之间的隧道基于Underlay路由动态建立。VXLAN报文的外层封装中，目的IP地址通常是________。【问题2】（10分）为了实现Overlay网络的控制平面交互，Leaf1和Leaf2作为路由反射器，Leaf3和Leaf4作为客户端。（1）BGPEVPN建立在BGP的哪个地址族之上？在Leaf3上配置BGPEVPN邻居（对端IP为10.2.2.2），请补充配置。bgp100instanceevpnpeer10.2.2.2as-number100peer10.2.2.2connect-interfaceLoopBack0________（2）在BGPEVPN中，主要使用了几种类型的BGPEVPN路由（如Type2、Type3、Type5等）。若Leaf3和Leaf4下的主机需要进行二层互通（即同网段互访），Leaf3需要向Leaf4发送哪种类型的路由？若Leaf3下连的主机网关在Leaf3上，现在Leaf3需要向外部宣告其连接的网段路由，使得Leaf4上的主机能够跨网段访问，应使用哪种类型的路由？（3）为了让Leaf3成为VTEP并建立VXLAN隧道，需要在系统视图下使能VXLAN并配置NVE接口。假设Leaf3的Loopback0地址为10.3.3.3，VNI为100。请补充NVE接口配置。interfaceNve1source10.3.3.3vni100head-endpeer-list________（假设通过BGPEVPN动态学习对端，则此处无需填写静态列表，请填写动态协议配置命令）（4）在EVPN网络中，为了防止ARP广播泛洪，通常采用ARP广播抑制技术。当Leaf3收到其接入主机的ARP请求时，若在本地ARP表中未命中，Leaf3会将广播报文转换成什么报文发送给其他Leaf？【问题3】（7分）在数据中心互联（DCI）场景中，不同数据中心之间需要通过VXLAN隧道互通。已知两个数据中心的VXLAN网络标识符（VNI）分别为10000和20000。（1）在数据中心边界设备上配置VXLAN隧道时，如果两端数据中心使用了不同的VNI，需要在边界设备上配置什么功能来实现VNI的映射？（2）VXLAN报文封装格式包含外层Ethernet、外层IP、外层UDP、VXLANHeader和原始以太网帧。其中VXLANHeader占用8个字节，包含VNI字段。VNI字段的长度是多少bit？理论最大支持的租户数量是多少？（3）请使用标准的LaTeX公式表示VXLAN报文封装后的总字节数计算公式（设原始以太网帧长度为，不包含外层以太网头，仅包含从外层IP头到原始帧的全部字节长度）。（4）在实际网络中，为了保障网络传输质量，往往需要对流量进行QoS标记。在VXLAN封装时，外层IP头的DSCP字段如何从内层数据帧获取映射？通常采用________模式（直接映射/重标记/信任）。试题三（共25分）阅读以下说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某大型企业总部与分支机构之间通过Internet建立安全通信网络。总部出口部署一台下一代防火墙（NGFW_A），分支机构部署一台普通路由器（Router_B）。为保障数据传输的安全性和完整性，两端设备之间配置IPSecVPN。由于总部业务繁忙，防火墙上配置了主备两条IPSec隧道，主隧道走ISP1，备隧道走ISP2。同时，为了满足精细化管理的需求，总部防火墙需要根据不同的源IP地址段和目的端口号对访问外网的流量进行安全策略控制。IPSec隧道配置如下：总部子网：192.168.10.0/24分支机构子网：192.168.20.0/24NGFW_A接口G1/0/1连接ISP1，公网IP为202.1.1.1。Router_B接口G0/0/1连接ISP，公网IP为202.2.2.2。IPSec协议框架中，IKE阶段1采用IKEv2协议，加密算法采用AES-256，认证算法采用SHA2-256，DH组采用Group14。IKE阶段2的数据封装模式为隧道模式，安全协议采用ESP。【问题1】（8分）IPSecVPN的建立需要经过两个阶段：IKE协商阶段和IPSec数据传输阶段。（1）在IKEv2协议中，交换过程比IKEv1更加简化。IKEv2完成初始交换需要几次交互？分别是哪些报文？（2）在IPSec隧道模式下，ESP协议对原始IP报文的封装是在原始IP头前面添加还是后面添加新的IP头？在传输模式下又如何？（3）在下一代防火墙上配置IPSec时，安全策略配置非常关键。需要在NGFW_A上配置允许IPSec封装流量通过的安全策略。该安全策略的源安全区域和目的安全区域通常是什么？源IP和目的IP应该配置为哪些地址？（4）若在IPSec建立过程中，IKE协商失败，工程师在Router_B上执行`displayikesa`命令未查看到任何信息。排查发现两端预共享密钥配置一致，但Router_B上配置的总部对端地址为202.1.1.2（错误地址）。这主要违反了IKE协商建立的哪个前提条件？在IPSec中，检查两端配置的一致性主要包括哪些匹配参数（至少列出三项）？【问题2】（10分）在总部防火墙上配置IPSecVPN相关参数。（1）首先需要定义保护数据流（ACL）。在NGFW_A上，需要匹配从总部子网发往分支机构子网的流量。请补充ACL配置。aclnumber3000rule5permitipsource192.168.10.00.0.0.255destination________（2）配置IKE提议。请补充配置。ikeproposal10encryption-algorithm________authentication-algorithmsha2-256dhgroup14（3）配置IPSec提议，要求安全协议为ESP，封装模式为隧道。请补充配置。ipsecproposalprop_10encapsulation-mode________transformesp（4）在防火墙上配置IPSec策略时，通常采用ISAKMP方式。若总部采用模板方式建立IPSec隧道（因为分支机构可能是动态获取公网IP），在配置IPSec策略时，`peer`参数的配置有何不同？请补充IPSec策略模板的关键配置。ipsecpolicy-templatetemp_1010ike-peerike_peer_10proposalprop_10tunnellocalapplied-interface________（在防火墙上指定应用接口或者直接指定本端IP）（5）当IPSec隧道建立成功后，分支发来的数据到达NGFW_A。防火墙在处理IPSec解封装后的内网数据时，通常会将其引入虚拟防火墙或VPN实例中，然后通过安全策略进行访问控制。若要求内网服务器能够主动访问分支机构，需要在防火墙上配置NAT豁免。如果不配置NAT豁免，在配置了默认NAT（EasyIP）的接口上，发往分支机构的私网报文会被转换成什么地址？【问题3】（7分）在IPSecVPN的实际应用中，报文的封装会带来开销的增加。（1）已知IPSec采用ESP隧道模式，传输的原始载荷为纯TCP数据报文。原始IP头长度为20字节，TCP头长度为20字节。ESP协议头由SPI（4字节）和Seq（4字节）组成。若采用AES-CBC加密算法，其块大小为16字节。ESP尾部由Padding（填充字节）、PadLength（1字节）和NextHeader（1字节）组成。假设不启用ESP验证（无ICV），请计算该报文在加密并封装ESP头和外层新IP头后，最终在公网传输的IP报文总长度（包含外层IP头）。请使用标准的LaTeX公式表示整个计算过程。已知原始数据载荷（TCP段长度）为=20加密前需要填充的载荷为：原始IP头+TCP头=20+（2）若考虑网络传输中的MTU限制，如果出口链路的MTU为1500字节，而原始数据报文长度已经达到1500字节，经过IPSec封装后，外层报文长度超过了MTU。在不开启IPSec分片的情况下，通常需要在网络设备上配置什么技术来解决此问题？试题四（共25分）阅读以下说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某高校计划在图书馆内部署新一代无线局域网（WLAN），采用“AC+FitAP”架构。无线控制器（AC）旁挂于核心交换机，所有FitAP通过接入层PoE交换机连接至网络。图书馆分为三层楼，每层楼部署10台AP。为了保证无线用户在不同AP之间的平滑切换，网络中配置了802.11r快速漫游，并采用WPA3安全策略进行认证加密。在WLAN网络中，2.4GHz和5GHz频段同时被支持。由于图书馆内存在大量蓝牙设备、微波炉等干扰源，2.4GHz频段信道拥堵严重，网络优化要求尽量引导终端连接到5GHz频段。此外，为了满足高并发用户接入，AP采用了802.11ax（Wi-Fi6）标准，支持OFDMA和BSSColoring空间复用技术。WLAN网络规划如下：VLAN100：管理VLAN，用于AC管理AP，网段为192.168.100.0/24。VLAN200：业务VLAN，用于无线终端接入，网段为192.168.200.0/22。DHCP服务器部署在核心交换机上，为AP和无线终端分配IP地址。【问题1】（8分）在“AC+FitAP”架构中，AP需要在AC上线并获取配置。AP上线过程包括：AP获取IP地址、发现AC、建立CAPWAP隧道、AC下发配置等阶段。（1）AP发现AC的方式有多种。若AP通过DHCP方式获取IP地址，并在DHCP响应报文的Option43字段中携带AC的IP地址，这种发现方式属于________。除此之外，简述AP发现AC的另外两种常见方式。（2）CAPWAP隧道建立时，控制报文和数据报文均基于UDP协议。CAPWAP控制报文默认使用的UDP端口号是多少？若网络中存在中间防火墙，为了保证AP能够成功上线，防火墙必须放行哪些协议和端口？（3）在WLAN配置中，需要在AC上创建AP组并将AP加入组中。同时需要配置SSID模板、安全模板和VAP模板。在VAP模板中，需要将前面创建的模板进行绑定。请补充VAP模板配置命令片段。wlanvap-profilenamevap_libraryforward-modedirect-forwardservice-vlanvlan-id200ssid-profile________security-profile________（4）若图书馆某些区域存在信号盲区，需要增加AP部署密度。当两个相邻AP的覆盖范围重叠时，如果两个AP工作在相同的信道，会产生什么问题？2.4GHz频段中，我国规定可使用的非重叠信道有哪些？【问题2】（10分）为了提升无线网络的性能和用户体验，网络工程师开启了802.11ax的相关特性。（1）802.11ax引入了OFDMA技术，将信道划分为多个子信道。子信道分为RU（资源单元）。请简述OFDMA技术相比OFDM技术的主要优势是什么？（2）为了解决同频干扰问题，802.11ax引入了BSSColoring技术。在BSSColor字段中，长度为6bit，理论上可以区分多少个BSS？（3）为了满足高并发接入，图书馆采用WPA3进行认证。WPA3个人版（WPA3-Personal）采用什么协议替代了WPA2中的PSK？该协议主要解决了WPA2中存在的什么安全弱点？（4）在AC上配置WPA3安全模板时，需要配置WPA3的认证密钥管理为SAE。请补充安全模板配置命令片段。wlansecurity-profilenamesec_librarysecuritywpa3personal________sae（5）为了实现无线终端在图书馆内移动时能够快速漫游，网络开启了802.11r。802.11r的密钥衍生机制相比传统方式有了极大优化。在初始关联时，终端会生成并缓存主密钥MSK，随后通过该密钥生成PMK-R0、PMK-R1等层级密钥。在802.11r漫游中，通常由哪个设备（AC还是AP）作为R0KeyHolder(R0KH)？【问题3】（7分）在网络运维中，针对WLAN物理层速率的计算是非常重要的一环。（1）已知一个Wi-Fi6(802.11ax)终端工作在5GHz频段，采用80MHz带宽进行通信。该终端支持2条空间流，调制方式为1024-QAM，码率为5/6。符号时间为13.6μs，其中包括（2）在实际网络运行中，如果管理员发现某台AP的CPU利用率过高，经查发现存在大量的广播风暴。为解决广播风暴，管理员需要在AC的AP系统模板中配置无线报文限速。若要求对AP上行的广播报文进行限速，限制速率为100pps，请补充配置命令。wlanap-system-profilenameap_systemradio-rate-limitpacketpacket-type________directionuprate100以下为答案与解析部分：试题一答案与解析【问题1】（1）不再接收Type5（AS外部LSA）、Type4（ASBR汇总LSA）和Type3（网络汇总LSA）。该区域内路由器通过默认路由（0.0.0.0/0）访问外部网络。（2）Dead定时器应修改为4秒。影响：加快了网络拓扑变化时的感知速度，缩短了OSPF路由收敛时间；但同时会增加设备发送和处理Hello报文的CPU负载及网络链路上的协议报文开销，在链路不稳定时容易导致邻居关系频繁震荡。（3）OSPF网络类型修改为Point-to-Point（点对点，P2P）。配置片段：`network10.1.12.00.0.0.255area0`（或`interfaceVlanifxx`下执行`ospfenable1area0`，根据具体VRP版本和配置习惯）。填空1：`network10.1.12.00.0.0.255`（或`area0.0.0.0`，若在ospf进程视图下）填空2：`network10.1.12.00.0.0.255area0`（若是接口下，则为`interfacevlanif10`->`ospfenable1area0`，这里按照说明中给出的空位逻辑，填写`network10.1.12.00.0.0.255area0`）。（4）`ipv6enabletopologyipv6`（华为/H3C命令体系中，使能IS-IS多拓扑IPv6）。【问题2】（1）`maximumload-balancing2`（2）下一个比较的属性是Local_Preference（本地优先级）。Local_Preference的默认值是100。配置命令：`export`（在BGP视图或地址族视图下，peerroute-policySET_LPexport）。（3）`100:100`（或`community100:100`，取决于具体命令行缩写，标准为`100:100`）。（4）常见原因：1.TCP连接建立失败，可能是对端IP地址不可达或路由不存在；2.本端配置的AS号与对端实际AS号不一致；3.BGP报文被中间安全设备（如防火墙）拦截；4.对端未配置本端为对等体或认证失败。【问题3】（1）需要借用的主机位数为1位（划分为2个子网）。子网掩码是255.255.254.0（或/23）。（2）每个子网可用主机数量计算公式及结果：=（3）IPv6单播地址的接口标识符通常为64位。使用SLAAC方式时，主机通过接收链路路由器发送的RA（RouterAdvertisement，路由器通告）报文中的前缀信息获取IPv6前缀。试题二答案与解析【问题1】（1）配置为Point-to-Point（P2P）网络类型。原因：Spine-Leaf架构中通常使用点对点直连链路（如40G/100G光纤），配置为P2P类型可以跳过DR/BDR的选举过程，加快邻居建立速度，避免无谓的协议开销。（2）`p2p`（3）可以采用IPv6overIPv4隧道技术（如GRE隧道、手动隧道等，最典型的是GRE）。（4）对端VTEP的IP地址（即目的Leaf设备的Loopback接口IP地址）。【问题2】（1）BGPEVPN建立在BGP的L2VPNEVPN地址族之上。配置片段：`l2vpn-familyevpn`（2）二层互通需要发送Type2（MAC/IP路由，包含MAC地址信息）。跨网段访问需要发送Type5（IP前缀路由，包含主机网段或IP路由信息）。（也可能用到Type2中的IP路由部分，但题目指明“宣告其连接的网段路由”，最符合Type5）。（3）`vni100head-endpeer-listprotocolbgp`（或`vni100head-endpeer-listprotocol`根据厂商语法，标准华为语法为`vni100head-endpeer-listprotocolbgp`或者如果在vni下直接开启：`vni100`视图下`head-endpeer-listprotocolbgp`。填空处填`protocolbgp`）。（4）Leaf3会将广播报文转换成单播报文（具体为封装了该主机ARP信息的单播报文，直接发给目的Leaf）。【问题3】（1）配置VXLAN网段映射（VXLANNetworkIdentifierMapping，通常称为VNIMap或对接）。（2）VNI字段的长度是24bit。理论最大支持的租户数量是=16777216（3）VXLAN报文封装后的总字节数计算公式：=（4）直接映射（通常是将内层802.1p优先级或内层IPDSCP直接映射到外层IPDSCP字段，称为直接映射或信任内层优先级）。试题三答案与解析【问题1】（1）IKEv2完成初始交换需要2次交互。分别是：IKE_SA_INIT交换（包含HDR,SAi,KEi,Ni）和IKE_AUTH交换（包含HDR,SAi2,IDi,AUTH等）。（2）在隧道模式下，ESP协议在原始IP头前面添加新的IP头（同时在整个原始IP报文后添加ESP尾部和可能加密）。在传输模式下，ESP头插入在原始IP头和上层协议（如TCP/UDP）之间，不添加新的IP头。（3）安全策略的源安全区域和目的安全区域通常分别是Untrust（非信任区，外网接口所在区域）和Local（本地区域，防火墙自身）。源IP配置为对端公网IP（分支机构的202.2.2.2），目的IP配置为本端公网IP（总部的202.1.1.1）。（也可以反向，但通常进防火墙的是Untrust到Local）。（4）违反了IKE协商建立的对端地址可达性前提。IPSec中检查两端配置一致性的匹配参数主要包括：保护数据流（ACL）、加密算法、认证算法、DH组、封装模式、安全协议（ESP/AH）、预共享密钥（PSK）。【问题2】（1）`192.168.20.00.0.0.255`（2）`aes-256`（或`aes256`）（3）`tunnel`（4）在配置IPSec策略模板时，不需要配置peer的具体IP地址（因为分支动态获取IP）。`tunnellocalapplied-interface`填空处：`G1/0/1`（或接口名，表示以该接口作为隧道本端应用）。（5）如果不配置NAT豁免，发往分支机构的私网报文会被转换成外