2026年网络工程师考试真题与答案

2026年网络工程师考试真题与答案一、单项选择题（共50题，每题1分，共50分）1.在光纤通信技术中，单模光纤与多模光纤的主要区别在于（）。A.单模光纤只能传输一种波长的光，多模光纤能传输多种波长B.单模光纤的纤芯直径较小，只允许光以一种模式（基模）传输，色散小，适用于长距离传输C.多模光纤的带宽比单模光纤更大，传输速率更高D.单模光纤的光源通常使用发光二极管（LED），多模光纤使用激光二极管（LD）2.某链路的带宽为8kHzA.40B.80C.160D.2403.在OSI参考模型中，负责数据加密、解密和压缩等数据处理工作的子层是（）。A.物理层B.数据链路层C.网络层D.表示层4.关于CSMA/CD（载波监听多路访问/冲突检测）协议的描述，正确的是（）。A.它主要用于无线局域网中，避免冲突发生B.站点在发送数据前先监听信道，发送过程中同时监听信道以检测冲突C.采用CSMA/CD的网络中，冲突是不可能完全避免的，但可以完全消除冲突带来的影响D.最小帧长度的设置是为了保证站点在发送完毕前能够检测到冲突，对于10G5.在IPv4首部中，如果数据报长度超过了网络的最大传输单元（MTU），需要进行分片。负责记录重组分片后原始数据报长度的字段是（）。A.标识字段B.标志字段C.片偏移字段D.总长度字段6.某企业网络分配到一个CIDR地址块192.168.100A.14B.30C.32D.627.在BGP（边界网关协议）路由选择中，当多条路由的LocalPreference、AS_Path、Origin属性均相同时，优先作为选路判决依据的属性是（）。A.MED(Multi-Exit-Discriminator)B.Originator_IDC.Cluster_ListD.下一跳的IGP路由开销8.关于IPv6邻居发现协议（NDP），下列说法错误的是（）。A.NDP使用ICMPv6报文实现地址解析和路由发现B.IPv6中的路由器请求（RS）和路由器通告（RA）报文用于无状态地址自动配置C.NDP通过源MAC地址学习来建立MAC地址与IPv6地址的映射表，与ARP原理完全相同D.邻居请求（NS）和邻居通告（NA）报文不仅用于地址解析，还用于重复地址检测（DAD）9.在IPsecVPN架构中，IKE（InternetKeyExchange）协议的作用是（）。A.对IP数据包进行加密和认证B.在两个对等体之间协商安全关联（SA），包括加密算法、密钥等参数C.对IP数据包进行分片和重组D.实现NAT穿透功能10.SDN（软件定义网络）架构的三大核心平面不包括（）。A.数据平面B.控制平面C.管理平面D.应用平面11.在STP（生成树协议）中，当网络拓扑发生变化时，交换机会产生拓扑变化通知（TCN）BPDU。接收到TCNBPDU的根桥会向全网发送（）。A.配置BPDU，其中Flags字段中的TC位置1B.配置BPDU，其中Flags字段中的TCA位置1C.TCNBPDUD.RSTBPDU12.一个B类网络，划分了4个子网，若采用可变长子网掩码（VLSM），各子网容纳的主机数分别为A./B./C./D./13.在Linux系统中，若要查看当前系统TCP连接的状态统计信息，最合适的命令是（）。A.`netstat-s`B.`netstat-r`C.`netstat-i`D.`netstat-a`14.关于各种路由协议的描述，正确的是（）。A.RIPv2使用组播224.0.0B.OSPF协议中，DR和BDR是通过组播地址224.0.0C.IS-IS协议是直接运行在数据链路层之上的，不依赖IP协议D.BGP协议使用UDP协议的179端口进行路由更新传输15.关于VXLAN（虚拟扩展局域网）技术的描述，不正确的是（）。A.VXLAN采用MAC-in-UDP的封装方式B.VXLAN支持1600万个虚拟网络隔离，解决了4096个VLAN的限制C.VXLAN只能通过物理交换机作为VTEP进行端点封装和解封D.VXLAN可以通过组播或控制平面学习（如EVPN）来实现MAC地址表的学习16.某报文长度为2000Bytes，使用TCP协议传输，网络MTU为1500A.1片B.2片C.3片D.4片17.在TCP三次握手过程中，如果服务端收到客户端的SYN报文后，回复SYN+ACK报文，此时该TCP连接在服务端处于（）状态。A.LISTENB.SYN-SENTC.SYN-RCVDD.ESTABLISHED18.802.11ax(Wi-Fi6)引入的旨在降低同频段多用户之间干扰、提升信道利用率的物理层核心技术是（）。A.OFDM(正交频分复用)B.MIMO(多输入多输出)C.OFDMA(正交频分多址)D.MU-MIMO(多用户多输入多输出)19.在QoS（服务质量）模型中，IntServ（集成服务）模型为了保证端到端的带宽，主要依赖的协议是（）。A.RSVP(资源预留协议)B.MPLS(多协议标签交换)C.DSCP(差分服务代码点)D.LDP(标签分发协议)20.SNMPv3协议相比于v2c版本，在安全性方面增加的主要特性是（）。A.增加了GetBulk操作，提高批量数据获取效率B.引入了USM（基于用户的安全模型）和VACM（基于视图的访问控制模型），支持认证和加密C.增加了Inform通知机制，确保告警可靠性D.采用了团体字进行访问控制21.在一台运行Linux的服务器上，执行`ping`能够正常返回报文，但执行`ping`（同网段网关IP）却提示“Networkisunreachable”。以下最可能的故障原因是（）。A.服务器网卡驱动未安装B.服务器未配置默认网关C.服务器的网络接口未配置IP地址或接口处于down状态D.DNS服务器配置错误22.MPLS网络中，标签交换路由器（LSR）转发报文的依据是（）。A.IP目的地址进行最长前缀匹配B.标签的入接口和入标签进行精确匹配C.MAC地址表D.FEC（转发等价类）的哈希算法结果23.某RAID阵列由5块硬盘组成，采用RAID5技术。若每块硬盘的容量为2TA.4B.6C.8D.1024.关于生成树协议RSTP相对于STP的改进，错误的是（）。A.RSTP将端口状态简化为Discarding、Learning和ForwardingB.RSTP引入了替代端口和备份端口，加快了根端口失效时的收敛速度C.RSTP取消了BPDU的Age老化时间机制，采用连续的BPDU交互来维持拓扑D.RSTP支持边缘端口的快速过渡，但边缘端口收到BPDU后依然会保持Forwarding状态25.在BGPEVPN中，用于传递MAC地址可达性的路由类型是（）。A.Type1(EthernetAuto-DiscoveryRoute)B.Type2(MAC/IPAdvertisementRoute)C.Type3(InclusiveMulticastEthernetTagRoute)D.Type5(IPPrefixRoute)26.在数据中心网络中，若采用CLOS架构（Spine-Leaf），以下描述正确的是（）。A.Leaf交换机之间通过Spine交换机转发流量，不存在级联B.传统STP协议在Spine-Leaf架构中能发挥最大效能，完全消除环路C.Spine和Leaf之间必须通过OSPF动态路由协议建立连接D.任意两个Leaf节点之间只有一条物理链路相连27.关于网络攻击防范，若要有效防御ARP欺骗攻击，交换机上应配置的安全机制是（）。A.DHCPSnoopingB.动态ARP检测（DAI）C.IPSourceGuardD.端口安全28.计算机网络中，如果发送方发送的数据包发生丢失，TCP协议通过重传机制解决。TCP确定数据包丢失的主要依据是（）。A.源站点的超时计时器超时B.目的站点的确认号字段大于发送序号C.接收端连续发送三个相同的ACK（冗余ACK）D.A和C均可能触发TCP重传29.在进行网络流量分析时，发现大量TCP连接的源端口为53，目的端口随机，且流量异常巨大，该流量最有可能属于（）。A.DNS放大攻击的反射响应流量B.SYNFlood攻击流量C.正常的DNS解析查询流量D.FTP数据传输流量30.如果网络中部署了IPv6的PIM-SM组播协议，其RPF（反向路径转发）检查的依据是（）。A.单播路由表中的目的地址和下一跳B.单播路由表中的源地址和到达源的出接口C.组播路由表中的组地址D.MBGP路由表的AS_PATH属性31.某企业内网使用/8私有地址段，通过NAT访问Internet。若NAT设备配置了静态NAT，将内网服务器10.1.1A.仅修改目的IP为10.1.1B.仅修改源IP为10.1.1C.修改目的IP为10.1.1D.将报文直接路由至10.1.132.在SRv6（基于IPv6的段路由）技术中，定义网络指令和行为的标识符被称为SegmentIdentifier(SID)。一个SRv6SID通常由几部分组成？（）。A.Locator、Function、ArgumentsB.Prefix、Mask、GatewayC.Network、Host、TTLD.Label、Exp、S33.在网络设备的CPU性能指标中，衡量设备每秒能够处理的网络数据包数量的指标是（）。A.MTBFB.PPSC.BPSD.QPS34.采用Wireshark抓包分析时，过滤表达式`tcp.port==80andip.addr==`的含义是（）。A.显示所有源或目的IP为且源或目的端口为B.显示所有源IP为且源端口为C.显示所有目的IP为且目的端口为D.显示所有IP为且端口为35.关于Linux系统中的权限管理，某文件的权限为`rwxr-xr--`，则该文件的数字权限表示法为（）。A.754B.764C.745D.74436.在VRRP（虚拟路由器冗余协议）中，如果Master路由器发生故障，Backup路由器切换为Master所需的时间由（）决定。A.Hello间隔时间的3倍加上偏移时间B.抢占延迟时间C.Backup路由器的优先级D.Master路由器的通告间隔37.在OSPF协议中，广播型多路访问网络（如以太网）的DR选举过程，当优先级相同时，决定DR的参数是（）。A.接口的IP地址最大者B.接口的MAC地址最大者C.Router-ID最大者D.启动时间最早者38.在一个全互联的MPLSL3VPN网络中，PE路由器为每个VPN实例维护独立的路由表。当PE接收到CE发来的普通IPv4路由时，为其附加RD和RT属性，该过程发生在（）。A.PE的CE侧接口B.PE的公网侧接口C.PE的VRF实例空间内D.PE的MP-BGP进程内39.在网络测试中，使用`tracert`命令探测目标路径，其探测报文在Linux系统下默认发送的是（）。A.ICMPEchoRequest报文，TTL依次递增B.UDP报文，目的端口大于30000，TTL依次递增C.TCPSYN报文，目的端口为80，TTL依次递增D.ICMPTimeExceeded报文40.在数据中心RoCEv2（基于融合以太网的RDMAv2）技术中，为保证无损网络，交换机必须开启的关键特性是（）。A.STP生成树协议B.PFC（基于优先级的流量控制）和ECN（显式拥塞通知）C.NAT地址转换D.LACP链路聚合41.关于IPv4报文中的TTL（生存时间）字段，如果一台路由器接收到TTL为1的报文，且该报文的目的地址不是本机，路由器的处理方式是（）。A.将TTL减为0，然后继续转发该报文B.丢弃该报文，并向源主机发送ICMP超时报文C.丢弃该报文，并向源主机发送ICMP目标不可达报文D.将TTL重置为64，然后继续转发42.在分布式存储系统中，纠删码相比于多副本机制的优势主要在于（）。A.数据读写延迟更低B.系统故障恢复速度更快C.在相同容错能力下，存储空间利用率更高D.对网络带宽的占用更小43.关于各种网络协议与其默认端口的对应关系，正确的是（）。A.HTTPS:443，SSH:22，SNMP:161，Syslog:514B.HTTPS:443，SSH:23，SNMP:162，Syslog:514C.HTTPS:443，SSH:22，SNMP:162，Syslog:514D.HTTPS:443，SSH:22，SNMP:161，Syslog:51244.某网络管理员使用`ping`命令测试网络连通性时，返回信息中包含`time=120ms`。该数值表示的是（）。A.报文从源主机到目的主机单程传输所需的时间B.报文从源主机到目的主机往返一次所需的时间C.报文在路由器队列中等待转发的时间D.目的主机处理ICMP报文花费的时间45.在IPSec的两种工作模式中，AH协议的认证范围（覆盖的字段）在传输模式和隧道模式下（）。A.两者均对整个IP包进行认证B.传输模式仅对IP有效载荷认证，隧道模式对整个内部IP包认证，但不包括新的外部IP头C.传输模式对整个IP包认证，隧道模式仅对有效载荷认证D.两者均仅对IP有效载荷认证46.在BGP协议中，用于防止AS之间路由环路的属性是（）。A.LocalPreferenceB.OriginC.AS_PATHD.Community47.云计算服务模型中，PaaS（平台即服务）提供商负责维护的基础设施层次不包括（）。A.网络硬件设备B.操作系统C.业务应用程序代码D.数据库中间件运行环境48.在Python网络自动化编程中，若需要通过SSH协议连接到网络设备并执行命令，常用的第三方库是（）。A.`requests`B.`scapy`C.`netmiko`D.`BeautifulSoup`49.在进行子网划分时，若将/A.4B.6C.8D.1250.关于GRE（通用路由封装）协议，描述正确的是（）。A.GRE是一种二层VPN技术，只能封装以太网报文B.GRE协议本身不提供数据加密功能，若需安全通常与IPsec结合使用C.GRE隧道的源接口和目的接口必须处于同一个公网网段D.GRE报文头中的协议类型字段长度为4个字节二、综合应用题（共4题，每题10分，共40分）题目一：园区网VLAN与生成树协议设计（10分）某大型企业园区网络包含四台核心交换机（S1,S2,S3,S4），采用环形全互联拓扑（S1-S2-S3-S4-S1）以保证网络冗余。网络中划分了多个VLAN，为了实现负载均衡并提高网络的可靠性，管理员计划部署MSTP（多生成树协议）。已知各交换机的MAC地址如下：S1:00-E0-FC-01-01-01S2:00-E0-FC-01-01-02S3:00-E0-FC-01-01-03S4:00-E0-FC-01-01-04需求：1.设计MSTP的Region配置参数（RegionName:`Corp_Region`，Revision:`1`），要求将VLAN10-50映射到Instance1，VLAN60-100映射到Instance2。2.为了实现负载均衡，要求Instance1的根桥为S1，Instance2的根桥为S2。S1和S2作为根桥的备份，S3和S4作为次级备份。3.在S1和S2之间的互联链路上，要求VLAN10-50的数据通过，VLAN60-100的数据被阻塞。问题：请写出S1交换机上完成上述需求的MSTP关键配置命令（假设设备厂商为华为/通用标准CLI，仅需展示MST域配置、实例映射及根桥优先级配置）。说明MSTP相比于传统STP（802.1D）在收敛速度和负载均衡方面的主要改进。题目二：OSPF与BGP路由策略分析（10分）某ISP网络架构如下图所示（文字描述）：AS100内部包含路由器R1和R2，R1和R2之间通过OSPF建立IBGP对等体连接（直连链路10.1.1R1作为AS边界路由器（EBGP），与AS200的R3建立EBGP邻居，直连网段202.1.1R2作为AS边界路由器（EBGP），与AS300的R4建立EBGP邻居，直连网段203.1.1AS200中的R3向R1通过BGP发布了三条到达`/24`的明细路由（属性为Local_Pref=100，MED=0，AS_Path=200）。AS300中的R4向R2通过BGP发布了同一条聚合路由`/8`（属性为Local_Pref=100，MED=50，AS_Path=300）。为了优化路由，AS100的管理员制定了以下策略：1.当R1和R2将BGP路由引入OSPF进程时，强制将Metric值设置为`200`。2.R1和R2之间的IBGP连接不进行BGP路由的宣告（仅用于建立连接），但二者需通过OSPF协议到达对方的Loopback接口建立IBGP。3.为了确保流量优先经过R1到达`/24`，管理员在R2上对来自AS300的路由设置了Route-Policy，匹配前缀列表`/24`，将Local_Pref属性修改为`50`。根据上述描述解答问题：1.根据BGP选路原则，在R2的BGP路由表中，到达`/24`的路由将选择哪一条？给出简要的选路判定过程分析。2.若R1在将BGP路由引入OSPF时，按照需求1配置了Metric值为`200`，此时网络中其他OSPF路由器到达`/24`的开销是多少？如果此时R1-R3链路故障，OSPF区域需要多长时间感知到BGP路由的丢失？（注：不考虑BGPGracefulRestart等平滑机制，假设BGPHoldTime为180秒）。请简述该路由重分发可能引起的问题及解决办法。题目三：IPSecVPN与NAT穿透问题排查（10分）某企业总部和分支机构需要通过Internet建立IPSecVPN。总部出口设备FW-A的公网IP为`/30`，分支机构出口设备FW-B的公网IP为`/30`。两端设备均采用IKEv1主模式进行协商，IKE提议参数为：加密算法AES-256，认证算法SHA-256，DH组14。IPSec提议参数为：安全协议ESP，加密算法AES-256，认证算法SHA-256。在部署过程中，发现FW-A的日志提示“IKEPhase1negotiationtimeout”，FW-B的日志提示“Noresponsefrompeer”。通过抓包发现，FW-B能够收到FW-A发送的IKEUDP500报文，但FW-A没有收到FW-B回复的任何UDP报文。运维人员进一步排查发现，FW-A所在区域的ISP部署了运营商级NAT（CGN），FW-A获取的``实际是一个私网地址转换后的公网映射，且该NAT设备仅支持UDP端口保留，不支持对IP协议号50（ESP）的NAT转换。问题：1.根据上述排查信息，说明为什么IPSecVPN的Phase1协商会失败？2.为了解决该问题，需要在IPSec配置中开启什么技术？该技术在封装上做了哪些改变？3.简述IKEv1主模式的前两个报文交互过程，并写出该模式下前两个报文所包含的标准载荷。题目四：网络性能计算与延迟分析（10分）某数据中心采用RoCEv2（基于UDP/IP的RDMA）网络进行存储数据同步。服务器A向服务器B发送一个大小为4MB(4×各节点参数及配置如下：1.链路带宽B=2.每段物理链路的长度为50m，信号在光纤中的传播速度V≈23.所有交换机（Leaf1,Spine1,Leaf2）采用Cut-through（直通交换）转发方式，单台交换机的转发延迟为0.5μ4.假设该数据块作为一个超长JumboFrame传输，报文头部开销忽略不计。网络中无其他拥塞，无丢包。计算要求：1.请分别计算该数据块的传输延迟和传播延迟。列出计算公式。2.请计算该数据块从服务器A发送到服务器B接收完毕，所经历的总网络延迟（包含传输延迟、传播延迟和交换机转发延迟，忽略主机处理时间）。3.如果在传输过程中，由于PFC（基于优先级的流量控制）触发了一次暂停，暂停时间为10μs，请重新计算实际总延迟三、答案与解析一、单项选择题答案与解析1.B。单模光纤纤芯极细（通常8到10μ2.B。香农定理公式为C=Blo(1+S/N)3.D。OSI七层模型中，表示层负责数据的表示、加密、解密和压缩等处理工作，确保应用层发出的信息能够被通信对端的应用层读取。4.B。CSMA/CD主要用于有线以太网，工作机制为“先听后发，边发边听”。A指的是CSMA/CA。C错误，冲突只能尽量减少不可完全避免，且冲突会导致退避。D错误，10G5.D。总长度字段标识IP首部和数据之和的长度。在接收端分片重组时，需要依据各分片的片偏移字段进行重组，而总长度字段用于标识当前分片的数据长度，但不直接用于重组原始数据报全长，原始报文长度是根据各分片重组后的实际数据计算得出。标识字段用于区分同一原始数据报的不同分片；标志字段中的MF位用于标识是否还有更多分片。实际中，重组数据报的长度由总长度和片偏移综合决定，但标识原始数据报长度的主要依赖于IP报头中的总长度字段重组累加。重新核对：原始数据报的总长度实际上是由最后一片的Offset加上最后一片的TotalLength计算得出的。此题考察基本概念，B为“标志字段”MF位决定是否结束，C为片偏移用于拼接。综合来看，片偏移记录了该分片在原始数据报中的相对位置，因此是重组的关键。正确答案应为C，片偏移字段指明了该分片在原分组中的相对位置，从而保证正确拼接。（更正本解析：原题意问记录重组分片后原始数据报长度的依据，实际上并没有单一字段直接记录原始报文长度，但根据片偏移和总长度可以计算。标准考试中往往将片偏移作为重组依据）。故选C。6.B。掩码长度/27表示网络位借用了3位主机位，主机位剩下5位。主机数量计算公式为−2=7.A。BGP选路规则顺序依次为：1.优选Local_Pref最大的；2.优选AS_Path最短的；3.优选Origin属性最优的（IGP>EGP>Incomplete）；4.优选MED值最小的；5.优选从EBGP学来的路由（优于IBGP）；6.优选下一跳IGP度量值最小的。因此前三个相同，下一个判决依据是MED。选A。8.C。NDP不使用ARP广播，而是使用ICMPv6的组播报文（邻居请求NS）来进行地址解析。它通过被请求节点组播地址发送NS报文，对应主机回复NA报文，原理与ARP完全不同。9.B。IPsec的核心是安全关联（SA），SA定义了加密算法、密钥、认证方式等。IKE协议的作用就是在对等体之间动态协商这些SA参数，而无需手动预置。10.C。SDN架构核心包含三个平面：负责转发的数据平面、负责集中控制的控制平面、以及负责网络业务逻辑的应用平面。管理平面虽然在运维中存在，但不属于SDN架构的三大核心平面之一。11.A。当拓扑发生变化时，非根桥向根桥方向发送TCNBPDU；上游交换机收到后回复TCA置1的配置BPDU进行确认；根桥收到TCN后，会向全网发送TC位置1的配置BPDU，通知所有交换机将MAC表的老化时间缩短为转发延迟，以加速MAC地址表的更新。12.A。采用VLSM进行地址分配：100台主机需要7位主机位（−2=126），掩码/25；50台主机需要6位主机位（−2=62），掩码/26。因此三个50台主机的子网也各为13.A。`netstat-s`用于显示各个协议（IP、TCP、UDP、ICMP等）的统计信息，包括收发包数、重传数等。`-r`显示路由表，`-i`显示接口统计，`-a`显示所有活动连接和监听端口。14.C。IS-IS直接运行在数据链路层之上，使用OSI网络层协议进行路由信息交互，不依赖IP层。A正确，RIPv2使用组播。B错误，OSPF中DRothers向DR/BDR发送更新使用，DR向所有OSPF路由器发送使用15.C。VXLAN的VTEP（隧道端点）可以部署在物理交换机上，也可以部署在虚拟交换机或服务器上实现。16.B。网络MTU为1500Bytes，IP报文首部长20Bytes，则IP数据载荷最大为17.C。TCP三次握手过程：客户端发送SYN（状态变为SYN-SENT）；服务端收到后回复SYN+ACK，此时服务端进入SYN-RCVD状态；客户端收到后再发送ACK，双方进入ESTABLISHED状态。18.C。Wi-Fi6(802.11ax)核心改进引入了OFDMA（正交频分多址），允许将信道划分为多个较小的子载波资源单元（RU），同时为多个用户分配不同RU进行数据传输，有效降低延迟和提升信道利用率。19.A。IntServ（集成服务）模型在发送数据前通过RSVP（资源预留协议）向网络申请端到端的带宽等资源预留，网络各节点维持流状态，以此提供严格的QoS保障。20.B。SNMPv3相比前代版本，最大的改进在于引入了USM（基于用户的安全模型，提供认证和加密）和VACM（基于视图的访问控制模型，提供更细粒度的权限控制）。21.C。`ping`正常说明本机TCP/IP协议栈正常。`ping`同网段网关提示“Networkisunreachable”（网络不可达），通常意味着本机没有配置IP地址，或者网卡接口处于down状态，导致系统无法找到发送报文的合适出口。B选项未配置默认网关通常只会导致访问非同网段时提示不可达或超时，且Linux对于同网段通信不需要网关。22.B。MPLSLSR在转发报文时，不查看IP头部进行最长前缀匹配，而是直接根据报文进入的接口和MPLS标签中的入标签，查找标签转发表，进行标签的交换或弹出。23.C。RAID5的磁盘利用率为(N−1)/N，N为磁盘数。这里24.D。RSTP中边缘端口如果收到了BPDU，将立即失去边缘端口属性，转变为普通RSTP端口并重新参与生成树计算，以防止网络拓扑被恶意或错误接入破坏。25.B。在BGPEVPN中，Type2路由（MAC/IPAdvertisementRoute）主要用于传递主机MAC地址以及主机IP与MAC的映射关系，实现控制平面的MAC学习。26.A。CLOS（Spine-Leaf）架构中，所有的Leaf交换机都连接到每个Spine交换机上，Leaf之间不直接互联，流量通过Spine进行转发。B错误，Spine-Leaf属于全连接拓扑，STP会阻塞大量链路，通常不使用STP，而是采用路由协议（如BGP/OSPF）或Trill等网络技术。27.B。DAI（动态ARP检测）通常与DHCPSnooping结合，交换机只转发与DHCPSnooping绑定表匹配的ARP报文，从而有效防御伪造网关或伪造主机的ARP欺骗攻击。28.D。TCP协议的快速重传机制在收到3个冗余ACK时触发，而超时重传机制在RTO超时计时器到期时触发。两者都是TCP确定数据包丢失并重传的依据。29.A。DNS放大攻击中，攻击者伪造受害者的IP作为源IP，向DNS服务器发送小的查询请求，DNS服务器向受害者返回大量响应数据。响应报文的源端口为53，目的端口随机，源IP为DNS服务器。由于响应报文远大于请求，导致受害者带宽被耗尽。30.B。组播RPF（反向路径转发）检查的目的是避免路由环路，其依据是单播路由表。路由器检查到达组播源的入接口是否是单播路由表中到达该源的最优出接口，如果是则接收，否则丢弃。在IPv6PIM-SM中同理。31.A。静态NAT完成一对一的IP地址映射。外部访问0时，NAT设备将报文的目的IP修改为内网真实IP10.1.132.A。SRv6SID的典型结构包含：Locator（网络定位信息，用于路由转发）、Function（指令动作，如End、End.X等）、Arguments（可选的参数信息）。33.B。PPS（PacketsPerSecond，包每秒）是衡量网络设备数据包处理转发能力的核心指标。BPS是比特每秒，MTBF是平均无故障时间。34.A。Wireshark中，`ip.addr==`会同时匹配源或目的IP，`tcp.port==80`会同时匹配源或目的端口。`and`表示逻辑与。因此显示的是两者同时满足的TCP报文。35.A。`rwx`(读、写、执行)对应二进制111(十进制7)，`r-x`(读、执行)对应101(十进制5)，`r--`(读)对应100(十进制4)。组合为754。36.A。VRRP中Backup路由器在连续3个advertisementinterval内未收到Master的VRRP报文，会认为Master故障并进行状态切换。切换时间即3×37.C。OSPFDR选举规则：先比较接口优先级，最高者当选；若优先级相同（默认均为1），则比较Router-ID，Router-ID最大者当选。38.C。PE路由器从CE接收IPv4路由后，首先将其放入对应的VRF（VPN路由转发实例）表中。在VRF表中，为其附加RD（路由区分符）使其在全局具有唯一性，然后通过MP-BGP并携带RT（路由目标）属性传递给远端PE。39.B。Linux系统默认的`traceroute`命令使用UDP报文进行探测，TTL从1开始递增，目的端口使用大于30000的高位随机端口。而Windows下的`tracert`默认使用ICMPEchoRequest报文。40.B。RoCEv2依赖无损以太网。PFC（基于优先级的流量控制）提供逐跳的流量反压，防止报文被丢弃；ECN（显式拥塞通知）允许交换机在发生拥塞时标记报文，端到端通知发送端降速。两者是构建无损网络的核心技术。41.B。路由器在转发IP报文前，先将TTL减1。如果减1后TTL为0，则路由器必须丢弃该报文，并向源主机发送ICMPTimeExceeded（超时）报文，提示网络不可达或存在环路。42.C。纠删码（ErasureCoding,EC）通过将数据分块并计算校验块来实现容错。相比于多副本机制（如3副本即200空间开销），EC可以在提供相同数据可靠性级别的前提下，显著降低存储空间冗余率（如8+4编码仅43.A。标准网络协议端口：HTTPS使用443(TCP)，SSH使用22(TCP)，SNMP使用161(UDP)，Syslog使用514(UDP)。44.B。Ping命令返回的`time`值表示ICMPEchoRequest报文从源主机发出，到目的主机接收并处理返回EchoReply报文到达源主机所经历的往返时延（Round-TripTime,RTT）。45.B。AH协议提供数据完整性和认证，但不提供加密。传输模式仅对IP有效载荷进行认证，不改变原有IP头；隧道模式对整个原始IP包进行认证，并添加新的外部IP头。但AH认证范围不包含外部IP头中的可变字段。B选项描述最接近事实。46.C。BGP使用AS_PATH属性来记录路由经过的AS号。当BGP路由器收到一条包含自身AS号的路由时，会将其丢弃，从而防止AS之间的路由环路。47.C。在PaaS（平台即服务）模型中，云服务商负责提供底层硬件、操作系统、数据库及运行环境等平台设施。用户只需负责开发、部署和运行自己的业务应用程序代码及数据管理。48.C。`netmiko`是基于Paramiko库的进一步封装，专门为各类网络设备（思科、华为、华三等）的SSH自动化操作设计，提供了统一的接口。`requests`用于HTTP，`scapy`用于报文构造，`BeautifulSoup`用于网页解析。49.C。每个子网需要容纳25台主机，则需要5位主机位（−2=30≥25）。因此子网掩码为/27(32−50.B。GRE是一种通用的三层VPN封装协议，本身不提供加密认证等安全机制。在实际应用中，为了保障数据安全，经常将GRE与IPsec结合使用，利用IPsec对GRE隧道中的流量进行加密保护。GRE协议头中的协议类型字段为2字节。二、综合应用题答案与解析题目一：园区网VLAN与生成树协议设计答案与解析：1.MSTP配置（基于华为设备CLI示例）：```text[S1]stpregion-configuration[S1-mst-region]region-nameCorp_Region[S1-mst-region]revision-level1[S1-mst-region]instance1vlan10to50[S1-mst-region]instance2vlan60to100[S1-mst-region]activeregion-configuration[S1]stpinstance1rootprimary[S1]stpinstance2rootsecondary```2.负载均衡说明：MSTP通过将多个VLAN映射到不同的生成树实例，实现了网络流量的负载分担。在本题中，Instance1的根桥为S1，VLAN10-50的数据流量将沿着以S1为根的最短路径树转发，通往S1方向的链路被激活，通往S2方向的链路被阻塞；Instance2的根桥为S2，VLAN60-100的数据流量将沿着以S2为根的最短路径树转发，通往S2方向的链路被激活，通往S1方向的链路被阻塞。从而实现了同一物理网络中不同VLAN流量的多路径负载分担。3.MSTP相较于STP（802.1D）的改进：收敛速度：传统STP在拓扑变化时，需要经历阻塞、监听、学习、转发完整的50秒状态转换过程。MSTP继承了RSTP（802.1w）的快速收敛机制，通过替代端口和备份端口的引入，以及边缘端口的快速过渡，使得网络在拓扑变化时能够在毫秒到秒级完成快速收敛。负载均衡：传统STP在局域网中只生成一棵无环的树，导致大量冗余链路处于阻塞状态，造成带宽浪费。MSTP支持多实例，允许多个VLAN映射到不同的生成树实例中，通过在不同的实例中选举不同的根桥，使得原本被阻塞的冗余链路可以承载其他实例的流量，实现了VLAN间流量的负载均衡。题目二：OSPF与BGP路由策略分析答案与解析：1.R2到达`/24`的路由选择及判定过程：在R2的BGP路由表中，到达`/24`的优选路径为：经过R1的EBGP路由。判定过程如下：R2从AS300的R4接收到了`/24`的明细路由（假设R4有宣告），同时也收到了`/8`的路由。在BGP表中，R2会比较到达`/24`的路由。默认情况下，R2会将本地直连EBGP路由的Local_Pref设为100。但根据策略，R2对来自AS300的`/24`路由修改了Local_Pref为50。而R2通过IBGP从R1接收到的路由，其Local_Pref保持为100。BGP选路规则第一条是比较Local_Pref，Local_Pref值越大越优。由于R1传来的Local_Pref(100)大于R2本地EBGP学到的Local_Pref(50)，因此R2优先选择从R1到达`/24`的路径。2.引入OSPF的Metric值及故障感知时间：Metric值：根据需求1，R1将BGP路由引入OSPF时强制配置Metric值为200，那么网络中其他OSPF路由器（除R2外）通过OSPF到达该路由的初始Me