2026年网络工程师资格考试试题及答案

2026年网络工程师资格考试试题及答案第一部分选择题（共50分，每题1分）一、单项选择题（每题1分，共30分）1.在OSI参考模型中，负责在两个相邻节点间提供可靠数据传输服务的是（）。A.物理层B.数据链路层C.网络层D.传输层答案：B2.采用CSMA/CD协议的以太网中，当两个站点同时发送数据时，会产生冲突。检测到冲突后，发送站点将（）。A.立即停止发送，并等待一个随机时间后重试B.立即停止发送，并等待一个固定时间后重试C.继续发送，直到数据发送完毕D.提高发送功率，压制对方信号答案：A3.某IP地址为00，子网掩码为40，其所在子网的网络地址是（）。A.B.6C.00D.12答案：B4.下列路由协议中，属于外部网关协议（EGP）的是（）。A.RIPB.OSPFC.IS-ISD.BGP答案：D5.在TCP协议中，用于建立连接的三次握手过程中，第二次握手时，服务器向客户端发送的TCP报文段标志位设置为（）。A.SYN=1,ACK=0B.SYN=1,ACK=1C.SYN=0,ACK=1D.FIN=1,ACK=1答案：B6.使用ping命令测试网络连通性时，主要利用了（）协议。A.ARPB.ICMPC.IGMPD.TCP答案：B7.在IPv6地址2001:0db8:85a3:0000:0000:8a2e:0370:7334的压缩表示中，正确的是（）。A.2001:db8:85a3::8a2e:370:7334B.2001:0db8:85a3::8a2e:0370:7334C.2001:db8:85a3:0:0:8a2e:370:7334D.A和C都正确答案：D8.下列无线局域网标准中，工作在5GHz频段且理论速率最高的是（）。A.IEEE802.11aB.IEEE802.11bC.IEEE802.11gD.IEEE802.11n答案：D(注：802.11n支持2.4G和5G双频，在5G频段下速率高于802.11a。更高速率的802.11ac/ax未在选项中出现，故D为最佳)9.网络管理员在交换机上配置了VLAN10和VLAN20。要使不同交换机上相同VLAN的成员能够通信，需要采用（）技术。A.STPB.TrunkC.AccessD.VTP答案：B10.在Linux系统中，用于查看当前系统路由表的命令是（）。A.ipconfigB.ifconfigC.route或iprouteD.netstat-r答案：C(注：route和iproute是标准命令，D的netstat-r也正确，但C更直接常用。题目为单选，C为最核心命令)11.下列加密算法中，属于非对称加密算法的是（）。A.AESB.DESC.RSAD.RC4答案：C12.用于将域名解析为IP地址的协议是（）。A.HTTPB.FTPC.DNSD.SNMP答案：C13.在SNMP协议体系中，网络管理站（NMS）通过（）操作来获取被管设备上的管理信息。A.GetB.SetC.TrapD.Inform答案：A14.某公司网络需要划分成6个子网，每个子网最多容纳30台主机。如果使用C类地址，最合适的子网掩码是（）。A.B.92C.24D.40答案：C15.以下关于NAT技术的描述，错误的是（）。A.NAT可以节省公有IP地址B.NAT可以隐藏内部网络结构C.静态NAT是一对一的地址转换D.NAT不会对网络性能产生任何影响答案：D16.在生成树协议（STP）中，负责在根桥和其他交换机之间提供最佳路径的端口角色是（）。A.根端口B.指定端口C.阻塞端口D.替代端口答案：A17.下列协议中，工作在传输层并提供无连接服务的是（）。A.TCPB.UDPC.IPD.HTTP答案：B18.使用tracert（traceroute）命令时，其原理是发送（）报文并逐渐增加TTL值。A.TCPSYNB.ICMPEchoRequestC.UDP或ICMP（取决于实现）D.ARPRequest答案：C19.在WindowsServer中，能够自动为客户端分配IP地址、子网掩码、默认网关等参数的服务是（）。A.DNSB.WINSC.DHCPD.IIS答案：C20.以下关于光纤通信的描述，正确的是（）。A.多模光纤的传输距离比单模光纤远B.单模光纤的纤芯直径比多模光纤大C.光纤通信不受电磁干扰D.光信号在光纤中以直线方式传播答案：C21.某路由器路由表如下：目标网络下一跳接口/24直接连接Eth0/24直接连接Eth/0Eth2当该路由器收到一个目的IP地址为的数据包时，它将通过（）接口转发。A.Eth0B.Eth1C.Eth2D.丢弃答案：C22.在网络安全中，主要用于防止未经授权的用户访问网络资源的措施是（）。A.数据加密B.访问控制C.漏洞扫描D.流量过滤答案：B23.以下关于VLAN间路由的实现方式，描述错误的是（）。A.可以使用多层交换机（三层交换机）B.可以使用路由器连接多个交换机物理端口（单臂路由）C.必须在每个VLAN内配置一台独立的路由器D.可以通过交换机的SVI（交换机虚拟接口）实现答案：C24.在TCP拥塞控制中，当发生超时重传时，TCP会将拥塞窗口（cwnd）设置为（），并进入慢启动阶段。A.1个MSSB.上次拥塞窗口的一半C.接收方通告的窗口大小D.保持不变答案：A25.下列IPv6地址类型中，用于标识一组接口，发往该地址的数据包会被交付给该组所有成员的是（）。A.单播地址B.任播地址C.组播地址D.链路本地地址答案：C26.网络管理员发现某台交换机的CPU利用率持续高达95%，可能的原因不包括（）。A.广播风暴B.路由环路C.交换机硬件故障D.端口连接了低速设备（如10MHub）答案：D27.在MPLS网络中，用于标识数据包转发路径的标签位于OSI模型的（）。A.网络层和数据链路层之间B.数据链路层头部C.网络层头部D.传输层头部答案：A(注：MPLS标签位于二层头部和三层头部之间，称为“2.5层”)28.用于实现远程安全登录的网络协议是（）。A.TelnetB.FTPC.SSHD.RDP答案：C29.根据《网络安全法》，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据（）。A.泄露或者被窃取、篡改B.仅防止泄露C.仅防止篡改D.仅防止被窃取答案：A30.在SDN（软件定义网络）架构中，负责集中控制、管理网络智能的核心组件是（）。A.应用层B.控制层C.基础设施层D.南向接口答案：B二、多项选择题（每题2分，共10分。每题至少有两个正确选项，多选、少选、错选均不得分）31.以下关于TCP和UDP协议的描述，正确的有（）。A.TCP提供面向连接的服务，UDP提供无连接的服务B.TCP提供可靠交付，UDP提供不可靠交付C.TCP有流量控制和拥塞控制机制，UDP没有D.TCP报文段头部比UDP报文头部简单答案：A,B,C32.下列属于动态路由协议的有（）。A.静态路由B.RIPC.OSPFD.默认路由答案：B,C33.可能导致网络环路的原因有（）。A.网络中存在冗余链路但未运行生成树协议B.错误配置了静态路由C.动态路由协议收敛过程中产生临时环路D.交换机端口被配置为Access模式答案：A,B,C34.以下属于无线网络安全机制或标准的有（）。A.WEPB.WPA/WPA2C.MAC地址过滤D.SSID隐藏答案：A,B,C,D35.网络虚拟化技术可以体现在以下哪些层面（）。A.网络设备虚拟化（如VDC，VRF）B.链路虚拟化（如VLAN，VPN）C.计算虚拟化（如服务器虚拟化）D.网络功能虚拟化（NFV）答案：A,B,D第二部分填空题（共20分，每空1分）36.在以太网帧结构中，目的MAC地址和源MAC地址的长度各是______字节。答案：637.IPv4地址长度为______比特，IPv6地址长度为______比特。答案：32，12838.OSPF协议使用______算法计算最短路径树，其管理距离（AD）的默认值是______。答案：Dijkstra（SPF），11039.在TCP/IP模型中，位于传输层和网络接口层之间的层次是______。答案：网际层（或网络层）40.交换机通过自学习建立MAC地址表，表中记录了MAC地址与______的对应关系。答案：端口号41.数字签名技术通常结合了______加密和______摘要算法来实现信息的不可否认性和完整性验证。答案：非对称（或公钥），哈希（或散列）42.当主机需要访问外部网络时，如果其IP地址是私有地址，则需要通过______技术进行地址转换。答案：NAT（网络地址转换）43.QoS（服务质量）中，三种主要的服务模型是：尽力而为服务、______服务和______服务。答案：综合服务（IntServ），区分服务（DiffServ）44.在Linux系统中，用于测试DNS解析是否正常的命令是______或______。答案：nslookup，dig，host（任选其二）45.根据IEEE802.1Q标准，VLAN标签（Tag）的长度是______字节，其中标识VLANID的字段长度是______比特。答案：4，1246.网络故障排查中，常用的分层排查法遵循从______到______，从______到______的原则。答案：物理层，应用层（或低层，高层）；本地，远端（或内部，外部）（顺序可灵活，意思对即可）47.RAID1通过______提供数据冗余，RAID5通过______提供数据冗余和性能提升。答案：磁盘镜像，分布式奇偶校验第三部分简答题（共40分）三、封闭型简答题（每题5分，共20分）48.简述交换机、路由器和防火墙在网络中的主要功能区别。答案：交换机：主要工作在数据链路层（二层），根据MAC地址进行数据帧的转发和过滤，用于构建局域网（LAN），提供高速数据交换。路由器：主要工作在网络层（三层），根据IP地址进行数据包的转发和路由选择，用于连接不同的网络（如LAN与WAN），实现网络互连。防火墙：主要工作在网络层和传输层（可扩展至应用层），根据预设的安全策略（如ACL）对数据流进行访问控制、过滤和审计，用于保护内部网络免受外部威胁。49.什么是ARP欺骗（ARPSpoofing）？其基本原理和危害是什么？答案：ARP欺骗是一种网络攻击技术。攻击者通过伪造并发送虚假的ARP响应报文，篡改目标主机或网关的ARP缓存表，使其IP地址与错误的MAC地址建立映射关系。基本原理：利用ARP协议无状态、缺乏认证机制的缺陷。危害：可导致网络通信中断（如DoS）、数据窃听（中间人攻击）、数据篡改、会话劫持等。50.简述DHCP服务的工作过程（四个主要报文交互）。答案：DHCP客户端从服务器动态获取IP地址的过程主要经历四个阶段，通过四个报文交互完成：（1）DHCPDiscover：客户端广播发送发现报文，寻找DHCP服务器。（2）DHCPOffer：收到Discover报文的服务器广播（或单播）回应提供报文，包含可供分配的IP地址等配置信息。（3）DHCPRequest：客户端可能收到多个Offer，它选择其中一个并向其广播请求报文，正式请求使用该服务器提供的参数。（4）DHCPAck：被选中的服务器广播确认报文，正式将IP地址租用给客户端，并包含完整的配置参数。51.列出至少三种常见的网络冗余技术，并简要说明其作用。答案：（1）设备冗余：如堆叠、集群、双机热备。作用：提高关键网络设备的可靠性，避免单点故障。（2）链路冗余：如以太网链路聚合（LACP）、生成树协议（STP/RSTP/MSTP）。作用：提供备份链路，提高链路可靠性，并可能实现负载分担。（3）路由冗余：如配置动态路由协议（OSPF、BGP）、浮动静态路由。作用：当主路由路径失效时，自动切换到备用路径，保证网络连通性。（4）电源冗余：如双电源模块。作用：保障设备持续供电。四、开放型/分析型简答题（每题10分，共20分）52.某公司网络拓扑如下图所示（此处为文字描述）：核心交换机SW-Core通过两条链路分别连接路由器R1和R2，R1和R2连接至互联网。内部服务器Server通过SW-Core接入。网络管理员发现，当R1的上行链路故障时，部分内部用户访问互联网出现短暂中断后恢复，但访问Server始终正常；而当SW-Core与R1之间的链路故障时，所有用户访问互联网和Server均中断。请分析可能的原因。答案：（1）当R1上行链路故障时：用户访问互联网短暂中断后恢复，说明网络中存在通往互联网的备用路径（例如通过R2）。这可能是因为在R1和R2上运行了动态路由协议（如BGP或OSPF），当R1检测到上行链路故障后，撤销了相关路由，流量通过R2路径转发。访问Server正常，因为Server位于内部网络，路径未受影响。（2）当SW-Core与R1之间链路故障时：所有用户访问互联网和Server均中断，这表明SW-Core与R1之间的链路是网络中的一个关键单点故障点。可能的原因包括：a)路由层面：SW-Core可能默认路由（或去往互联网的路由）只指向了R1，当直连链路失效，没有备用路由指向R2。或者R1和R2与SW-Core之间未运行动态路由，SW-Core无法感知到通过R2的路径。b)服务器访问路径：Server的网关可能设置在R1上，或者访问Server需要经过R1（例如Server在DMZ，或存在特殊的策略路由）。当SW-Core到R1的链路中断，导致用户无法抵达Server的网关或路径。总结：网络设计在核心层存在单路径风险，缺乏设备间（SW-Core与R2）的冗余路由配置。53.随着物联网（IoT）设备的广泛部署，企业网络面临新的安全挑战。请从网络接入、数据传输和设备管理三个方面，阐述针对IoT设备可能面临的安全风险及相应的防护措施建议。答案：面临的安全风险：（1）网络接入层面：风险：IoT设备通常资源受限，可能不支持现代强认证协议（如802.1X），使用弱口令或默认凭证，易被非法接入；大量设备可能产生广播风暴，影响网络性能。措施：建立独立的IoT专用VLAN或网络段，进行逻辑隔离；实施MAC地址认证与端口安全策略；使用网络访问控制（NAC）系统，对设备进行合规性检查后再授权入网。（2）数据传输层面：风险：设备与平台间通信可能使用未加密或弱加密协议（如明文Telnet/HTTP，过时的SSL），导致数据在传输过程中被窃听或篡改。措施：强制使用加密通信协议，如TLS/SSL、IPsecVPN；对敏感数据实施端到端加密。（3）设备管理层面：风险：设备固件存在已知漏洞却难以更新（生命周期长、无人维护）；缺乏集中监控和管理手段，设备失陷难以察觉；设备可能成为跳板攻击内网。措施：建立资产清单，定期扫描和评估IoT设备漏洞；在网络边界部署下一代防火墙（NGFW）或入侵防御系统（IPS），设置针对IoT协议和流量的精细过滤规则；部署安全信息和事件管理（SIEM）系统，集中收集和分析IoT设备日志，及时发现异常行为；制定并执行固件更新策略。第四部分应用题（共40分）五、计算/配置分析题（每题10分，共20分）54.某公司被分配了一个C类网络地址。需要划分出至少5个子网，其中最大的子网需要容纳至少25台主机。请计算：（1）满足需求所需的最小子网掩码（用点分十进制表示）。（2）每个子网的网络地址、可用主机地址范围和广播地址（列出前4个子网即可）。（3）该地址划分后，总共损失了多少个可用的IP地址（相对于未划分子网时）？答案：（1）需要5个子网，2^3=8>=5，故需向主机位借3位作为子网位。最大子网需25台主机，2^5-2=30>=25，故主机位至少需要5位。原C类网络主机位8位，借3位后，主机位剩5位，满足要求。因此，新的子网掩码为：24（/27）。（2）子网块大小（增量）为256224=32。前4个子网信息如下：子网1：网络地址：，可用地址范围：~0，广播地址：1子网2：网络地址：2，可用地址范围：3~2，广播地址：3子网3：网络地址：4，可用地址范围：5~4，广播地址：5子网4：网络地址：6，可用地址范围：7~26，广播地址：27（3）未划分子网时，可用主机地址数为2^82=254个。划分成/27子网后，每个子网可用主机地址数为2^52=30个。最多可划分出8个子网，总可用地址数为308=240个。最多可划分出8个子网，总可用地址数为308=240个。损失的可用IP地址数为：254240=14个。（或者解释为：每个子网损失一个网络地址和一个广播地址，8个子网共损失16个地址，但原网络本身也有一个网络地址和广播地址，所以实际多损失了14个可用地址。）55.阅读以下路由器R1的部分配置片段，并回答问题：```interfaceGigabitEthernet0/0ipaddressipnatinside!interfaceSerial0/0/0ipaddress52ipnatoutside!iprouteSerial0/0/0!access-list1permit55!ipnatinsidesourcelist1interfaceSerial0/0/0overload```问题：（1）该配置片段主要实现了什么功能？（2）`access-list1`语句的作用是什么？（3）当内部主机00访问外网IP0时，NAT转换过程是如何进行的？（描述关键地址变化）（4）`overload`关键字的作用是什么？答案：（1）该配置主要实现了动态PAT（PortAddressTranslation，也称为NAPT），使得内部网络（/24）的多台主机可以共享路由器R1的外网接口（Serial0/0/0）的公网IP地址（）访问互联网。（2）`access-list1permit55`是一个标准ACL，其作用是定义需要被进行NAT转换的内部源IP地址范围，即匹配/24这个网络的所有主机。（3）转换过程：a)内部主机00发起访问，数据包源IP:00，源端口:随机高位端口（如50000），目的IP:0。b)数据包到达R1的Inside接口（G0/0），匹配ACL1，触发NAT转换。c)R1将数据包的源IP地址替换为Outside接口（S0/0/0）的IP地址，并可能将源端口替换为一个新的、唯一的端口号（如60001），以区分不同内部主机的会话。形成NAT转换表项（如：内部00:50000<->外部:60001）。d)转换后的数据包从S0/0/0接口发出，源IP:，源端口:60001，目的IP:0。（4）`overload`关键字的作用是启用端口多路复用。它允许将多个内部本地地址（私有IP）映射到同一个内部全局地址（公网IP）的不同端口上，从而实现了“多对一”的地址转换，极大地节约了公网IP地址资源。六、综合设计题（共20分）56.某中型企业计划建设新的园区网络，总部办公楼（3层）和研发楼（2层）通过地下光纤连通。具体要求如下：用户规模：总部约200个信息点（含有线、无线），研发楼约150个信息点。业务需求：划分为办公网（VLAN10）、研发网（VLAN20）、服务器区（VLAN30）、无线访客网（VLAN100）。办公网和研发网需要隔离，但都能访问服务器区和互联网。无线访客网只能访问互联网，不能访问内部任何网络。可靠性：核心层需要冗余，互联网出口需要双线冗余。安全：需要对进出互联网的流量进行安全防护。请根据以上需求，完成以下设计任务：（1）绘制该园区网络的逻辑拓扑图（用文字描述主要设备及连接关系即可）。要求体核心-汇聚-接入三层结构（或精简后的两层结构），并标注关键设备角色（如核心交换机、出口路由器/防火墙等）。（2）简述实现办公网、研发网、无线访客网之间访问控制的方案（在哪个设备上、通过什么技术实现）。（3）为满足互联网出口双线冗余，在出口设备上可以采取哪些技术或配置策略？（列出两种）答案：（1）逻辑拓扑描述：采用两层结构（核心-接入）以简化管理并满足规模需求。核心层：部署两台高性能三层交换机（SW-Core1，SW-Core2），实现设备冗余。两者之间通过多条链路进行堆叠或使用链路聚合（如M-LAG、vPC）形成逻辑单一设备，提高带宽和可靠性。接入层：总部和研发楼各楼层部署接入交换机（SW-Access），每台接入交换机通过双上行链路分别连接到两台核心交换机（或连接到堆叠/聚合后的逻辑核心），实现链路冗余。出口区域：两台核心交换机连接到一台（或一对）出口防火墙（FW）。防火墙工作在路由模式或透明模式。防火墙外联两台出口路由器（R1，R2），分别连接至不同的互联网服务提供商（ISP1，ISP2），实现出口链路冗余。服务器区：服务器群通过接入交换机直接连接到核心交换机。无线网络：部署无线控制器（AC）和多个无线接入点（AP）。AC旁挂或直连在核