2026上半年网络工程师考试《案例分析》真题及答案四

2026上半年网络工程师考试《案例分析》真题及答案四【试题一】阅读以下关于企业网络架构升级的技术说明，根据要求回答问题。某大型制造企业为适应数字化转型的需求，计划对其总部园区网络进行升级改造。该园区网络采用经典的三层架构（核心层、汇聚层、接入层），并通过一台高性能路由器Router-Edge连接至互联网。为了提高网络的可靠性与吞吐量，网络架构师在核心层部署了两台三层交换机（Core-SW1和Core-SW2）作为双核心，在汇聚层部署了多台二层交换机。核心交换机之间、核心与汇聚交换机之间均采用多链路互联，以实现链路冗余和负载均衡。网络拓扑描述如下：1.核心层：Core-SW1与Core-SW2通过两条10G光纤链路互联，运行OSPF动态路由协议，并部署VRRP（虚拟路由器冗余协议）实现网关冗余。2.汇聚层：汇聚交换机Agg-SW1双归连接至Core-SW1和Core-SW2。为了保证VLAN流量在不同链路上的负载分担，网络中配置了MSTP（多生成树协议）。3.接入层：接入交换机Access-SW1连接用户PC，属于VLAN10，网关地址为/24。4.服务器区：核心交换机下行连接服务器群，其中Web服务器群位于VLAN100，网关为/24。在配置过程中，网络工程师在Core-SW1上进行了如下配置片段（部分省略）：```bash[Core-SW1]vlanbatch10100[Core-SW1]interfaceVlanif10[Core-SW1-Vlanif10]ipaddress5224[Core-SW1-Vlanif10]vrrpvrid1virtual-ip[Core-SW1-Vlanif10]vrrpvrid1priority120[Core-SW1-Vlanif10]vrrpvrid1trackinterfaceGigabitEthernet0/0/1reduced30[Core-SW1-Vlanif10]quit[Core-SW1]interfaceVlanif100[Core-SW1-Vlanif100]ipaddress5224[Core-SW1-Vlanif100]vrrpvrid2virtual-ip[Core-SW1-Vlanif100]vrrpvrid2priority110```同时，为了优化链路带宽利用率，工程师在Core-SW1与Agg-SW1互联的接口上配置了链路聚合。【问题1】（6分）在VRRP配置中，`vrrpvrid1priority120`命令的作用是什么？如果不配置该命令，默认优先级是多少？当Core-SW1的上行接口GigabitEthernet0/0/1故障时，Core-SW1在VLAN10的VRRP组中的优先级会变为多少？此时VRRP状态会发生什么变化？【问题2】（5分）为了实现VLAN10和VLAN100的流量在Core-SW1和Core-SW2之间的不同链路上转发，需要配置MSTP。请简述MSTP（多生成树协议）与RSTP（快速生成树协议）的主要区别。在MSTP配置中，需要将VLAN映射到实例（Instance），假设要求VLAN10映射到Instance1，VLAN100映射到Instance2，请写出在交换机全局模式下将VLAN10映射到Instance1的配置命令。【问题3】（4分）链路聚合技术可以将多条物理链路捆绑成一条逻辑链路。在LACP（链路聚合控制协议）模式下，聚合链路的建立需要双方交换LACPDU报文。请说明LACP模式中Active（主动）模式和Passive（被动）模式的区别。若Core-SW1配置为Active模式，Agg-SW1应配置为什么模式才能成功建立聚合链路？【问题4】（5分）该企业网络规划了OSPF区域。Core-SW1、Core-SW2及Router-Edge属于Area0（骨干区域），汇聚层及接入层属于Area1。请解释OSPF中ABR（区域边界路由器）的概念，并指出本网络中哪些设备充当了ABR的角色。如果Area1是Stub（末梢）区域，该区域不允许注入哪三类LSA？【问题5】（5分）网络管理员在排查故障时发现，VLAN10的用户无法访问互联网，但可以访问内部服务器。在Core-SW1上查看路由表，发现有一条指向Router-Edge的默认路由。管理员在Core-SW1的VLANIF10接口上抓包，发现PC发出的报文源地址为5，目的地址为公网IP，但报文未到达Router-Edge。请列举两个可能导致此问题的原因（假设物理链路正常）。【试题二】阅读以下关于Linux服务器配置的技术说明，根据要求回答问题。某公司搭建了一台基于Linux（CentOSStream9）的服务器，主要用于提供Web服务、域名解析（DNS）服务以及动态主机配置（DHCP）服务。该服务器内网网卡eth0的IP地址为0/24，网关为。1.Web服务配置管理员使用ApacheHTTPServer搭建网站，主配置文件为`/etc/httpd/conf/httpd.conf`。为了启用SSL安全连接，管理员安装了mod_ssl模块，并修改了配置文件中的虚拟主机部分：```apache<VirtualHost*:443>ServerNamewww.exampleDocumentRoot"/var/www/html/secure"SSLEngineonSSLCertificateFile/etc/pki/tls/certs/server.crtSSLCertificateKeyFile/etc/pki/tls/private/server.keyErrorLoglogs/ssl_error_logTransferLoglogs/ssl_access_log</VirtualHost>```2.DNS服务配置该服务器同时作为内部网络的DNS主服务器，负责解析域名``。配置文件`/var/named/.zone`内容片段如下：```$TTL86400@INSOA..(2024051501;Serial3600;Refresh1800;Retry604800;Expire86400);MinimumINNS.INMX10.nsINA0wwwINA0mailINA0```3.DHCP服务配置服务器安装了dhcp-server软件包，配置文件`/etc/dhcp/dhcpd.conf`部分内容如下：```subnetnetmask{range0000;optionrouters;optiondomain-name-servers0;optiondomain-name"";default-lease-time600;max-lease-time7200;}hostprinter{hardwareethernet00:11:22:33:44:55;fixed-address0;}```【问题1】（5分）在Apache的SSL配置中，`SSLEngineon`指令的作用是什么？如果管理员希望HTTP请求（80端口）自动跳转到HTTPS（443端口），通常需要在VirtualHost配置中启用哪个模块，并写出实现跳转的一种常见配置方法（可以使用Rewrite规则或Redirect指令）。【问题2】（5分）在DNS区域文件中，`$TTL86400`表示什么含义？SOA记录中的`Serial`字段有什么作用？当管理员修改了DNS资源记录（例如增加了新的A记录）后，必须如何处理Serial字段才能让从域名服务器同步更新？【问题3】（5分）在DHCP配置文件中，`default-lease-time`和`max-lease-time`分别代表什么含义？`hostprinter{...}`这一段配置的作用是什么？请解释`hardwareethernet`和`fixed-address`参数的用途。【问题4】（5分）为了增强服务器的安全性，管理员需要配置防火墙。系统使用的是`firewalld`。请写出以下操作对应的完整命令：（1）查看当前活动的区域（zone）。（2）在public区域中永久开放HTTPS服务（443端口）。（3）允许来自/24网段的流量访问MySQL服务（3306端口）。【问题5】（5分）管理员在配置Web服务时，发现无法通过浏览器访问网站，错误代码为403Forbidden。已知Apache服务已启动，且DNS解析正确。请列举三个可能导致403错误的原因。【试题三】阅读以下关于网络安全与VPN配置的技术说明，根据要求回答问题。某跨国公司在北京总部和上海分公司之间建立IPSecVPN连接，以保证数据传输的安全性。网络拓扑中，北京总部的网关设备为Router-BJ，上海分公司的网关设备为Router-SH。两端均通过光纤接入互联网，公网IP地址动态分配（假设当前Router-BJ公网IP为，Router-SH公网IP为）。总部内网网段为/16，分公司内网网段为/16。IPSecVPN采用IKEv1协议进行协商，加密算法选用AES-256，认证算法选用SHA2-256，封装模式为隧道模式。在Router-BJ上的部分配置如下：```cryptoisakmppolicy10encraes256hashsha256authenticationpre-sharegroup14lifetime86400cryptoisakmpkey6Abc@12345address!access-list100permitip5555!cryptoipsectransform-setMYTRANSFORMesp-aes256esp-sha256-hmacmodetunnel!cryptomapMYMAP10ipsec-isakmpsetpeersettransform-setMYTRANSFORMmatchaddress100!interfaceGigabitEthernet0/0/1//连接互联网的接口ipaddressdhcpcryptomapMYMAP```【问题1】（6分）IPSecVPN主要包含两个协议：AH（AuthenticationHeader）和ESP（EncapsulatingSecurityPayload）。本案例中配置的是ESP。请简述ESP协议提供的安全服务有哪些。配置中的`modetunnel`表示隧道模式，请说明隧道模式与传输模式的主要区别（特别是在IP头部的处理上）。【问题2】（5分）IKE协商分为两个阶段。请解释IKE阶段1（Phase1）和IKE阶段2（Phase2）的主要任务。配置中的`group14`指定了Diffie-Hellman密钥交换的组，Group14对应的是多少位模指数幂运算？【问题3】（4分）访问控制列表`access-list100`在此配置中的作用是什么？如果ACL配置错误（例如源地址和目的地址写反），会产生什么后果？【问题4】（5分）在IPSecVPN部署中，NAT穿越（NAT-T）是一个常见问题。如果Router-BJ或Router-SH后方存在NAT设备（或接口本身是NAT环境），IPSecVPN协商可能会失败。请解释为什么NAT会破坏标准的IPSecVPN。通常采用什么技术或协议来解决这个问题？【问题5】（5分）除了IPSecVPN，SSLVPN也是现在常用的远程接入技术。请对比IPSecVPN和SSLVPN在“客户端部署”和“适用性”（如移动设备支持）方面的区别。如果公司希望员工使用个人手机（BYOD）无需安装专用客户端软件即可访问内网Web应用，应推荐哪种VPN技术？【试题四】阅读以下关于无线网络优化与故障排查的技术说明，根据要求回答问题。某高校图书馆部署了Wi-Fi6无线网络以满足大量学生同时接入的需求。网络架构采用AC（接入控制器）+FitAP（瘦AP）架构。AC部署在网络核心，负责统一管理AP和下发配置。AP通过PoE交换机供电，并通过专用隧道（如CAPWAP）与AC通信。网络参数如下：SSID：Library_WiFi6业务VLAN：VLAN200管理VLAN：VLAN999ACIP地址：APIP地址池：/24近期，图书馆管理员反馈部分区域信号强度显示满格，但上网速度极慢，且经常出现掉线现象。【问题1】（5分）在AC+FitAP架构中，AP是如何发现并连接到AC的？请描述DHCPOption43方式的工作原理。如果AP与AC不在同一子网，网络中需要配置什么设备或功能才能确保AP成功关联到AC？【问题2】（5分）为了解决用户“掉线”和“漫游”体验差的问题，AC上通常需要配置802.11k/v/r协议。请简述802.11k（无线电资源测量）和802.11v（无线网络管理）的主要作用。在漫游优化中，什么是“802.11r快速基本服务集转换”（FastBSSTransition），它通过优化什么过程来减少漫游延时？【问题3】（5分）管理员在AC上查看了某个AP的信道利用率，发现信道1的利用率高达85%，而信道6和11利用率较低。该AP工作在2.4GHz频段。请解释为什么在2.4GHz频段通常只推荐使用1、6、11这三个互不干扰的信道。如果信道1干扰严重，管理员应如何调整配置以提升性能？【问题4】（5分）某学生反映无法连接SSID，认证方式为WPA2-Enterprise（802.1X），使用Radius服务器进行认证。AC的Radius服务器状态显示“Up”。但学生端提示“认证失败”。请列举三个可能导致802.1X认证失败的原因（排除密码错误）。【问题5】（5分）Wi-Fi6（802.11ax）引入了多项新技术来提升并发效率和吞吐量。请解释以下Wi-Fi6关键技术的含义：（1）OFDMA（正交频分多址）（2）BSSColoring（基本服务集着色）（3）TWT（目标唤醒时间）【答案与解析】试题一【问题1】（1）作用：设置Core-SW1在VRRP备份组1中的优先级为120。优先级数值越大，设备在备份组中的选举优先级越高，越有可能成为Master（主控）设备。（2）默认优先级：100。（3）故障后优先级：120-30=90。（4）状态变化：Core-SW1的优先级变为90，低于默认值100。如果Core-SW2的优先级为默认值100且此时状态为Backup，Core-SW2将抢占成为Master状态，Core-SW1将切换为Backup或Initialize状态。【问题2】（1）区别：RSTP是基于单生成树实例的，整个交换网络所有VLAN共享一棵生成树，无法实现不同VLAN流量的负载均衡，可能导致部分链路阻塞，带宽利用率低。MSTP（多生成树协议）允许将一个或多个VLAN映射到一个生成树实例（Instance），可以基于VLAN计算多棵无环路的生成树，从而实现不同VLAN流量的负载分担，同时继承了RSTP的快速收敛特性。（2）配置命令：`stpregion-configuration``instance1vlan10``activeregion-configuration`（注：华为设备命令格式，不同厂商略有差异，核心逻辑为进入MSTP域配置并映射VLAN）【问题3】（1）区别：Active（主动）模式：端口主动发送LACPDU报文，主动发起聚合链路的建立。Passive（被动）模式：端口不主动发送LACPDU报文，只响应对端发来的LACPDU报文。（2）Agg-SW1配置：可以配置为Active模式或Passive模式。只要有一端为Active，双方即可协商成功。【问题4】（1）ABR概念：区域边界路由器（AreaBorderRouter），是指连接到一个或多个区域的路由器，这些路由器中必须有一个接口连接到骨干区域（Area0）。ABR负责将连接的非骨干区域的链路状态信息（Type3LSA）摘要注入到骨干区域，并将骨干区域的信息注入到非骨干区域。（2）本网络中的ABR：连接Area0和Area1的汇聚层交换机（Agg-SW系列）。（3）Stub区域不允许注入的LSA：Type5LSA（AS-External-LSA，自治系统外部LSA）、Type4LSA（ASBR-Summary-LSA，ASBR汇总LSA，通常伴随Type5产生），以及默认不注入Type7LSA（NSSA外部LSA，除非配置为NSSA）。通常简答为：不允许引入外部路由（Type5LSA）。【问题5】（1）可能原因：1.核心交换机Core-SW1上缺少针对VLAN10用户的NAT（网络地址转换）配置，或NATACL未包含VLAN10的网段。2.Core-SW1与Router-Edge之间的OSPF邻居关系未建立，或Router-Edge上未回指到达/24网段的路由，导致路由不可达。3.Core-SW1上配置了ACL（访问控制列表），禁止了VLAN10的流量通过。试题二【问题1】（1）作用：启用SSL/TLS引擎，使得该虚拟主机可以使用SSL协议进行加密通信。（2）模块：mod_rewrite（或mod_alias）。（3）配置方法（使用mod_rewrite）：在HTTP（80端口）的VirtualHost中配置：`RewriteEngineOn``RewriteCond%{HTTPS}off``RewriteRule^(.*)ht或者使用Redirect指令：`Redirectpermanent/https://www.example/`【问题2】（1）`$TTL86400`含义：定义了资源记录的默认生存时间（TimeToLive），单位是秒。它告诉DNS解析器，在没有特定TTL的情况下，该记录缓存多久。（2）Serial作用：序列号，用于标识区域文件数据的版本。当主域名服务器更新数据时，必须增加序列号，从域名服务器通过比较序列号来判断是否需要进行区域传输（ZoneTransfer）。（3）处理方式：必须将Serial数值增大（通常推荐使用YYYYMMDDNN格式，如改为2024051502）。【问题3】（1）含义：`default-lease-time`：默认租约时间，指DHCP服务器分配给客户端的IP地址的默认使用时长（单位秒）。`max-lease-time`：最大租约时间，指客户端请求租约时能获得的最长使用时长。（2）作用：为特定的主机（名为printer）保留固定的IP地址，即静态绑定或保留地址。（3）参数用途：`hardwareethernet`：指定客户端主机的MAC地址，用于匹配设备。`fixed-address`：指定分配给该MAC地址的固定IP地址。【问题4】（1）查看当前活动的区域：`firewall-cmd--get-active-zones`（2）永久开放HTTPS服务：`firewall-cmd--permanent--zone=public--add-service=https`（3）允许指定网段访问MySQL：`firewall-cmd--permanent--zone=public--add-rich-rule='rulefamily="ipv4"sourceaddress="/24"servicename="mysql"accept'`【问题5】（1）可能导致403错误的原因：1.文档根目录权限设置不当，Apache进程用户（如www-data或apache）对目录或文件没有读取或执行权限。2.缺少默认的首页文件（如index.html），且配置中禁用了目录索引。3.配置文件中设置了Require指令（如Requireip/24），拒绝了当前客户端IP的访问。4.SELinux处于Enforcing模式，阻止了Apache读取非标准目录下的文件。试题三【问题1】（1）ESP提供的安全服务：数据机密性（加密）、数据源认证、数据完整性校验、抗重放保护。（2）区别：隧道模式：整个原始IP数据报都被封装在新的IP数据报中（在ESP头部之后，新IP头部之前）。新的IP头部包含两个网关的IP地址。它保护的是整个原始IP包，常用于网关到网关的通信。传输模式：仅封装IP数据报的有效载荷（上层协议数据，如TCP/UDP），原始IP头部保留在ESP头部之前。它不保护IP头部，常用于主机到主机的通信。【问题2】（1）IKE阶段任务：阶段1：建立ISAKMPSA（安全关联）。主要任务是在通信双方之间建立一个安全通道，用于保护后续的IKE报文交换，包括认证对端身份、协商加密/认证算法、交换密钥材料。阶段2：建立IPSecSA。主要任务是在阶段1建立的安全通道上，协商具体的数据流保护参数（如使用的变换集、密钥），生成用于加密用户数据的IPSecSA。（2）Group14：对应2048位模指数幂运算（DH2048-bit）。【问题3】（1）作用：定义“感兴趣流”（InterestingTraffic）。即指定哪些源IP和目的网段之间的数据流需要触发IPSecVPN保护并进行加密传输。（2）后果：如果源和目的写反，或者匹配了错误的流量，会导致需要加密的流量没有被加密（明文传输，可能被丢弃或无法通信），或者不需要加密的流量被错误地加密，导致网络通信中断。【问题4】（1）原因：IPSecESP/AH协议包含完整性校验（ICV），该校验涵盖了IP头部的不可变字段。当NAT设备修改IP包头部的IP地址和端口（如果存在NAT-PAT）时，会破坏原有的完整性校验值，导致接收方校验失败，丢弃报文。此外，NAT还无法处理经过加密的内部IP头（隧道模式）。（2）解决技术：NAT-T（NATTraversal，NAT穿越）。通常使用UDP封装（UDPEncapsulation），将IPSec报文封装在UDP端口4500中，使NAT设备仅修改外层UDP头部的IP端口，从而不影响内层IPSec报文的完整性。【问题5】（1）区别：客户端部署：IPSecVPN通常需要操作系统层面安装专用的VPN客户端软件；SSLVPN通常利用浏览器内置的SSL/TLS功能，无需安装专用客户端（或使用轻量级插件）。适用性：SSLVPN对移动设备（手机、平板）和各种操作系统支持更好，兼容性更强；IPSecVPN在老旧移动系统或特定网络环境下（如阻止了ESP协议）穿透性较差。（2）推荐技术：SSLVPN。特别是基于Web的SSLVPN（无客户端模式），用户只需通过浏览器登录认证页面即可访问内网Web应用。试题四【问题1】（1）AP发现AC的方式：静态配置：管理员手动在AP上指定AC的IP地址。动态发现：AP通过广播或组播发送发现请求；或者通过DHCP获取Option43字段中携带的ACIP地址列表。（2）DHCPOption43原理：当AP作为DHCPClient向DHCPServer请求I