2026年网络工程师考试真题与答案

2026年网络工程师考试真题与答案一、单项选择题（每题1分，共30分）1.在OSI参考模型中，负责在两个相邻节点间可靠传输数据的层是（）。A.物理层B.数据链路层C.网络层D.传输层2.若信道的信噪比为30dB，带宽为4kHz，则根据香农公式，该信道的理论最大数据传输速率约为（）。A.12kbpsB.40kbpsC.56kbpsD.120kbps3.在TCP/IP协议栈中，ARP协议属于（）。A.网络接口层B.网络层C.传输层D.应用层4.某主机的IP地址为3，子网掩码为40，则该主机的网络地址是（）。A.B.2C.8D.45.IPv6地址“2001:0DB8:0000:0000:0000:FF00:0042:8329”可以缩写为（）。A.2001:DB8::FF00:42:8329B.2001:DB8:0:0:FF00::8329C.2001:DB8::FF00:0:42:8329D.2001:DB8::FF00:0042:83296.在以太网中，MAC地址48位，其中IANA分配的厂商ID（OUI）占（）。A.12位B.24位C.32位D.16位7.RIP协议是一种基于（）的路由协议。A.链路状态算法B.距离矢量算法C.路径矢量算法D.最短路径优先算法8.在OSPF协议中，用于描述路由器链路状态的报文是（）。A.Hello报文B.DD报文C.LSR报文D.LSU报文9.下列关于交换机工作模式的描述中，错误的是（）。A.存储转发模式检查整个帧，错误检测能力强B.直通转发模式延迟低，但不进行错误检测C.无碎片转发模式检查帧的前64字节D.存储转发模式延迟最低10.在VLAN中继协议中，IEEE802.1Q帧头中插入的Tag字段占（）字节。A.2B.4C.8D.1611.在生成树协议（STP）中，根网桥的选举依据是（）。A.最小的MAC地址B.最小的网桥IDC.最大的端口优先级D.最小的路径开销12.下列协议中，用于传输电子邮件的协议是（）。A.FTPB.SMTPC.HTTPD.Telnet13.在DNS服务器中，负责将域名解析为IP地址的资源记录类型是（）。A.SOAB.NSC.AD.PTR14.在网络安全中，防止重放攻击的有效机制是（）。A.数字签名B.消息摘要C.时间戳或序列号D.数据加密15.在DES加密算法中，有效密钥长度和分组长度分别是（）。A.56位，64位B.64位，64位C.128位，128位D.56位，128位16.在非对称加密体制中，用于解密的密钥是（）。A.公钥B.私钥C.会话密钥D.临时密钥17.防火墙通过状态检测技术可以动态维护（）。A.MAC地址表B.路由表C.连接状态表D.ARP缓存表18.在SNMPv3中，提供了基于（）的安全模型。A.用户名/密码B.基于视图的访问控制（VACM）C.USM（基于用户的安全模型）D.SSL/TLS19.在Linux系统中，用于查看当前TCP连接状态的命令是（）。A.ifconfigB.netstatC.pingD.traceroute20.在WindowsServer中，ActiveDirectory数据库的主要存储文件是（）。A.NTDS.DITB.SAMC.SYSTEMD.SECURITY21.在HDLC协议中，控制字段为“10”表示该帧是（）。A.信息帧（I帧）B.监控帧（S帧）C.无编号帧（U帧）D.确认帧22.在无线局域网标准802.11n中，主要采用了（）技术来提高速率。A.OFDMB.MIMO与OFDMC.DSSSD.FHSS23.在网络管理中，MIB-2中的sysUpTime对象表示（）。A.系统启动时间B.系统运行时间C.系统关机时间D.系统当前时间24.在IPsecVPN中，用于提供机密性的协议是（）。A.AHB.ESPC.IKED.ISAKMP25.某公司使用CIDR地址块/16进行子网划分，若需要划分为64个大小相等的子网，则每个子网的子网掩码是（）。A.B.C.D.26.在BGP协议中，用于自治系统之间交换路由信息的TCP端口号是（）。A.179B.180C.161D.52027.在存储区域网络（SAN）中，主要使用的传输协议是（）。A.iSCSIB.FCC.NFSD.CIFS28.在云计算服务模型中，PaaS提供给用户的能力是（）。A.虚拟机、存储、网络等基础设施B.运行在云基础设施上的应用程序部署环境C.通过网络访问的软件应用D.数据库管理服务29.下列关于千兆以太网标准的描述中，正确的是（）。A.1000Base-SX使用多模光纤，最大距离550米B.1000Base-LX使用单模光纤，最大距离3000米C.1000Base-T使用5类UTP，最大距离100米D.1000Base-CX使用屏蔽双绞线，最大距离25米30.在网络流量分析中，Wireshark过滤器中用于过滤HTTPGET请求的表达式是（）。A.http.request.method=="GET"B.http.method=="GET"C.http.getD.http.request=="GET"二、多项选择题（每题2分，共20分。多选、少选、错选不得分）31.下列属于物理层接口特性的有（）。A.机械特性B.电气特性C.功能特性D.规程特性32.TCP协议的主要特点包括（）。A.面向连接B.可靠传输C.全双工通信D.基于字节流33.在OSPF协议中，划分区域的主要目的是（）。A.减少路由表条目B.减少LSA的泛洪范围C.加速路由收敛D.隔离拓扑变化34.下列网络设备中，工作在数据链路层的有（）。A.二层交换机B.网桥C.集线器D.网卡35.常见的网络拓扑结构包括（）。A.星型B.环型C.总线型D.网状型36.计算机网络面临的威胁包括（）。A.窃听B.伪造C.重放D.拒绝服务攻击37.在PKI体系中，数字证书的主要内容包括（）。A.版本号B.序列号C.签名算法标识D.主体公钥信息38.下列关于NAT技术的描述，正确的有（）。A.可以缓解IPv4地址短缺问题B.隐藏了内部网络拓扑C.破坏了端到端的通信特性D.只支持静态地址映射39.在Linux系统中，配置网络接口参数的常用命令有（）。A.ipB.ifconfigC.routeD.netstat40.软件定义网络（SDN）的架构特征包括（）。A.控制转发分离B.集中控制C.开放接口D.分布式控制三、案例分析题（共3题，每题15分，共45分）案例一：某公司网络拓扑如下图所示（文字描述），核心层交换机CoreSW1和CoreSW2通过链路聚合连接，作为VLAN10和VLAN20的网关。接入层交换机AccessSW1连接PC1（VLAN10）和PC2（VLAN20）。网络中运行MSTP（多生成树协议）防止二层环路。41.为了实现VLAN间路由，通常在核心交换机上配置（）。A.Access接口B.Trunk接口C.SVI（交换机虚拟接口）D.Loopback接口42.在MSTP配置中，若要将VLAN10和VLAN20映射到实例1，正确的配置命令（华为/H3C设备风格）可能是（）。A.stpregion-configurationinstance1vlan1020activeregion-configurationB.stpinstance1vlan1020C.vlan1020stpinstance1D.stpmodemstmst1vlan102043.若CoreSW1是VLAN10的根网桥，CoreSW2是VLAN20的根网桥，实现负载分担。在CoreSW1上，针对实例1和实例2的优先级配置应满足（）。A.实例1优先级高于CoreSW2，实例2优先级低于CoreSW2B.实例1和实例2优先级都高于CoreSW2C.实例1和实例2优先级都低于CoreSW2D.实例1优先级低于CoreSW2，实例2优先级高于CoreSW244.若PC1无法ping通网关，且AccessSW1上连接PC1的接口指示灯常亮，可能的原因是（）。A.PC1的网关配置错误B.AccessSW1上连接PC1的接口VLAN配置错误C.MSTP阻塞了该端口D.核心交换机SVI未创建45.在链路聚合（LACP）模式下，若CoreSW1和CoreSW2之间的聚合链路中某条物理链路断开，则（）。A.所有流量中断B.流量自动在剩余链路中负载均衡C.需要人工重新配置D.聚合接口状态变为Down案例二：某企业网络通过边界路由器Router连接Internet。内部网络规划为/16。为了安全，配置了EasyVPN（Client模式）供出差员工访问内网。Router作为VPNServer，预共享密钥为“Cisco123”。46.在IPSecVPN建立过程中，IKE阶段1的主要目的是（）。A.协商IPSecSA参数B.建立ISAKMPSA，认证对等体C.交换感兴趣流D.生成会话密钥47.若采用AES-256加密算法，SHA-256哈希算法进行IKE提议配置，Diffie-Hellman组选择Group14。下列关于DHGroup14的描述正确的是（）。A.密钥长度为1024位B.密钥长度为2048位C.密钥长度为768位D.不支持AES加密48.在NAT-T（NATTraversal）场景下，若VPNClient位于NAT设备后，IPSec数据包会被封装在（）协议中。A.ESPB.AHC.UDPD.TCP49.配置ACL（访问控制列表）定义VPN流量时，若允许出差员工访问内网财务部服务器（00），正确的扩展ACL配置是（）。A.permitiphost00anyB.permitipanyhost00C.permittcpanyhost00eq443D.permitudpanyhost0050.若VPN连接建立成功，但Client无法ping通内网服务器，除了路由问题外，最常见的安全策略原因是（）。A.IKE策略不匹配B.加密算法不匹配C.防火墙未放行ICMP流量或未配置相关NAT豁免D.预共享密钥错误案例三：某园区网部署了无线网络，采用AC+AP瘦AP架构。AC通过二层网络发现并管理AP。SSID为“Campus-WiFi”，采用WPA2-Enterprise认证方式，通过Radius服务器进行用户验证。51.在AC+AP架构中，AP和AC之间的隧道协议通常是（）。A.CAPWAPB.LWAPPC.GRED.MPLS52.WPA2-Enterprise使用的认证协议是（）。A.WEPB.PSKC.802.1XD.WPS53.在802.1X认证中，Radius服务器和客户端之间通常使用（）协议传输认证信息。A.EAPB.PEAPC.EAP-TLSD.EAP-PEAP54.若无线用户终端支持5GHz频段，为了获得更高的吞吐量，应建议用户连接（）。A.802.11bB.802.11gC.802.11aD.802.11n/ac/ax55.在无线漫游配置中，为了保证用户漫游时不掉线，关键配置是（）。A.所有AP的SSID和密码必须一致B.所有AP必须在同一个VLAN内C.AC上配置漫游域或AP间配置快速BSS转换D.所有AP的信道必须相同四、综合应用题（共1题，共15分）56.阅读以下说明，回答问题1至问题4。【说明】某网络工程师正在规划一个中型企业的网络。该企业拥有三个主要部门：研发部、市场部和财务部。部门主机数量需求如下：研发部：500台主机市场部：200台主机财务部：60台主机ISP分配给企业的公网IP地址块为/24。企业边界路由器通过串行接口连接ISP，内部网络通过路由器RouterA连接核心交换机。【问题1】（4分）为了节约IP地址并便于管理，网络工程师决定在内部网络使用VLSM（可变长子网掩码）进行子网划分。请使用私有地址/16为三个部门规划子网，要求每个子网保留2个地址用于网络地址和广播地址。请列出每个部门的子网地址及对应的子网掩码（点分十进制格式）。【问题2】（4分）NAT（网络地址转换）被配置在边界路由器上，允许内部所有主机访问Internet。若将研发部（Subnet1）的地址映射为公网地址池0-0，市场部和财务部使用PAT（端口地址转换）复用接口IP。请写出边界路由器上关于研发部NATPool配置的基本命令（以CiscoIOS风格为例）。【问题3】（4分）若内部网络使用OSPF协议，并规划为单区域Area0。在RouterA的连接研发部的接口（G0/0）上，为了安全，需要禁止OSPFHello报文发送，但允许该网段的路由被宣告，应如何配置该接口？（写出配置命令）。【问题4】（3分）网络工程师计划在边界路由器上配置ACL，禁止财务部（Subnet3）访问特定的外部网站IP0，但允许其他所有流量。请写出扩展ACL的配置语句。参考答案与解析一、单项选择题1.B解析：数据链路层负责在两个相邻节点间实现可靠（或不可靠，取决于具体协议如HDLC是可靠，以太网是不可靠但提供差错检测）的数据传输，主要通过帧封装和MAC寻址实现。物理层是比特流传输，网络层是端到端传输，传输层是进程到进程。2.B解析：香农公式C=Blo(3.A解析：ARP（地址解析协议）用于将IP地址解析为MAC地址，工作在网络接口层（TCP/IP模型的最底层，对应OSI的数据链路层）。4.B解析：IP地址与子网掩码做“与”运算。3&40。240二进制为11110000，33二进制为00100001，运算结果为00100000即32。故网络地址为2。5.A解析：IPv6缩写规则：1.每个段前导0可省略；2.连续的全0段可用::代替，且只能一次。2001:0DB8:0000:0000:0000:FF00:0042:8329->2001:DB8::FF00:42:8329。6.B解析：MAC地址前24位（OUI）由IEEE分配给厂商，后24位由厂商自行分配。7.B解析：RIP基于距离矢量算法（Bellman-Ford），OSPF基于链路状态算法（Dijkstra），BGP基于路径矢量算法。8.D解析：LSU（LinkStateUpdate）报文用于携带链路状态通告（LSA），实现链路状态信息的泛洪。9.D解析：存储转发模式需要接收完整帧并进行CRC校验，因此延迟最高。直通转发延迟最低。10.B解析：802.1QTag占4字节，包含2字节的TPID（TagProtocolIdentifier，标识0x8100）和2字节的TCI（TagControlInformation，包含优先级、CFI和VLANID）。11.B解析：STP选举根网桥时，比较网桥ID（BridgeID），由2字节优先级和6字节MAC地址组成，优先级相同则MAC地址小的获胜。12.B解析：SMTP（SimpleMailTransferProtocol）用于发送邮件，POP3/IMAP用于接收邮件。13.C解析：A记录将主机名映射到IPv4地址；PTR记录用于反向解析（IP到域名）；NS记录指定域名服务器；SOA记录标识区域的起始。14.C解析：重放攻击是截获有效的报文再次发送。通过在报文中加入时间戳或序列号，接收方可以判断报文是否过期或重复，从而防御重放攻击。15.A解析：DES密钥有效长度56位（64位输入，其中8位奇偶校验），分组长度64位。16.B解析：非对称加密中，公钥加密私钥解密，或私钥签名公钥验证。用于解密的密钥是私钥。17.C解析：状态检测防火墙跟踪会话状态，维护连接状态表（如TCP连接建立、拆除过程），只有符合状态表的报文才允许通过。18.C解析：SNMPv3引入了USM（基于用户的安全模型）提供认证和加密服务，以及VACM（基于视图的访问控制模型）。19.B解析：netstat-an可以查看网络连接、路由表和接口统计。ifconfig查看接口配置。20.A解析：NTDS.DIT是ActiveDirectory的数据库文件。21.B解析：HDLC控制字段第1位为0表示I帧，第1-2位为10表示S帧（监控帧），为11表示U帧（无编号帧）。22.B解析：802.11n引入了MIMO（多入多出）和OFDM（正交频分复用）技术，显著提升了速率。23.B解析：sysUpTime表示系统从启动到现在运行的时间（百分之一秒）。24.B解析：ESP（封装安全载荷）提供机密性（加密）、完整性、数据源认证；AH（认证头）仅提供完整性和认证，不加密。25.D解析：/16划分为64个子网，需要借用6位主机位（=6426.A解析：BGP使用TCP端口179建立连接。27.B解析：SAN传统使用光纤通道协议。iSCSI是基于IP的SAN协议。28.B解析：IaaS提供基础设施；PaaS提供平台（运行环境）；SaaS提供软件。29.A解析：1000Base-SX使用多模光纤（850nm），最大距离约550米。1000Base-LX单模可达5km/10km。1000Base-T需超5类或6类线。30.A解析：Wireshark显示过滤器语法为http.request.method=="GET"。二、多项选择题31.ABCD解析：物理层接口特性包括机械（形状、引脚）、电气（电压、电平）、功能（各引脚作用）、规程（事件顺序）。32.ABCD解析：TCP是面向连接的、可靠的、全双工的、基于字节流的传输层协议。33.BCD解析：OSPF划分区域可以减少LSA泛洪范围（LSDB变小），隔离拓扑变化（减少SPF计算频率），从而加速收敛。虽然也能通过汇总减少路由表，但这不是划分区域的最核心目的（汇总是区域带来的附加好处）。34.ABD解析：二层交换机、网桥、网卡都工作在数据链路层。集线器是物理层设备。35.ABCD解析：常见拓扑有星型、环型、总线型、网状型、树型等。36.ABCD解析：网络安全威胁包括窃听（截获）、伪造（假冒）、重放、流量分析、拒绝服务、非授权访问等。37.ABCD解析：数字证书内容包括版本、序列号、签名算法标识、签发者、有效期、主体、主体公钥信息、签发者签名等。38.ABC解析：NAT缓解IPv4地址枯竭，隐藏内网，破坏端到端。NAT支持静态、动态和PAT（端口复用）。39.AB解析：ip和ifconfig用于配置接口参数。route用于路由表，netstat用于查看状态。40.ABC解析：SDN特征：控制转发分离、集中控制、开放可编程接口（南向/北向API）。三、案例分析题案例一：41.C解析：三层交换机实现VLAN间路由通常配置SVI（VLAN接口）作为各VLAN的网关。42.A解析：华为/H3C设备配置MSTP实例映射命令为`stpregion-configuration`，进入区域配置视图，`instance1vlan1020`，最后`activeregion-configuration`激活。43.A解析：实现负载分担，需在实例1中CoreSW1优先级高（做根），实例2中CoreSW2优先级高（做根）。因此CoreSW1上实例1优先级（数值小）高于CoreSW2，实例2优先级（数值大）低于CoreSW2。44.ABCD解析：PC无法ping通网关可能原因：PC网关设错；交换机接口VLAN不属于PC所在VLAN；STP阻塞了端口；核心交换机未创建对应的SVI或SVI未开启。45.B解析：LACP模式下，物理链路断开，聚合组会自动将该链路移除，流量在剩余正常链路中重新负载均衡，不需要人工干预。案例二：46.B解析：IKE阶段1（主模式或野蛮模式）主要目的是建立ISAKMPSA（安全关联），对通信双方进行身份认证，并协商用于保护后续通信的密钥材料。47.B解析：DHGroup14对应2048位的模指数组。48.C解析：NAT-T（NATTraversal）机制将IPSecESP包（无端口号）封装在UDP端口4500的数据包中，以便穿越NAT设备。49.B解析：ACL定义VPN流量（感兴趣流）通常是源地址为内部网络，目的地址为远程网络。这里Client访问内网，但题目问的是Router上的配置（或者是定义需要保护的内网流量）。通常在Server端定义的感兴趣流是“源：内网网段，目的：Client地址池（或any）”。若按题目语境，允许Client访问财务部，即源是Client，目的是财务部。但在EasyVPN（Client模式）中，Server端通常配置`permitip<内网网段>any`。如果是定义Client到Server的流，则是`permitipanyhost00`。根据选项B的语义，通常指感兴趣流的目的方向。50.C解析：VPN隧道通但Ping不通，通常是安全策略问题，如防火墙策略未放行ICMP，或者NAT配置中未将VPN流量排除在NAT之外（导致二次封装失败或路由错误）。案例