2026上半年软考中级网络工程师案例题解析(一)

2026上半年软考中级网络工程师案例题解析(一)某大型制造企业“宏图制造”近期正在进行数字化转型，为了支撑其日益增长的ERP系统、视频会议及物联网传感器数据传输需求，决定对原有网络架构进行全面升级改造。该企业网络拓扑结构设计为核心层、汇聚层和接入层三层架构。核心层采用两台高性能三层交换机Core-SW1和Core-SW2进行双机热备，通过VRRP（虚拟路由冗余协议）实现网关冗余。汇聚层负责汇聚各个接入层的流量，并根据业务部门划分VLAN。接入层交换机连接终端用户及无线AP。网络中运行OSPF动态路由协议实现内部互通，并配置BGP与ISP连接。此外，为了保障安全性，边界部署了下一代防火墙（NGFW），并在内部服务器区域配置了相应的ACL策略。【问题1】网络规划中，IP地址分配采用VLSM（可变长子网掩码）技术。假设核心层与汇聚层之间的互联链路使用一个C类网段/24。其中，Core-SW1与汇聚交换机Dist-SW1的互联IP地址规划为/30，Core-SW2与Dist-SW1的互联IP地址规划为/30。（1）请计算子网/30包含的可用主机地址范围是多少？（请写出首尾IP）（2）若Core-SW1与Dist-SW2的互联IP地址为/30，则Core-SW2与Dist-SW2的互联IP地址可以是3/30吗？请说明理由。（3）在VRRP配置中，Core-SW1作为VLAN10的网关主设备，Core-SW2为备份设备。Core-SW1的VRRP优先级配置为120，Core-SW2的优先级采用默认值。请写出Core-SW2的默认优先级数值。若要实现Core-SW1故障恢复后重新抢占回Master状态，需要在Core-SW1上配置什么命令？【问题2】为了防止二层环路并在链路故障时快速收敛，网络中部署了MSTP（多生成树协议）。交换机Core-SW1、Core-SW2、Dist-SW1及Dist-SW2均属于同一个MST域，域名为“MST-Region”。（1）MSTP通过将多个VLAN映射到一个实例中来减少生成树实例的数量。假设VLAN10和VLAN20映射到实例1，VLAN30和VLAN40映射到实例2。若要使得实例1的流量以Core-SW1为根桥，实例2的流量以Core-SW2为根桥，应该如何配置Core-SW1和Core-SW2的优先级？（请写出配置思路或关键命令参数）（2）在配置MSTP时，交换机之间通过BPDU（桥协议数据单元）交换信息。BPDU报文分为两种类型，分别是配置BPDU和TCNBPDU。其中，用于通告拓扑结构变化并引起生成树重新计算的是哪一种BPDU？（3）RSTP（快速生成树）在STP的基础上进行了改进，提出了端口角色的概念。请列举RSTP中除根端口、指定端口之外的两种其他端口角色。【问题3】该企业网络通过OSPF协议实现内部路由互通。OSPF区域划分如下：核心层与汇聚层互联链路及核心设备Loopback接口属于Area0（骨干区域），各接入层VLAN接口及服务器区域属于Area1。（1）OSPF协议计算路由开销是基于带宽的。在华为设备中，默认的参考带宽是100Mbps。若某链路带宽为1Gbps，则OSPF计算出的该链路Cost值为多少？（需列出计算公式）（2）在Dist-SW1上，为了减少路由表规模，需要将Area1内的路由汇总后通告给Area0。假设Area1内的网段为/16至/24，请在Dist-SW1的OSPF进程视图下写出配置路由汇总的命令。（3）OSPF协议支持网络类型，包括Broadcast、Point-to-Point、NBMA和Point-to-Multipoint。在以太网链路中，默认的网络类型是什么？在该类型网络中，OSPF路由器之间会选举DR和BDR，其选举依据是什么？【问题4】为了实现总部与分支机构之间的安全通信，网络管理员在边界防火墙上配置了IPSecVPN。（1）IPSecVPN的安全联盟（SA）是通信双方协商建立的。SA可以通过IKE（InternetKeyExchange）协议自动协商，也可以手工配置。IKE协商主要分两个阶段，请简述IKE第一阶段协商的主要目的。（2）IPSec传输模式与隧道模式是两种常见的封装模式。在保护两个网关之间子网通信的场景下，通常使用哪种模式？（3）在IPSec策略中，需要配置感兴趣流（ACL）来定义需要加密的流量。若定义源IP为/16，目的IP为/16的流量需要加密，请写出对应的扩展ACL规则（假设序号为10）。某高校图书馆为了方便师生访问数字资源，搭建了基于WindowsServer2022的Web服务器和FTP服务器，并部署了DNS服务器提供域名解析。Web服务器托管了图书馆门户系统及在线期刊数据库，FTP服务器用于存放公共软件和文档。服务器网络环境配置为双网卡连接，分别连接校园网内部和DMZ区域。为了保障服务器安全，管理员对系统进行了安全加固，并配置了相应的备份策略。【问题1】Web服务器基于IIS（InternetInformationServices）搭建。为了实现网站的独立管理与安全隔离，管理员在IIS中创建了不同的站点。（1）若要在同一台服务器上的同一IP地址和端口（如80）上运行三个不同的Web站点，应该采用什么技术来区分这些站点？（2）IIS支持多种身份验证方法。为了保证传输过程中密码的安全，避免明文传输，应选择哪种身份验证方法？（请从“基本身份验证”、“摘要式身份验证”、“Windows集成身份验证”中选择）（3）管理员需要为“在线期刊”站点配置SSL证书以启用HTTPS服务。在绑定证书时，需要指定主机头，请写出HTTPS默认的端口号。【问题2】FTP服务器采用FileZillaServer软件部署。为了控制用户访问权限，管理员创建了不同的用户组。（1）FTP协议使用两条连接来传输文件，分别是控制连接和数据连接。数据连接的建立模式主要有主动模式和被动模式。在被动模式下，数据连接是由哪一方发起的？（2）若客户端位于防火墙后，且防火墙只允许建立出站连接，通常建议FTP客户端使用哪种模式？（3）在FileZillaServer中，若要限制用户“student”上传文件的速率不超过500KB/s，需要在“SpeedLimits”选项卡中进行配置。若要限制该用户只能访问特定的目录“/public”，不能切换到上级目录，应如何设置？【问题3】DNS服务器负责解析“”等域名。管理员在DNS服务器上创建了正向查找区域和反向查找区域。（1）假设Web服务器的IP地址为0，FTP服务器的IP地址为1。请在正向区域文件中写出将主机名“www”解析到Web服务器的资源记录名称及完整配置示例（假设TTL为3600）。（2）当DNS客户端发起查询时，首选的查询方式通常是递归查询。请简述递归查询的工作过程。（3）为了提高DNS解析的可靠性和负载均衡，管理员为域名“”配置了三条A记录，分别指向三个不同IP地址的Web服务器集群节点。这种配置被称为什么？【问题4】服务器安全是运维工作的重点。管理员对WindowsServer2022进行了安全配置。（1）为了防止远程桌面暴力破解，管理员决定修改默认的RDP端口。Windows远程桌面默认使用的TCP端口是多少？（2）Windows防火墙允许管理员创建入站和出站规则。若要允许IP地址段/24访问Web服务器的80端口，但拒绝00访问，应如何配置规则的优先顺序？（假设两条规则的优先级可调）（3）管理员计划使用WindowsServerBackup对系统状态进行定期备份。系统状态包含注册表、COM+类注册数据库和什么引导文件？（请列举出至少两个）某智慧园区网络正在部署大规模无线局域网（WLAN），采用“AC+FitAP”架构。无线控制器（AC）部署在网络核心，负责管理所有AP的配置、漫游和射频管理。AP通过PoE交换机供电，并通过CAPWAP协议与AC建立隧道。园区内部分为办公区、会议区和室外公共区，分别部署了不同的SSID，并采用不同的安全策略。为了支持移动办公，无线网络需要实现二层及三层无缝漫游。【问题1】在“AC+FitAP”架构中，AP在接入电源后需要寻找AC并建立连接。（1）AP发现AC的方式主要有静态配置和动态发现。动态发现机制中，AP可以通过发送什么广播或组播报文来寻找AC？（2）当AP与AC建立CAPWAP隧道时，默认使用什么协议？该隧道分为控制隧道和数据隧道，分别用于传输什么类型的流量？（3）若网络中存在多个AC，为了实现负载均衡，可以配置什么功能？该功能通常根据AP的什么参数来进行决策？【问题2】无线网络安全配置是重中之重。针对不同区域的安全需求，管理员配置了不同的认证方式。（1）在办公区，采用WPA2-Enterprise认证方式，使用802.1X协议。这种认证方式需要后台服务器支持请写出这种服务器的名称。（2）802.1X认证的体系中包含三个实体：认证者、申请者和认证服务器。在无线网络中，AP扮演什么角色？（3）在会议区，为了方便访客接入，配置了WPA2-Personal（PSK）认证。若要进一步提高PSK的安全性，建议使用什么加密算法？（从TKIP、AES中选择）【问题3】无线漫游是指终端在不同AP覆盖区域之间移动时保持业务不中断。（1）二层漫游是指终端在同一个子网内不同AP之间切换。在漫游过程中，终端的IP地址保持不变。为了实现快速漫游，802.11k协议和802.11r协议被提出。其中，802.11r协议的全称是什么？它的主要作用是什么？（2）三层漫游是指终端跨越不同子网的漫游。在AC+AP架构中，通常通过什么技术来实现三层漫游？（提示：该技术将家乡子网扩展到漫游地）（3）在配置漫游域时，需要确保所有AP属于同一个漫游域。在AC配置视图中，通常使用什么命令将AP加入到漫游域？【问题4】无线网络优化旨在提升用户体验和覆盖质量。（1）射频资源管理（RRM）是AC的重要功能。AC可以动态调整AP的信道和发射功率。调整发射功率的主要目的是什么？（请从“消除同频干扰”、“覆盖补偿”、“负载均衡”中选择一个主要目的）（2）在2.4GHz频段，非重叠信道主要有1、6和11。若某区域部署了三个AP，且物理位置相邻，应如何分配信道以减少干扰？（3）WLANQoS通过将数据包映射到不同的访问类别（AC）来保障优先级。对于语音流量（如VoWiFi），应映射到哪个访问类别？（如VO,VI,BE,BK）【案例一答案与解析】【问题1】（1）至解析：子网/30，掩码为52。块大小为4。网络号是.0，广播地址是.3。可用主机地址为.1和.2。（2）可以是3/30理由：/30的子网范围是至1（广播）。3/30属于下一个子网2/30（范围.12-.15），两者不重叠，且符合/30子网规划规则。（3）100；vrrpvrid10preempt解析：VRRP默认优先级为100。若要Master故障恢复后重新抢占回Master状态，必须配置preempt（抢占）命令。【问题2】（1）在Core-SW1上配置：instance1priority4096（数值越小优先级越高，或设置为0）；instance2priority8192（默认或较高数值）。在Core-SW2上配置：instance1priority8192；instance2priority4096。解析：MSTP中，根桥选举依据桥ID（优先级+MAC）。优先级默认32768，步长4096。要使某设备为根桥，需将其优先级设置得比其他设备低。（2）TCNBPDU（TopologyChangeNotificationBPDU）解析：配置BPDU用于生成树维护、根桥选举等，TCNBPDU用于检测到拓扑变更时向根桥通告。（3）AlternatePort（备用端口）、BackupPort（备份端口）解析：RSTP新增了Alternate和Backup端口角色，分别作为根端口和指定端口的备份，提供快速切换功能。【问题3】（1）Cost=1解析：OSPFCost计算公式为Cost=。默认参考带宽为100Mbps=100,000Kbps。接口带宽为1Gbps=1,000,000Kbps。Co公式：C（2）abr-summary解析：在OSPF区域视图下，配置ABR路由汇总的命令。华为命令为`abr-summary`。（3）Broadcast；RouterID（路由器ID）或优先级（Priority）+RouterID解析：以太网默认网络类型为Broadcast。选举DR/BDR先比较优先级（默认为1，越大越优先），若优先级相同则比较RouterID，越大越优先。【问题4】（1）建立IKESA（安全关联），为后续协商IPSecSA提供安全保护，并协商认证算法、加密算法、密钥等参数。解析：IKE第一阶段主要目的是在通信双方之间建立一个已认证的安全通道（IKESA），用于保护第二阶段的IPSecSA协商消息。（2）隧道模式解析：在网关到网关（Site-to-Site）的VPN场景中，通常使用隧道模式，因为它会封装整个原始IP报文，并在前面添加新的IP头，隐藏内部网络拓扑。（3）access-list10permitip055解析：标准ACL只能匹配源IP，扩展ACL可以匹配源和目的IP。通配符掩码中，0表示需匹配，1表示不关心。55对应/16的反码。【案例二答案与解析】【问题1】（1）主机头解析：IIS中通过IP地址、TCP端口和主机头三个要素来区分站点。若IP和端口相同，必须使用不同的主机头名称。（2）摘要式身份验证或Windows集成身份验证解析：基本身份验证使用Base64编码传输，容易被解码；摘要式身份验证和Windows集成身份验证（如NTLM,Kerberos）不传输明文密码，安全性更高。题目强调“避免明文传输”，两者皆可，但摘要式是专为HTTP设计的哈希传输，Windows集成通常用于域环境。填“摘要式身份验证”或“Windows集成身份验证”均可，通常首选摘要式作为非域环境下的安全增强。（3）443解析：HTTPS默认端口为TCP443。【问题2】（1）服务器端解析：在被动模式下，客户端建立控制连接后，发送PASV命令，服务器在随机端口监听，并将IP和端口告知客户端，客户端随后主动发起数据连接到服务器的该端口。（2）被动模式解析：防火墙阻止外部入站连接时，主动模式（服务器连接客户端）会失败。被动模式由客户端发起连接，符合防火墙出站规则。（3）将“/public”设置为该用户的根目录，并勾选“Lockuserinhomedirectory”（或类似选项，如“Chroot”）。解析：在FileZilla中，通过Mount选项设置虚拟目录，或者直接将Homedirectory设为特定路径，并启用“Jail”功能限制目录切换。【问题3】（1）A；www3600INA0解析：资源记录类型为A记录。格式：[Name][TTL][Class]TypeData。（2）DNS客户端向本地DNS服务器发起递归查询请求，本地DNS服务器负责向其他DNS服务器发起迭代查询（或递归查询，视配置而定），最终将结果返回给客户端。解析：标准的递归查询过程是：客户端发送请求给本地DNS，本地DNS承担全部责任，去查找（可能通过迭代），最后将最终结果（IP或错误）返回给客户端，客户端只发一次请求，收一次响应。（3）轮询或负载均衡解析：通过配置多条A记录指向不同IP，DNS服务器在响应查询时会轮询返回不同的IP，从而实现简单的负载均衡。【问题4】（1）3389解析：Windows远程桌面（RDP）默认使用TCP3389端口。（2）配置拒绝00的规则优先级高于允许/24的规则。解析：防火墙规则匹配顺序通常为自上而下，一旦匹配则不再继续。因此，更具体的拒绝规则应放在允许规则之前。（3）系统启动文件（如boot.ini）、注册表文件、SYSVOL目录（如果是域控制器）、ActiveDirectory数据库（如果是域控制器）。解析：Windows系统状态备份包含：注册表、COM+类注册数据库、引导文件（包括系统启动文件）、系统卷（SYSVOL，如果是域控制器）、证书服务数据库（如果安装了证书服务）、群集数据库（如果是群集节点）。题目问“引导文件”，通常指Boot.ini,BCD等。回答“系统启动文件”或“注册表”即可。【案例三答案与解析】【问题1】（1）CAPWAPDiscovery报文或DHCPOption43解析：AP可以通过二层广播、三层组播发送Discovery报文，或者通过DHCP获取Option43选项（AC地址）来发现AC。（2）UDP；控制隧道传输管理报文（如配置、心跳），数据隧道转发数据报文。解析：CAPWAP基于UDP传输（默认端口5246/5247）。控制隧道用于AP和AC间的管理信令交互，数据隧道用于封装转发无线用户的数据流量。（3）AC间的负载均衡；AP的当前负载（如连接的用户数或CPU利用率）。解析：配置AC负载均衡功能，AC根据AP的负载情况（如用户数）将新接入的终端引导到负载较轻的AP上。【问题2】（1）RADIUS服