2026下半年软考网络工程师《应用技术》真题及答案解析（试题三）

2026下半年软考网络工程师《应用技术》真题及答案解析（试题三）某大型跨国企业“未来科技集团”正在对其总部及分支机构的网络架构进行全面升级与重构，以适应日益增长的数字化业务需求。该集团总部位于北京，在上海、广州设有主要分支机构，并在海外设有研发中心。本次网络建设的目标是构建一个高可用、高安全、具备良好扩展性的智能化园区网络及广域网互联系统。网络拓扑设计采用了经典的层次化架构，分为核心层、汇聚层和接入层。总部核心层采用两台高性能路由交换机（Core-SW1和Core-SW2）通过40G光纤链路互联，并运行虚拟路由冗余协议（VRRP）以实现网关冗余。核心层同时作为整个总部网络的DHCP服务器和NAT网关。汇聚层按功能区域划分，分别负责数据中心、办公区、研发区及访客区的流量汇聚。接入层交换机通过双上行链路分别连接至两台汇聚交换机，利用生成树协议（STP）防止二层环路。总部与分支机构之间通过IPSecVPNoverMPLSVPN的方式进行互联，以确保数据传输的机密性与完整性。为了支持移动办公和远程接入，集团部署了SSLVPN设备。此外，随着IPv4地址资源的枯竭，集团计划在内部网络及对外服务中逐步引入IPv6协议，采用双栈技术进行过渡。在网络安全方面，边界部署了下一代防火墙（NGFW），并配置了入侵防御系统（IPS）和Web应用防火墙（WAF）。内部网络通过划分VLAN（虚拟局域网）进行广播域隔离，并配置访问控制列表（ACL）对不同安全等级区域间的流量进行严格管控。无线网络覆盖采用集中式AC+FitAP架构，支持802.11ax（Wi-Fi6）标准，并通过WPA3-Enterprise协议进行认证。目前，网络工程师小李负责该项目的具体实施与配置。在IP地址规划阶段，总部内网规划使用私有地址段172.16.0.0/16。其中，研发部VLAN10预计需要主机数400台，市场部VLAN20预计需要主机数200台，财务部VLAN30（高安全级别）预计需要主机数50台，服务器群VLAN100预计需要主机数30台，DMZ区VLAN99预计需要主机数20台。所有VLAN的网关均配置在汇聚层交换机上。请根据上述场景，回答以下问题。【问题1】（5分）在层次化网络设计中，核心层、汇聚层和接入层承担着不同的角色。请简述核心层的主要设计目标及特性，并说明在本项目中，Core-SW1和Core-SW2之间采用VRRP协议的作用。此外，若要实现核心交换机之间的链路冗余并提高带宽，应采用什么技术？该技术通过什么协议来实现？【问题2】（10分）根据项目需求，小李需要对总部内网进行VLSM（可变长子网掩码）规划。请计算各VLAN所需的子网地址、子网掩码（或CIDR表示法）及可用IP地址范围（只需给出每个子网的首个和最后一个可用IP）。请将计算结果填入表1。注意：地址分配需遵循“从大到小”的需求顺序进行，以避免地址碎片。计算公式请使用标准LaTex格式展示。表1IP地址规划表部门/VLAN需要主机数子网地址子网掩码/CIDR可用IP地址范围研发部(VLAN10)400(1)(2)(3)~(4)市场部(VLAN20)200(5)(6)(7)~(8)财务部(VLAN30)50(9)(10)(11)~(12)服务器群(VLAN100)30(13)(14)(15)~(16)DMZ区(VLAN99)20(17)(18)(19)~(20)【问题3】（5分）为了防止二层环路并加快网络收敛，汇聚层与接入层交换机启用了生成树协议（STP）。考虑到网络中存在VLAN，且需要实现不同VLAN流量的负载均衡，应采用哪种生成树协议模式？请简述该模式与传统STP（802.1D）相比的两个主要优势。如果某接入层交换机与汇聚层的两条链路分别为Port1和Port2，希望VLAN10的数据走Port1，VLAN20的数据走Port2，应在接入层交换机上如何配置（以CiscoIOS为例，写出关键配置命令）？【问题4】（5分）集团总部网络边界部署了防火墙，并配置了NAT以实现内部用户访问互联网。现要求：1.内网用户（172.16.0.0/16）可以访问互联网。2.位于DMZ区的Web服务器（IP地址为配置表中的首个可用IP）需要对外提供服务，映射到公网IP203.0.113.100。请写出Cisco防火墙或路由器上实现上述需求的NAT配置命令片段（假设outside接口为Serial0/0/0，inside接口为GigabitEthernet0/0，dmz接口为GigabitEthernet0/1）。【问题5】（5分）随着IPv6的部署，集团计划在内部网络实现IPv6单播路由。假设路由器接口GigabitEthernet0/0连接的内网需要配置IPv6地址，前缀为2001:DB8:ACAD::/64，路由器接口的EUI-64地址为2001:DB8:ACAD::1FEF:FEFF:FE00:1/64。请写出在路由器上启用IPv6单播路由并配置该接口IPv6地址的命令（以CiscoIOS为例）。此外，简述在IPv6邻居发现协议（NDP）中，路由器通告（RA）消息的主要作用。答案与解析【问题1】答案：核心层的主要设计目标是高速转发和数据流量的快速交换，它是网络的主干，负责尽可能快地交换数据包，不应进行复杂的访问控制列表（ACL）或包过滤等降低转发速度的操作。其特性主要包括高可靠性、高吞吐量、低延迟和冗余性。Core-SW1和Core-SW2之间采用VRRP（虚拟路由冗余协议）的作用是实现网关的冗余备份。当主网关设备出现故障时，VRRP能将虚拟IP地址自动切换到备份设备，确保内网用户流量不间断地转发，避免单点故障。若要实现核心交换机之间的链路冗余并提高带宽，应采用链路聚合（Etherrchannel/PortTrunking）技术。该技术通常通过LACP（链路聚合控制协议，IEEE802.3ad）来实现，也可以使用静态聚合模式。解析：本题考查网络层次化架构设计及高可用性技术。1.核心层特性：在三层模型中，核心层是网络的枢纽。设计时首要考虑的是速度和可靠性。它负责连接各个汇聚层设备或关键服务器。为了保持高速，策略应尽量简化。2.VRRP作用：VRRP是一种选择协议，它可以把一个虚拟路由器的责任动态分配到局域网上的VRRP路由器组中的一台。控制虚拟路由器的IP地址，称为虚拟IP地址。这个IP地址被配置为局域网内主机的默认网关。在这个组内，一旦Master路由器不可用，Backup路由器将接管虚拟IP地址，提供连续的默认网关服务。3.链路聚合：将多个物理链路捆绑为一个逻辑链路，增加带宽，同时提供冗余。LACP是标准的动态协商协议。【问题2】答案：计算过程：所需主机数H，所需主机位数n满足−2子网掩码位数m=1.研发部(400台)：−2=254<400块大小为=512子网地址：172.16.0.0子网掩码：255.255.254.0(/23)可用范围：172.16.0.1~172.16.1.254下一个起始地址：172.16.2.02.市场部(200台)：−2=126<200块大小为=256起始：172.16.2.0子网地址：172.16.2.0子网掩码：255.255.255.0(/24)可用范围：172.16.2.1~172.16.2.254下一个起始地址：172.16.3.03.财务部(50台)：−2=30<50块大小为=64起始：172.16.3.0子网地址：172.16.3.0子网掩码：255.255.255.192(/26)可用范围：172.16.3.1~172.16.3.62下一个起始地址：172.16.3.644.服务器群(30台)：−2=30块大小为=32起始：172.16.3.64子网地址：172.16.3.64子网掩码：255.255.255.224(/27)可用范围：172.16.3.65~172.16.3.94下一个起始地址：172.16.3.965.DMZ区(20台)：−2=30块大小为=32起始：172.16.3.96子网地址：172.16.3.96子网掩码：255.255.255.224(/27)可用范围：172.16.3.97~172.16.3.126填入表1如下：(1)172.16.0.0(2)255.255.254.0或/23(3)172.16.0.1(4)172.16.1.254(5)172.16.2.0(6)255.255.255.0或/24(7)172.16.2.1(8)172.16.2.254(9)172.16.3.0(10)255.255.255.192或/26(11)172.16.3.1(12)172.16.3.62(13)172.16.3.64(14)255.255.255.224或/27(15)172.16.3.65(16)172.16.3.94(17)172.16.3.96(18)255.255.255.224或/27(19)172.16.3.97(20)172.16.3.126解析：本题考查VLSM子网划分计算。核心在于“从大到小”分配，以确保地址空间利用率最高且不重叠。公式依据：子网大小Si对于研发部400台，400+2=对于市场部200台，200+2=对于财务部50台，50+2=对于服务器群30台，30+2=对于DMZ区20台，20+2=计算时需注意对齐边界。研发部占用0.0到1.255，下一个子网从2.0开始。市场部占用2.0到2.255，下一个从3.0开始。财务部占用3.0到3.63，下一个从3.64开始。服务器群占用3.64到3.95，下一个从3.96开始。DMZ占用3.96到3.127。【问题3】答案：应采用MSTP（多生成树协议，IEEE802.1s）或RSTP（快速生成树协议，IEEE802.1w）。但在多VLAN环境需要负载均衡时，MSTP是最佳选择。MSTP与传统STP（802.1D）相比的主要优势：1.收敛速度更快：MSTP继承了RSTP的快速收敛机制，将端口状态从5种简化为3种（Discarding,Learning,Forwarding），减少了拓扑改变时的恢复时间。2.支持VLAN负载均衡：传统STP整个交换网络只能生成一棵生成树，所有VLAN共享这棵树，导致阻塞链路上无法转发任何数据，带宽利用率低。MSTP允许将多个VLAN映射到一个生成树实例（Instance），从而可以基于实例实现流量的负载分担，充分利用冗余链路带宽。配置实现负载均衡（以CiscoIOS为例）：```cisco!进入全局配置模式configureterminal!定义MSTP域spanning-treemodemstspanning-treemstconfigurationnameMST_Domainrevision1!将VLAN10映射到实例1instance1vlan10!将VLAN20映射到实例2instance20vlan20exit!配置接口优先级，使得VLAN10(Instance1)的根网桥流量优先走Port1interfaceGigabitEthernet0/1(Port1)spanning-treemst1cost1000!设置较低开销spanning-treemst2cost2000000!设置较高开销!配置接口优先级，使得VLAN20(Instance2)的根网关流量优先走Port2interfaceGigabitEthernet0/2(Port2)spanning-treemst1cost2000000!设置较高开销spanning-treemst2cost1000!设置较低开销```（注：也可以通过修改端口优先级`spanning-treemst1port-priority64`来实现，优先级数值越小越优先。）解析：本题考查生成树协议的应用。STP（802.1D）收敛慢（30-50秒），且无法实现VLAN负载均衡。PVST/PVST+是Cisco私有的，为每个VLAN建立一个生成树，可以实现负载均衡，但消耗资源较多。MSTP是IEEE标准，兼容性好，通过将VLAN分组映射到实例，既节省资源又实现了负载均衡。配置负载均衡的核心在于让不同的VLAN（或实例）在不同链路上的路径开销不同，从而使得在不同的生成树实例中，根端口和阻塞端口不同，进而流量走向不同。【问题4】答案：根据问题2的计算，DMZ区子网为172.16.3.96/27，首个可用IP为172.16.3.97。配置命令片段（CiscoIOS风格）：```cisco!1.定义内网流量ACL（可选，若直接匹配源地址可省略ACL，但标准做法建议定义）ipaccess-liststandardINSIDE_NATpermit172.16.0.00.0.255.255!2.配置动态NAT（PAT），允许内网用户访问互联网!(假设使用公网地址池或接口Overload，此处使用接口Overload)ipnatinsidesourcelistINSIDE_NATinterfaceSerial0/0/0overload!3.配置静态NAT，映射DMZ区的Web服务器ipnatinsidesourcestatic172.16.3.97203.0.113.100!4.在接口上应用NAT方向interfaceGigabitEthernet0/0ipnatinside!interfaceGigabitEthernet0/1ipnatinside!interfaceSerial0/0/0ipnatoutside```解析：本题考查NAT配置。1.动态PAT（NAPT）：内网多个用户共享公网接口IP访问互联网。命令格式`ipnatinsidesourcelist<ACL>interface<outside-if>overload`。ACL用于定义哪些内网流量可以走NAT。2.静态NAT：将服务器内网IP一对一映射到公网IP。命令格式`ipnatinsidesourcestatic<local-ip><global-ip>`。3.接口方向：必须在内网接口指定`ipnatinside`，在外网接口指定`ipnatoutside`，路由器才能根据规则进行NAT转换。注意：DMZ区通常也是内网侧（inside），但安全级别不同。在此拓扑中，DMZ接口通常也标记为`inside`或者`dmz`（如果是Zone-Based防火墙），但在基于接口的NAT配置中，只要不是outside，通常视为inside方向。如果DMZ有独立公网，配置会有所不同，但根据题目“映射到公网IP”，标准做法如上。【问题5】答案：启用IPv6单播路由并配置接口IPv6地址的命令（CiscoIO