2026年上半年软考网络工程师下午试卷真题及参考答案

2026年上半年软考网络工程师下午试卷真题及参考答案试题一：企业网络规划与设计某大型跨国企业“未来科技”计划升级其总部及分支机构的网络基础设施，以适应日益增长的业务需求和数字化转型。该企业总部位于北京，在上海和广州设有分支机构。网络规划团队设计了一套基于IPv4和IPv6双栈的下一代企业网络架构。网络拓扑结构描述如下：1.核心层：采用两台高性能核心路由器（Core-R1和Core-R2）作为网络枢纽，负责高速数据交换和路由转发。核心层之间通过40G光纤链路互联，运行OSPFv3实现动态路由。2.汇聚层：总部按部门划分区域，每个区域部署两台汇聚交换机（Agg-SW1至Agg-SW4），通过10G链路双归连接到核心路由器。3.接入层：各楼层接入交换机通过千兆链路上联至汇聚交换机，负责终端用户接入。4.广域网互联：总部与上海、广州分支机构通过MPLSVPN专线互联。同时，为了备份，分支机构通过IPSecVPN隧道连接至总部互联网出口。5.服务器区：总部数据中心部署有Web服务器、邮件服务器、文件服务器等，通过防火墙连接至核心交换机。IP地址规划如下：总部内网使用私有地址块/16。其中，研发部子网需要容纳600台主机，市场部子网需要容纳300台主机，财务部子网需要容纳100台主机，服务器区需要容纳50台主机。网络管理员采用VLSM（可变长子网掩码）技术进行地址分配以节约地址空间。【问题1】（8分）根据网络需求，请计算各部门及服务器区的子网掩码和可用的IP地址范围（请列出每个子网的第一个可用IP和最后一个可用IP）。假设按照研发部、市场部、财务部、服务器区的顺序依次分配。1.研发部（600台主机）：子网掩码：________IP地址范围：________~________2.市场部（300台主机）：子网掩码：________IP地址范围：________~________3.财务部（100台主机）：子网掩码：________IP地址范围：________~________4.服务器区（50台主机）：子网掩码：________IP地址范围：________~________【问题2】（6分）在核心路由器Core-R1与Core-R2之间，以及核心与汇聚之间运行OSPFv3协议。OSPFv3是运行在______层的路由协议。在配置OSPFv3时，管理员需要在接口下启用IPv6并配置______命令，然后在进程模式下使用______命令将接口宣告到特定区域。为了实现IPv4与IPv6网络的共存，企业采用了双栈技术。请简述双栈技术的核心原理：________。【问题3】（6分）分支机构与总部之间建立了IPSecVPN作为备份链路。IPSecVPN的安全联盟（SA）由两个阶段协商建立。1.第一阶段（IKEPhase1）主要协商建立______SA，用于保护后续的通信。2.第二阶段（IKEPhase2）主要协商建立______SA，用于保护具体的数据流。3.在IPSec传输模式下，______头被插入在原IP头和上层协议头之间；而在隧道模式下，整个原数据包被封装在新的IP包中。【问题4】（5分）为了提高网络可靠性，核心层与汇聚层之间采用了MSTP（多生成树协议）。网络规划要求：VLAN10和VLAN20的数据流量以Core-R1为根桥，VLAN30和VLAN40的数据流量以Core-R2为根桥。1.MSTP通过将多个VLAN映射到一个______来实现负载均衡。2.若要使Core-R1成为VLAN10和20的根桥，应将其MSTP实例1的优先级设置为数值较______（填“大”或“小”）的值。3.在配置MSTP时，配置修订号、区域名称和______映射表必须完全一致才能实现MST域的正确互通。试题二：交换机配置与VLAN技术某公司网络使用华为交换机设备构建，网络拓扑中包含一台核心交换机SW-Core和两台接入交换机SW-1和SW-2。SW-1连接PC终端（属于VLAN10），SW-2连接IP电话和PC（属于VLAN20），IP电话需要通过VLAN30传输语音数据。SW-Core作为VLAN的网关。【问题1】（5分）在接入交换机SW-1上，连接PC的端口为GigabitEthernet0/0/1。请补充完成SW-1上VLAN10的创建及端口配置命令。```system-view[Huawei]vlan10[Huawei-vlan10]nameSales[Huawei]interfaceGigabitEthernet0/0/1[Huawei-GigabitEthernet0/0/1]portlink-type______[Huawei-GigabitEthernet0/0/1]portdefaultvlan10[Huawei-GigabitEthernet0/0/1]______(设置端口为边缘端口，以加快收敛)```【问题2】（6分）在接入交换机SW-2上，连接IP电话和PC的端口为GigabitEthernet0/0/2。该端口需要同时传输语音和数据流量，且希望由交换机通过LLDP-MED（LinkLayerDiscoveryProtocolMediaEndpointDiscovery）机制自动发现IP电话并为语音流量分配VLAN30。请补充完成配置。```[SW2]interfaceGigabitEthernet0/0/2[SW2-GigabitEthernet0/0/2]portlink-typehybrid[SW2-GigabitEthernet0/0/2]porthybriduntaggedvlan20[SW2-GigabitEthernet0/0/2]porthybridtaggedvlan30[SW2-GigabitEthernet0/0/2]______lldpenable(全局开启LLDP)[SW2-GigabitEthernet0/0/2]______(端口开启LLDP)[SW2-GigabitEthernet0/0/2]voice-vlan30______(设置语音VLAN的工作模式)```【问题3】（4分）核心交换机SW-Core作为DHCP中继，帮助VLAN10和VLAN20的客户端获取IP地址。DHCP服务器位于网络/24网段。请补充SW-Core上的DHCP中继配置。```[SW-Core]dhcpenable[SW-Core]interfaceVlanif10[SW-Core-Vlanif10]ipaddress24[SW-Core-Vlanif10]dhcpselect______[SW-Core-Vlanif10]dhcprelayserverip______```【问题4】（5分）为了防止ARP欺骗攻击，网络管理员在网关交换机SW-Core上部署了ARP防御技术。1.启用______功能，可以学习DHCP服务器下发的DHCP中继表项，生成ARP绑定表，只有匹配的ARP报文才能通过。2.启用______功能，可以限制端口学习ARP表项的最大数量，防止ARP表项溢出。3.配置ARP防攻击报文限速，例如设置端口G0/0/1每秒最多处理50个ARP报文，命令为：`arpspeed-limitsource-ipmaximum50`。该命令针对的是______（源IP或目的IP）的限速。【问题5】（5分）STP（生成树协议）用于防止二层环路。RSTP（快速生成树协议）在STP基础上进行了改进。1.RSTP提出了______和______两种端口角色，用于替代STP中的阻塞端口，从而实现了端口的快速转发。2.在RSTP中，如果交换机的一个边缘端口收到了BPDU报文，该端口会立即失去边缘端口属性，并重新进行______计算。试题三：网络安全与防火墙配置某单位网络出口部署了一台下一代防火墙（NGFW），内网网段为/16。防火墙通过接口GE1/0/0连接内网（Trust区域），GE1/0/1连接ISP路由器（Untrust区域），GE1/0/2连接DMZ区域，其中DMZ区域放置了对外提供的Web服务器（IP：0）。【问题1】（6分）防火墙默认安全策略是禁止所有流量。管理员需要配置安全策略允许内网用户访问互联网。请补充配置命令（假设防火墙为华为USG系列）。```[FW]firewallzonetrust[FW-zone-trust]addinterfaceGigabitEthernet1/0/0[FW]firewallzoneuntrust[FW-zone-untrust]addinterfaceGigabitEthernet1/0/1[FW]security-policy[FW-policy-security]rulenameAllow_Internet[FW-policy-security-rule-Allow_Internet]source-zone______[FW-policy-security-rule-Allow_Internet]destination-zone______[FW-policy-security-rule-Allow_Internet]source-address16[FW-policy-security-rule-Allow_Internet]action______```【问题2】（6分）为了让互联网用户能够访问DMZ区域的Web服务器，需要在防火墙上配置NATServer。同时，为了安全，管理员希望只允许外网访问TCP80端口。请补充配置。```[FW]natserverprotocoltcpglobal0080inside080no-reverse```1.命令中的`global00`是公网IP地址，`inside0`是______地址。2.`no-reverse`参数的作用是______。3.除了配置NATServer，还需要配置从Untrust到DMZ的安全策略，该策略的源地址应为______，目的地址应为0，服务为http，动作为permit。【问题3】（4分）防火墙支持NATALG（应用层网关）功能，用于解决某些应用协议在NAT环境下的通信问题。1.对于FTP协议，控制连接建立后，数据连接是动态建立的。NATALG通过______数据载荷中的IP地址和端口信息，确保数据连接能正确穿越NAT。2.常见的需要NATALG支持的应用协议还包括SIP、______等。【问题4】（5分）为了防御网络攻击，管理员在防火墙上启用了入侵防御系统（IPS）特征库。1.IPS特征库中的签名包含方向、类别、______、协议等属性。2.签名的动作通常包括告警、______和阻断。3.防火墙处理深度包检测（DPI）时，会重组分片报文并还原应用层数据，这会消耗设备的______资源。【问题5】（4分）SSLVPN技术允许远程用户通过浏览器安全地访问内网资源。1.SSLVPN主要工作在OSI模型的______层和______层。2.相比IPSecVPN，SSLVPN最大的优势在于客户端不需要安装专门的VPN客户端软件，利用浏览器内建的______协议即可建立连接。试题四：网络服务与系统管理某企业搭建了基于Linux的服务器环境，主要为内部提供Web服务和DNS服务。服务器操作系统为CentOS7。【问题1】（5分）管理员需要配置ApacheHTTP服务器（httpd）。主配置文件为`/etc/httpd/conf/httpd.conf`。管理员修改了配置文件中的`DocumentRoot`为`/var/www/html/company`，并创建了相应的测试页面`index.html`。重启服务后，客户端访问显示“403Forbidden”错误。1.出现此错误最可能的原因是目录权限问题。Apache默认运行用户和组通常是______。2.解决该问题的命令是：`chown-Rapache:apache/var/www/html/company`以及`chmod-R755/var/www/html/company`。其中`755`表示所有者具有______权限，组用户和其他用户具有读和执行权限。3.若要配置基于域名的虚拟主机，需要在配置文件中使用`<VirtualHost______>`指令块。【问题2】（6分）该服务器同时配置为DNS服务器（BIND软件），负责解析域名`company`。区域文件位于`/var/named/company.zone`。部分配置如下：```$TTL1D@INSOAnspany.adminpany.(2024050101;serial1D;refresh1H;retry1W;expire3H);minimumINNSnspany.INMX10mailpany.nsINA0wwwINA0mailINA0```1.记录类型`SOA`表示______，其后的`adminpany.`是管理员的邮箱地址，在DNS配置文件中，邮箱中的“@”符号必须用“.”代替。2.记录类型`MX`用于指定______服务器，优先级为10。3.若要为域名`ftppany`添加一个指向`wwwpany`的别名记录，应添加一行：`ftpIN______wwwpany.`。【问题3】（5分）为了方便管理，管理员在Linux服务器上配置了SSH服务。1.SSH服务的主配置文件是`/etc/ssh/sshd_config`。为了禁止root用户直接通过SSH登录，应将配置项`PermitRootLogin`设置为______。2.SSH协议默认监听的TCP端口是______。3.为了实现SSH无密码登录，管理员需要生成密钥对（使用ssh-keygen命令），并将公钥内容复制到目标服务器的`~/.ssh/______`文件中。【问题4】（5分）网络管理员使用Python编写了一个简单的脚本，用于监控服务器CPU利用率。部分代码如下：```pythonimportpsutildefcheck_cpu():#获取CPU使用率，间隔1秒cpu_percent=psutil.cpu_percent(interval=1)print(f"CurrentCPUUsage:{cpu_percent}%")ifcpu_percent>80:#发送告警邮件______if__name__=="__main__":check_cpu()```1.代码中使用了`psutil`库，这是一个跨平台的______和系统监控库。2.为了使代码在检测到CPU利用率超过80%时发送告警，横线处应填入调用发送邮件函数的代码。假设已定义函数`send_alert_mail(message)`，则横线处应填：`send_alert_mail("HighCPUUsagedetected")`。3.在Linux系统中，可以通过`______`命令将此脚本设置为每5分钟运行一次。【问题5】（4分）随着业务增长，服务器存储空间不足。管理员计划使用iSCSI技术连接一台IP-SAN存储设备。1.iSCSI（InternetSmallComputerSystemInterface）封装了______协议，使得SCSI命令可以通过IP网络传输。2.在Linux客户端，发现iSCSI目标（Target）的命令是`iscsiadm-mdiscovery-tst-p______`。3.连接到目标后，通常需要使用`______`命令对发现的磁盘进行分区和格式化，然后才能挂载使用。参考答案与解析试题一：企业网络规划与设计【问题1】本题考查VLSM子网划分计算。公式为−2≥主1.研发部（600台主机）：需要600个主机地址。−2=510（不够），−2=1022（满足）。所以主机位为10位，子网掩码为子网掩码：第一个子网：/22范围：~542.市场部（300台主机）：接着上一个子网开始。需要300个主机。−2=254（不够），−子网掩码：子网：/23范围：~543.财务部（100台主机）：接着上一个子网开始。需要100个主机。−2=126子网掩码：28子网：/25范围：~264.服务器区（50台主机）：接着上一个子网28开始。需要50个主机。−2=62子网掩码：92子网：28/26范围：29~90【问题2】OSPFv3是运行在网络层的路由协议。配置命令流程：`ipv6enable`->`ospfv31area0`。双栈技术原理：在网元（设备或节点）上同时启用IPv4和IPv4协议栈，网络层根据报文的IP版本号分别处理IPv4和IPv6报文，实现两种协议共存和互通。1.网络2.ipv6enable3.ospfv3[process-id]area[area-id]4.网络节点同时支持IPv4和IPv6协议，根据IP报头版本选择相应的协议栈进行处理【问题3】IPSecVPN协商过程。1.IKESA(ISAKMPSA)2.IPsecSA3.AH(或ESP，通常隧道模式下ESP头在IP头之后，传输模式下ESP/AH在IP头之后传输层头之前。此处标准答案通常填ESP或AH，视具体上下文，若问头插入位置，传输模式下插入原IP头和上层头之间)。注：题目描述较为通用，通常指ESP或AH头。【问题4】MSTP配置原理。1.实例2.小3.VLAN试题二：交换机配置与VLAN技术【问题1】1.access(或Access)2.stpedged-port【问题2】1.lldp(全局命令)