2026年软考《网络规划设计师》真题及答案解析

2026年软考《网络规划设计师》真题及答案解析一、单项选择题（每题1分，共30分。每题的备选项中，只有一个最符合题意）1.在OSI参考模型中，负责端到端的流量控制、差错控制，并提供可靠或不可靠传输服务的是（）。A.数据链路层B.网络层C.传输层D.会话层2.IPv6地址“2001:0DB8:0000:0000:0000:FF00:0042:8329”可以压缩表示为（）。A.2001:DB8::FF00:42:8329B.2001:DB8:0:0:0:FF00:42:8329C.2001:DB8::FF00::428329D.2001:DB8:0:0:FF00:42:83293.在BGP4协议中，用于判断进入AS的最佳路由的属性是（）。A.Local_PrefB.MEDC.AS_PathD.Next_Hop4.以下关于OSPF协议中LSA类型的描述，正确的是（）。A.Type-1LSA由区域边界路由器（ABR）生成，描述区域内链路状态B.Type-2LSA由网络中的DR生成，描述广播网和NBMA网络的拓扑信息C.Type-3LSA在整个OSPF域内泛洪，用于描述自治系统外部路由D.Type-5LSA只在单个区域内泛洪，用于描述区域间路由5.在VLAN间路由的三种主要实现方式中，性能最高、常用于三层核心交换机的方式是（）。A.单臂路由B.三层交换机接口路由C.SVI（交换机虚拟接口）D.外部路由器路由6.某公司使用/8网段进行子网划分，若需要划分出至少50个子网，每个子网至少容纳1000台主机，则子网掩码应为（）。A.B.C.D.7.在网络存储技术中，iSCSI协议主要用于实现（）。A.块级数据传输B.文件级数据传输C.对象级数据传输D.磁带备份传输8.以下关于MPLS（多协议标签交换）技术的描述，错误的是（）。A.MPLS位于第2层和第3层之间B.MPLS通过标签转发数据包，提高了转发速度C.LDP（标签分发协议）是MPLS中用于标签分发和控制的标准协议D.MPLS只能支持IP协议，不支持其他网络层协议9.在网络安全架构中，DMZ（非军事化区）的主要作用是（）。A.存放核心数据库服务器B.放置对外服务的服务器，隔离内部网络和外部网络C.作为管理员的管理区域D.存放备份设备10.下列关于软件定义网络（SDN）的描述，正确的是（）。A.SDN将控制平面和数据平面高度集成在单一设备中B.OpenFlow是SDN中最主要的南向接口协议之一C.SDN架构中，应用层直接与物理设备交互D.SDN无法实现流量的细粒度控制11.IEEE802.11ax(Wi-Fi6)引入的关键技术不包括（）。A.OFDMA（正交频分多址）B.BSSColoring（基本服务集着色）C.MU-MIMO（多用户多入多出）D.频率跳变扩频12.在综合布线系统中，建筑群子系统主要用于连接（）。A.建筑物内部的楼层配线架B.建筑物内部的水平配线线缆C.不同建筑物之间的设备D.终端设备与信息插座13.在DNS服务器配置中，用于将域名解析指向另一台域名服务器的记录类型是（）。A.A记录B.NS记录C.CNAME记录D.MX记录14.以下关于RAID级别的描述，磁盘利用率最高且具备容错能力的是（）。A.RAID0B.RAID1C.RAID5D.RAID1015.在网络管理中，SNMPv3相对于SNMPv2c的主要改进是（）。A.增加了Trap操作B.引入了基于视图的访问控制（VACM）C.增强了安全性，提供了USM（基于用户的安全模型）D.支持更多的数据类型16.某企业计划部署一个高可用的Web集群，采用LVS（LinuxVirtualServer）技术，若要求负载均衡器处理能力最强且网络瓶颈最小，应选用（）工作模式。A.NATB.TUNC.DRD.FULLNAT17.在IPSecVPN中，负责加密和认证数据包载荷的协议是（）。A.AHB.ESPC.IKED.ISAKMP18.在防火墙配置中，StatefulInspection（状态检测）技术主要依据（）来决定数据包是否通过。A.数据包的内容B.数据包的源IP地址C.连接的状态表D.数据包的服务端口19.在云计算服务模型中，PaaS（平台即服务）提供给用户的核心能力是（）。A.虚拟机、存储和网络等基础设施B.应用程序的运行环境和开发平台C.完整的软件应用D.网络拓扑设计工具20.某网络链路带宽为1Gbps，报文平均长度为1000字节，若网络利用率为80%，则该链路的有效吞吐量约为（）。A.800MbpsB.900MbpsC.1000MbpsD.1.25Gbps21.在IPv6过渡技术中，用于在IPv4网络中传输IPv6数据包的技术是（）。A.双栈B.NAT-PTC.隧道技术D.手动配置22.以下关于网络故障排查的命令，用于测试路径上MTU（最大传输单元）大小的是（）。A.pingB.tracert/tracerouteC.pathpingD.netstat23.在5G网络架构中，负责用户面数据处理的功能实体是（）。A.AMF（接入和移动性管理功能）B.SMF（会话管理功能）C.UPF（用户面功能）D.UDM（统一数据管理）24.某单位在进行网络规划时，需对关键业务流量进行QoS保障。DiffServ模型中，用于标记流量优先级的字段是（）。A.ToS字段B.DSCP字段C.FlowLabelD.VPI25.在链路状态路由协议OSPF中，Hello报文发送间隔默认为（）秒。A.10B.20C.30D.4026.下列关于网络攻击的描述中，属于中间人攻击的是（）。A.SQL注入B.伪造DHCP服务器C.端口扫描D.暴力破解密码27.在服务器架构中，NUMA（Non-UniformMemoryAccess）架构的主要特点是（）。A.所有CPU访问内存的速度一致B.CPU访问本地内存的速度快于访问远程内存C.只能用于非关键业务服务器D.内存不能被共享28.在Python网络编程中，使用Socket库创建一个TCP服务端，绑定端口后，开始监听连接的方法是（）。A.bind()B.connect()C.listen()D.accept()29.依据《网络安全法》，关键信息基础设施的运营者在采购网络产品和服务时，应当按照规定与提供者签订（）。A.保密协议B.安全保密协议C.知识产权协议D.服务水平协议30.在网络规划设计中，通过增加冗余组件来提高系统可靠性的方法，其可靠性模型通常属于（）。A.串联模型B.并联模型C.混联模型D.网状模型二、案例分析题（共3题）案例一：网络规划与IP地址计算某大型跨国企业计划新建总部园区网络，并与中国境内的三个分公司互联。该企业申请到了一个公网IPv4地址块/22。网络需求如下：1.总部核心交换机与互联网边界防火墙互联，需要4个公网IP地址。2.分公司A通过MPLSVPN接入，需要8个公网IP地址用于互联的Loopback和设备管理。3.分公司B通过IPSecVPN接入，需要2个公网IP地址。4.分公司C通过专线直连，需要16个公网IP地址。5.预留一个子网给未来新增的分支机构，该子网大小应至少容纳32个IP地址。6.其余公网地址用于NAT（网络地址转换）池。请回答下列问题：【问题1】（6分）请根据需求，从地址块/22开始，进行合理的子网规划。列出分公司A、分公司C以及NAT池的子网地址（CIDR格式）。（注：子网分配顺序请按照题目描述顺序，即总部->A->B->C->预留->NAT池）【问题2】（5分）分公司B的IPSecVPN网关（公网接口IP地址为50/30），与总部IPSec网关（公网接口IP地址为49/30）建立连接。若隧道内传输的是分公司B的私网数据（/24），请写出IPSec安全关联（SA）中需要配置的“感兴趣流”（TrafficSelector，即源地址和目的地址）的通配符掩码形式。【问题3】（4分）若该企业后续计划全面部署IPv6，并采用6to4隧道技术通过现有的IPv4网络连接各分公司。假设分公司A的IPv4公网地址为3/29，请计算其对应的6to4IPv6前缀是多少？案例二：网络安全协议分析与故障排查某网络管理员在排查公司内网服务器访问故障时，抓取了如下一段TCP/IP交互过程的数据包片段（部分信息已简化）：1.客户端IP：0发送SYN包，Seq=1000，Len=0给服务器IP：0:80。2.服务器IP：0回复SYN+ACK包，Seq=2000，Ack=1001，Len=0。3.客户端IP：0发送ACK包，Seq=1001，Ack=2001，Len=0。4.客户端IP：0发送HTTPGET请求，Seq=1001，Ack=2001，Len=200。5.服务器IP：0回复ACK包，Seq=2001，Ack=1201，Len=0。6.服务器IP：0回复数据包，Seq=2001，Ack=1201，Len=1460。7.客户端IP：0发送ACK包，Seq=1201，Ack=3461，Len=0。随后，网络中出现异常，客户端再次发送数据时，服务器长时间未响应，管理员抓取到：8.客户端IP：0发送Seq=3461，Ack=2001，Len=500的数据包。9.服务器重复发送第6步的数据包，Seq=2001，Ack=1201，Len=1460。请回答下列问题：【问题1】（4分）根据数据包1-3，分析TCP三次握手建立连接的过程。计算并写出客户端向服务器发送数据的初始序列号（ISN）和服务器的ISN。【问题2】（3分）在数据包6中，服务器发送了1460字节的数据。请问这通常与什么网络参数有关？该参数的推荐默认值是多少？【问题3】（8分）根据数据包8和9的现象，请分析网络中发生了什么故障？并解释服务器重复发送数据包的原因。为了解决此类问题，TCP协议中通常采用什么机制？案例三：高级网络架构设计某互联网公司为了应对业务快速增长，计划对数据中心网络进行重构。设计目标包括：高带宽、低延迟、虚拟化支持、自动化运维。设计方案如下：1.采用Spine-Leaf（脊-叶）架构替代传统的三层核心-汇聚-接入架构。2.使用VXLAN（VirtualExtensibleLAN）技术实现大二层网络，以支持虚拟机迁移。3.引入SDN控制器进行集中化管理。4.部署基于EVPN（EthernetVPN）作为控制平面协议。请回答下列问题：【问题1】（5分）相比于传统的三层网络架构，Spine-Leaf架构的主要优势是什么？在Spine-Leaf架构中，为了确保任意两个Leaf交换机之间的路径跳数一致，Spine交换机和Leaf交换机之间通常采用什么连接方式？【问题2】（6分）VXLAN技术主要解决了传统VLAN面临的哪些问题？VXLAN报文封装中，使用哪种传输层协议？其默认端口号是多少？【问题3】（9分）在基于EVPN-VXLAN的SDN网络中，控制平面（MP-BGPEVPN）主要用于分发哪三类关键信息？（请列举）若HostA（MAC_A,IP_A）连接在Leaf1上，HostB（MAC_B,IP_B）连接在Leaf2上，当HostA首次向HostB发送ARP请求时，简述Leaf1如何通过EVPN学习到HostB的位置信息（MAC和VTEPIP的对应关系）。三、论文题（共1题，75分）论“零信任”架构在企业网络安全规划中的应用“零信任”是一种网络安全架构理念，其核心原则是“永不信任，始终验证”。它假设网络边界内部不再安全，对所有访问请求（无论来自内部还是外部）都进行严格的身份认证、授权和加密。随着远程办公、云服务和移动设备的普及，传统的基于边界的防御模型已难以应对现代网络安全威胁。请围绕“零信任”架构在企业网络安全规划中的应用”进行论述，内容要求：1.简述“零信任”架构的核心原则和主要技术组件（如IAM、SDP、MSG等）。2.详细论述你在参与或设计的某大型企业网络安全项目中，是如何规划“零信任”架构的。包括但不限于：身份认证体系设计、网络微隔离策略、终端安全检测、动态访问控制策略的实施。3.分析在实施“零信任”架构过程中遇到的主要挑战（如用户体验、遗留系统兼容性等）以及相应的解决方案。4.对“零信任”架构未来的发展趋势进行展望。答案及解析一、单项选择题1.C解析：传输层（TransportLayer）负责端到端的通信，提供可靠的（TCP）或不可靠的（UDP）传输服务，包括流量控制和差错控制。数据链路层是点到点的，网络层负责路径选择。2.A解析：IPv6地址压缩规则：前导零可省略，连续的全零块可用“::”代替（但只能出现一次）。将0000:0000压缩为::，0042压缩为42，结果为2001:DB8::FF00:42:8329。3.A解析：Local_Pref（本地优先级）是BGP的公认自主属性，用于在AS内部判断离开AS的最佳出口，值越大越优先。MED（多出口鉴别器）用于告诉邻AS如何进入本AS。AS_Path用于防环和选路。Next_Hop指下一跳地址。4.B解析：Type-1LSA是RouterLSA，由每个路由器生成。Type-2LSA是NetworkLSA，由DR生成，描述广播网/NBMA网拓扑。Type-3是SummaryLSA，由ABR生成，描述区域间路由。Type-5是ASExternalLSA，由ASBR生成，描述外部路由。5.C解析：SVI（交换机虚拟接口）是在三层交换机上为VLAN创建的虚拟三层接口，利用硬件芯片实现路由转发，性能最高，常用于核心层。单臂路由借助于路由器物理接口和子接口，性能受限。6.C解析：需要50个子网，=32<50<=64，所以借位n=6。每个子网至少1000台主机，7.A解析：iSCSI（InternetSmallComputerSystemInterface）是将SCSI指令封装在TCP/IP协议中，实现块级数据传输，主要用于存储区域网络（SAN）。NFS/CIFS是文件级传输。8.D解析：MPLS称为“多协议”标签交换，意味着它不仅支持IP，还支持IPX、Appletalk等网络层协议。9.B解析：DMZ（非军事化区）是为了解决安装防火墙后外部网络无法访问内部服务器的问题而设立的一个安全子网，通常放置对外提供服务的Web、DNS、邮件服务器等，隔离内网和外网。10.B解析：SDN架构特点：控制平面与数据平面分离。OpenFlow是南向接口协议，用于控制器和交换机通信。应用层通过北向API与控制器交互，不直接操作设备。SDN支持细粒度流控制。11.D解析：Wi-Fi6(802.11ax)引入了OFDMA、BSSColoring、MU-MIMO、TargetWakeTime等技术。频率跳变扩频（FHSS）是早期802.11标准使用的技术。12.C解析：建筑群子系统是连接建筑物之间的线缆，包括光缆、电缆及电气保护设备。13.B解析：NS记录（NameServer）指定域名由哪个DNS服务器解析。A记录是主机名到IP。CNAME是别名。MX是邮件交换。14.C解析：RAID0无冗余，利用率100%。RAID1利用率50%。RAID5利用率为(N15.C解析：SNMPv3主要改进在于安全性，提供了基于用户的安全模型（USM），支持认证和加密。VACM是视图访问控制，也是v3特性，但核心改进通常指安全性。16.C解析：LVS的DR（DirectRouting）模式下，Director只修改MAC地址，数据包不经过Director返回给Client，吞吐量最大，性能最高。17.B解析：ESP（EncapsulatingSecurityPayload）封装安全载荷，提供加密、认证和数据完整性。AH只提供认证和完整性，不加密。IKE是密钥交换协议。18.C解析：状态检测防火墙维护连接状态表（如TCP连接状态），只有符合当前连接状态的数据包才被允许通过，比包过滤更安全。19.B解析：PaaS提供平台，如运行环境、数据库、中间件等。IaaS提供基础设施（VM等）。SaaS提供软件。20.A解析：有效吞吐量=带宽×利用率。1G21.C解析：隧道技术（如6to4,ISATAP,GRE）将IPv6数据包封装在IPv4数据包中，通过IPv4网络传输。双栈是同时支持两种协议栈。NAT-PT是协议转换。22.A解析：使用`ping-f-lsize`命令（Windows）或`ping-Mdo-ssize`（Linux）可以探测路径上的MTU。通过调整包大小和不允许分片标志，找到最大不分片大小。23.C解析：5G核心网（SBA架构）中，UPF（UserPlaneFunction）负责用户面数据处理，包括路由转发、锚定等。AMF和SMF属于控制面。24.B解析：DiffServ模型中，IP头部的ToS字段被重命名为DS字段，其中DSCP（DifferentiatedServicesCodePoint）用于标记流量优先级（0-63）。25.A解析：OSPF在广播网络（如以太网）和点对点网络中，Hello报文间隔默认为10秒；在NBMA网络中默认为30秒。26.B解析：中间人攻击（MITM）中攻击者秘密拦截并可能篡改双方通信。伪造DHCP服务器可以让攻击者成为客户端的默认网关，从而拦截流量，属于MITM。SQL注入是应用层攻击。27.B解析：NUMA架构中，CPU访问本地内存（同一节点）速度快，访问远程内存（其他节点）速度慢，是非均匀访问。28.C解析：Socket编程中，`bind()`绑定IP和端口，`listen()`开始监听连接（将套接字转为被动套接字），`accept()`接受连接。29.B解析：《网络安全法》第三十五条规定，关键信息基础设施的运营者采购网络产品和服务，应当按照规定与提供者签订安全保密协议。30.B解析：冗余组件意味着只要有一个组件工作，系统就能工作，这属于并联可靠性模型。串联模型是所有组件都必须工作。二、案例分析题案例一：【问题1】总地址块：/22(范围：-55)1.总部（4个IP）：需主机位2位（−2=2分配：/29(范围.0-.7)2.分公司A（8个IP）：需主机位4位（−2分配：6/28(范围.16-.31，.8-.15不够，因为.0-.7已占，下一个/28起始是.16)3.分公司B（2个IP）：需主机位2位（−2分配：2/30(范围.32-.35)4.分公司C（16个IP）：需主机位5位（−2分配：4/27(范围.64-.95)5.预留（32个IP）：需主机位6位（−2分配：28/26(范围.128-.191)6.NAT池：剩余地址。从92开始到55。汇总：92-55。计算CIDR：92/26?不，剩余部分比较大。.192/26到.255。然后是.1.0/24,.2.0/24,.3.0/24。可以直接写92/26,/24,/24,/24。或者汇总为92/26+/23+/24?简单回答：92/26(即.192-.255)，以及/24，/24，/24。为了简洁，通常考试只需写出第一个连续块或汇总。这里我们按顺序写NAT池的第一个子网：92/26。答案：分公司A：6/28分公司C：4/27NAT池：92/26（注：包含后续的/24等）【问题2】分公司B私网：/24。总部公网接口：49。感兴趣流（ACL）：源IP：55目的IP：（访问互联网，通常是任意）或者如果是访问总部私网，题目未给总部私网。假设访问互联网。如果是Site-to-Site互连，通常是指定对端私网。但题目只给了公网互联IP。通常IPSec保护的是内网流量。答案：源地址：通配符掩码：55目的地址：通配符掩码：（假设访问所有，或者具体看题目隐含，如果是纯互联隧道，可能是指定对端内网，此处按通用NAT场景前的保护流写，或者保护隧道本身。但IPSec通常保护传输流。鉴于题目未给总部私网，写保护任意流量或仅保护隧道终结点之间的流量？通常感兴趣流是内网到内网。此处缺总部内网信息，可能题目意指“隧道连接”，那么流量源是/24，目的可能是总部内网。若不知，填代表任意）。修正理解：题目问“隧道内传输的是...私网数据”，说明感兴趣流就是该私网段。目的端未明确，可能是访问互联网（NAT穿越）或总部内网。通常考试若没给对端内网，可能是指向“任意”或者“总部公网IP”（作为代理）。但标准做法是内网到内网。鉴于题目信息不全，最合理推测是访问Internet（NAT前）或访问总部。假设是访问Internet（常见场景）：源/24，目的/0。假设是访问总部（未给IP）：无法填。另一种可能：题目只问了源和目的的通配符形式，没问具体IP值？不，题目给了源IP。最稳妥答案：源：55目的：【问题3】6to4前缀格式：2002:IPv4地址:子网ID::/48IPv4地址：3转换为十六进制：202(CA),100(64),1(01),33(21)。前缀：2002:CA64:0121::/48答案：2002:CA64:0121::/48案例二：【问题1】客户端ISN=1000服务器ISN=2000三次握手过程：1.Client->Server:SYN,Seq=1000(发送客户端ISN)2.Server->Client:SYN,ACK,Seq=2000(发送服务器ISN),Ack=1001(确认客户端ISN+1)3.Client->Server:ACK,Seq=1001,Ack=2001(确认服务器ISN+1)【问题2】与MSS（最大报文段长度）或MTU（最大传输单元）有关。1460字节是以太网MTU（1500）减去IP头（20）和TCP头（20）后的标准TCPMSS值。答案：MSS（MaximumSegmentSize）或MTU。推荐默认值MSS为1460字节（对应MTU1500）。【问题3】故障现象分析：客户端发送了Seq=3461的数据包（第8步），但服务器没有回复新的ACK（Ack应大于3461），而是重复发送了Seq=2001的数据包（第9步）。这表明服务器没有收到客户端发送的Seq=3461的数据包（或者之前的ACK丢失），导致服务器认为客户端没有收到Seq=2001的数据段，因此触发超时重传。故障原因：上行链路（客户端到服务器）存在丢包或拥塞。机制：TCP快速重传和超时重传机制。此处服务器重复发送旧数据，属于超时重传（FastRetransmit通常需要3个DupACK，这里是单侧重传）。答案：网络中发生了上行丢包（客户端到服务器的数据包丢失）。服务器重复发送数据是因为未收到客户端对Seq=2001+1460=3461的确认（ACK），认为数据丢失，故触发超时重传机制。TCP协议采用超时重传机制和快速重传机制来解决此类问题。案例三：【问题1】优势：1.无阻塞（或低延迟）：任意两个Leaf交换机之间只有一跳，带宽恒定，收敛速度快。2.扩展性强：通过增加Spine或Leaf交换机可以轻松扩展带宽和规模。3.简化运维：扁平化结构，路径更短，便于自动化部署。连接方式：全互联（FullMesh）。每个Leaf交换机都连接到所有的Spine交换机。【问题2】解决的问题：1.VLANID数量限制（传统12位，仅4096个）。2.二层网络规模限制（STP生成树导致环路阻断，无法大二层）。3.虚拟机迁移跨物理机时，IP子网必须对应的限制。协议与端口：使用UDP协议。默认端口号：4789。【问题3】EVPN分发三类关键信息：1.MAC/IPAdvertisementRoute：主机MAC地址、IP地址与VTEPIP（VXLAN隧道端点）的映射关系。2.InclusiveMulticastEthernetTagRoute：用于广播、未知单播和组播（BUM）流量的转发，告知VTEP加入特定的VXLAN网段。3.EthernetSegmentRoute：用于多归属场景，告知ESI（以太网段）信息，实现冗余和负载均衡。HostA发送ARP请求流程分析：1.HostA发送ARP请求（广播帧）到Leaf1。2.Leaf1收到ARP请求后，通过ProxyARP或头端复制功能，将ARP请求封装在VXLAN中，发送给所有VTEP（通过InclusiveMulticastRoute学习到的邻居）。3.Leaf2收到VXLAN封装的ARP请求，解封装后在本地VLAN内广播。4.HostB收到ARP请求，发送ARP单播响应给Leaf2。5.Leaf2收到HostB的响应（源MAC=MAC_B,源IP=IP_B），学习到HostB的MAC/IP与本地VTEPIP的对应关系。6.Leaf2生成Type-2(MAC/IPAdvertisementRoute)路由，通过MP-BGP发送给Leaf1。7.Leaf1收到该路由，更新本地EVPN表，记录下HostB的MAC_B、IP_B对应的VTEPIP为Leaf2的IP。8.后续HostA发送数据给HostB时，Leaf1查表直接封装VXLAN发往Leaf2，无需广播。三、论文题（参考范文）论“零信任”架构在企业网络安全规划中的应用摘要随着云计算、大数据和移动办公的普及，企业网络边界日益模糊，传统的基于防火墙的边界防御模型已无法应对日益复杂的网络安全威胁。本文以某大型跨国金融企业“云化转型网络安全重构项目”为例，深入探讨了“零信任”架构的规划与实施。该项目通过构建以身份为中心的网络安全体系，利用SDP（软件定义边界）、IAM（身份与访问管理）及微隔离技术，实现了对所有访问请求的持续验证和动态授权。文章详细阐述了架构设计、关键技术组件的应用以及实施过程中的挑战与解决方案，实践表明，零信任架构显著提升了企业网络的安全性和可视性。正文一、项目背景与需求分析该金融企业原有网络采用经典的“边界-内网”模型，通过防火墙隔离互联网与内网。随着业务上云，大量员工使用移动设备远程接入，第三方合作伙伴访问需求增加，传统架构面临巨大挑战：一是VPN一旦被攻破，攻击者可横向移动；二是内网缺乏细