2026年网络工程师应用技术真题

2026年网络工程师应用技术真题试题一：企业园区网规划与设计某大型制造企业“宏图科技”为支撑其数字化转型，计划对总部园区网络进行全面升级改造。该园区主要包含行政楼、研发中心、生产车间、数据中心及互联网出口区。网络设计需满足高可用性、高安全性及业务隔离需求。网络拓扑采用经典三层架构（核心层、汇聚层、接入层）。核心层由两台高性能交换机Core-SW1和Core-SW2组成，通过CSS/iStack集群技术实现双机热备，作为整个园区网的网关。汇聚层按功能区域划分，行政汇聚、研发汇聚和生产汇聚分别双归连接至核心交换机。接入层交换机通过千兆/万兆双上行链路连接至汇聚交换机。IP地址规划方面，总部申请到的公网地址段为/24。内部网络使用私有地址/8。各部门VLAN及IP子网规划如下：1.行政楼：VLAN10，用户数约60人，网段/24。2.研发中心：VLAN20，用户数约300人，网段/24。3.生产车间：VLAN30，用户数约200人，网段/24。4.服务器区：VLAN100，网段/24。为保障核心业务不中断，核心层与汇聚层之间运行OSPF路由协议，进程号为1。同时，在核心交换机上配置VRRP（虚拟路由冗余协议）实现网关冗余。Core-SW1在VLAN10、20、30中的VRRP优先级均配置为120，抢占模式开启；Core-SW2优先级为默认值100，抢占模式开启。在数据中心区域，部署了一台提供Web服务的服务器，IP地址为0，需要对外提供服务。边界防火墙配置NAT策略，将公网IP00映射至该服务器。【问题1】（6分）在IP地址规划中，若研发中心未来可能扩容至500台终端，现有网段/24是否满足需求？若不满足，请计算至少需要借用多少位主机位作为子网位，才能容纳500台主机？请写出计算过程和最终的子网掩码。（注：计算公式请使用LaTex格式）【问题2】（5分）在VRRP配置中，Core-SW1的VLAN10接口配置如下：```interfaceVlanif10ipaddressvrrpvrid1virtual-ip54vrrpvrid1priority120vrrpvrid1trackinterfaceGigabitEthernet1/0/1reduced30```请解释命令`vrrpvrid1trackinterfaceGigabitEthernet1/0/1reduced30`的含义。如果GigabitEthernet1/0/1链路故障，Core-SW1在VLAN10的VRRP优先级会变为多少？【问题3】（4分）为了防止环路和提高生成树的收敛速度，网络中部署了MSTP（多生成树协议）。要求VLAN10和VLAN20的数据流量走汇聚链路1，VLAN30的数据流量走汇聚链路2。请简述配置MSTP实现该负载分担需求的关键步骤。【问题4】（5分）边界防火墙需配置NATServer以允许外部访问内部Web服务器。请补充完成下面的NATServer配置命令（假设防火墙为华为USG系列）。```[USG]firewallzonetrust[USG-zone-trust]addinterface1[USG-zone-trust]quit[USG]firewallzoneuntrust[USG-zone-untrust]addinterface2[USG-zone-untrust]quit[USG]__________________000[USG]securitypolicy[USG-policy-security]rulenameallow_web[USG-policy-security-rule-allow_web]source-zoneuntrust[USG-policy-security-rule-allow_web]destination-zone_________[USG-policy-security-rule-allow_web]destination-address032[USG-policy-security-rule-allow_web]serviceprotocoltcpdestination-port80[USG-policy-security-rule-allow_web]actionpermit```试题二：广域网互联与路由协议配置某跨国公司“GlobalNet”在中国北京（总部）和上海（分公司）各有一个节点。两地通过运营商的MSTP专线互联，并计划部署OSPF动态路由协议实现内网互通。同时，为接入互联网，北京总部边界路由器通过Serial接口连接至ISP。网络拓扑描述：北京总部核心路由器（Router-BJ）的G0/0接口连接内网核心交换机，IP地址为/24。S0/0/0接口连接上海分公司，IP地址为/30。上海分公司路由器（Router-SH）的G0/0接口连接内网交换机，IP地址为/24。S0/0/0接口连接北京总部，IP地址为/30。北京总部边界路由器（Router-ISP）的S0/0/0接口连接Router-BJ，IP地址为/30；S0/0/1接口连接ISP，IP地址为/30。ISP网关为。OSPF区域规划如下：总部内网（/16）属于Area0（骨干区域）。分公司内网（/16）属于Area1。Router-BJ与Router-SH之间的链网段（/30）属于Area0。【问题1】（4分）在Router-BJ上配置OSPF时，为了将内网直连网段和广域网链路网段发布出去，请补充完成配置命令。```[Router-BJ]ospf1router-id[Router-BJ-ospf-1]area0[Router-BJ-ospf-1-area-]network[Router-BJ-ospf-1-area-]__________________[Router-BJ-ospf-1-area-]quit```请写出第二空处的通配符掩码。【问题2】（5分）Router-SH作为ABR（区域边界路由器），需要在Area1中配置。为了减少路由表条目，ABR通常会对区域间路由进行汇总。假设Area1中包含网段/24至/24，请在Router-SH上配置路由汇总，将这4个连续子网汇总为一条路由发布到Area0。（1）请写出汇总后的网段和掩码。（2）请写出在OSPFArea1视图下配置汇总的命令。【问题3】（6分）北京总部需要访问互联网。在Router-ISP上配置默认路由指向ISP，并将该默认路由通过OSPF下发至内网。（1）配置默认路由的命令是：`iproute-static`。（2）在OSPF进程中下发默认路由的命令是：`_________`。（3）OSPF的LSA类型中，用于描述AS外部路由的是LSAType_________。【问题4】（5分）网络管理员在Router-BJ上查看路由表，发现去往/24的路由条目中，下一跳为，协议类型为OSPF，Cost值为48。已知Router-BJ的S0/0/0接口带宽为2Mbps，OSPF参考带宽为100Mbps。请根据公式计算该路由的Cost值，验证是否与路由表显示一致（忽略链路其他开销）。（注：OSPFCost计算公式为Co试题三：网络安全与VPN部署某金融机构为了保障移动办公人员和分公司的数据传输安全，计划在总部防火墙（USG系列）上部署SSLVPN和IPSecVPN。网络环境包含内网服务器区（/24）和办公网段（/24）。1.IPSecVPN：用于连接固定办公的分公司，分公司网段为/24。采用IKEv1提议，预共享密钥认证，ESP协议加密。2.SSLVPN：用于移动出差员工接入，采用虚拟网关模式，集成LDAP认证服务器。【问题1】（5分）IPSecVPN建立连接主要包含两个阶段。请简述IKE阶段1（MainMode或AggressiveMode）和IKE阶段2（QuickMode）的主要作用。（1）IKE阶段1的作用：（2）IKE阶段2的作用：【问题2】（5分）在配置IPSecVPN时，需要定义感兴趣流（ACL）来匹配需要加密的数据流。分公司需要访问总部的Web服务器（0）。请补充完成总部防火墙上的ACL配置。```[USG]aclnumber3000[USG-acl-adv-3000]rulepermitipsource55destination00```若要求双向互通，还需要配置一个反向的ACL（假设为3001）。请写出rule命令。`[USG-acl-adv-3001]rulepermitipsource00destination_________`【问题3】（5分）SSLVPN配置中，管理员创建了一个名为“VDG_Staff”的虚拟网关，IP地址为公网接口IP。在配置SSLVPN策略组时，启用了“网络扩展”功能，并分配了虚拟IP地址池/24。（1）“网络扩展”功能的主要作用是什么？（2）当移动办公用户成功登录SSLVPN后，其主机上会获得一个虚拟IP地址。请解释这个虚拟IP地址在数据传输过程中的作用。【问题4】（5分）为防止中间人攻击和伪造证书，SSLVPN通常需要部署数字证书。在PKI体系中，证书包含公钥、私钥、颁发者信息、有效期等。（1）私钥主要用于什么操作？（2）在SSL握手阶段，服务器通常会将证书发送给客户端，客户端会利用_________中的预置根证书来验证服务器证书的合法性。试题四：网络服务与故障排查某高校校园网近期出现部分区域无法上网及域名解析缓慢的问题。网络拓扑包含核心交换机、汇聚交换机、DHCP服务器（WindowsServer2019）、DNS服务器（LinuxBind）及认证计费系统。故障现象：1.图书馆区域（VLAN50）用户无法获取IP地址，而其他VLAN用户正常。2.教学楼区域（VLAN60）用户获取IP地址正常，但无法解析域名``，PingIP地址正常。网络管理员通过抓包工具（Wireshark）在汇聚交换机与DHCP服务器互联接口捕获了部分数据包。【问题1】（6分）针对故障现象1，管理员在汇聚交换机（SW-Stack）上查看了VLAN50的接口配置，发现以下配置：```interfaceVlanif50ipaddressdhcpselect_________dhcprelayserverip```已知DHCP服务器IP为。请解释`dhcpselect`后面应填什么参数（全局/中继/接口）。如果此处配置错误会导致什么结果？在排查过程中，管理员发现DHCP服务器上作用域“”被暂停了。请简述修复步骤。【问题2】（5分）针对故障现象2，管理员在DNS服务器上使用`nslookup`工具进行测试。输入：```>settype=ns>Server:UnKnownAddress:0```请求超时。输入：```>0Server:UnKnownAddress:0Name:0Address:0```请根据上述测试结果判断，故障可能的原因是什么？（请从网络连通性、DNS服务配置两个角度分析）【问题3】（4分）管理员在核心交换机上抓包，发现大量源IP为5，目的IP为，协议为ICMP，Type为8（Echorequest）的数据包，且频率极高，导致CPU利用率飙升。（1）这是什么类型的网络攻击？（2）在核心交换机上应配置什么ACL或QoS策略来缓解此类攻击？【问题4】（5分）为优化网络性能，管理员计划在汇聚交换机与DHCP服务器之间配置链路聚合（Eth-Trunk），以提高带宽和可靠性。假设使用LACP模式，聚合口为Eth-Trunk10，包含物理接口G1/0/1和G1/0/2。请补充完成汇聚交换机上的配置命令。```[SW-Stack]interfaceEth-Trunk10[SW-Stack-Eth-Trunk10]_________modelacp[SW-Stack-Eth-Trunk10]trunkportgigabitethernet1/0/1[SW-Stack-Eth-Trunk10]trunkportgigabitethernet1/0/2[SW-Stack-Eth-Trunk10]quit```请解释LACP模式与手动负载分担模式的主要区别。参考答案及解析试题一【问题1】不满足。计算过程：现有网段/24，主机位为8位，可用主机数为−2需求为500台。设需要的二进制主机位为n，则需满足−2当n=当n=9时，因此需要9位主机位。原网络为8位主机位，需从原有网络空间中借用1位作为子网位（或者理解为扩大主机位范围，如果是重新规划超网，则减少子网掩码长度；如果是划分子网，这里题意应为扩容子网，通常意味着需要更大的地址块。若在/24基础上扩容，通常需要重新规划一个更大的CIDR块，或者使用VLSM。如果题目暗示在现有/24内扩容是不可能的，必须使用/23）。若是借用主机位进行子网划分，此题语境应为扩容，即需要一个能容纳500台主机的网段。标准做法是使用/23掩码。计算：−2掩码为。答案：不满足。需要至少9位主机位。子网掩码为（或/23）。【问题2】命令含义：VRRP跟踪上行接口GigabitEthernet1/0/1的状态。如果该接口Down（故障），则VRRP优先级降低30。如果GigabitEthernet1/0/1链路故障，优先级变为120−此时低于Core-SW2的默认优先级100，Core-SW2将成为Master，实现网关切换。【问题3】关键步骤：1.在所有交换机上配置MST域，并设置相同的域名、修订级别，建立VLAN与实例的映射关系。将VLAN10、20映射到实例1（Instance1）。将VLAN30映射到实例2（Instance2）。2.配置生成树模式为MSTP。3.在核心交换机（或汇聚交换机）上配置实例1的主根桥和备份根桥，使得VLAN10、20的数据流走特定路径。4.在核心交换机（或汇聚交换机）上配置实例2的主根桥和备份根桥，使得VLAN30的数据流走另一条路径。【问题4】第一空：natserver第二空：trust解析：`natserver`命令用于配置静态NAT映射，将公网IP映射到私网IP。安全策略中，数据包从Untrust区域进入，目的地址是内部服务器，因此下一跳区域是Trust（假设服务器在Trust区域）。试题二【问题2】（1）汇总网段和掩码：4个/24子网：,,,。二进制第三字节：0:000000001:000000012:000000103:00000011共同前缀为00000000（6位）。汇总后为，掩码为（或/22）。（2）配置命令：`abr-summary`【问题3】（2）命令：`default-route-advertisealways`（注：`always`参数可选，但在本地没有默认路由时也发布，通常建议加上）（3）LSAType5【问题4】计算：参考带宽R=100Mbps=接口带宽I=2Mbps=Co路由表显示为48，存在差异。可能原因：1.接口带宽配置未修改，OSPF自动计算时可能使用了其他参考值或接口开销被手动修改。2.题目中提到“忽略链路其他开销”，但如果是单跳链路，Cost即为接口Cost。若显示48，可能是接口Cost被手动配置为48，或者参考带宽被修改（例如改为96Mbps）。3.按照标准公式计算应为50。答案：根据公式计算Co路由表显示为48，不一致。可能是管理员手动修改了接口的OSPFCost值，或者修改了OSPF的参考带宽。试题三【问题1】（1）IKE阶段1的作用：建立ISAKMPSA（安全关联）。对通信双方进行身份验证，协商加密算法、哈希算法、Diffie-Hellman组等安全参数，并生成用于加密后续通信的密钥。（2）IKE阶段2的作用：建立IPSecSA。在IKE阶段1建立的安全通道上，协商具体的数据流保护策略（感兴趣流），生成用于加密用户数据的密钥。【问题2】命令：`rulepermitipsource00destination55`解析：ACL3001用于匹配从总部服务器发往分公司的回程流量，源地址为总部服务器，目的地址为分公司网段。【问题3】（1）“网络扩展”功能的作用：为远程客户端分配一个虚拟IP地址，使其成为企业内网的一部分，能够直接访问内网资源，而不仅仅是通过Web代理或端口转发访问特定应用。（2）作用：当用户访问内网资源时，源IP地址会被替换为这个虚拟IP地址，使得内网服务器认为流量来自内部网络，从而正确响应并回包。【问题4】（1）私钥主要用于：解密数据（发送方用公钥加密，接收方用私钥解密）和进行数字签名（发送方用私钥签名，接收方用公钥验证）。（2）客户端利用操作系统的证书存储区（或浏览器内置的CA根证书列表）中的根证书来验证服务器证书的合法性。试题四【问题1】参数：relay（或中继）。若配置错误（例如配置为global或interface），汇聚交换机将尝试自己作为DHCP服务器分配IP，或者不转发DHCP报文，导致VLAN50的用户无法从DHCP服务器获取IP。修复步骤：1.登录WindowsServer2019的DHCP管理器。2.找到作用域“”。3.右键点击该作用域，选择“激活”或“启用”。【问题2】故障原因分析：1.PingIP地址正常，说明网络层（TCP/IP）连通性正常。2.Nslookup请求超时，说明DNS解析失败。3.`Server:UnKnown`表明无法解析DNS服务器自身的名字，或者无法连接到配置的DNS服务器（0）。4.第二个查询`0`有回显，说明与IP0的主机在网络上是通的。结论：可能是DNS服务器服务未启动，或者防火墙阻止了DNS查询端口（UDP53），或者客户端配置的DNS服务器地址虽然能Ping通但服务异常。【问题3】（1）攻击类型：ICMPFlood（ICMP洪水攻击）或PingFlood。（2）措施：配置ACL：拒绝ICMP协议通过，或在核心交换机入口应用。配置QoS：限制ICMP报文的速率（CIR-承诺信息速率）。开启防攻击功能：如CPU防御策略，将ICMP重定向至控制平面。【问题4】第一空：`portlink-type`（注：华为设备配置Eth-Trunk成员接口前，通常需先将成员接口加入Eth-Trunk，或者在Eth-Trunk视图下批量加入。题目中是在Eth-Trunk视图下使用`trunkport`命令，这是较老版本或特定堆叠环境下的用法。现代常用在成员接口视图下`eth-trunk10`。但根据题目填空，可能是`portlink-typetrunk`如果是配置Trunk模式，或者`modelacp`是在Eth-Trunk视图下配置的。题目第一空在`interfaceEth-Trunk10`视图下，下一行是`_______modelacp`。这看起来像是配置LACP模式。在Eth-Trunk视图下配置LACP模式的命令通常是`modelacp`。所以填空处可能是多余的，或者题目意图是配置接口模式。）修正