中级通信工程师考试下午真题(互联网技术)

中级通信工程师考试下午真题(互联网技术)试题一：局域网交换技术与VLAN规划【背景说明】某大型互联网企业“未来视界”为了适应业务快速扩张，对其总部园区网络进行了升级改造。该园区网络采用经典的三层架构（核心层、汇聚层、接入层）。核心层由两台高性能三层交换机Core-SW1和Core-SW2组成，采用VRRP（虚拟路由冗余协议）实现网关冗余，以提高网络的可靠性。汇聚层通过光纤双归连接到核心层。接入层交换机Access-SW负责终端用户接入，部署在不同楼层的弱电间。网络中存在多个业务部门，包括研发部、市场部、财务部和运维部。为了隔离广播风暴并提高安全性，网络管理员规划了基于端口的VLAN（VirtualLocalAreaNetwork）。VLANID分配如下：研发部VLAN10，市场部VLAN20，财务部VLAN30，运维部VLAN99。核心交换机Core-SW1作为VLAN10、20的主网关，Core-SW2作为VLAN30、99的主网关。在接入层与汇聚层之间，为了防止二层环路并利用冗余链路进行负载分担，管理员部署了MSTP（多生成树协议）。此外，为了优化传输效率，核心交换机之间、核心与汇聚之间均配置了链路聚合。【问题1】在接入层交换机Access-SW与用户PC连接的端口上，管理员通常配置为Access模式。假设财务部用户的PC连接在Access-SW的GigabitEthernet0/5接口上，请写出将该端口划入财务部VLAN30的配置命令（以通用华为/H3C设备命令语法为例）。【问题2】在核心层交换机Core-SW1和Core-SW2之间运行VRRP协议。若Core-SW1为研发部（VLAN10）的主设备，其虚拟IP地址为，物理接口IP地址为；Core-SW2为备份设备，物理接口IP地址为。请计算：1.VRRP报文发送使用的组播IP地址是多少？2.若VRRP通告间隔为默认值，则Master设备发送Advertisement报文的时间间隔是多少秒？【问题3】MSTP（MultipleSpanningTreeProtocol）通过将多个VLAN映射到一个实例来实现负载均衡。假设管理员配置了两个MSTP实例：Instance1映射VLAN10、20；Instance2映射VLAN30、99。若Core-SW1在Instance1中的优先级被配置为4096（默认为32768），在Instance2中保持默认。Core-SW2在所有实例中保持默认优先级。请分析：1.在Instance1中，哪个交换机将成为根桥？2.在Instance2中，哪个交换机将成为根桥？3.这种配置方式对网络流量有何作用？【问题4】链路聚合技术可以将多条物理链路捆绑成一条逻辑链路。在LACP（链路聚合控制协议）模式下，链路聚合的建立需要交换LACPDU报文。请简述LACP模式中Active（主动）和Passive（被动）端口的区别，并说明如果链路一端配置为Active，另一端配置为Passive，聚合链路是否能够建立成功。【答案与解析】【问题1】配置命令如下：```bashinterfaceGigabitEthernet0/5portlink-typeaccessportdefaultvlan30```解析：首先进入接口视图，设置端口链路类型为Access，Access端口仅允许一个VLAN通过，最后使用`portdefaultvlan30`命令将端口加入VLAN30。【问题2】1.VRRP报文使用的组播IP地址是：8。2.Master设备发送Advertisement报文的时间间隔默认为：1秒。解析：VRRP使用IP协议号112，通过组播地址8发送报文。VRRP报文中的AdverInt字段用于通告时间间隔，默认值为1秒，即主设备每隔1秒发送一次通告报文以表明其存活状态。【问题3】1.在Instance1中，Core-SW1将成为根桥。2.在Instance2中，Core-SW2将成为根桥。3.作用分析：这种配置实现了VLAN流量的负载分担。Instance1包含VLAN10和20，Core-SW1作为根桥，使得VLAN10和20的数据流量优先通过Core-SW1转发；Instance2包含VLAN30和99，Core-SW2作为根桥，使得VLAN30和99的数据流量优先通过Core-SW2转发。这样可以充分利用两条核心链路的带宽，避免某一条链路过载而另一条空闲。解析：STP（生成树协议）选举根桥的依据是：优先级数值越小越优先；若优先级相同，则MAC地址越小越优先。Core-SW1在Instance1中优先级为4096，小于Core-SW2的默认值32768，因此Core-SW1当选。在Instance2中，Core-SW1保持默认32768，Core-SW2也是默认32768，此时比较MAC地址，虽然题目未给出具体MAC，但通常为了考察负载均衡原理，我们假设Core-SW2被设计为Instance2的根桥（可能通过MAC地址优势或实际配置中修改了优先级，此处基于题目意图，Core-SW2因未降低优先级而在逻辑上与Core-SW1平级，但负载均衡场景下必然是不同交换机分担不同实例的根桥角色）。注：严格按题目数值，Instance2中若优先级相同，则需比较MAC。但在负载均衡设计题中，通常默认Core-SW2会通过MAC优势或隐含配置成为Instance2的根桥。【问题4】LACP模式下Active和Passive的区别及建立结果：1.Active端口：主动发送LACPDU报文，主动请求建立聚合链路。2.Passive端口：被动接收LACPDU报文，不主动发起LACPDU报文发送，通常只响应对端的请求。3.建立结果：如果一端配置为Active，另一端配置为Passive，聚合链路能够建立成功。解析：LACP协议的交互只要有一方主动发送报文，另一方响应即可协商成功。只有当两端都配置为Passive时，双方都不发送报文，链路才无法聚合。Active+Passive组合是常见的配置方式。试题二：路由协议原理与配置【背景说明】某ISP网络“天网互联”运营着大规模的自治系统AS65000。该网络内部运行OSPF协议实现互通，并连接到其他AS。网络拓扑包含三个区域：Area0（骨干区域）、Area1和Area2。R1、R2、R3位于Area0，形成全互联的骨干网状结构。R4连接R1位于Area1，R5连接R2位于Area2。R5同时还作为ASBR（自治系统边界路由器），通过EBGP连接到另一个ISP（AS65001）。为了优化路由，管理员在Area1配置为Stub区域，在Area2配置为NSSA（Not-So-StubbyArea）区域。R5引入了一条外部静态路由，并重分发进OSPF。【问题1】OSPF协议中，RouterID的选举至关重要。若R1路由器配置了Loopback0接口IP地址为，Loopback1接口IP地址为，物理接口G0/0IP地址为。且在OSPF进程中手动配置了RouterID为。请确定R1最终使用的RouterID是多少？并说明选举规则。【问题2】在OSPF的区域设计中，Stub区域和NSSA区域都是为了减少路由条目。请回答：1.Stub区域禁止哪种类型的LSA（链路状态通告）进入？2.NSSA区域允许哪种LSA产生，但不允许哪种LSA进入？3.在NSSA区域的ABR上，缺省情况下会自动生成哪类LSA来指导流量流向ASBR？【问题3】路由器R5（ASBR）将静态路由重分发进OSPFNSSA区域时，会产生Type7LSA。该Type7LSA在传播到Area0（骨干区域）时，由ABR（R2）进行转换。请简述Type7LSA转换为Type5LSA的条件。【问题4】BGP协议中，R5与AS65001的邻居建立连接。TCP端口179用于BGP会话。若R5向BGP邻居发布路由/24，配置了Med属性为100，Local_Pref属性为200，AS_Path属性为{65000,65001}。请根据BGP选路规则（假设到达下一跳的IGPMetric相同），比较以下两条路由的优先级：路由A：AS_Path{65000,65001,65002},Local_Pref200,MED0,OriginIGP。路由B：AS_Path{65000,65001},Local_Pref150,MED0,OriginIGP。请说明哪条路由会被优先选择，并简述理由。【答案与解析】【问题1】R1最终使用的RouterID是：。选举规则：1.优先选取通过OSPF进程命令手工配置的RouterID。2.如果没有手工配置，则选取路由器上最大的Loopback接口IP地址。3.如果没有Loopback接口，则选取最大的物理接口IP地址。解析：题目中明确提到“在OSPF进程中手动配置了RouterID为”，根据规则，手工配置具有最高优先级，因此忽略接口IP地址，使用。【问题2】1.Stub区域禁止：Type5LSA（ASExternalLSA）进入。2.NSSA区域允许：Type7LSA产生；禁止：Type5LSA进入。3.在NSSA区域的ABR上，缺省会自动生成：Type3LSA（SummaryLSA，即缺省路由）。解析：Stub区域不能引入外部路由，因此阻挡Type5LSA。NSSA区域允许引入外部路由，但为了防止Type5LSA在区域内传播，定义了Type7LSA。ABR在将Type7LSA注入Area0时转换为Type5LSA。为了引导区域内流量前往外部，ABR会在NSSA区域内自动下发一条Type3缺省路由（除非配置了`no-summary`禁止下发）。【问题3】Type7LSA转换为Type5LSA的条件：1.Type7LSA的P-bit（Propagatebit）置位。通常缺省情况下，NSSA区域产生的Type7LSA的P-bit都是置位的。2.转换工作由NSSA区域的ABR（连接Area0的路由器）完成。3.如果有多个ABR，RouterID最大的ABR负责执行转换（除非配置了特定规则）。解析：P-bit决定了该LSA是否可以被传播到其他区域。只有P-bit置位的Type7LSA才能在ABR上转换为Type5LSA并泛洪到整个OSPF域。【问题4】被优先选择的路由是：路由A。理由：BGP选路规则遵循严格的顺序，优先级从高到低依次为：1.Local_Pref（本地优先级）：数值越大越优。路由A的Local_Pref为200，路由B为150。因为200>150，所以路由A优于路由B。（注：尽管路由B的AS_Path更短，但在BGP选路属性中，Local_Pref的优先级高于AS_Path长度，因此AS_Path长度在此处不作为决定因素。）解析：BGP选路是一个非常复杂的过程，关键在于属性的优先级顺序。Local_Pref用于控制流量离开AS的出口，优先级极高，仅次于Weight（Cisco私有属性，跨厂商不通用）和NextHop可达性。因此，Local_Pref的差异直接决定了路由的选择，无需再比较后续的AS_Path或MED属性。试题三：网络应用服务与安全控制【背景说明】某企业数据中心网络部署了多种应用服务，包括Web服务、邮件服务和文件传输服务。网络边界部署了一台高性能防火墙，内部核心区域部署了WAF（Web应用防火墙）和IPS（入侵防御系统）。为了方便内部员工管理服务器，网络管理员启用了SSH服务。同时，为了解决IP地址短缺问题，在边界防火墙上配置了NAT（网络地址转换）。企业内网地址段为/16。公网地址池为00/28。【问题1】SSH（SecureShell）协议默认使用TCP端口号22。SSH通过非对称加密技术实现身份认证和数据加密。在SSH连接建立过程中，服务器端需要发送公钥给客户端。为了防止“中间人攻击”，SSH机制中包含了什么步骤来验证服务器身份？【问题2】NAPT（NetworkAddressPortTranslation，网络地址端口转换）是常用的NAT方式。假设内网主机HostA（IP:0）访问互联网某Web服务器（IP:）。防火墙将HostA的源地址转换为01，源端口随机映射为54321。请写出防火墙维护的NAT转换表项中，入方向和出方向的关键信息。若HostA同时访问另一个FTP服务器（IP:），复用同一个公网IP，源端口映射为54322。请说明NAPT如何区分这两个不同的会话。【问题3】ACL（访问控制列表）用于在防火墙上过滤数据包。管理员希望创建一个扩展ACL，实现以下目标：1.允许内网所有主机访问互联网的Web服务（HTTP和HTTPS）。2.禁止内网特定主机00访问互联网的任何服务。3.允许其他所有流量。请写出ACL规则的配置逻辑（使用通配符掩码表示）。【问题4】企业部署了HTTPS网站。HTTPS在HTTP的基础上加入了SSL/TLS协议层。请简述SSL/TLS协议建立连接时的“握手”过程包含哪四个主要步骤？【答案与解析】【问题1】SSH验证服务器身份的步骤：客户端在第一次连接服务器时，会收到服务器的公钥指纹。客户端会提示用户确认该指纹是否与服务器的真实指纹一致（通常通过将指纹与已知公开记录进行比对，或者在`known_hosts`文件中查找匹配项）。如果匹配，则建立连接；如果不匹配，系统会发出警告，提示可能存在中间人攻击。解析：SSH本身不依赖第三方CA机构（虽然证书登录也是SSH的一种方式，但最基础的公钥验证是依靠指纹比对）。用户手动确认或信任`known_hosts`是防止中间人攻击的核心机制。【问题2】NAT转换表项信息：出方向（内网->外网）：源IP：0->01源端口：[随机端口X]->54321目的IP：->目的端口：80->80入方向（外网->内网）：源IP：->源端口：80->80目的IP：01->0目的端口：54321->[随机端口X]区分会话的方式：NAPT通过“五元组”来区分不同的会话：源IP、源端口、协议类型、目的IP、目的端口。虽然两个会话复用了同一个公网IP（01），但它们映射的源端口不同（54321和54322），且目的IP/端口也不同（Web服务器IP不同）。防火墙根据返回数据包的目的端口（54321或54322）即可查表找到对应的内网主机和端口。【问题3】ACL配置逻辑（假设序列号为10,20,30）：1.禁止特定主机（优先级最高，先拒绝）：denyiphost00any2.允许内网访问Web（HTTP和HTTPS）：permittcp55anyeq80permittcp55anyeq4433.允许其他所有流量：permitipanyany解析：ACL的匹配顺序是自上而下，一旦匹配成功则停止。因此，必须将“拒绝特定主机”的规则放在最前面。如果将允许Web的规则放在前面，特定主机的Web请求也会被允许通过，违反了需求。通配符掩码中，`55`表示匹配网段。【问题4】SSL/TLS握手过程的四个主要步骤：1.ClientHello：客户端发送支持的SSL/TLS版本、加密算法套件、随机数等信息。2.ServerHello：服务器选定双方都支持的加密算法套件和SSL/TLS版本，发送随机数和数字证书。3.CertificateVerification&KeyExchange（证书验证与密钥交换）：客户端验证服务器的证书（有效期、颁发机构可信度等）。客户端生成一个预主密钥，使用服务器的公钥加密后发送给服务器（或使用DH/ECDH算法双方协商出预主密钥）。4.Finished：双方根据随机数和预主密钥生成会话密钥，并发送Finished消息确认握手完成，后续通信使用会话密钥进行对称加密。解析：这四个步骤概括了协商参数、身份认证、密钥协商和完成确认的过程。试题四：IPv6技术与过渡方案【背景说明】随着IPv4地址资源的枯竭，某运营商网络“云通网络”开始向IPv6演进。网络中部署了双栈技术，核心路由器同时支持IPv4和IPv6协议栈。为了连接两个孤立的IPv6网络（SiteA和SiteB），中间跨越了一个仅支持IPv4的骨干网络。管理员决定采用隧道技术。SiteA的IPv6前缀为2001:DB8:1::/48，SiteB的IPv6前缀为2001:DB8:2::/48。边界路由器R_A（IPv4:）和R_B（IPv4:）作为隧道端点。【问题1】IPv6地址长度为128位。请将IPv6地址`2001:0db8:0000:0000:0000:ff00:0042:8329`进行压缩表示（遵循RFC5952标准）。【问题2】在IPv6邻居发现协议中，ICMPv6消息替代了IPv4中的ARP、RARP和ICMP路由发现等功能。1.节点如何解析目标IPv6地址对应的链路层地址（MAC地址）？使用的ICMPv6报文类型名称是什么？2.在IPv6中，路由器发现用于获取网关地址和前缀信息。路由器周期性发送什么报文来宣告自己的存在？【问题3】管理员计划在R_A和R_B之间配置手动隧道（ManualTunnel）。假设隧道名称为Tunnel0，Tunnel接口的IPv6地址分别为2001:DB8:FFFF::1/64和2001:DB8:FFFF::2/64。请写出R_A上配置该手动隧道的关键命令（以通用设备语法为例）。【问题4】除了手动隧道，6to4自动隧道也是一种常见的过渡技术。6to4隧道使用特殊的IPv6地址格式，其前缀是多少？若某主机的IPv6地址为`2002:0101:0101:1::1`，请计算该主机对应的6to4隧道端点的IPv4地址是多少？（注：IPv4地址嵌入在IPv6地址的第3和第4个16位段中）。【答案与解析】【问题1】压缩后的IPv6地址为：`2001:db8::ff00:42:8329`。解析：压缩规则：1.每个16位段的前导零可以省略（如0db8->db8,0000->0,0042->42）。2.连续的全零段（::）可以压缩为双冒号，且只能压缩一次。原地址中，中间有四个连续的0000段，压缩为`::`。`ff00`保持不变（或可写成ff00:0:42:8329，但通常保留非零部分）。`0042`压缩为`42`。【问题2】1.节点使用邻居请求报文和邻居通告报文来解析链路层地址。这个过程类似于IPv4的ARP。2.路由器周期性发送路由器通告报文。解析：NDP（邻居发现协议）定义了五种ICMPv6报文类型：RS（路由器请求）、RA（路由器通告）、NS（邻居请求）、NA（邻居通告）、重定向。解析地址使用NS/NA组播交互。路由器发现使用RA报文，RA中包含前缀信息、默认网关（源链路层地址）等。【问题3】R_A配置手动隧道关键命令：```bashinterfaceTunnel0ipv6address2001:DB8:FFFF::1/64tunnel-protocolipv6-ipv4tunnelsourcetunneldestination```解析：手动隧道需要指定隧道协议为IPv6overIPv4，指定隧道的源接口（或源IP）和目的IP。【问题4】1.6to4隧道使用的IPv6前缀是：`2002::/16`。2.对应的IPv4地址是：``。解析：6to4地址格式为：2002:[IPv4地址（十六进制表示）]:[子网ID]:[接口ID]。地址`2002:0101:0101:1::1`中，`2002`是前缀标识。接下来的32位`0101:0101`是嵌入的IPv4地址。将十六进制`0101:0101`转换为十进制：0101(Hex)=1(Dec)0101(Hex)=1(Dec)所以IPv4地址为。试题五：网络性能管理与QoS【背景说明】某视频流媒体公司“极速流”提供高清视频点播服务。为了保证核心业务的用户体验，网络需要在带宽有限的WAN链路上实施QoS（服务质量）策略。网络拓扑中，路由器R1连接视频服务器，路由器R2连接用户。R1和R2之间的链路带宽为100Mbps。流量类型包括：1.视频流量：标记为DSCPAF41（ExpediteForwarding实际上通常是EF，但此处假设AF41用于保证转发，或按题目设定），需要保证至少50Mbps带宽。2.VoIP信令流量：标记为DSCPCS3，需要保证10Mbps带宽。3.普通数据流量：BestEffort。【问题1】在DiffServ（区分服务）模型中，IP报文头的ToS（TypeofService）字段或DS字段被用来标记流量。DSCP（DifferentiatedServicesCodePoint）占用了多少个比特？请写出DSCP值`AF41`对应的二进制编码（提示：AFxy格式中，x为丢弃优先级，y为类别，CS3为十进制24）。【问题2】为了对流量进行分类和标记，需要在路由器R1的入接口应用MQC（模块化QoSCLI）。配置步骤通常包括：1.定义类映射，通过ACL或NBAR匹配流量。2.定义策略映射，为类映射指定动作（如带宽限制、优先级排队）。3.在接口上应用服务策略。假设视频流量使用TCP端口8080。请写出定义类映射`CLASS_VIDEO`匹配该流量的命令。【问题3】在路由器R2的出接口上，配置了基于类的加权公平队列（CBWFQ）。管理员为视频流量分配了50%的带宽，为VoIP信令分配了10%的带宽。如果链路拥塞，普通数据流量最多能获得多少百分比的带宽？若使用了LLQ（低延迟队列）来承载VoIP语音流（非信令），该队列具有什么特性？【问题4】流量监管和流量整形是QoS中的重要机制。1.令牌桶是常用的算法。令牌桶参数包括CIR（承诺信息速率）、CBS（承诺突发尺寸）和Tc（时间间隔）。请写出计算令牌桶增加令牌数量的公式。2.简述policing（监管）和shaping（整形）在处理超出流量限制的报文时的主要区别。【答案与解析】【问题1】1.DSCP占用了：6个比特。2.DSCPAF41的二进制编码：`100010`（即十进制34）。（注：CS3的二进制为`011000`，即十进制24）。解析：DSCP使用IPv4头中ToS字段的前6位。AF41中，AF表示AF类别，4是类别号（Class4），1是丢弃优先级（Low）。Class4的二进制前3位是`100`，DropPrecedence1的二进制后3位是`010`。组合起来：`100`+`010`=`100010`。【问题2】定义类映射命令：```bashclass-mapmatch-anyCLASS_VIDEOmatchprotocoltcpsource-port8080```或者使用ACL方式：```bashaclnumber3000rulepermittcpsource-porteq8080class-mapmatch-anyCLASS_VIDEOmatchacl3000```解析：NBAR（基于网络的应用识别）可以深度解析应用，但对于简单的端口匹配，使用`matchprotocoltcpsource-port8080`是最直接的方式。【问题3】1.普通数据流量最多能获得的带宽：40%。计算公式：100%-50%(视频)-10%(信令)=40%。2.LLQ（低延迟队列）的特性：它是一个严格的优先级队列（PQ），具有低延迟特性。只要LLQ中有报文，调度器就会优先发送LLQ中的报文，直到队列为空，才会处理其他队列。这能有效保证语音流的低时延，但需要配置policing以防止该队列独占带宽导致其他队列“饿死”。解析：CBWFQ中，剩余带宽会根据权重分配给未显式配置带宽的类（或class-default）。LLQ是PQ与CBWFQ的结合，专门为对延迟敏感的语音流量设计。【问题4】1.令牌增加公式：在每个时间间隔内，增加的令牌数量为：=（注：令牌桶深度不能超过CBS。）2.Policing与Shaping的区别：Policing（监管）：通常用于入接口。对于超出限制的流量，直接丢弃（或重标记为低优先级）。它不缓存报文，旨在严格限制流量速率。Shaping（整形）：通常用于出接口。对于超出限制的流量，将其缓存在队列中，按照允许的速率平滑发送。目的是通过缓存来改变流量输出的突发性，使其符合下游链路的带宽限制，减少丢包。试题六：综合案例分析：企业广域网架构【背景说明】某跨国集团“环球物流”拥有总部和三个分支机构。网络采用MPLSVPN技术实现各站点间的安全互联。ISP骨干网运行MPLS协议，P路由器（Provider）位于核心，PE路由器（ProviderEdge）位于各站点边缘，CE路由器（CustomerEdge）位于客户侧。集团规划了两个VPN：1.VPN_A：用于办公业务，包含总部和所有分支机构。2.VPN_B：用于生产物流系统，仅包含总部和分支一。PE路由器通过MP-BGP（多协议BGP）交换VPNv4路由信息。VRF（VPN路由转发实例）用于隔离不同VPN的路由表。【问题1】在MPLS网络中，数据转发依赖于标签。请简述MPLS标签栈的基本操作类型（Push、Pop、Swap）的含义。假设一个IP报文从CE1进入PE1，PE1为其压入两个标签（L1,L2），传输到P路由器。P路由器只查看顶层标签。如果P路由器是倒数第二跳，它通常会对L2执行什么操作以优化性能？【问题2】MP-BGP在传递VPNv4路由时，携带了扩展团体属性。其中，RouteTarget（RT）属性用于控制路由的导入和导出。假设VPN_A的配置如下：exportRT100:1importRT100:1VPN_B的配置如下：exportRT200:1importRT200:1请回答：1.如果PE1收到一条来自VPN_A的CE路由，PE1会将其标记哪个RT属性并发布给MP-BGP邻居？2.PE2（连接分支二，属于VPN_A）收到该路由后，检查其VRF的importRT，是否接受该路由？【问题3】GRE（通用路由封装）常用于构建简单的VPN。与MPLSVPN相比，G