2026上半年网络工程师《应用技术》考试真题及答案(考后更新)

2026上半年网络工程师《应用技术》考试真题及答案(考后更新)一、园区网规划与交换配置（共20分）某企业新建总部园区网络，采用“核心-汇聚-接入”三层架构：核心层部署2台核心交换机SW1、SW2，通过堆叠技术组成单一逻辑转发节点；核心下连各楼宇汇聚交换机，接入交换机直接连接办公终端、业务服务器与DMZ区设备。网络规划信息如下：-VLAN规划：行政办公区VLAN10（/24）、研发区VLAN20（/24）、服务器区VLAN30（/24）、DMZ区VLAN40（/24）、网络管理VLAN100（/24），各VLAN网关部署在核心交换机上；-核心交换机通过Eth-Trunk1与出口路由器R1互连，互联网段为/30。请阅读配置片段与场景描述，回答下列问题。问题1（每空2分，共8分）补全网络设备的部分配置命令：（1）配置Eth-Trunk1为手工负载分担模式，将连接R1的2条物理链路加入聚合组：[SW_Core]interfaceEth-Trunk1[SW_Core-Eth-Trunk1]mode______（1）______[SW_Core-Eth-Trunk1]trunkportGigabitEthernet1/0/1[SW_Core-Eth-Trunk1]trunkportGigabitEthernet2/0/1（2）核心交换机作为DHCP服务器为VLAN10分配地址，配置地址池租期为1天8小时，VLANIF10接口调用全局地址池为终端分配地址：[SW_Core]ippoolvlan10[SW_Core-ip-pool-vlan10]networkmask[SW_Core-ip-pool-vlan10]gateway-list54[SW_Core-ip-pool-vlan10]leaseday______（2）______hour8minute0[SW_Core-ip-pool-vlan10]quit[SW_Core]interfaceVlanif10[SW_Core-Vlanif10]______（3）______（3）接入交换机全局开启DHCPSnooping功能防范私设DHCP服务器，其中______（4）______（选填：接入交换机上联核心的端口/接入交换机连接终端的端口）需要配置为信任端口。答案：（1）manualload-balance（2）1（3）dhcpselectglobal（4）接入交换机上联核心的端口解析：Eth-Trunk手工负载分担模式无需运行LACP协议，所有活动链路均参与流量转发；DHCP接口调用全局地址池的命令为dhcpselectglobal；DHCPSnooping信任端口用于接收合法DHCP服务器的响应报文，通常为上联核心/服务器方向的端口，连接终端的端口为非信任端口，会拦截非法DHCP响应。问题2（每空2分，共6分）网络采用MSTP协议破除二层环路，将VLAN10、VLAN20映射到MSTI1，VLAN30、VLAN40映射到MSTI2，实现双核心的流量负载分担。请回答下列问题：（1）MSTP协议中，默认所有VLAN都被映射到MSTI______（5）______；（2）为实现流量负载分担，需将SW1配置为MSTI1的根桥，SW2配置为MSTI2的根桥。MSTP中交换机的默认优先级值为______（6）______，优先级配置的步长为______（7）______。答案：（5）0（6）32768（7）4096解析：MSTP默认存在实例0（MSTI0），即公共生成树实例，所有未手动映射的VLAN默认属于该实例；MSTP交换机优先级共16位，其中高4位为优先级字段、低12位为VLAN/实例标识，因此优先级必须为4096的整数倍，即步长为4096，默认优先级为32768。问题3（每空2分，共4分）接入交换机连接办公终端的端口需要配置端口安全功能，限制每个端口最多接入1个终端MAC地址，发生地址违规时自动关闭端口，请补全配置：[SW_Access]interfaceGigabitEthernet0/0/1[SW_Access-GigabitEthernet0/0/1]port-securityenable[SW_Access-GigabitEthernet0/0/1]port-securitymax-mac-num______（8）______[SW_Access-GigabitEthernet0/0/1]port-securityprotect-action______（9）______答案：（8）1（9）shutdown问题4（共2分）配置完成后测试发现，研发区终端可以ping通同VLAN的其他终端，但无法ping通服务器区的服务器，排除终端IP地址配置错误的情况，请列举2种可能的故障原因。答案：核心交换机上VLANIF20或VLANIF30接口状态异常（如接口未开启、IP地址配置错误），导致VLAN间路由不可达；核心交换机或边界防火墙配置了ACL规则，拦截了VLAN20到VLAN30的ICMP及业务访问流量；服务器未配置正确的默认网关，或服务器主机防火墙拦截了研发网段的访问请求。（答出任意2点即可得分）二、广域互联与路由安全配置（共20分）企业出口路由器R1通过千兆链路连接互联网，运营商分配的公网互联地址为/30，运营商网关地址为；R1同时通过互联网建立IPSecVPN隧道，连接异地分支路由器R2（R2公网地址为），分支内网网段为/24。内网采用OSPF协议发布路由，内网用户通过NAT访问互联网，R1向内网下发默认路由。请阅读配置片段，回答下列问题。问题1（每空2分，共10分）补全R1的OSPF与NAT部分配置：[R1]ospf1router-id[R1-ospf-1]area0[R1-ospf-1-area-]network[R1-ospf-1-area-]quit[R1]iproute-static[R1-ospf-1]______（1）______//将默认路由引入OSPF域内，下发给内网设备[R1]aclnumber2000[R1-acl-basic-2000]rulepermitsource______（2）______55//匹配所有192.168段私网地址[R1-acl-basic-2000]quit[R1]interfaceGigabitEthernet0/0/2//该接口为连接运营商的互联网接口[R1-GigabitEthernet0/0/2]ipaddress52[R1-GigabitEthernet0/0/2]______（3）______//开启EasyIP功能，对匹配ACL的流量做源NAT转换[R1-GigabitEthernet0/0/2]quit[R1]iproute-static//指向分支网段的静态路由问题2（每空2分，共6分）IPSecVPN采用IKEv1主模式建立隧道，补全IPSec配置片段：[R1]ikepeerr2[R1-ike-peer-r2]pre-shared-keysimpleNet@2026[R1-ike-peer-r2]remote-address______（4）______//指定对端IKE协商地址[R1-ike-peer-r2]quit[R1]aclnumber3000//定义IPSec感兴趣流[R1-acl-adv-3000]rulepermitipsource55destination______（5）______[R1-acl-adv-3000]quit[R1]ipsecpolicymap110isakmp[R1-ipsec-policy-isakmp-map1-10]securityacl3000[R1-ipsec-policy-isakmp-map1-10]proposaltran1[R1-ipsec-policy-isakmp-map1-10]ike-peerr2[R1-ipsec-policy-isakmp-map1-10]quit[R1]interfaceGigabitEthernet0/0/2[R1-GigabitEthernet0/0/2]______（6）______//在互联网接口应用IPSec策略答案：（1）default-route-advertise（2）（3）natoutbound2000（4）（5）55（6）ipsecpolicymap1解析：OSPF中通过default-route-advertise命令可将本地默认路由引入OSPF域，下发给内网其他设备；EasyIP是NAPT的一种实现方式，直接使用互联网接口的公网地址作为转换后的源地址，通过natoutboundacl-number命令在出接口配置；IPSec感兴趣流需要匹配总部到分支的所有互访流量，两端ACL规则需互为镜像才能正常协商。问题3（共4分）配置完成后，内网用户可以正常访问公网网站，但总部与分支之间的IPSec隧道无法建立、无法互访，请列举2种可能的故障原因。答案：两端IKE协商参数不匹配（预共享密钥、加密/认证算法、DH组参数不一致）；中间网络（运营商、本地防火墙）拦截了IKE协商报文（UDP500端口）、ESP报文（IP协议号50）、NAT-T报文（UDP4500端口）；IPSec感兴趣流配置不匹配（某一侧的ACL源目网段配置错误，无法与对端形成镜像规则）；到分支网段的静态路由配置错误，导致互访流量未匹配IPSec策略进行加密。（答出任意2点即可得分）三、Linux网络服务与安全配置（共20分）企业在DMZ区部署一台CentOSStream9服务器（IP地址0），采用BIND9提供权威DNS解析服务，Nginx提供官方网站（wwwpany）访问服务，使用firewalld作为主机防火墙防护。请阅读配置片段，回答下列问题。问题1（每空2分，共8分）补全DNS服务的相关配置：（1）BIND主配置文件/etc/named.conf中company区域的配置如下：zone"company"IN{type______（1）______;//配置该节点为company区域的主域名服务器file"company.zone";};（2）正向区域解析文件/var/named/company.zone中，www主机的记录配置如下：@INNSns1pany.ns1INA0wwwIN______（2）______0//将wwwpany解析到服务器地址（3）DNS服务配置完成后，需要执行systemctl______（3）______–nownamed命令，启动named服务并设置为开机自启。（4）管理员需要验证DNS解析是否生效，在客户端执行______（4）______wwwpany命令查看解析结果（填写一个常用的DNS测试命令即可）。问题2（每空2分，共6分）补全Nginx虚拟主机的配置片段：server{listen80;server_namewwwpany;______（5）______/usr/share/nginx/html;//配置网站根目录路径indexindex.htmlindex.htm;location/admin{______（6）______/16;//仅允许内网网段访问后台管理路径denyall;}}配置编写完成后，需要执行______（7）______命令验证配置文件语法正确性，确认无误后重载Nginx配置生效。问题3（每空2分，共6分）补全主机安全防护的相关配置：（1）放通DNS、HTTP服务的入站流量：firewall-cmd--add-service=dns--permanentfirewall-cmd--add-service=______（8）______--permanent（2）执行firewall-cmd______（9）______命令重载防火墙规则，使永久配置生效；（3）为防御SYN泛洪攻击，修改/etc/sysctl.conf配置开启SYNCookie机制，添加配置项net.ipv4.tcp_syncookies=______（10）______，执行sysctl-p使内核配置生效。答案：（1）master（2）A（3）enable（4）nslookup（或dig、host，任意一个正确命令即可）（5）root（6）allow（7）nginx-t（8）http（9）–reload（10）1解析：BIND中区域类型为master表示该服务器是区域的主权威服务器，slave表示从服务器；Nginx中通过root指令指定Web站点根目录，访问控制规则按顺序匹配，需先放通允许的网段再拒绝所有其他来源；firewalld中永久规则配置后必须通过–reload重载才能生效；tcp_syncookies参数值为1时开启SYNCookie机制，可有效防御SYN泛洪攻击。四、WLAN组网与运维故障排查（共15分）某企业5层办公楼部署Wi-Fi6无线网络，采用AC+FitAP三层组网架构：AC旁挂在核心交换机上，各楼层PoE接入交换机为AP提供供电与数据传输，办公SSID为“Company-Office”，采用802.1X认证对接企业AD域账号，要求员工在不同楼层移动时漫游无中断。请结合场景回答下列问题。问题1（每空2分，共8分）（1）FitAP与AC之间通过______（1）______协议建立控制隧道与数据隧道，实现AP的集中配置、管理与数据转发，其中控制隧道使用UDP5246端口。（2）三层组网场景下，AP获取IP地址后，支持三种AC发现机制：______（2）______、DHCPOption43、DNS域名解析。（3）员工在同一AC下的不同楼层AP之间漫游时，若漫游前后AP所属的业务VLAN相同，终端IP地址______（3）______（选填：改变/不改变），漫游中断时间小于50ms，属于______（4）______（选填：二层漫游/三层漫游）。答案：（1）CAPWAP（2）广播发