2026上半年网络工程师考试《案例分析》真题及答案四

2026上半年网络工程师考试《案例分析》真题及答案四一、园区局域网交换技术配置题（共20分）某企业新建园区办公网络，核心层部署两台三层核心交换机Core-1、Core-2，二者通过2条10GE链路采用LACP模式聚合互连；汇聚层交换机Agg-1连接研发区接入交换机Acc-1，Agg-2连接行政区接入交换机Acc-2，每台汇聚交换机分别通过双上行链路与两台核心交换机相连；Acc-1接入研发部VLAN10终端，Acc-2接入行政部VLAN20终端，所有业务VLAN的网关部署在核心交换机上；网络出口通过下一代防火墙连接运营商互联网链路。为提升网络可靠性，网络规划部署MSTP实现二层防环与链路负载分担，部署VRRP实现三层网关冗余，接入层部署端口安全防范非法接入。问题1（共6分，每空2分）MSTP协议可实现多VLAN负载分担，通过将多个VLAN映射到同一个（1），不同实例独立计算生成树拓扑；MSTP网络中交换机的默认桥优先级为（2），桥优先级的配置步长为（3），配置主根桥时需将优先级设置为低于网络中其他交换机的对应数值。问题2（共6分，每空2分）网络部署VRRP协议实现网关冗余，规划VLAN10的备份组1以Core-1为Master设备，VLAN20的备份组2以Core-2为Master设备。VRRPv2协议使用IPv4组播地址（4）发送通告报文，默认的通告报文发送间隔为（5）秒；若备份组中某台设备的接口真实IP地址与VRRP虚拟IP地址一致，则该设备的VRRP优先级为（6），将始终作为Master设备。问题3（共4分，每空2分）两台核心交换机之间的2条10GE链路采用静态LACP模式聚合，静态LACP模式下活动链路的默认抢占等待时间为（7）秒；LACP协商过程中，设备的系统优先级数值越（8），越优先成为主动端，负责选择活动链路。问题4（共4分，每空2分）接入交换机Acc-1配置端口安全功能防范非法终端接入，端口安全功能默认的MAC地址老化时间为（9），代表地址永不老化；若要求接入端口最多学习1个MAC地址，出现违规流量时直接丢弃报文、不发送告警、不关闭端口，需配置的端口安全违规模式为（10）。答案：(1)MST实例（或MSTI、多生成树实例）(2)32768(3)4096(4)8(5)1(6)255(7)30(8)小(9)0秒(10)Protect（保护模式）解析：本题对应局域网交换技术核心考点：1.MSTP通过多实例与VLAN的映射关系实现负载分担，默认桥优先级为32768，优先级配置步长为4096；2.VRRPv2采用预留组播地址8发送通告，默认通告间隔1秒；IP地址拥有者的优先级固定为255，为组内最高优先级，始终为Master设备；3.静态LACP模式默认活动链路抢占等待时间为30秒，LACP系统优先级数值越小优先级越高，优先成为协商主动端；4.端口安全默认MAC地址老化时间为0（不老化），三种违规模式分别为：Protect（丢弃违规流量不告警不关端口）、Restrict（丢弃流量并产生告警不关端口）、Shutdown（直接关闭端口）。二、企业网络路由与出口配置题（共20分）某企业总部网络通过出口路由器R1连接运营商，内网核心路由器R2下连办公网/24、服务器区/24；R1与R2之间通过OSPF协议交换内网路由，R1从运营商获取到默认路由；运营商分配给企业的公网地址段为/28，企业规划办公网用户通过动态地址转换访问互联网，服务器区的WEB服务器（内网地址0）通过静态映射对外提供80、443端口的Web服务。问题1（共6分，每空2分）R1与R2运行OSPF协议，骨干区域为区域0。广播型网络中OSPF默认的Hello报文发送间隔为（1）秒，邻居失效时间为Hello间隔的（2）倍；若要让R1上的默认路由自动下发到OSPF域内所有路由器，需要在R1的OSPF进程视图下配置命令（3）。问题2（共6分，每空2分）企业规划办公网用户访问互联网时，动态映射到公网地址池~0做端口复用转换，该转换方式属于（4）；WEB服务器的静态公网映射属于（5），用于实现外网用户主动访问内网服务器；NAT技术的核心是修改IP报文中的（6）字段，实现公私有地址转换与地址复用。问题3（共4分，每空2分）运营商分配的公网地址段/28的子网掩码为（7），该网段内可用于主机分配的有效IP地址共（8）个。问题4（共4分，每空2分，华为设备命令格式）补全R1外网接口（GE0/0/1）上的NAT配置：[R1]nataddress-group10[R1]aclnumber2000[R1-acl-basic-2000]rulepermitsource55[R1-acl-basic-2000]quit[R1]interfaceGigabitEthernet0/0/1[R1-GigabitEthernet0/0/1]natoutbound（9）address-group1[R1-GigabitEthernet0/0/1]natserverprotocoltcpglobalwwwinside（10）www答案：(1)10(2)4(3)default-route-advertise(4)动态NAPT（网络地址端口转换）(5)NATServer（目的NAT/服务器映射）(6)源IP地址与目的IP地址(7)40(8)14(9)2000（acl2000）(10)0解析：本题考查企业网络路由配置与出口NAT技术：1.OSPF广播型网络中Hello报文默认发送间隔为10秒，邻居失效时间为40秒（4倍Hello间隔）；OSPF进程下通过default-route-advertise命令将本地默认路由注入整个OSPF域。2.基于地址池的多对多端口复用转换为动态NAPT；内网服务器对外发布采用NATServer（目的NAT）配置；内网用户上网时修改报文源IP地址，外网访问内网服务器时修改报文目的IP地址，因此NAT核心为修改IP报文的源、目的地址字段。3./28前缀对应的子网掩码为40，每个子网包含16个IP地址，扣除网络地址、广播地址后剩余14个可用主机地址。4.华为设备中natoutbound命令需关联对应ACL匹配需转换的私网流量；natserver命令用于配置公网地址到内网服务器地址的静态映射。三、Linux网络服务配置题（共20分）某企业在CentOS7服务器上部署内网基础服务，服务器静态IP地址为54/24，网关为。服务器需部署DHCP服务为内网/24网段终端自动分配网络参数，部署BINDDNS服务解析企业内部域名wwwpany到WEB服务器00，部署Apache服务提供内部WEB站点访问。问题1（共6分，每空2分）DHCP服务主配置文件为/etc/dhcp/dhcpd.conf，某段配置如下，补全空缺内容：subnetnetmask（1）{range000;optionrouters（2）;optiondomain-name-servers（3）;default-lease-time600;max-lease-time7200;}问题2（共6分，每空2分）BINDDNS服务的主配置文件为/etc/named.conf，企业内部域名company的区域配置如下：zone"company"IN{type（4）;file"company.zone";allow-update{none;};};在正向区域文件中，将wwwpany映射到00的资源记录类型为（5）；DNS服务默认使用UDP协议（6）号端口提供域名查询服务。问题3（共4分，每空2分）Apache服务配置WEB根目录为/var/www/html，若要限制仅/24网段的内网用户可以访问该站点，需要在<Directory“/var/www/html”>配置段中添加配置行Requireip（7）；CentOS7系统中Apache服务的默认服务名为（8），可通过systemctl命令管理服务状态。问题4（共4分，每空2分）日常运维中，管理员可通过（9）命令查看DHCP服务的运行状态；若要测试DNS域名解析是否正常，最常用的命令行工具为（10）（写出任意一个即可）。答案：(1)(2)(3)54(4)master（主域名服务器）(5)A（主机记录）(6)53(7)/24(8)httpd(9)systemctlstatusdhcpd(10)nslookup（或dig、host，任意一个即可）解析：本题考查Linux下常见网络服务的配置：1.DHCP配置中需明确子网掩码、默认网关（routers选项）、DNS服务器地址（domain-name-servers选项），本题中内网网段为/24，掩码为，网关为题目给定的，DNS服务部署在本机，因此地址为54。2.BIND配置中，本机构建的主域名服务器区域类型为master；IPv4地址与域名的正向映射记录为A记录；DNS默认使用UDP53端口提供查询服务，区域传输使用TCP53端口。3.Apache2.4版本中通过Requireip指令配置基于源IP的访问控制；CentOS7中Apache的默认服务名为httpd。4.systemctlstatus可查看systemd管理的系统服务运行状态；nslookup、dig、host均为标准DNS诊断工具。四、无线网络与网络安全配置题（共15分）某企业办公楼部署无线办公网络，采用AC+FitAP（瘦AP）三层组网架构，AC旁挂在核心交换机上，AP通过DHCP获取IP地址后与AC建立CAPWAP隧道；无线SSID为Office-WiFi，采用WPA3-Enterprise认证方式，结合RADIUS服务器完成802.1X身份认证；网络出口处下一代防火墙串联部署，配置访问控制策略、入侵防御（IPS）功能保障网络安全。问题1（共6分，每空2分）三层组网场景下，AP无法通过二层广播发现AC时，通常通过DHCP的（1）选项字段获取AC的IP地址；CAPWAP隧道分为控制隧道与数据隧道两类，其中控制隧道采用UDP端口（2）传输管理控制报文，数据隧道采用UDP端口（3）转发用户业务数据报文。问题2（共5分，每空1分）企业无线网络采用WPA3-Enterprise认证方式：WPA3个人版采用（4）握手机制替代WPA2的PSK预共享密钥机制，抵御离线字典攻击；加密算法上WPA3采用（5）替代WPA2的CCMP算法，加密强度提升至256位；802.1X认证体系包含三个角色，其中负责在终端与RADIUS服务器之间转发认证报文的角色为（6）（填“请求者/认证者/认证服务器”）；终端与接入设备之间的802.1X报文通过（7）协议封装在以太网帧中传输；RADIUS认证服务默认使用UDP（8）号端口接收认证请求。问题3（共4分，每空2分）防火墙部署的入侵防御（IPS）功能与传统IDS不同，IPS采用（9）（填“旁路/串联在线”）方式部署在网络链路中，可实时阻断检测到的攻击流量；防火墙访问控制策略的缺省动作默认为（10）（填“允许所有/拒绝所有”），遵循“最小权限”安全原则。答案：(1)Option43(2)5246(3)5247(4)SAE（同时鉴别对等实体/龙血握手）(5)GCMP-256(6)认证者（Authenticator，即AC/AP）(7)EAPOL（EAPoverLAN）(8)1812（早期实现为1645，标准端口为1812）(9)串联在线(10)拒绝所有解析：本题考查无线局域网与网络安全核心考点：1.三层AC+FitAP组网中，AP通过DHCPOption43字段获取AC的IP地址；CAPWAP协议基于UDP实现，控制通道端口5246，数据通道端口5247。